Loading…
Bir bulut ortaminda (AWS, Azure veya GCP) bulunmasi gereken saglayici-agnostik temel guvenlik kontrolleri butunu: kok/yonetim hesabi korumasi ve IAM en az ayricalik, denetim/threat detection loglama, agda default-deny ve acik depolama engeli, sifreleme, is yuku ve metadata korumasi, CSPM ve guardrail yonetisimi. Cerceve SANS CIS Controls v8; somut degerler CIS Foundations Benchmark (AWS/Azure/GCP), CISA Cloud TRA ve CSA CCM rehberlerinden derlenmistir. NOT: Konteyner ve Kubernetes kontrolleri bu baseline da yer almaz; ayri Container / Kubernetes Guvenlik Baseline inde ele alinir. Kontrollerin sağlayici kapsami check_recipe icindeki applies_to alaninda belirtilir; bir sağlayicida karsiligi olmayan kontrol o ortamda uygulanmaz sayilmalidir.
Source frameworks
Summary
Bulut (AWS / Azure / GCP) Guvenlik Baseline includes 56 granular hardening controls across 7 sections; each control comes with a recommended value, a setting path and an official public source. Controls are mapped to the following compliance frameworks: CIS v8, NIST 800-171, NIST CSF 2.0, ISO 27002:2022. You can compare your own configuration line by line and get a % coverage score, a missing-control list and a CSV export.
Important implementation notice
This baseline is a general security reference. Before applying controls to a production environment, validate them in a test environment with your organization's requirements and current configuration in mind; implement changes in a controlled, phased manner with a rollback plan. CyberSecLab cannot be held responsible for service disruption, data loss, incompatibility, or other damages arising from the application of these controls.
Root/Global Admin: donanim MFA, erisim anahtari yok, gunluk kullanim yok
↳ AWS root / Azure Global Admin / GCP org admin
Compromising the root account means losing the entire environment; it must be locked down and used rarely.
IAM kullanicilari ve SSO icin MFA zorunlu
↳ IAM / Entra / Cloud Identity
MFA is the most effective control for stopping access with leaked cloud credentials.
IdP federasyonu/SSO; statik erisim anahtari yerine kisa omurlu rol; kacinilmazsa rotasyon <= 90 gun
↳ IAM Identity Center / Workload Identity Federation
Long-lived access keys provide persistent access if leaked; federation uses short-lived credentials.
Genis yetki yok: Action ve Resource wildcard i gerekce olmadan kullanilmiyor; permission boundary / SCP / Azure Policy / Org Policy ile ust sinir cizili. NOT: bazi AWS API cagrilari (or. ec2:Describe*, s3:ListAllMyBuckets, iam:List*) kaynak duzeyinde yetkilendirmeyi DESTEKLEMEZ ve yalniz Resource degeri * ile calisir; bunlar onayli istisna listesinde tutulur. Kural mutlak hic * olmasin degil, her * gerekcelendirilmis ve Condition ile daraltilmis olsun seklindedir.
↳ IAM policies / SCP / Org Policy
Asiri genis IAM izinleri tek bir sizan kimligi tam ortam ele gecirmeye cevirir.
Guclu parola politikasi; kullanilmayan kimlik/anahtar 90 gunde devre disi; anahtar rotasyonu
↳ IAM credential report
Stale, non-rotated credentials are a silent entry point for attackers.
AWS: AssumeRole guven politikasi * degil; ucuncu taraf erisiminde ExternalId ZORUNLU (confused deputy). Azure: capraz-tenant erisim yerine belirli service principal / managed identity ve dar RBAC kapsami; Lighthouse delegasyonlari envanterli. GCP: Workload Identity Federation da issuer/subject kosullari dar; harici principal ler proje duzeyinde sinirli. ExternalId AWS e ozgudur; diger sağlayicilarda karsiligi kosul tabanli kapsam daraltmasidir.
↳ IAM trust policy / RBAC assignments
Genis guven iliskileri ucuncu taraf veya sizan hesaptan yanal harekete izin verir.
Pipeline -> bulut OIDC ile kisa omurlu rol; depolanan statik erisim anahtari yok
↳ GitHub/GitLab OIDC -> IAM Role / Workload Identity Federation
A leaked long-lived CI key is the most common cause of cloud breaches; OIDC provides short-lived, scoped identity.
IAM Access Analyzer (external + unused access) etkin ve bulgulari triyajli
↳ AWS Access Analyzer / Azure PIM access reviews / GCP Policy Analyzer
Externally exposed resources and stale permissions are automatically discovered, continuously measuring least privilege.
Security/billing contact tanimli; kok kullanimi ve MFA siz konsol girisi alarmli
↳ Account settings + CloudWatch/Monitor alarm
Real-time alerting on critical account events enables rapid response to compromise.
Acil erisim yolu tanimli, test edilmis ve alarmli. Sayi sağlayiciya gore degisir: Azure/Entra icin 2 bulut-yerel hesap onerilir; AWS ta esdegeri yonetim hesabinin root kullanicisidir (donanim MFA, erisim anahtari yok, kullanim alarmli); GCP ta ayrilmis Super Admin hesaplari ayni mantikla korunur. Ortak sart: SSO/federasyon disinda calisabilmeli, donanim MFA, kullanimi ve kimlik bilgisi degisikligi alarm uretmeli, periyodik test edilmeli.
↳ AWS: ayri IAM kullanici + org mgmt / Azure break-glass / GCP super admin
Kimlik saglayici (SSO/IdP) kesintisi veya ele gecirilmesi durumunda kontrollu erisim; SSO disi olmasi tek-nokta bagimliligini kirar, alarm kotu kullanimi yakalar.
Kaynak-tabanli ve guven politikalarinda kapsam kosullari (aws:SourceArn/SourceAccount, azure scope, GCP resource condition); servis principal dar kapsamli
↳ Resource policy / trust policy kosullari
Unconditioned resource/trust policies let a service be tricked into acting with permissions on another tenant's behalf (confused deputy); scope conditions prevent it.
Ayakta duran (standing) ayricalik yok; ayricalikli erisim sureli ve denetlenebilir. Sağlayici farki onemli: Azure PIM yerlesik onay, sureli aktivasyon ve gerekce saglar. AWS IAM Identity Center TEK BASINA bir JIT/onay sistemi DEGILDIR - permission set atamalari kalicidir; sureli ve onayli yukseltme icin ek bir cozum (Temporary Elevated Access Management deseni, ITSM entegrasyonu veya ucuncu parti PAM) gerekir. GCP PAM sureli yukseltme sunar. Hangi mekanizmanin kullanildigi acikca belgelenmelidir.
↳ Kimlik yonetisim / PAM cozumu
Surekli ayakta duran ayricalik saldiri penceresini buyutur; JIT yalniz gerektiginde ve sureli yetki vererek maruziyeti daraltir.
0.0.0.0/0 VE ::/0 kaynaktan yonetim ve veri portlarina acik kural yok. Asgari kapsam: 22 (SSH), 3389 (RDP), 3306 (MySQL), 5432 (PostgreSQL), 1433 (MSSQL), 1521 (Oracle), 27017 (MongoDB), 6379 (Redis), 9200/9300 (Elasticsearch), 5601 (Kibana), 11211 (Memcached), 2375/2376 (Docker API), 6443 (Kubernetes API). TCP ve UDP ayri degerlendirilir; kontrol yalniz guvenlik gruplari/NSG ile sinirli kalmamali, load balancer ve public IP maruziyetini de kapsamalidir.
↳ Security Groups / NSG / Firewall rules
Internete acik Redis, Elasticsearch ve MongoDB ornekleri kimlik dogrulamasiz varsayilanlariyla yillardir en sik veri sizintisi ve fidye kaynagidir; bu yuzden port listesi somut olarak tanimlanmalidir.
DB ve yonetim arayuzleri ozel subnet veya private endpoint arkasinda; public IP yok. DIKKAT: private endpoint olusturmak public erisimi OTOMATIK KAPATMAZ - Azure da kaynak uzerinde publicNetworkAccess degeri Disabled yapilmali (veya guvenlik duvari kurali uygulanmali); AWS ta VPC endpoint yaninda kaynak politikasi ve publicly accessible=false; GCP ta Private Service Connect yaninda authorized networks daraltilmalidir. Iki ayarin da dogrulanmasi gerekir.
↳ VPC/VNet design, Private Endpoints
Public veritabani/yonetim ucu dogrudan exploit ve veri sizintisi yuzeyidir.
Ag akis loglari etkin ve merkezi toplaniyor: AWS VPC Flow Logs, GCP VPC Flow Logs, Azure VIRTUAL NETWORK Flow Logs. AZURE GECISI ZORUNLU: NSG Flow Logs 30 Eylul 2027 de emekli olacak, 30 Haziran 2025 ten beri yeni NSG flow log olusturulamiyor; emeklilik tarihinde mevcut NSG flow log kaynaklari SILINECEK ve traffic analytics desteklenmeyecek. Mevcut NSG flow log lari VNet flow log lara tasinmalidir.
↳ VPC Flow Logs / NSG Flow Logs / VPC Flow Logs
Akis loglari yanal hareket, tarama ve sizdirma desenlerini gorunur kilar.
Public uygulamalarda WAF; Shield/Front Door/Cloud Armor DDoS
↳ WAF + DDoS protection
Public-facing applications are continuously scanned and exploited; WAF and DDoS protection are fundamental defenses.
Kullanilmayan default VPC kaldirilmis; gereksiz bolgeler SCP/org policy ile kapali
↳ VPC/VNet + SCP/Azure Policy/Org Policy
Unmonitored default networks and inactive regions are a hidden attack surface.
Bulut servislerine private endpoint/PrivateLink/VPC endpoint; cikis (egress) firewall/proxy ile kisitli, yalniz gerekli hedefler
↳ VPC endpoints / Private Link / egress firewall / Cloud NAT + policy
Open egress and public service endpoints enable data exfiltration and C2; private connectivity plus egress control keeps traffic on the private backbone.
Halka acik zone larda DNSSEC etkin; DNS sorgu loglama acik; sahipsiz (dangling) kayitlar periyodik temizleniyor
↳ Route 53 / Azure DNS / Cloud DNS + query logging
DNSSEC provides integrity against cache poisoning; dangling records enable subdomain takeover once a cloud resource is released.
CDN/WAF arkasindaki origin dogrudan internetten erisilebilir degil: AWS CloudFront + S3 icin Origin Access Control (OAC), ALB origin icin CloudFront yonetilen prefix listesi veya imzali baslik dogrulamasi; Azure Front Door icin Private Link origin veya X-Azure-FDID baslik dogrulamasi + Front Door service tag disina kapali NSG; GCP Cloud CDN/Armor arkasinda backend yalniz Google Front End lerden erisilebilir. Origin in public IP/DNS adi ifsa edilmemis.
↳ CloudFront OAC / Front Door Private Link veya FDID dogrulamasi / Cloud Armor backend kisitlamasi
WAF yalnizca uzerinden gecen trafigi korur. Origin in public adresi bulunabiliyorsa saldirgan WAF i tamamen atlayarak uygulamaya dogrudan gider; bu, WAF yatirimini fiilen etkisiz kilan yaygin bir yanlis yapilandirmadir.
Cikis DNS sorgulari merkezi ve filtreli cozumleyiciden geciyor: AWS Route 53 Resolver DNS Firewall (yonetilen kotu-alan listeleri + ozel blok listeleri), Azure DNS Security Policy veya Firewall DNS proxy ile tehdit istihbarati filtreleme, GCP Cloud DNS + guvenlik politikasi. Is yuklerinin dogrudan harici DNS (or. 8.8.8.8) kullanmasi ag kurallariyla engelli; DNS sorgu loglari toplaniyor.
↳ Route 53 Resolver DNS Firewall / Azure Firewall DNS proxy + threat intel / GCP Cloud DNS policy + egress kurallari
Komuta-kontrol trafiginin buyuk kismi once bir alan adi cozumler ve DNS tunelleme veri sizdirmanin sessiz yollarindan biridir. CLD-NET-07 DNSSEC ve sahipsiz kaydi kapsar, cikis yonlu kotu-alan filtrelemesini kapsamaz.
Ic servis trafigi de sifreli: yuk dengeleyici ile backend arasinda TLS sonlandirma sonrasi yeniden sifreleme (end-to-end TLS), servis mesh veya yerlesik mTLS (App Mesh/Istio/Linkerd, Azure Service Fabric veya AKS mesh, GCP Anthos Service Mesh), yonetilen servislere baglanti TLS zorunlu. VPC/VNet ici trafigin otomatik olarak guvenli oldugu VARSAYILMIYOR.
↳ Yuk dengeleyici backend protokolu, servis mesh mTLS politikasi, veritabani baglanti TLS zorunlulugu
CLD-DAT-03 dis trafigi (istemci-uygulama) kapsar. Ic ag guvenilir kabul edildiginde, tek bir ele gecirilmis is yuku yanal olarak duz metin trafigi dinleyebilir; sifir guven modelinde ic trafik de kimlik dogrulamali ve sifreli olmalidir.
AWS: IMDSv2 zorunlu (HttpTokens=required), IMDSv1 kapali, hop limit 1; yeni instance larda org policy ile zorunlu. Azure: IMDS te token mekanizmasi YOKTUR - koruma Metadata basligi disinda uygulama katmani SSRF savunmasi, managed identity kapsaminin daraltilmasi ve egress kisitlamasiyla saglanir. GCP: eski (legacy v1) metadata uclari kapali (disable-legacy-endpoints=true) ve Metadata-Flavor basligi zorunlu. IMDSv2 kavrami yalniz AWS icindir.
↳ EC2 metadata options / equivalent
Metadata servisi SSRF ile calinabilen gecici kimlik bilgileri dagitir; Capital One ihlalinin cekirdegi buydu. Ancak korumanin bicimi sağlayiciya gore tamamen farklidir; tek bir IMDSv2 kontrolu Azure ve GCP de olcum uretmez.
Secrets Manager / Key Vault / Secret Manager; hardcoded sir yok
↳ Secrets management service
Secrets embedded in code or environment variables are exposed through source/image leaks.
Yonetilen yama; golden/hardened image; surekli zafiyet taramasi
↳ SSM Patch / Update Manager / OS Config
SANS CIS Control 7: unpatched cloud workloads are quickly exploited from the internet.
Sunuculara EDR/Defender for Servers ajani
↳ Workload protection agent
Cloud servers are also targets for ransomware, cryptominers, and lateral movement.
Terraform/Pulumi state sifreli + erisim kisitli; state icinde duz metin secret yok
↳ Remote backend (S3+KMS / azurerm) + state encryption
State files often carry plaintext credentials and resource details; if leaked, the environment is exposed.
Serverless islev rolleri dar kapsamli (wildcard yok, kaynak bazli). Anonim/kimlik dogrulamasiz function URL veya HTTP tetigi VARSAYILAN OLARAK YOK; is gerekcesi olan public uc noktalar (webhook, public API) onayli istisna listesinde tutulur ve WAF, rate limit ve imza dogrulama (webhook HMAC) ile korunur. Istisna listesi periyodik gozden gecirilir.
↳ Fonksiyon IAM rolu + function URL / trigger auth
Asiri yetkili fonksiyon rolu ele gecirmede genis erisim verir; kimliksiz function URL dogrudan public giris/istismar yuzeyidir.
Sunucularda 22/3389 internete veya genis ic aglara acik degil; yonetim aracili erisimle yapilir: AWS SSM Session Manager, Azure Bastion, GCP IAP TCP forwarding. Oturum kaydi acik (SSM session logging S3/CloudWatch, Bastion tanilama loglari, IAP baglanti loglari). NOT: tum oturum turlerinde tam komut/icerik kaydi alinmaz (port yonlendirme ve RDP grafik oturumlarinda icerik kaydi sinirlidir); tam kayit gereken senaryolarda ek oturum kayit cozumu gerekir.
↳ AWS SSM Session Manager / Azure Bastion / GCP IAP
Acik SSH/RDP portu ve statik bastion brute-force ve exploit yuzeyidir; kimlik-aracili, port-suz ve loglu erisim bunu kaldirir.
S3 Block Public Access / public blob yok / public bucket yok
↳ S3 / Blob / Cloud Storage IAM
Accidentally left-public storage is the most common source of data breaches.
Tum depolama, disk, anlik goruntu ve yonetilen veritabanlarinda beklemede sifreleme ETKIN; sifresiz kaynak olusturulmasi org policy / Azure Policy / SCP ile engelli. Bu kontrol SAĞLAYICI-YONETIMLI sifrelemeyi kapsar (AWS SSE-S3 ve EBS default encryption, Azure platform-managed keys, GCP Google-managed keys). Musteri yonetimli anahtar ayri bir kontroldur: CLD-DAT-04.
↳ KMS / Key Vault / Cloud KMS
Sifrelenmemis veri, snapshot/bucket sizdirmasinda dogrudan okunabilir.
TLS zorunlu; HTTP/duz metin reddediliyor (bucket policy/Listener)
↳ Load balancer / bucket policy
Plaintext transmission leaks data and credentials via eavesdropping and MITM.
Musteri yonetimli anahtar (CMK/CMEK) veri siniflandirmasina gore KAPSAMLI uygulanir, her kaynak icin degil: duzenlemeye tabi, gizli veya musteri verisi barindiran kaynaklarda zorunlu; digerlerinde sağlayici-yonetimli sifreleme yeterlidir. Anahtar politikasi en az ayricalik; otomatik rotasyon acik; anahtar yoneticisi ile veri sahibi ayrimi (ideal olarak ayri hesap/abonelik). Kapsam karari maliyet ve erisilebilirlik etkisiyle birlikte belgelenir.
↳ KMS / Key Vault
Genis anahtar erisimi sifrelemeyi etkisiz kilar; rotasyon uzun vadeli riski azaltir.
UC AYRI GUVENCE, birbirinin yerine gecmez: (1) Versioning - yanlislikla uzerine yazma veya silmeden donus saglar, ancak yetkili bir saldirgan surumleri de silebilir. (2) MFA Delete / silme korumasi - surum silmeyi ek faktore baglar (S3 MFA Delete yalniz root ve CLI ile ayarlanir; Azure blob silme korumasi ve kaynak kilidi ayri mekanizmalardir). (3) Immutable/WORM yedek - S3 Object Lock compliance mode, Azure immutable blob policy, GCP bucket lock; fidye senaryosunda asil koruma budur. Ucu de ayri ayri dogrulanmalidir.
↳ S3 versioning / Backup vault immutability
Surumleme ve degistirilemez yedek, fidye ve toplu silmeye karsi kurtarmayi saglar.
AMI / disk snapshot / makine imaji public paylasimi bloklu (org policy ile zorunlu)
↳ EC2/Compute image sharing + SCP/Org Policy
Accidentally public images and snapshots leak data and embedded secrets.
RDS/DB snapshot, SQS/SNS, KMS, Secrets, Lambda/Functions kaynak politikalari ve RAM/paylasim public degil
↳ Resource policy denetimi + org policy / Access Analyzer
Public exposure is not only object storage; a public DB snapshot or a queue/key policy with a "*" principal also leaks data and privileges.
Kritik veri ayri (logically air-gapped) yedek hesabinda/aboneliginde; immutable + duzenli test edilen restore
↳ AWS Backup vault (ayri hesap) / Azure immutable vault / GCP backup
Same-account backups are lost together with the account under ransomware/deletion; isolated cross-account plus tested restore guarantees recoverability.
Macie / Purview / DLP / Sensitive Data Protection ile hassas veri kesfi + siniflandirma etkin
↳ AWS Macie / Microsoft Purview / GCP Sensitive Data Protection
You cannot protect sensitive data you cannot locate; automated discovery surfaces misplaced and over-shared PII/secrets.
KMS/Key Vault anahtarlarinda silme korumasi: AWS KMS zamanlanmis silme icin azami bekleme suresi (30 gun) ve ScheduleKeyDeletion/DisableKey cagrilarinda alarm; Azure Key Vault ta soft-delete ve PURGE PROTECTION acik (purge protection geri alinamaz); GCP KMS te anahtar yok etme (destroy) suresi uzatilmis ve IAM ile kisitli. Anahtar silme/devre disi birakma yetkisi Tier 0 ile sinirli ve dort-goz kurali uygulanir.
↳ AWS KMS key policy + CloudTrail alarmi | Azure Key Vault soft-delete/purge protection | GCP KMS destroy scheduled duration + IAM
Bulut fidye saldirilarinin bir bicimi veriyi sifrelemek degil, MUSTERI YONETIMLI ANAHTARI SILMEKTIR: anahtar yok edildiginde onunla sifrelenmis tum veri kalici olarak erisilemez hale gelir ve yedekler de sifreli oldugu icin kurtarilamaz. Rotasyon (CLD-DAT-04) bu senaryoyu kapsamaz.
Yonetilen veritabanlarinda mumkun oldugunda statik parola yerine kimlik tabanli dogrulama: AWS RDS/Aurora IAM database authentication, Azure SQL/PostgreSQL icin Entra ID kimlik dogrulama, GCP Cloud SQL IAM database authentication. Statik parola kacinilmazsa Secrets Manager / Key Vault / Secret Manager icinde OTOMATIK ROTASYONLU; uygulama parolayi kod veya ortam degiskeninden degil sir deposundan aliyor. Yonetici hesabi gunluk kullanimda degil.
↳ RDS IAM auth / Azure SQL Entra admin / Cloud SQL IAM auth + sir deposu rotasyon yapilandirmasi
Veritabani master parolasi bulut ortamlarinda en uzun omurlu ve en cok kopyalanan sirdir; kod deposuna, CI degiskenlerine ve calisma kitaplarina sizar. Kimlik tabanli dogrulama bu sirri tamamen ortadan kaldirir. CLD-CMP-02 genel sir yonetimini kapsar, veritabanina ozgu yolu kapsamaz.
Kontrol duzlemi (management plane) denetim izi tum bolge ve hesaplarda etkin: AWS CloudTrail organizasyon izi (multi-region), Azure Activity Log ve diagnostic settings, GCP Cloud Audit Logs (Admin Activity varsayilan acik). NOT: VERI DUZLEMI (data plane) loglari cogunlukla AYRICA acilmalidir - AWS CloudTrail data events (S3/Lambda/DynamoDB), Azure kaynak bazli diagnostic settings, GCP Data Access logs (BigQuery disinda varsayilan KAPALI). Kapsam karari CLD-LOG-07 de belgelenir.
↳ CloudTrail / Monitor / Cloud Logging
SANS CIS Control 8: denetim logu olmadan bulut etkinligi gorunmez ve adli analiz imkansizdir.
Log file validation; merkezi, degistirilemez (immutable) hesap/bucket; SIEM iletimi
↳ Dedicated logging account / immutable storage
Attackers erase their tracks; immutable centralized logging preserves evidence.
GuardDuty / Defender for Cloud / Security Command Center etkin
↳ Native threat detection
Native detection services automatically detect abuse, miners, and anomalies.
Kok kullanimi, IAM policy degisimi, yetkisiz API, MFA siz konsol girisi icin alarm
↳ CloudWatch Alarms / Azure Alerts / Monitoring
Real-time alerting on high-value events shortens response time.
AWS Config / Azure Policy state / GCP Asset Inventory etkin
↳ Config / Policy / Asset Inventory
Continuous configuration tracking surfaces drift and unauthorized changes.
Billing / cost anomaly alarmi etkin (beklenmeyen compute artisi)
↳ Cost Anomaly Detection / Cost Management alerts
On a compromised account, cryptomining most often appears first as an abnormal bill.
Yonetim + data event (or. S3/Lambda data events) kapsami tanimli; log/trail kapatma veya silme alarmli
↳ CloudTrail data events / Azure Diagnostic / GCP Data Access logs + alarm
Management events alone are insufficient; without data-event coverage data access is invisible, and trail-disable detection catches defense evasion.
Tehdit tespiti TUM hesap/abonelik/projelerde merkezi olarak etkin: AWS GuardDuty delegated administrator + otomatik yeni hesap kaydi, Azure Defender for Cloud plan atamasi management group duzeyinde, GCP SCC organizasyon duzeyinde. Ayrica log hattinin CALISMAYA DEVAM ETTIGI olculuyor: beklenen hesaptan log gelmemesi (heartbeat kaybi), dusen/reddedilen kayit sayaci ve sink/trail durum degisikligi alarm uretiyor.
↳ GuardDuty/Defender/SCC delegated admin ayarlari + SIEM tarafinda kaynak bazli log kesintisi alarmi
Tek hesapta etkin bir tespit servisi, saldirganin yeni acilan veya unutulmus bir hesapta calismasini engellemez; kapsam disi hesaplar bulut ihlallerinde en sik kullanilan koselerdir. Sessizce duran bir log hatti ise hicbir hata uretmeden aylarca surebilir.
Ayri bir adli inceleme (forensics) hesabi/aboneligi/projesi tanimli; olay aninda kanit toplama otomasyonu hazir (disk/anlik goruntu kopyalama, bellek yakalama, log ihracı) ve inceleme ortamina capraz-hesap erisim onceden test edilmis. Bulut senaryolari icin calistirma kitaplari mevcut: kimlik ele gecirme (erisim anahtari sizintisi), public veri maruziyeti, cryptomining, fidye/anahtar silme. Kanit saklama ve zincir-of-custody tanimli.
↳ Adli inceleme hesabi + capraz-hesap IR rolu + otomasyon (snapshot/izolasyon) + calistirma kitaplari
Bulut olaylarinda kanit dakikalar icinde kaybolur: instance sonlandirilir, anlik goruntu silinir, gecici kimlik bilgisinin omru dolar. Onceden hazirlanmis ve TEST EDILMIS bir toplama yolu olmadan mudahale ekibi olay sirasinda yetki ve erisim beklemek zorunda kalir.
Security Hub / Defender CSPM / Security Command Center surekli degerlendirme
↳ CSPM platform
Cloud misconfigurations (the most common breach cause) must be continuously scanned and remediated.
Checkov/tfsec/KICS CI/CD pipeline icinde
↳ CI/CD pipeline
Infrastructure-as-code scanning catches misconfigurations before they reach production.
Onleyici guardrail lar tanimli. Sağlayici semantigi FARKLIDIR ve birebir cevrilemez: AWS SCP izinleri yalniz KISITLAR (izin vermez, ust sinir cizer) ve yonetim hesabina uygulanmaz; Azure Policy kaynak olusturmayi ve yapilandirmayi denetler, engeller veya duzeltir (audit/deny/deployIfNotExists); GCP Org Policy servis bazli constraint uygular. Her guardrail once dry-run/audit modda ve sinirli kapsamda pilot edilir; acil devre disi birakma proseduru ve break-glass istisnasi tanimli olmalidir.
↳ Org-level policy
Guardrail lar tek bir yanlis kapsamla tum organizasyonu kilitleyebilir; yanlis uygulanan bir SCP yonetim erisimini de kesebilir. Bu nedenle kontrol yalniz varligi degil, test ve geri alma surecini de kapsar.
Ortam CIS AWS/Azure/GCP Foundations Benchmark a gore taraniyor
↳ CSPM / benchmark scan
SANS CIS Control 4: continuous measurement of the secure configuration baseline is required.
Cok-hesap/abonelik yapisi; org yonetim hesabinda is yuku yok; log ve guvenlik araci ayri hesaplarda; delegated admin
↳ AWS Organizations / Azure Management Groups / GCP Organization + Control Tower/Landing Zone
A flat single-account structure widens the blast radius; compromise of the org management account yields the whole environment, so it is kept minimal and protected.
Denetim ve tespit servislerinin kapatilmasi ORG POLICY ILE ENGELLI, yalniz alarmla yetinilmez: AWS SCP ile cloudtrail:StopLogging, cloudtrail:DeleteTrail, guardduty:DeleteDetector, config:DeleteConfigurationRecorder, securityhub:DisableSecurityHub reddedilir (yonetim hesabi ve break-glass rolu haric); Azure da Deny politikasi + kaynak kilidi (CannotDelete) ile diagnostic settings ve Defender planlari korunur; GCP ta Org Policy ve IAM ile log sink ve SCC ayarlari kisitlanir.
↳ AWS SCP / Azure Policy deny + resource lock / GCP Org Policy ve IAM
CLD-LOG-07 log kapatmayi TESPIT eder; tespit ise saldirgan zaten logu kapattiktan sonra devreye girer ve cogu zaman ayni saldirgan alarm hattini da bozmustur. Onleyici guardrail, ele gecirilen bir yonetici kimliginin gorunurlugu kapatmasini bastan imkansiz kilar.
Uretim ile gelistirme/test ortamlari AYRI hesap/abonelik/proje icinde; ag duzeyinde peering veya paylasilan subnet ile birlestirilmemis; uretim-disi ortamlarda gercek musteri verisi yok (maskelenmis/sentetik veri); CI/CD kimlikleri ortam basina ayri ve uretime dagitim ayri onay gerektiriyor.
↳ AWS Organizations OU yapisi / Azure management group ve abonelik ayrimi / GCP klasor ve proje ayrimi + ag topolojisi
Gelistirme ortamlari kacinilmaz olarak daha gevsektir: daha genis IAM, daha az izleme, daha fazla deneysel kaynak. Ayni hesap veya ag icinde durduklarinda uretim ortaminin guvenligi en zayif gelistirme kaynaginin seviyesine iner.
Bulut (AWS / Azure / GCP) Guvenlik Baseline is a hardening baseline that groups 56 granular security controls into 7 sections. Each control includes its recommended value, the setting path to apply it, and an official public source.
Controls are mapped to: CIS v8, NIST 800-171, NIST CSF 2.0, ISO 27002:2022. Each control card shows the relevant framework control IDs as badges.
Click "Enable comparison mode", mark each control as Present / Partial / Absent, and instantly get your % coverage score, your missing-control list and a CSV export. Marks are stored only in your browser.
A total of 56 controls: 1 critical, 26 high, 28 medium, 1 low severity.
