Kurumsal BT altyapısı zamanla yaşayan bir organizma gibi büyür. Yeni projeler gelir, sunucular kurulur, servisler devreye alınır, danışmanlar entegrasyon yapar, PoC’ler test edilir… Ancak çoğu kurumda bu büyüme kontrolsüz olur ve bir noktadan sonra kimse tarafından sahiplenilmeyen sistemler ortaya çıkar. İşte bunlara BT literatüründe genelde “Gölge Sistemler (Shadow IT / Orphan Systems)” denir.

Bu yazıda Shadow IT’nin klasik tanımından biraz daha ileri gidip, özellikle altyapı tarafında karşımıza çıkan “yetim sunucular, unutulmuş servisler, sahibi belirsiz uygulamalar ve riskleri” ele alıyoruz.

🕶️ “Gölge Sistem” Tam Olarak Ne Demek?

Shadow IT çoğu zaman kullanıcıların IT’den habersiz aldığı SaaS servisleri için kullanılır.
Ama altyapıda gölge sistem dediğimizde tablo bambaşka:

• Test için kurulmuş ama kapatılmamış VM’ler
• Proje sonrası devreden çıkarılmamış fiziksel sunucular
• Artık kullanılmayan ama çalışan servis hesaplarıyla ayakta duran uygulamalar
• Zamanında dış ekiplerin kurduğu ama devredilmemiş sistemler
• IP’si sabit, portu açık, FW’de kuralı duran ama kimse bilmeyen servisler
• Backup’a dahil edilmemiş, monitoring’de görünmeyen, CMDB’de olmayan cihazlar

📌 Ortak özellikleri:
Çalışıyorlar ama kimse “benim sistemim” demiyor.

🧨 Bu Sistemler Neden Riskli?

Gölge sistemler genelde şu 3 güvenlik katmanından yoksun olur:

Bu eksiklikler sonucu ortaya çıkan tehditler:

• Ransomware bulaşsa kimse fark etmez
• Sunucu saldırıya uğrasa log’u yoksa delili de yok
• Dışa açık portlardan brute-force yese kimse alarm almaz
• Proje danışmanı domain admin’iyle servis kurduysa, o yetki hâlâ sistemde yaşıyor olabilir
• Lisansı olmayan ya da trial süresi dolmuş yazılımlar çalışıyor olabilir → uyumluluk riski
• Yedeklenmeyen sistem çökerse → geri dönüş yok

🧩 Bu Sistemler Nasıl Ortaya Çıkıyor?

Kök nedenler genelde teknik değil, yönetseldir:

• “Bu test ortamı, sonra kapatırız”
• “Proje bitti ama sunucu kalsın, belki lazım olur”
• “Uygulamayı vendor kurdu, biz karışmadık”
• “Eski ekip biliyordu, yeni ekip bilmiyor”
• “CMDB güncellenmedi”
• “Monitoring ajanı yüklenmedi çünkü performansı etkiler diye düşünüldü”
• “Servis hesabı password’ü bir yerde, ama nerede?”

📌 Özet:
Dokümante edilmeyen her sistem, bir gün gölge sisteme dönüşür.

🕵️ Gölge Sistemlerin Tespiti İçin Pratik Yaklaşımlar

Aşağıdaki yöntemler seni direkt sonuca götürür:

1. Ağ Tarama ve Envanter Keşfi

• Network’te IP bloğunu tara
• Hangi cihaz ne cevap veriyor bak
• DNS’de kaydı var mı?
• DHCP’de statik mi bırakılmış?

2. Monitoring Konsolunda Olmayan Sistemleri Sorgula

• CMDB’de var ama monitoring’de yoksa → şüpheli
• Monitoring’de var ama CMDB’de yoksa → daha da şüpheli

3. Firewall Kurallarını İncele

• “Any → bu sunucu, şu port”
• “İzin verilmiş ama ticket’ı yok”
• “İş birimi sahibi bilinmiyor”

4. Domain’de Yetkili Hesaplarla Koşan Servisleri Kontrol Et

• Servis domain admin’iyle mi çalışıyor?
• Hesap hâlâ aktif mi?
• Şifre rotation’a dahil mi?

5. Backup Listesinde Olmayan Sunucuları Tespit Et

• Kritik mi?
• Yedek yoksa → kritikse daha kritik

🛠️ Temizleme ve Sahiplendirme Süreci (Örnek)

Gölge sistem bulduğunda şu 2 yoldan birini izle:

A) Sistem hâlâ lazımsa

• Sahip ata (iş birimi / uygulama sahibi)
• Monitoring’e dahil et
• Patch & hardening planına al
• Servis hesabını least privilege’e çek
• Backup’a ekle
• CMDB’ye yaz

B) Artık lazım değilse

• Kapat
• FW kuralını sil
• DNS kaydını kaldır
• Servis hesabını disable et
• Dokümante et: “Kapatıldı, çünkü sahibi yoktu.”

“BT’de en büyük açıklar genelde en kritik sistemlerde değil, kimsenin bilmediği sistemlerde olur.”

Yasin Yiğit

Merhaba. Bu platform, benim dijital not defterim ve kişisel bilgi arşivimdir