Dış makine üreticilerine güvenli uzaktan bakım tüneli: AnyDesk riskleri, MFA destekli Berqnet SSL-VPN ve zaman kısıtlı tünelleme mimarisini hemen öğrenin.
Hızlı Özet (TL;DR)
Fabrikalardaki CNC işleme merkezleri, servo presler, plastik enjeksiyon makineleri veya fiber lazer kesim tezgahları arızalandığında; Almanya, İtalya, Japonya veya Uzak Doğu’daki makine üreticisinin (OEM) servis mühendisleri uzaktan bağlanarak PLC diyagnostiği ve parametre güncellemesi yapmak ister. Saha bakım teknisyenlerinin üretimi bir an önce başlatmak amacıyla operatör paneline veya bakım dizüstü bilgisayarına kontrolsüzce AnyDesk, TeamViewer veya RustDesk kurması, izole olması gereken fabrika OT (Operasyonel Teknoloji) ağını doğrudan dış dünyaya ve fidye yazılımı (ransomware) çetelerine açar. Kurumsal ve güvenli uzaktan servis mimarisi; Berqnet NGFW (Yeni Nesil Güvenlik Duvarı) üzerinden çok faktörlü kimlik doğrulamalı (MFA) SSL-VPN açmayı, erişimi yalnızca arızalı makinenin IP adresi ve endüstriyel portuyla (Modbus, Profinet, OPC-UA) sınırlandırmayı ve bakım tamamlandığında oturumu otomatik olarak sonlandırmayı zorunlu kılar.
Saha Gerçekleri: Kontrolsüz Uzak Masaüstü Yazılımlarının OT Ağına Etkisi
Modern imalat tesislerinde bir CNC tezgahının veya robotik kaynak hattının saatlik duruş maliyeti binlerce Euro’yu bulabilir. Gece vardiyasında meydana gelen bir servo sürücü hatasında veya eksen kalibrasyon kaymasında, vardiya amiri ve bakım şefi üzerinde muazzam bir psikolojik baskı oluşur. Yurt dışındaki üretici firmanın destek mühendisi “Bana hızlıca AnyDesk ID’si verin, bağlanıp PLC’deki alarm bitini sıfırlayayım” dediğinde, geleneksel fabrikalarda güvenlik prosedürleri bir kenara bırakılır ve cep telefonunun kişisel erişim noktası (Hotspot) ya da ofis internet hattı doğrudan tezgahın endüstriyel bilgisayarına (IPC) bağlanır.
Bu geçici görünen hamle, endüstriyel siber güvenlik mimarisinde “Truva Atı” etkisi yaratır. Çünkü endüstriyel PC’ler ve HMI paneller genellikle Windows Embedded, Windows 7 veya güncellenmemiş eski Linux çekirdekleri üzerinde çalışır. Üretici garantisi bozulmasın diye bu cihazlara güvenlik yaması (patch) uygulanmaz ve gecikme (latency) yaratmaması için standart antivirüs yazılımları kurulmaz. Üzerinde 7/24 açık unutulan bir uzak masaüstü uygulaması ve sabit bir “katılımsız erişim parolası” (Unattended Access Password), sızma girişimleri için açık bir davetiyedir.
Yanlış Konfigürasyonun Zincirleme Felaket Senaryosu
Dış servis teknisyeninin kendi dizüstü bilgisayarının daha önce başka bir fabrikada zararlı yazılımla enfekte olduğunu veya kullandığı ortak parolanın karanlık ağ (Dark Web) forumlarında sızdırıldığını düşünelim. Saldırganlar bu kimlik bilgileriyle tezgahın IPC’sine bağlandığında yalnızca o makineyi ele geçirmekle kalmaz; eğer fabrika içinde VLAN izolasyonu yoksa, aynı düz ağ (Flat Network) üzerindeki diğer tüm PLC’lere, SCADA sunucularına ve Üretim Takip Yazılımı veritabanlarına yatay geçiş (Lateral Movement) yapabilirler.
Endüstriyel Protokollerin Şifresiz Doğası
Ofis ağlarında kullanılan HTTPS veya SSH protokollerinin aksine, sahadaki makinelerin konuştuğu Modbus TCP (Port 502), Siemens S7Comm (Port 102), EtherNet/IP (Port 44818) ve Mitsubishi MELSEC protokolleri çoğunlukla kimlik doğrulaması ve kriptolama içermez. Ağa bir kez sızan yetkisiz bir istemci, PLC’ye doğrudan “Stop” komutu gönderebilir, takım ofset değerlerini milimetrik olarak değiştirerek iş milinin (spindle) tablaya çarpmasına yol açabilir veya fırın sıcaklık limitlerini manipüle ederek fiziksel iş güvenliği kazalarına sebebiyet verebilir.
Kontrolsüz Uzaktan Erişim (AnyDesk) ve Kurumsal SSL-VPN Karşılaştırması
İmalat tesislerinde kullanılan iki farklı uzaktan bakım yaklaşımının siber güvenlik, yasal uyumluluk ve operasyonel kontrol açısından karşılaştırması aşağıdadır:
| Kriter | Kontrolsüz Masaüstü Yazılımı (AnyDesk / TeamViewer) | Kurumsal Berqnet SSL-VPN ve İzole OT Mimarisi |
|---|---|---|
| Erişim Kapsamı | Bağlanılan bilgisayara ve o bilgisayarın erişebildiği tüm yerel ağa tam erişim | Yalnızca arızalı tek bir makinenin IP adresi ve izin verilen endüstriyel portu |
| Kimlik Doğrulama | Tek bir sabit ID ve statik parola (Paylaşılabilir, çalınabilir) | Kullanıcı adı/şifre + SMS / TOTP Authenticator ile İki Faktörlü Doğrulama (MFA) |
| Zaman Yönetimi | Servis bittikten sonra arka planda 7/24 açık kalır ve unutulur | İş emri süresince (Örn: 120 dakika) aktif kalır, süre bitiminde otomatik kapanır |
| Kayıt ve Loglama | Kimin, ne zaman bağlandığı ve hangi dosyayı değiştirdiği BT tarafından bilinemez | 5651 sayılı kanuna uyumlu, TÜBİTAK zaman damgalı oturum ve paket logları |
| Dosya Transferi | Dışarıdan kontrolsüz .exe yükleme veya içeriden CAD/CAM kodu indirme serbesttir | Güvenlik duvarı ve IPS/DLP kurallarıyla izinsiz dosya transferi engellenir |
| Ağ Görünürlüğü | Şifreli P2P tünel kullandığı için standart güvenlik duvarlarını atlatır (Bypass) | Merkezi güvenlik duvarı üzerinden geçer; tüm paketler DPI ile denetlenir |
Adım Adım Güvenli Uzaktan Servis Prosedürü
Savunma sanayii, otomotiv yan sanayii ve kurumsal makine imalatçılarında dış tedarikçi erişimleri “Sıfır Güven” (Zero Trust Network Access - ZTNA) prensibiyle yürütülür. İdeal bir uzaktan müdahale senaryosu şu 5 mühendislik adımından oluşur:
1. Bakım Talebi ve Bilet (Ticket) Onay Mekanizması
Arıza meydana geldiğinde bakım mühendisi, makine üreticisinin hangi gün ve saat aralığında bağlanacağını belirten bir iç talep açar. Fabrika Bilgi Teknolojileri (BT) veya Siber Güvenlik sorumlusu, bağlantı yapılacak tezgahın IP adresini, kullanılacak yazılım portunu ve dış teknisyenin kurumsal iletişim bilgilerini doğrular.
2. Dinamik ve Süreli VPN Kullanıcısı Tanımlama
BT yöneticisi, Güvenlik Duvarı Firewall yönetim arayüzünde sadece o servis mühendisine özel, geçici bir SSL-VPN profili oluşturur. Hesabın geçerlilik süresi (Expiration Date) sistem üzerinden örneğin “Bugün saat 14:00 ile 16:00 arası” olacak şekilde sınırlandırılır.
3. Çok Faktörlü Kimlik Doğrulama (MFA) Zorunluluğu
Yurt dışındaki servis mühendisi kendi bilgisayarından VPN istemcisini başlattığında yalnızca kullanıcı adı ve şifre girmesi yeterli olmaz. Mühendisin cep telefonuna gelen SMS doğrulama kodunu veya Google/Microsoft Authenticator üzerindeki 6 haneli tek kullanımlık şifreyi (OTP) girmesi zorunludur. Böylece şifre sızdırılsa dahi tünel açılamaz.
4. Mikro-Segmentasyon ve Port Kısıtlaması (En Az Yetki İlkesi)
Güvenlik duvarı üzerinde yazılan erişim kuralı (Firewall Rule) son derece spesifiktir:
Kaynak: vpn_servis_italya -> Hedef: 192.168.30.15 (Lazer Kesim PLC) -> Servis: TCP 102 / 502 -> Aksiyon: İzin Ver -> Süre: 120 Dakika.
Bu kural sayesinde dış mühendis, aynı VLAN içindeki 192.168.30.16 IP’li yan tezgaha, fabrika dosya sunucusuna veya ERP veritabanına kesinlikle erişemez; ping dahi atamaz.
5. Otomatik Oturum Sonlandırma ve Hesap Askıya Alma
Tanımlanan 120 dakikalık bakım penceresi dolduğunda güvenlik duvarı aktif SSL-VPN tünelini otomatik olarak düşürür ve kullanıcı hesabını pasif (Disabled) konuma çeker. Arka planda açık unutulan bir kapı kalma ihtimali matematiksel olarak sıfırlanır.
Endüstriyel Sıçrama Sunucusu (Jump Host) ve PAM Mimarisi
Doğrudan PLC seviyesinde VPN bağlantısı kurmanın uygun olmadığı çok daha sıkı güvenlik gerektiren tesislerde (örneğin Savunma Sanayii İmalat Ağ ve Siber Güvenlik projelerinde), DMZ (Arındırılmış Bölge) içinde konumlandırılmış bir Sıçrama Sunucusu (Jump Host / Bastion Host) kullanılır.
Dış servis mühendisi kendi bilgisayarındaki TIA Portal, Studio 5000 veya Fanuc Ladder yazılımıyla doğrudan tezgaha bağlanmaz. Bunun yerine SSL-VPN veya HTML5 tabanlı bir Ayrıcalıklı Erişim Yönetimi (PAM - Privileged Access Management) portalı üzerinden DMZ’deki izole Jump Host sunucusuna RDP/SSH ile bağlanır. Mühendislik yazılımları bu izole sunucu üzerinde kuruludur ve sunucu yalnızca izin verilen tezgahla konuşabilir.
Uzaktan Oturumları Video Olarak Kaydetme ve Denetim İzi
PAM mimarisinin en büyük avantajı, dış teknisyenin ekranda yaptığı her fare hareketini, tıkladığı her menüyü ve klavyeden girdiği her komutu saniye saniye video kaydı (Session Recording) ve metin logu olarak arşivlemesidir. Ayrıca canlı oturum sırasında fabrikanın kendi bakım mühendisi de ekranı eşzamanlı izleyebilir; şüpheli bir parametre değişikliği veya yetkisiz bir G-kodu kopyalama girişimi gördüğü anda “Kill Session” butonuyla bağlantıyı milisaniyeler içinde kesebilir. Olası bir üretim hatasında veya siber sabotaj şüphesinde bu video kayıtları adli bilişim (Forensics) açısından kesin delil niteliği taşır.
Yasal Mevzuat, ISO 27001 ve TISAX Denetim Uyumluluğu
Otomotiv ana sanayisine çalışan tedarikçilerin tabi olduğu TISAX denetimlerinde ve genel ISO/IEC 27001:2022 bilgi güvenliği standartlarında, üçüncü taraf tedarikçi erişimleri en kritik denetim maddelerinden biridir. Denetçiler, dışarıdan bağlanan bakım firmalarının hangi prosedürle yetkilendirildiğini, bağlantı loglarının değiştirilemez biçimde saklanıp saklanmadığını ve erişim matrisinin güncel olup olmadığını sahada bizzat kontrol eder.
Fabrikanızda dış servis bağlantılarını uluslararası standartlarda güvenli hale getirmek için Güvenlik Duvarı Firewall, yasal delil bütünlüğünü sağlamak için KVKK 5651 Yasal Loglama ve sahadaki makinelerinizin güvenli veri entegrasyonu için Özel Yazılım Geliştirme sayfalarımızı inceleyebilirsiniz.
Sıkça Sorulan Sorular
Makine üreticisi sadece TeamViewer veya AnyDesk ile bağlanabileceğini söylüyorsa ne yapmalıyız?
Küresel makine üreticilerinin büyük çoğunluğu, müşterinin kurumsal siber güvenlik politikası gereği SSL-VPN veya Jump Host kullanımını kabul etmek zorundadır. Eğer üretici yalnızca kendi uzak masaüstü aracıyla bağlanmakta ısrar ediyorsa, bağlantı kesinlikle doğrudan tezgahın üzerindeki bilgisayardan açılmamalıdır. Bunun yerine DMZ bölgesinde izole bir sanal makine (Jump Host) kurulmalı, dış teknisyen bu sanal makineye yalnız bakım süresince bağlanmalı ve sanal makineden tezgaha sadece ilgili mühendislik portları üzerinden geçiş verilmelidir.
Endüstriyel güvenlik duvarı ve VPN tüneli PLC haberleşmesinde gecikme (latency) yaratır mı?
Donanımsal hızlandırmaya sahip kurumsal güvenlik duvarlarında SSL-VPN şifreleme ve paket filtreleme işlemleri milisaniyenin altında (genellikle 1–3 ms) gerçekleşir. Uzaktan servis bağlantıları gerçek zamanlı kapalı çevrim servo kontrolü için değil, program yükleme ve diyagnostik izleme için kullanıldığından, bu süre hiçbir iletişim kopukluğuna veya zaman aşımı (timeout) hatasına yol açmaz.
Gece vardiyasında BT yöneticisi yokken acil servis bağlantısı nasıl açılır?
7/24 çalışan fabrikalarda vardiya amirine veya bakım şefine güvenlik duvarının tam yönetim yetkisi verilmez. Bunun yerine yetkilendirilmiş bakım sorumlusuna sadece “Servis VPN Kuralını 2 Saatliğine Aktif Et” butonu içeren kısıtlı bir self-servis ekranı veya SMS onaylı otomatik iş akışı tanımlanır. Böylece gece yarısı BT uzmanını uyandırmaya gerek kalmadan, tamamen kayıtlı ve güvenli biçimde dış servis tüneli açılabilir.