Sahiplenmediğim Bir Şirketin IT Departmanı Olduğum Gün

Şöyle bir sahne hayal edin. Elinizde eski domainleri tarıyorsunuz, yeni projeniz için işe yarar bir şeyler arıyorsunuz. Görünüşe göre ciddi bir altyapı desteğine sahip bir teknoloji girişiminin domaini dikkatinizi çekiyor. Fiyat makul. Teklif verdiniz, kazandınız ve birkaç gün içinde domain sizin adınıza geçti.

Bu kadar basit, değil mi?

Ta ki e-postalar gelmeye başlayana kadar. Spam değil, rastgele bildirimler değil. Bunlar, eski sahibin altyapısına gönderilen AWS iletişimleri. Fatura uyarıları, güvenlik bildirimleri, aktif çalışan bir AWS ortamının hesap özeti.

Birkaç gün içinde bu alıcı, bir domain adından çok daha değerli—ve çok daha tehlikeli—bir şey miras almıştı. Görünüşe göre eski bir girişimin tüm bulut altyapısına potansiyel erişim kazanmıştı; kök hesap kimlik bilgileri de dahil.

Bu bilim kurgu değil. Tam da bu yaşandı ve şirketlerin kapanırken dijital ayak izlerini nasıl yönettikleri konusundaki kritik bir boşluğu ortaya koyan bir uyarı hikayesi.

Neden Böyle Oluyor?

Bulut çağında domain süresinin dolmasıyla ilgili rahatsız edici gerçek şu: domainler artık izole yaşamıyor. Bir domain kaydettiğinizde, tüm dijital kimliğinizin çapası haline geliyor. E-posta sistemleri ona işaret ediyor. DNS kayıtları onun üzerinden çözümleniyor. Ama daha da önemlisi, genellikle düzinelerce servisin—AWS gibi bulut platformları dahil—kurtarma mekanizması haline geliyor.

Bir AWS hesabı oluşturduğunuzda ne olduğunu düşünün:

1. Kök hesap e-postanız genellikle admin@domaininiz.com veya aws@sirketiniz.com gibi bir şeydir
2. Şifre kurtarma aynı e-posta domaini üzerinden yapılır
3. Çeşitli AWS hizmetleri için DNS doğrulaması domaininize bağlıdır
4. SES (Simple Email Service) yapılandırmaları doğrudan domaininize bağlıdır

Bu domain süresi dolup yeni birine satıldığında, tüm bu kurtarma mekanizmaları potansiyel olarak bir yabancıya yönlendiriliyor. Eski sahibin iki faktörlü kimlik doğrulaması mı? E-posta hesabını terk ettilerse, yokmuş gibi. Güvenlik soruları mı? Sıfırlama talimatları mı? Hepsi artık sizin gelen kutunuza akıyor.

Bulut Güvenliğindeki Kör Nokta

Aktif altyapımızı güvence altına almakta epey iyileştik. MFA uyguluyoruz, IAM rollerini doğru kullanıyoruz, anahtarları döndürüyoruz, CloudTrail günlüğünü etkinleştiriyoruz. Ama ya bir şirket başarısız olursa? Ya girişim fon bulamadığında ve kurucular yeni maceralarına dağıldığında ne olur?

Varsayımsal girişimimizin son günlerinde muhtemelen şöyle görünüyordu:

• Ekip sadece düzinelerce öncelikle boğuşan kuruculara düşüyor
• Belgelendirme ihmal edildikçe teknik borç birikiyor
• Altyapı sağlama, uygun bir kullanımdan kaldırma süreci olmadan anlık yapılıyor
• Domain yenileme bildirimi geldiğinde, artık kimsenin kontrol etmediği bir gelen kutusunda gömülü kalıyor
• Şirket kapanıyor ve altyapı orada... öylece duruyor

Bu saçma mı geliyor? Bu senaryo sandığınızdan çok daha yaygın. Düzenli olarak, açıkça bir zamanlar aktif girişimlere ait olan domainler görüyoruz—kırık linkler, terk edilmiş sosyal medya hesapları ve gizemli şekilde yetim kalmış bulut kaynakları ile dolu.

Bulut Güvenliği İçin Bu Ne Anlama Geliyor?

Etkileri önemli ve her iki yönü de kesiyor:

Bir domaini satıyorsanız veya bırakıyorsanız:

• Resmi bir altyapı kullanımdan kaldırma kontrol listesi oluşturmanız gerekiyor
• AWS hesapları terk edilmemeli, düzgünce kapatılmalı
• İlişkili tüm e-posta hesapları düzgün şekilde devre dışı bırakılmalı
• Kritik domainleri varsa halef şirketlere devretmeyi düşünün
• Hangi hizmetlerin kimlik doğrulama için o domaine bağlı olduğunu belgeleyin

Süresi dolmuş domainler satın alıyorsanız:

• Önceki sahiplerden e-posta sızıntısına hazır olun
• Sizin oluşturmadığınız sistemlere asla erişmeyin—bu hem yasa dışı hem de etik dışı
• Yanlışlıkla herhangi bir erişiminiz olursa yetkililere bildirin
• Devralınan e-posta akışlarının bir varlık değil, yükümlülük olabileceğini anlayın

Herkes için:

• Tek kimlik doğrulama çapası olarak e-posta tabanlı kurtarmaya güvenmeyin
• Mümkün olduğunca donanım güvenlik anahtarları kullanın
• Teknik devre dışı bırakmayı içeren düzgün çıkış prosedürleri uygulayın
• İş durumundan bağımsız olarak bakacağınız kritik hizmet kayıtları için özel e-posta adresleri kullanmayı düşünün

Daha Büyük Resim: Dijital Miras

Dijital varlığımızın bir altyapı biçimi haline geldiği bir çağa giriyoruz—somut, değerli ve evet, uygun yönetilmediğinde potansiyel olarak tehlikeli. Bu domain alıcısının hikayesi kasvetli bir mizah anlayışıyla komik, ancak ciddi bir sorunu ortaya koyuyor: domain adlarının anahtar haline geldiği bir ekosistem inşa ettik.

Bir domain sadece bir adres değil. Potansiyel olarak şunların kilidini açabilecek bir anahtar:

• E-posta hesapları
• Bulut altyapısı
• Geliştirici araçları
• Müşteri verileri
• Finansal sistemler
• İletişim platformları

Şirketler başarısız olduğunda, dijital miraslarını nadiren düşünürler. Ama bu miras, domainlerinin bir sonraki sahibini rahatsız edebilir—veya daha kötüsü, hikayemizin Reddit kullanıcısından çok daha az soylu niyetleri olan biri tarafından istismar edilebilir.

Kendinizi Korumak: Pratik Bir Kontrol Listesi

Operasyonları kapatıyor olun veya sadece mevcut altyapınızı koruyor olun, işte düzgün domain ve bulut hijyeni nasıl görünüyor:

Aktif Şirketler İçin:

• Operasyonel e-postalardan ayrı, özel bir domain kayıt şirketi hesabı kullanın
• Aktarım kilitlerini etkinleştirin ama erişilebilir kimlik bilgilerini koruyun
• Hangi hizmetlerin domaininize bağlı olduğunu düzenli olarak denetleyin
• Hassas hizmetler için alt delegasyon kullanın (aws.sirketiniz.com'un herhangi bir yere işaret etmesi gerekmez)
• DNS değişikliklerini belgeleyin ve bölge dosyalarının yedeklerini saklayın

Kapanan Şirketler İçin:

• Altyapıyı içeren resmi bir kapatma kontrol listesi oluşturun
• Kritik domainleri haleflere devredin veya düzgünce kapatın
• AWS Hesap Kapatma sihirbazını kullanın—sadece ödemeyi bırakmayın
• Verileri saklama politikalarınıza göre taşıyın veya imha edin
• Domaini tutuyorsanız WHOIS bilgilerini pasif durumu yansıtacak şekilde güncelleyin

Domain Satın Alanlar İçin:

• Yanlış yönlendirilmiş e-postalar alacağınızı varsayın—etik davranın
• Yeni domaininiz için düzgün bir abuse bildirimi kurun
• Dijital ayak izi devralmanın yükümlülüğünü düşünün
• Hâlâ çalışıyor olabilecek SSL sertifikalarını ve diğer altyapıyı kontrol edin

Son Düşünceler: Güven, Ama Doğrula

AWS hikayesi rahatsız edici, ama temel güvenlik uygulamalarını takip ediyorsanız geceleri uyku tutmamalı. Asıl çıkarılacak ders şu: domaininiz altyapıdır ve altyapı—kullanmayı bıraksanız bile—bakım gerektirir.

İnanılmaz bir şey inşa etmenin heyecanıyla boğuşan bir girişim kurucusu olun ya da fırsatlar peşinde koşan bir domain yatırımcısı olun, 2024'te domainleriniz ile bulut altyapınız arasındaki bağlantıları anlamak vazgeçilmezdir.

İnternet hatırlıyor. Terk edilmiş AWS hesabınız hatırlıyor. Ve bir gün, biri artık var olmayan bir şirketten hoş geldiniz e-postasını okuyor olabilir—başka ne bulabileceğini merak ederek.

Uyanık kalın. Güvende kalın. Ve dijital itibarınız adına: Domainlerinizi plansız bırakmayın.

Hiç yanlışlıkla başkasının dijital altyapısını devraldığınız oldu mu? Ya da belki karşı taraftasınızdır, düzgün bir devir olmadan operasyonları kapattınız? Deneyimlerinizi yorumlarda paylaşın—bu karmaşık sularda nasıl yolculuk ettiğinizi duymak isteriz.