CASB

CASB nedir?

“Cloudflare’s Cloud Access Security Broker (CASB) connects to SaaS application and cloud environment APIs to scan for security issues that can occur after a user has successfully logged in. These include misconfigurations (such as overly permissive sharing settings), unauthorized user activity, shadow IT, and other data security issues.”

Bu sayfadaki diğer Zero Trust ürünlerinden farkı tek cümleyle: CASB trafiğe bakmıyor, hesaba bakıyor. Gateway bir kullanıcının Google Drive’a ne yüklediğini görür; CASB, Drive’da altı ay önce herkese açık bırakılmış bir dosyanın hâlâ orada durduğunu görür. Birincisi hareket hâlindeki veri, ikincisi duran veri ve yanlış yapılandırma.

Yetki modeli

Kurulumda verilen izinler varsayılan olarak salt okunur:

“The CASB integration permissions are read-only and follow the least privileged model. In other words, only the minimum access required to perform a scan is granted.”

Yazma yetkisi ancak otomatik düzeltme istiyorsan devreye giriyor ve sonradan açılamıyor: “Before you can remediate findings, add a new integration and choose Read-Write mode during setup.” Yani okuma modunda kurup sonra fikrini değiştirirsen entegrasyonu baştan kurman gerekiyor.

Nasıl çalışır?

Diğer ürünlerin içindeki yeri

Cloudflare değerlendirme sırasını kendi belgelerinde şöyle veriyor:

“The evaluation order is: 1. Network Firewall (L3/L4) … 2. Gateway (L4-L7 proxy): … policies are evaluated in order: DNS → Network → HTTP. 3. DLP, Browser Isolation, and CASB: These services are triggered through Gateway HTTP policies.”

Bu sıra inline CASB için geçerli. API CASB bu zincirin tamamen dışında: Cloudflare’in kontrol düzlemi doğrudan SaaS API’sine gidiyor, kullanıcının cihazından ya da Gateway’den geçmiyor. Pratik sonucu birebir belgelenmiş:

Entegrasyonlar — 17 sağlayıcı (liste 2026-09-01’de alındı)

Liste büyüyor; her entegrasyon sayfası kendi RSS akışını yayımlıyor: “To stay up-to-date with new CASB findings as they are added, bookmark this page or subscribe to its RSS feed.”

İki tür bulgu

“Posture findings include misconfigurations, unauthorized user activity, and other data security issues.” “Content findings include instances of potential data exposure as identified by DLP.”

Ayrım pratikte şu: posture bulgusu için hiçbir ek ürün gerekmiyor, ücretsiz planda bile çalışıyor. Content bulgusu DLP gerektiriyor ve yalnızca yukarıdaki tablonun ✅ satırlarında mümkün.

Severity — takvimle tanımlı

Gerçek bulgu örnekleri

Her bulgu tipinin kalıcı bir FindingTypeID’si var — otomasyonda bunu kullan, adı değil.

Google Drive paylaşım bulguları:

DLP profili eklenmişse bunların bir de yükseltilmiş sürümü çıkıyor — örneğin “File publicly accessible with edit access with DLP Profile match” (868a21e9-…, Critical): “A Google Drive file contains sensitive data that anyone on the Internet can read or write.”

Google Workspace kullanıcı bulguları: “Admin user with two-factor authentication disabled” (Critical) · “User with two-factor authentication disabled” (High) · “Inactive admin user” (Medium — “has not logged in for 30 days”) · “User without recovery email” (Low).

GitHub bulguları: “Organization two-factor authentication disabled” (47d01030-…, High) · “Organization user two-factor authentication disabled” (dfed92b2-…, High) · “Repository has no Default Branch Protection” (5a0428fa-…, Medium) · “Organization repository has default WRITE permission” (fc074da0-…, Medium) · “Repository not updated in 12+ months” (68b6ef6d-…, Medium).

Tarama sıklığı

Elle yeniden tarama tetikleme, birebir adımlar: Cloud & SaaS findings → Integrations → Configure → Scan for findings’i kapat → birkaç dakika bekle → tekrar aç. “This action will queue a fresh scan of your integration. Allow several hours for your findings to reflect the new results.”

Triyaj ve otomatik düzeltme

İkisinde de tarama durmuyor: “CASB will continue to scan for these findings and report detections.”

Remediation Policies ise ücretli: “Requires a paid Cloudflare CASB plan. Remediation Policies are not available for free CASB integrations.” Politika üç şey tanımlıyor — “the vendor, the finding type match, and the action Cloudflare should take”. Başarısız durumlar: Failed ve Rejected — sonuncusunun anlamı birebir “CASB does not have the correct permissions to remediate the finding.” Her işlem Logs → Admin altına yazılıyor.

Ne zaman kullanılır, ne zaman kullanılmaz

Kullanılır:

• Google Workspace veya Microsoft 365 üzerinde çalışan, dosya paylaşımının kontrolden çıktığından şüphelenen kurumlarda. Tek bir tarama, aylardır herkese açık duran dosyaları çıkarır.
• 2FA uyumluluğunu kanıtlaması gereken yerlerde — “Admin user with two-factor authentication disabled” tek başına birçok denetim maddesini karşılar.
• GitHub org hijyeninde: branch protection’sız repo’lar, org geneli varsayılan WRITE izni.
• SaaS’ta duran veriyi taramak için — ama yalnızca DLP destekleyen 10 entegrasyonda.
• AI kullanımının envanterini çıkarmak için: OpenAI, Anthropic ve Gemini entegrasyonları organizasyon, workspace ve kullanıcı düzeyinde bulgu üretiyor.

Kullanılmaz:

• Gerçek zamanlı engelleme beklendiğinde. CASB olayı olduktan saatler sonra görüyor. Anlık engelleme Gateway’in işi.
• Trafik denetimi yerine. CASB SaaS API’sinden okuyor; kullanıcının tarayıcıda ne yaptığını görmüyor.
• Shadow IT keşfi için tek başına. O ayrı bir pano ve Gateway HTTP filtrelemesi gerektiriyor.
• Slack, Jira, Confluence, Salesforce, ServiceNow ve GitHub’da içerik taraması için. Bu entegrasyonlar yalnızca posture bulgusu üretiyor.
• Görsellerdeki veriyi bulmak için. Birebir: “Images are not supported.” — OCR yalnızca Gateway üzerinden inline DLP’de çalışıyor, CASB’ın duran veri taramasında değil.
• Türkiye’de metadata yerelleştirmesi gereken kurumlarda. Uyumluluk matrisinde CASB’ın CMB satırı ✘.

Somut örnekler

1. “Herkese açık” dosyaların envanteri

Google Drive entegrasyonunu kur, ilk tarama bitsin, sonra Posture Findings → SaaS’ta severity’ye göre sırala. 29b01269-… (public + edit) satırındaki örnek sayısı, kurumun gerçek maruziyet rakamı. Tipik olarak kimsenin tahmin ettiğinden büyük çıkıyor.

2. 2FA uyumluluk raporu

Log Explorer’da:

SELECT FindingTypeName, Severity, count(*) AS adet
FROM casb_findings
WHERE FindingTypeName LIKE '%two-factor%'
GROUP BY FindingTypeName, Severity
ORDER BY adet DESC

CSV dışa aktarımı da var (2024-04-16 changelog: “Export CASB findings to CSV”).

3. Bulguyu ticket’a çevirmek

Webhook hedefi olarak Jira/ServiceNow önündeki bir HTTPS uç noktası tanımla, HMAC-Signing seç. Yalnızca posture bulguları gelir. Gövdeyi doğrulamadan ticket açma — imzayı kontrol et.

4. Haftalık özet

Manage Account → Notifications → CASB Weekly Digest. Birebir: “This opt-in email digest is delivered to your inbox every Monday morning and provides a high-level summary of your organization’s Cloudflare API CASB findings from the previous week.”

5. Severity’yi kurumuna göre yeniden tanımlamak

“Repository not updated in 12+ months” çoğu kurumda gürültü. Onu Low’a çekmek, ama sadece ilgili entegrasyonda: “The new severity level will only apply to the posture finding within this specific integration.”

Demo 1: GitHub entegrasyonu — önce yetki hatasını üret, sonra webhook’u Ubuntu’ya düşür

Adım 1 — Bulguyu kasten üret

Tek kullanımlık bir GitHub org’unda:

• Branch protection olmayan bir public repo aç
• Org varsayılan repo iznini Write yap
• Org geneli 2FA zorunluluğunu kapalı bırak

Bunlar üç belgelenmiş bulguya karşılık geliyor: 5a0428fa-… (Medium), fc074da0-… (Medium), 47d01030-… (High).

GitHub — org Settings ekranı; varsayılan repo izni Write, 2FA zorunluluğu kapalı; yanında branch protection kuralı olmayan repo

Adım 2 — Kasıtlı hata: sıradan üye hesabıyla bağlanmayı dene

Panel: Cloud & SaaS findings → Integrations → Connect an integration → GitHub

Org Owner olmayan bir hesapla onayla. Bağlantı kurulmuyor.

Panel — entegrasyon kurulumunda çıkan hata mesajı, tam metniyle okunacak şekilde

Belgelenmiş sebep, birebir: “Insufficient permissions are the leading cause of setup failures.”

Adım 3 — Düzelt: Owner ile bağlan ve izinleri oku

Aynı akışı org Owner hesabıyla tekrarla. GitHub onay ekranı dört izni listeliyor — hepsi Read-only: Administration, Members, Metadata, Organization administration.

GitHub — Cloudflare uygulamasının izin onay ekranı; dört iznin de Read-only olduğu net görünmeli

Alt yazı olarak birebir: “These permissions follow the principle of least privilege to ensure that only the minimum required access is granted.”

Adım 4 — Bekle, ve süreyi dürüstçe kaydet

Panel — entegrasyon kartı; Scan for findings açık, bulgu sayısı sıfır. Saati de kadraja al, süreyi ölçeceğiz

Burası sayfadaki çelişkiyi gözle doğrulama noktası: doküman “typically between every 1 hour and every 24 hours” diyor, sorun giderme sayfası “approximately every 24-48 hours”. İlk bulgunun ne zaman düştüğünü ölçüm tablosuna yaz.

Adım 5 — Bulgu listesi

Panel: Cloud & SaaS findings → Posture Findings → SaaS

Panel — bulgu listesi; High ve Medium etiketleri, örnek sayıları, entegrasyon adı, durum ve tespit tarihi sütunları görünsün

Panel — tek bir bulgunun başlık alanı, FindingTypeID okunacak şekilde

Adım 6 — Dışarıda düzelt, içeride hiçbir şey değişmesin

GitHub’da org geneli 2FA’yı aç ve branch protection ekle. Cloudflare panelinde saatlerce hiçbir şey değişmiyor.

İki bölmeli görüntü — solda GitHub'da 2FA'nın açık olduğu ayar, sağda Cloudflare'de aynı bulgunun hâlâ Active sekmesinde durması

Bu, dokümanın kendi şikâyet listesindeki 3. madde. Şimdi yeniden taramayı zorla: Configure → Scan for findings kapat → bekle → aç.

Panel — entegrasyon Configure ekranı, Scan for findings anahtarı kapalı konumda

Panel — ertesi gün; 2FA bulgusunun listeden düşmüş hâli. Tarih/saat görünsün

Adım 7 — Kabul ettiğin bulguyu ignore’a al

“Repository not updated in 12+ months” (68b6ef6d-…) satırında üç nokta menüsü → Move to ignore.

Panel — üç nokta menüsü açık hâli ve hemen ardından bulgunun Ignored sekmesinde göründüğü ekran

Adım 8 — Kasıtlı hata: webhook’u localhost’a kur

Panel: Integrations → Webhooks → Create webhook. Hedef olarak http://localhost:9000 gir.

Panel — webhook oluşturma formunda localhost adresi ve altında çıkan ret mesajı

Birebir kural: “Cloudflare only accepts destination URLs that use https:// and are publicly reachable. URLs that resolve to localhost, loopback, private, or other reserved addresses are rejected.”

Adım 9 — Düzelt: Ubuntu’da public HTTPS uç noktası aç

mkdir -p ~/casb-lab && cd ~/casb-lab

# Gelen POST gövdesini terminale yazan minimal alici
python3 -m http.server 9000 &

# Tunnel ile public HTTPS adres uret
cloudflared tunnel --url http://localhost:9000

cloudflared’in verdiği https://…trycloudflare.com adresini webhook hedefi olarak kaydet, kimlik doğrulama olarak Bearer Auth ya da HMAC-Signing seç, sonra Test delivery.

Panel — kaydedilmiş webhook; hedef HTTPS adres ve seçilen kimlik doğrulama yöntemi görünsün

Terminal — python http.server erişim logunda gelen POST satırı, zaman damgasıyla

İki not birebir: “CASB webhooks currently support posture finding instances only.” ve “Test delivery does not send a live finding instance from your environment.”

Ölçüm tablosu

Demo 2: Google Drive’da geriye dönük tarama tuzağını kur ve boz

Adım 1 — Tuzağı kasten kur: DLP profili SEÇMEDEN bağlan

Cloud & SaaS findings → Integrations → Connect an integration → Google Workspace → Drive. Kurulum akışında DLP profili sorulduğunda hiçbirini seçme. Hata bu; kasten yapıyoruz.

Google — Cloudflare uygulamasının izin onay ekranı; yedi scope'un tamamı okunacak şekilde

İstenen izinler birebir yedi tane: admin.directory.domain.readonly, admin.directory.user.readonly, admin.directory.user.security, calendar, cloud-platform.read-only, drive.readonly, gmail.settings.basic.

Adım 2 — Yem dosyayı üret ve herkese aç

Ubuntu’da:

cd ~/casb-lab
printf 'Ad,IBAN,Kart\nDemo Kullanici,TR330006100519786457841326,4111111111111111\n' > gizli.csv

Dosyayı Drive’a yükle ve paylaşımı “Bağlantıya sahip herkes — düzenleyebilir” yap.

Google Drive — paylaşım penceresi, 'Anyone with the link' ve 'Editor' seçili

Adım 3 — Posture bulgusu düşüyor (DLP gerekmeden)

Bir tarama döngüsünden sonra Posture Findings → SaaS:

Panel — 'Google Workspace: File publicly accessible with edit access' satırı, Critical etiketiyle

Açıklaması birebir: “A Google Drive file is publicly accessible on the Internet that anyone can read or write.”

Adım 4 — Kasıtlı hata: DLP profilini SONRADAN ekle

Manage integrations ekranından Financial Information profilini entegrasyona ekle. Bekle.

İki bölmeli görüntü — solda entegrasyona eklenmiş DLP profili, sağda tamamen boş Content Findings sekmesi

Tuzak bu, birebir:

Adım 5 — İki farklı yolla düzelt

(a) Modification event tetikle. Belgelenmiş olaylar: dosyanın içeriği, adı, görünürlüğü (yalnızca herkese açık hâle geldiyse), sahibi, konumu. En kolayı yeniden adlandırmak: gizli.csv → gizli-v2.csv.

Google Drive — dosya adının değiştirildiği an; zaman damgası görünsün

(b) Entegrasyonu silip kurulum sırasında profil seçerek yeniden ekle.

Panel — entegrasyon kurulum sihirbazında DLP profili seçme ekranı, profiller işaretli

Adım 6 — Content finding’i gör

Panel — Content Findings satırı; dosya adı, dosya bağlantısı, eşleşen DLP profili, entegrasyon ve tespit tarihi

Panel — 'File publicly accessible with edit access with DLP Profile match' satırı, Critical etiketiyle

Adım 7 — Neyin BULUNMAYACAĞINI da göster

Aynı kart numarasını iki farklı biçimde yükle:

cd ~/casb-lab

# 1) Gorsel — CASB duran veri taramasinda OCR yok
convert -size 600x120 xc:white -pointsize 32 \
  -annotate +20+70 "4111 1111 1111 1111" kart.png

# 2) 1 KB'nin altinda bir .java dosyasi
printf 'public class K { String pan = "4111111111111111"; }\n' > K.java
ls -l kart.png K.java

İkisi de content finding üretmiyor.

İki bölmeli görüntü — solda Drive'da duran kart.png ve K.java, sağda ikisini de içermeyen Content Findings listesi

Sebepleri birebir: “Images are not supported.” ve “Java and R source code files that are at least 5 KB. Smaller files in these languages are skipped.”

Adım 8 — Düzeltmeyi izle

Read-Write modunda kurulmuş bir entegrasyonda bulgunun Remediation details panelinden durum akışını yakala.

Panel — remediation durum alanı; mümkünse Pending, Processing/Validating ve Completed aşamalarından en az ikisi ayrı karelerde

Panel — Logs > Admin listesi, CASB düzeltme işleminin satırı zaman damgasıyla

İzin sonradan iptal edilmişse Rejected çıkıyor: “CASB does not have the correct permissions to remediate the finding.”

Ölçüm tablosu

Fiyatlandırma

Enterprise gerektiren tek net madde: “You must upgrade to an Enterprise plan to view the details of a finding instance.” Yani ücretsiz planda bulgu tiplerini ve sayılarını görürsün, hangi dosya veya hangi kullanıcı olduğunu göremezsin.

UNVERIFIED — CASB eklenti fiyatı. Hiçbir Cloudflare sayfasında yayımlanmıyor. Contract katmanı yalnızca “Annual custom price per user” olarak veriliyor.

UNVERIFIED — bulgu, webhook veya remediation policy sayısı için belgelenmiş bir üst sınır. Resmî hesap limitleri sayfasında Access, Gateway, DLP, Tunnel, Mesh, DEX, sertifika ve istemci bölümleri var; CASB bölümü yok. Pozitif kontrol: aynı sayfa 5 satırlık bir DLP bölümü döndürüyor — yani sayfa doğru okundu, CASB gerçekten listede değil.

Ücretsiz iki entegrasyonun bir istisnası

Email Security kullanıyorsan changelog’da (2025-04-01) ayrı bir hak tanımlanmış, birebir: “With Email security, you get two free CASB integrations. Use one SaaS integration for Email security to sync with your directory of users… With the other integration, you can have a separate SaaS integration for CASB findings for another SaaS provider.” Entegrasyon tipleri Google Workspace CASB + EMAIL ya da Microsoft CASB + EMAIL olarak geçiyor.

Lisanslama ve hukuki çerçeve

Tescilli bir hizmettir ve Cloudflare Hizmet Şartlarına tabidir.

Veri işleme modeli:

Türkiye

Uyumluluk matrisindeki CASB satırı (matris 23 Temmuz 2026 güncellemeli, 2026-09-01’de alındı):

Regional Services’ın CASB’a uygulanmaması mantıklı: Regional Services “restricts which Cloudflare data centers can decrypt and inspect your HTTPS traffic” — CASB ise kullanıcı trafiğini çözmüyor, SaaS API’sine dışarıdan bağlanıyor. Türkiye bölgesi Regional Services için destekleniyor ama bu CASB’ı kapsamıyor.

KVKK: Cloudflare hiçbir resmî sayfasında KVKK’ya özel bir uyum beyanı, eşleme ya da sertifikasyon yayımlamıyor. Yayımladığı çerçeveler GDPR, LGPD, ISO 27001, SOC 2 ve FedRAMP. CASB söz konusu olduğunda bu ayrıca önemli: ürün, SaaS sağlayıcısındaki kişisel veriyi okuyor ve bulgu metadata’sını Cloudflare tarafında tutuyor. KVKK açısından değerlendirmesini kendi hukuk biriminle yapman ve Cloudflare’e atfetmemen gerekiyor.

Türkçe desteği: cloudflare.com/tr-tr/sase/products/casb/ 200 dönüyor ama sayfanın başlığı ve H1’i İngilizce kalıyor (“CASB | Protect SaaS Apps | Cloudflare”). developers.cloudflare.com altında Türkçe dokümantasyon yok — /tr-tr/ yolu 404 veriyor. Panel arayüzünün desteklediği 10 dil arasında da Türkçe bulunmuyor.

Sık yapılan hatalar

DLP profilini kurulumdan sonra eklemek

Geriye dönük tarama yapılmıyor. Tüm dosyaların taranması için profil kurulum akışında seçilmeli.

Yetkisiz hesapla entegrasyon kurmaya çalışmak

“Insufficient permissions are the leading cause of setup failures.” M365 → Global Administrator, Google → Super Admin, GitHub → Organization Owner.

Eski Cloudflare bağlantısını SaaS tarafında iptal etmemek

Uygulama daha önce başka bir Cloudflare hesabına bağlandıysa, yenisi kurulmadan önce eskisi SaaS yönetim panelinden elle kaldırılmalı.

Düzelttikten hemen sonra panele bakmak

Gerçek zamanlı değil. Elle yeniden tarama tetiklendiğinde bile “Allow several hours.”

Read-only kurup sonra düzeltme beklemek

Read-Write modu sonradan açılamıyor; entegrasyonu yeniden kurmak gerekiyor.

Entegrasyonu geçici olarak silmek

Silme geri alınamaz ve taranan veri kaybolur. Geçici durdurma için Scan for findings anahtarını kullan.

Content finding’lerin webhook’la geleceğini sanmak

“CASB webhooks currently support posture finding instances only.”

Webhook hedefini iç ağa vermek

localhost, loopback, private ve rezerve adresler reddediliyor. Public HTTPS şart.

Görsellerdeki veriyi CASB’ın bulacağını sanmak

“Images are not supported.” OCR yalnızca Gateway üzerinden inline DLP’de çalışıyor.

Küçük kaynak kodu dosyalarını hesaba katmamak

Java ve R dosyaları 5 KB altındaysa atlanıyor.

Shadow IT panosunu CASB sanmak

Kaynağı Gateway HTTP trafiği ve ön koşulu HTTP filtrelemesi. CASB entegrasyonu kurmak o panoyu doldurmuyor.

Bulgu tipini adıyla otomasyona bağlamak

Adlar değişebiliyor; kalıcı olan FindingTypeID.

Severity değişikliğinin her yere yayılacağını sanmak

“The new severity level will only apply to the posture finding within this specific integration.”