Evden ve uzaktan güvenli çalışma için SSL-VPN kurulumu: İki faktörlü doğrulama (MFA/2FA), uçtan uca şifreleme ve şirket ağına güvenli erişim rehberi. İnceleyin.
Hızlı Özet (TL;DR)
Pandemi sonrasında kalıcı hale gelen uzaktan ve hibrit çalışma modeli, saha satış ekiplerinin, mali müşavirlerin ve yöneticilerin şirket ağlarına dış dünyadan erişmesini zorunlu kılmıştır. Ancak birçok işletmenin yaptığı en ölümcül hata, çalışanların ofisteki bilgisayarlarına veya ERP sunucusuna erişebilmesi için Uzak Masaüstü (RDP - TCP/UDP Port 3389) portunu modem/firewall üzerinden doğrudan internete açmaktır. İnternete açık RDP portları, otomatik fidye yazılımı botlarının bir numaralı hedefidir. Kurumsal standart, şirkete uzaktan erişimin yalnızca SSL-VPN ve Çok Faktörlü Kimlik Doğrulama (MFA / 2FA) üzerinden yapılmasıdır.
Neden Doğrudan RDP Portu Açmak “Siber İntihar” Anlamına Gelir?
Türkiye’deki KOBİ ve sanayi kuruluşlarında yaşanan fidye yazılımı (ransomware) felaketlerinin %75’inden fazlası tek bir teknik hatadan kaynaklanmaktadır: “Muhasebeci hafta sonu evden bağlansın” veya “ERP destek firması uzaktan sunucuya baksın” diye modemden Port Yönlendirme (Port Forwarding) yapılarak 3389 (veya 3390, 53389 gibi değiştirilmiş) RDP portunun dış dünyaya açılması.
Birçok sistem yöneticisi RDP portunu 3389 yerine 44550 gibi farklı bir numaraya taşıdığında (Security by Obscurity) güvende olduğunu sanır. Oysa Shodan, Censys ve siber suç şebekelerinin otonom tarama botları, dünyadaki tüm sabit IP adreslerinin 1’den 65535’e kadar olan tüm portlarını her birkaç dakikada bir taramaktadır. Port numaranız ne olursa olsun, arkasında Windows Uzak Masaüstü servisinin çalıştığı protokol imzasından (Banner Grabbing) saniyeler içinde tespit edilir.
Port tespit edildikten hemen sonra iki yıkıcı saldırı başlar:
- Kaba Kuvvet ve Parola Püskürtme (Brute-Force / Credential Stuffing): Botnet ağları saniyede yüzlerce farklı IP adresinden
Administrator,Admin,Muhasebe,Destekkullanıcı adlarıyla milyonlarca şifre dener. - Kimlik Doğrulama Öncesi RDP Zafiyetleri (BlueKeep vb.): Parolanız 20 karakterli çok güçlü bir şifre olsa dahi, doğrudan internete açık bir RDP servisinde bulunan işletim sistemi açığı, saldırganın hiç şifre girmeden doğrudan
SYSTEMyetkisiyle sunucuyu ele geçirmesine olanak tanır.
Doğrudan RDP Açmak vs SSL-VPN + MFA Kullanmak
Geleneksel port açma yöntemi ile kurumsal SSL-VPN mimarisi arasındaki güvenlik ve denetim farkları aşağıdaki tabloda karşılaştırılmıştır:
| Karşılaştırma Kriteri | Doğrudan RDP Portu Açmak (Port Forwarding) | Güvenlik Duvarı Üzerinden SSL-VPN + MFA |
|---|---|---|
| Siber Güvenlik Riski | Kritik Düzeyde Tehlikeli (Fidye yazılımı garantisi) | Son Derece Güvenli (Sıfır Güven / Zero Trust uyumlu) |
| Kimlik Doğrulama Katmanı | Yalnızca tek bir Windows parolası (Sızdırılabilir/Kırılabilir) | Kullanıcı Adı + Parola + Dijital Sertifika + Telefona Gelen OTP Kodu (MFA) |
| İletişim Şifreleme Standardı | Standart RDP oturumu (MITM saldırılarına açık olabilir) | TLS 1.3 ve AES-256-GCM askeri düzeyde uçtan uca kriptolu tünel |
| Dış Ağ Görünürlüğü (Shodan) | Saldırganlar sunucunuzu ve işletim sisteminizi dışarıdan görür | Şirket sunucuları dış dünyadan %100 görünmezdir; sadece VPN kapısı yanıt verir |
| Yetki ve Ağ Sınırlandırması | Sunucuya giren kişi aynı yerel ağdaki (LAN) tüm cihazlara sıçrayabilir | Kullanıcı yalnızca kendisine izin verilen tek bir IP ve porta erişebilir |
Berqnet SSL-VPN ve MFA ile Sıfır Güven (Zero Trust) Erişim Mimarisi
Kurumsal bir Berqnet güvenlik duvarı veya UTM cihazı devreye alındığında, dış dünyaya açık tüm RDP, SMB (445) ve SQL (1433) portları derhal kapatılır. Uzaktan çalışacak personel veya teknik destek verecek dış danışman için şu 4 katmanlı güvenlik mimarisi uygulanır:
1. En Az Ayrıcalık Prensibi (Least Privilege) ve Mikro-Yetkilendirme
Klasik VPN kurulumlarında yapılan bir diğer hata, VPN ile bağlanan kullanıcıya tüm iç ağın (örneğin 192.168.1.0/24) tamamını açmaktır. Eğer uzaktan bağlanan personelin evdeki bilgisayarına bir zararlı yazılım bulaşmışsa, bu zararlı açık VPN tünelinden geçerek fabrikadaki tüm sunuculara yayılır.
Doğru mühendislik kurgusunda Rol Bazlı Erişim Kontrolü (RBAC) uygulanır:
- Muhasebe Personeli: VPN tünelini açtığında yalnızca ERP uygulama sunucusunun IP adresine (
192.168.10.15) ve sadeceTCP 3389portuna erişebilir; dosya sunucusunu, kameraları veya Ar-Ge ağını kesinlikle göremez. - Dış ERP / Yazılım Danışmanı: Yalnızca bakım yapılacağı saatlerde aktif olan, kendi adına tanımlanmış geçici bir VPN profiliyle ve sadece test/uygulama sunucusuyla sınırlandırılmış şekilde bağlanır.
2. Çok Faktörlü Kimlik Doğrulama (MFA / 2FA) Zorunluluğu
Kullanıcıların şifrelerini kolay tahmin edilebilir seçmesi veya oltalama (Phishing) saldırısıyla şifrelerini çaldırması ihtimaline karşı MFA (Multi-Factor Authentication) en güçlü sigortadır. Kullanıcı bilgisayarındaki SSL-VPN istemcisinde kullanıcı adını ve şifresini doğru girse dahi, cep telefonundaki Authenticator (TOTP) uygulamasında üretilen veya SMS / E-Posta ile gelen 6 haneli tek kullanımlık onay kodunu (OTP) 60 saniye içinde girmeden güvenlik duvarı VPN tünelini açmaz.
3. Bölünmüş Tünel (Split-Tunneling) vs Tam Tünel (Full-Tunneling) Seçimi
- Split-Tunneling (Bölünmüş Tünel): Uzaktan çalışan personelin yalnızca şirket sunucularına (
192.168.x.x) giden trafiği VPN tünelinden geçer; kendi yaptığı standart internet gezintisi veya online toplantı trafiği evindeki internetinden çıkar. Bu yöntem şirket merkezindeki internet bant genişliğini yormaz. - Full-Tunneling (Tam Tünel): Özellikle savunma sanayii ve imalat siber güvenlik projelerinde kullanılan şirket dizüstü bilgisayarlarında tüm trafik VPN üzerinden merkez güvenlik duvarına taşınır. Böylece personel evinde veya otelde çalışırken bile merkezdeki IPS, Web Filtreleme, Antivirüs ve KVKK / 5651 yasal loglama kurallarıyla %100 korunmaya devam eder.
4. Coğrafi IP Kısıtlaması (Geo-IP Blocking) ve Kaba Kuvvet Koruması
Şirketinizin çalışanları yalnızca Türkiye sınırları içinden bağlanıyorsa, güvenlik duvarı üzerindeki Geo-IP filtresi ile yurt dışındaki tüm ülkelerden SSL-VPN portuna gelen bağlantı istekleri otomatik olarak reddedilir. Yurt dışı seyahatine çıkan yöneticiler için yalnızca gidilen ülkeye ve tarih aralığına özel kural tanımlanır. Ayrıca ardışık 3 veya 5 kez hatalı şifre deneyen IP adresleri IPS / Brute-Force Koruması tarafından otomatik olarak kara listeye (Blacklist) alınır.
Merkez-Şube Bağlantılarında Site-to-Site IPsec VPN
Tekil çalışanların dizüstü bilgisayar veya mobil cihazlardan bağlanması için Client-to-Site SSL-VPN kullanılırken; bir şirketin merkez fabrikası ile organize sanayi bölgesindeki ikinci tesisi, deposu veya İstanbul’daki satış ofisi arasındaki kalıcı bağlantı için Site-to-Site IPsec VPN tercih edilir. İki lokasyondaki güvenlik duvarları kendi aralarında kesintisiz, donanım hızlandırmalı (AES-NI) şifreli bir köprü kurar ve şubedeki bilgisayarlar hiçbir ek program kurmaya gerek kalmadan merkezdeki ERP ve ortak dosya sunucusuna sanki aynı binadaymış gibi güvenle erişir.
Şirketiniz için güvenli uzaktan çalışma, MFA entegrasyonu ve SSL-VPN altyapısı kurmak için Güvenlik Duvarı Çözümleri sayfamızı ziyaret edin, mevcut uzak erişim güvenliğinizi denetlemek için Sızma Testi (Pentest) hizmetlerimizden yararlanın.
Sıkça Sorulan Sorular
Çalışanlarımız evdeki kendi kişisel bilgisayarlarından (BYOD) şirket ağına SSL-VPN ile bağlanabilir mi?
Teknik olarak bağlanabilirler ancak siber güvenlik açısından Kişisel Cihazlardan (BYOD) doğrudan dosya paylaşımına veya iç ağa erişim büyük bir risktir. Çalışanın ev bilgisayarında çocuğunun indirdiği bir oyun hilesi veya bilgi çalan zararlı yazılım (Infostealer) bulunabilir. Eğer kişisel bilgisayardan bağlantı zorunluysa; bu kullanıcılara SMB (Dosya Paylaşımı) kesinlikle kapatılmalı, yalnızca izole bir Terminal Sunucu (RDS / VDI) ekranına bağlanmalarına izin verilmeli ve kopyala-yapıştır ile yerel disk yönlendirmesi (Drive Redirection) devre dışı bırakılmalıdır.
SSL-VPN için her kullanıcıya ayrı SMS paketi satın almak zorunda mıyız?
Hayır. Güvenlik duvarları üzerindeki MFA (İki Faktörlü Doğrulama) özelliği hem kurumsal SMS servisleriyle hem de tamamen ücretsiz olan TOTP (Time-based One-Time Password - Google Authenticator, Microsoft Authenticator) mobil uygulamalarıyla ve e-posta OTP ile çalışabilmektedir. Üstelik TOTP (Authenticator uygulaması) yöntemi, SIM kart kopyalama (SIM Swapping) riskine karşı SMS’ten daha yüksek güvenlik sağlar ve sıfır SMS maliyetiyle sınırsız doğrulama imkanı sunar.
Uzak masaüstü için AnyDesk veya TeamViewer kullanmak SSL-VPN yerine geçer mi?
Hayır. Üçüncü parti uzak masaüstü yazılımlarını sunucularda sürekli açık ve sabit şifreyle (Unattended Access) bırakmak, kurumsal denetimlerde (ISO 27001, TGB, Siber Sigorta) ciddi bir güvenlik zafiyeti olarak kabul edilir. Bu yazılımların bulut hesapları çalındığında veya uygulama zafiyeti çıktığında güvenlik duvarınızın hiçbir kontrolü kalmaz. Kurumsal erişim her zaman şirketin kendi kontrolündeki güvenlik duvarı üzerinden, loglanan ve MFA ile doğrulanan SSL-VPN tüneliyle yapılmalıdır.