İki Faktörlü Kimlik Doğrulama Analitiği Hakkında SSS

Çoğu ekip 2FA'yı devreye alır, sonra kontrol panelini bir daha açmaz. Oysa iki faktörlü kimlik doğrulama analitiğinin asıl değeri kurulumda değil, ilk üç ayda ortaya çıkan davranış desenlerinde saklıdır: push yorgunluğuna bağlı reddedilen istekler, belirli coğrafyalardan gelen tekrarlı SMS başarısızlıkları, yedek kod kullanımındaki ani artışlar. Bu sinyaller doğru okunduğunda bir saldırıyı, yanlış okunduğunda ise bir gürültü kaynağını gösterir. Aşağıda karar vericilerin gerçekten sorduğu soruları ele alıyoruz.

İki faktörlü kimlik doğrulama analitiği tam olarak neyi ölçer?

Ölçülen şey "kaç kişi giriş yaptı" değildir. Anlamlı metrikler şunlardır:

• Doğrulama başarı oranı — birinci faktör geçtikten sonra ikinci faktörde takılan oturumların yüzdesi.
• Yöntem dağılımı — TOTP, push, SMS, donanım anahtarı ve yedek kod kullanımının oranları.
• Reddedilen push oranı — kullanıcı tarafından açıkça reddedilen istekler; MFA yorgunluğu saldırılarının erken göstergesidir.
• Kayıt (enrollment) tamamlanma süresi — bir kullanıcının ikinci faktörü etkinleştirmesi ne kadar sürüyor.

Hangi metrik bir saldırıya işaret eder, hangisi sadece gürültü?

Tek başına yüksek başarısızlık oranı panik nedeni değildir. Yeni bir cihaz dağıtımından sonra doğrulama hataları geçici olarak artar. Asıl endişe verici olan desen, tek bir hesapta kısa aralıkla çok sayıda push isteği ve ardından gelen bir kabuldür — bu klasik push bombardımanıdır. Benzer şekilde, alışılmadık coğrafyadan gelen başarılı bir ikinci faktör, ilk faktörün ele geçirildiğini gösterebilir. Pratikte gördüğümüz bir nokta: birçok ekip yedek kod kullanımını izlemez, oysa bu kodların normalin üzerinde kullanılması genellikle cihaz kaybını değil, sosyal mühendislik girişimini işaret eder.

Bu veriyi toplamak GDPR açısından risk yaratır mı?

Kimlik doğrulama kayıtları neredeyse tanımı gereği kişisel veri içerir: kullanıcı kimliği, IP adresi, cihaz parmak izi, zaman damgası. Bu nedenle analitik tasarımı en baştan veri minimizasyonu ilkesine dayanmalıdır. Uygulanabilir yaklaşım, güvenlik operasyonu için gereken ham kayıtları kısa bir denetim penceresinde tutmak, uzun vadeli eğilim analizi için ise toplulaştırılmış (aggregate) sayılara geçmektir. Vemco'nun insan sayımı çözümünde benimsediği ilke burada da geçerlidir: kişisel tanımlama olmadan, personel hariç tutularak, yalnızca toplu sayılarla çalışmak. Aynı mantık kimlik doğrulama eğilimlerine uygulandığında, uyum ekibinin denetim yükü belirgin şekilde azalır.

Verileri ne kadar süre saklamalıyız?

Tek bir doğru sayı yoktur; saklama süresi düzenleyici gereksiniminize ve olay müdahale sürenize bağlıdır. Sık uygulanan bir ayrım şöyledir:

• Ayrıntılı olay kayıtları: adli inceleme için sınırlı, tanımlı bir pencere.
• Toplulaştırılmış metrikler: trend ve kapasite planlaması için daha uzun süre, kişisel tanımlayıcı içermeden.

Saklama politikasını sözleşmeye ve satın alma dokümanına yazın; sonradan "her ihtimale karşı sakladık" durumu, veri ihlali anında en pahalı hataya dönüşür.

Analitik verimiz nerede barındırılmalı?

Barındırma modeli çoğunlukla iç güvenlik politikanız tarafından belirlenir. Hem barındırılan bulut hem de özel bulut seçeneği masada olmalıdır; hangisini seçeceğiniz veri yerleşimi (data residency) gereksinimlerinize bağlıdır. Kritik nokta, seçtiğiniz çözümün mevcut IT sistemlerinizle entegre olabilmesidir — SIEM'inize kayıt gönderemeyen bir 2FA analitiği, izole bir gösterge paneli olarak kalır ve gerçek olay müdahalesine katkı sunmaz. Satın alma aşamasında SSO/SAML desteği ve dışa aktarma formatlarını doğrulayın; bunları sonradan eklemek genellikle yeniden yapılandırma gerektirir.

Doğruluk ve tam kapsama neden aynı şey değil?

Bir sistemin "tüm oturumları kaydettiğini" söylemesi, o kayıtların doğru sınıflandırıldığı anlamına gelmez. VPN arkasındaki IP'ler, paylaşımlı çıkış noktaları ve proxy'ler coğrafi konum sinyallerini bozar. Ölçülen doğruluğun koşullara bağlı olduğunu kabul etmek — tıpkı fiziksel sayım sistemlerinde aydınlatma ve düzenin sonucu etkilemesi gibi — daha dürüst bir raporlama sağlar. Bir sağlayıcı size garantili, sabit bir doğruluk yüzdesi vaat ediyorsa, bu vaadin hangi koşullar altında geçerli olduğunu sorun.

Satın alma ekibi tedarikçiye hangi soruları sormalı?

Genel pazarlama vaatlerinin ötesine geçen sorular listesi:

• Hangi sertifikalara sahipsiniz ve bunları belgeleyebilir misiniz? (Sertifikaları yalnızca yazılı doğrulamadan sonra kabul edin.)
• Ham kimlik doğrulama kayıtları hangi bölgede saklanıyor ve varsayılan saklama süresi nedir?
• Toplulaştırılmış veriye geçiş otomatik mi, yoksa manuel yapılandırma mı gerektiriyor?
• Alarm eşikleri özelleştirilebilir mi, yoksa sabit mi geliyor?

Bir tedarikçinin olgunluğunu nasıl değerlendiririz?