Doğrudan cevap
Yetim hesap güncel sorumlusu bulunmayan hesaptır. Gölge yetki resmî kayıtta görünmeyen fakat fiilen kullanılabilen izindir. Artık erişim, ihtiyaç veya görev bittikten sonra kalan erişimdir. Sahipsiz kimlik doğrulayıcı ise geçerli sahibi ya da sponsoru olmadan çalışabilen anahtar, token, cihaz veya benzeri araçtır.
Sade dille
Eski çalışan için açık kalan kullanıcı hesabı yetim olabilir. Bir grubun dolaylı verdiği gizli izin gölge yetkidir. Görev bittiği hâlde açık kalan klasör izni artık erişimdir. Kimin yönettiği bilinmeyen çalışan API anahtarı ise sahipsiz doğrulayıcıdır.
Neden önemli?
Bu dört durum normal listelerde görünmeyebilir; saldırı, yanlış işlem ve sorumluluğu belirleyememe riski yaratır.
Karıştırma
- Hesap, yetki, erişim yolu ve kimlik doğrulayıcı ayrı nesnelerdir.
- Bir hesap sahibi olabilir ama üzerinde gölge yetki bulunabilir.
- Bir kişi ayrılmamış olsa bile görevi için artık gerekmeyen erişim taşıyabilir.
Ne yapmalısın?
- Bütün insan, servis, uygulama ve ajan kimliklerini envantere alın.
- Her kimliğe sahip, sponsor, amaç ve gözden geçirme tarihi bağlayın.
- Doğrudan ve grup üzerinden gelen etkin yetkiyi birlikte hesaplayın.
- Uzun süre kullanılmayan token, anahtar ve hesapları inceleyin.
- İnsan kaynakları, sicil ve sistem kayıtlarını uzlaştırın.
- Kapatmadan önce bağımlılık ve acil geri dönüş planı oluşturun.
Nasıl denetlersin?
- Sahibi veya sponsoru olmayan hesap var mı?
- Yetki resmî rol kaydında görünmeden başka yoldan geliyor mu?
- Görev veya sözleşme bittiği hâlde erişim sürüyor mu?
- Paylaşılan veya kimin kontrol ettiği bilinmeyen doğrulayıcı var mı?
- Son kullanım, amaç ve gözden geçirme tarihi kayıtlı mı?
Sınır
Kullanılmayan her hesap kötü niyetli değildir; fakat sahibi, amacı ve gerekliliği kanıtlanamıyorsa risk olarak ele alınmalıdır.
Tek cümlede hatırla
Sahibi, amacı ve güncel ihtiyacı kanıtlanamayan erişim açık bırakılmamalıdır.
Bu kaydın kaynakları
- S24NIST SP 800-63-4, *Digital Identity Guidelines*Standart
- S25NIST SP 800-63B-4, *Authentication and Authenticator Management*Standart
- S26NIST SP 800-53 Rev. 5, *Security and Privacy Controls*Standart
- S27IETF, RFC 7644, *System for Cross-domain Identity Management: Protocol*Standart
- S28IETF, RFC 9967, *SCIM Roles and Entitlements Extension*Standart
- S29Microsoft Learn, *Application and Service Principal Objects in Microsoft Entra ID*Sağlayıcı
- S30Microsoft Learn, *Managed Identities for Azure Resources*Sağlayıcı