Savunma sanayii mühendisleri ve yöneticileri için dışarıya açık RDP portu bırakmadan, 2FA/MFA doğrulamalı ve 0 TL lisanslı Berqnet SSL-VPN uzaktan erişim.
Hızlı Özet (TL;DR)
Savunma sanayii projelerinde çalışan Ar-Ge mühendislerinin, kalite yöneticilerinin ve şirket sahiplerinin mesai dışında, seyahatte veya müşteri sahasındayken fabrikadaki ERP, PDM ve üretim raporlarına erişmesi gerekir. Ancak bu ihtiyacı karşılamak için modemden/güvenlik duvarından Uzak Masaüstü (RDP - Port 3389) veya SMB/SQL portlarını dış internete açmak, siber intihardır. Shodan ve otomatik botnet tarayıcıları, internete açılan bir RDP portunu ortalama 4 dakika içinde tespit eder ve kaba kuvvet (Brute-Force) saldırısına başlar. Çözüm; dışarıya açık tüm portları kapatmak ve TLS 1.3 şifreli, İki Aşamalı Doğrulamalı (2FA/MFA) ve Rol Bazlı Berqnet SSL-VPN mimarisine geçmektir.
Neden Sadece Kullanıcı Adı ve Şifreli VPN Artık Yeterli Değil?
Geçmişte standart bir VPN bağlantısında sadece kullanıcı adı ve şifre girmek güvenli kabul edilirdi. Ancak günümüzde çalışanların ev bilgisayarlarına bulaşan Stealer (Bilgi Çalıcı) zararlıları, tarayıcıda ve VPN istemcisinde kayıtlı parolaları çalarak Dark Web üzerinde satmaktadır.
Saldırgan bir mühendisin VPN kullanıcı adını ve şifresini ele geçirdiğinde, eğer sistemde Çok Faktörlü Kimlik Doğrulama (MFA / 2FA) yoksa gece yarısı elini kolunu sallayarak fabrika ağına bağlanabilir. Bu nedenle hem SSB EYDEP hem de ISO 27001:2022 (Madde 8.5 Güvenli Kimlik Doğrulama) standartları, uzaktan erişimlerde MFA kullanımını zorunlu kılmıştır.
Berqnet SSL-VPN ile 4 Katmanlı Güvenli Uzaktan Çalışma Mimarisi
Maysa Yazılım’ın Savunma Sanayii İmalat Ağ Güvenliği projelerinde yapılandırdığı uzaktan erişim mimarisi şu 4 güvenlik adımını işletir:
1. Tüm Dış Port Yönlendirmelerinin (Port Forwarding / NAT) İptali
Güvenlik duvarı üzerinde dış dünyadan iç sunuculara yönlendirilmiş olan 3389 (RDP), 1433 (MS SQL), 5432 (PostgreSQL), 445 (SMB), 21 (FTP) ve 22 (SSH) portlarının tamamı kapatılır. Dışarıdan fabrikanızın IP adresini tarayan bir saldırgan hiçbir açık servis göremez.
2. Active Directory Entegrasyonu + TOTP / SMS İki Aşamalı Doğrulama
Kullanıcı bilgisayarındaki Berqnet SSL-VPN istemcisini açtığında:
- İlk olarak kurumsal Active Directory parolasını girer.
- Ardından cep telefonundaki doğrulama uygulamasında (Google/Microsoft Authenticator - TOTP) her 30 saniyede bir değişen 6 haneli tek kullanımlık kodu veya SMS OTP kodunu girer.
- Üst üste hatalı deneme yapan IP adresleri Berqnet IPS tarafından otomatik olarak kara listeye alınır.
3. Granüler Rol Bazlı Erişim Kontrolü (En Az Ayrıcalık İlkesi)
VPN ile bağlanan her çalışan tüm fabrika ağını göremez! Berqnet üzerinde kullanıcı gruplarına göre mikro-kurallar yazılır:
- Satış / Pazarlama Grubu: Yalnızca ERP/CRM sunucusunun (
10.30.1.10) web portuna erişebilir. - Ar-Ge / Tasarım Mühendisi: Yalnızca ofisteki kendi CAD iş istasyonuna veya PDM sunucusuna erişebilir; muhasebe sunucusunu göremez.
- Üretim Müdürü: Canlı OEE ve CNC Makine Veri Toplama izleme ekranlarına erişebilir; ancak CNC kontrol ünitelerine doğrudan komut gönderemez.
4. Tam Oturum Loglama ve Mesai Saati Kısıtlaması
Hangi mühendisin hangi gün, saat kaçta, hangi dış IP adresinden VPN’e bağlandığı ve içeride hangi sunucuyla ne kadar veri konuştuğu KVKK 5651 Yasal Loglama kapsamında TÜBİTAK zaman damgalı olarak kaydedilir. İstenirse VPN erişimi yalnızca belirlenen mesai saatleriyle (örn. 08:00 – 22:00) sınırlandırılabilir.
Uzaktan Erişim Yöntemlerinin Güvenlik ve Maliyet Karşılaştırması
| Kriter | Modemden Açık RDP (Port 3389) | Yabancı Firewall SSL-VPN | Berqnet MFA SSL-VPN (Maysa Çözümü) |
|---|---|---|---|
| Fidye Yazılımı Riski | Çok Yüksek (Botnet’lerin 1 numaralı hedefi) | Düşük (MFA aktifse) | Sıfıra Yakın (TLS 1.3 + MFA + USOM Kalkanı) |
| Kullanıcı Başı VPN Lisansı | Ücretsiz ama felaket riskli | Kullanıcı başı yıllık 35$ – 75$ ek ücret | 0 TL Ek Lisans (Cihaz kapasitesince sınırsız) |
| MFA / 2FA Doğrulama Ücreti | Yok | Çoğu markada ayrı Token/Auth lisansı gerekir | 0 TL (Gömülü TOTP ve SMS desteği) |
| Departman Bazlı Kısıtlama | Yok (Sunucuya giren her şeyi görür) | Var (Karmaşık CLI/Policy ayarı) | Var (%100 Türkçe ekrandan kolay yetkilendirme) |
| EYDEP & TGB Denetim Uyumu | Kesin Ret (Majör Bulgu) | Uyumlu | %100 Tam Uyumlu (Yerli Siber Ürün) |
- Split-Tunneling Kapatma: Yüksek güvenlikli profillerde VPN bağlıyken kullanıcının aynı anda güvensiz ev internetinden dosya indirmesini önleyen trafik denetimi aktif mi?
- İşten Ayrılan Personel: İK'dan işten çıkış bildirimi geldiği saniyede personelin AD ve SSL-VPN hesabı tek tıkla kapatılıyor mu?
- Kurumsal Laptop Şartı: VPN sertifikası yalnızca şirket envanterindeki DLP ve EDR kurulu bilgisayarlara mı yükleniyor?
Şirketinizi açık RDP portu kâbusundan kurtarmak ve ek lisans ücreti ödemeden MFA korumalı SSL-VPN altyapısına geçmek için Teklif Al sayfamızdan bize ulaşabilirsiniz.
Sıkça Sorulan Sorular
Evdeki kişisel bilgisayardan SSL-VPN ile şirkete bağlanmak güvenli midir?
Savunma sanayii standartlarında (EYDEP ve TGB), uzaktan bağlantının yalnızca şirket tarafından zimmetlenmiş, üzerinde kurumsal antivirüs/EDR ve DLP Veri Sızıntısı Önleme kurulu dizüstü bilgisayarlardan yapılması şart koşulur. Şahsi ev bilgisayarlarından doğrudan dosya sunucusuna erişime izin verilmemeli; zorunlu hallerde yalnızca izole bir terminal ekranına (Jump-Host) kısıtlı erişim tanımlanmalıdır.
Cep telefonundan (iOS / Android) ERP onay ekranlarına VPN ile girilebilir mi?
Evet. Berqnet SSL-VPN, OpenVPN protokolüyle tam uyumlu olduğundan hem Windows, macOS ve Linux bilgisayarlarda hem de iOS (iPhone/iPad) ve Android mobil cihazlarda sorunsuz çalışır. Şirket sahibi seyahatteyken cep telefonundan güvenli tüneli açıp Özel ERP satın alma veya teklif onaylarını saniyeler içinde verebilir.
İki aşamalı doğrulama (2FA) için her seferinde SMS ücreti ödemek gerekir mi?
Hayır. TOTP (Time-Based One-Time Password) yöntemi kullanıldığında Google Authenticator veya Microsoft Authenticator uygulamaları internet veya SMS gerektirmeden kriptografik zaman algoritmasıyla kod üretir; tamamen ücretsizdir ve SIM kart kopyalama (SIM Swap) saldırılarına karşı SMS’ten bile daha güvenlidir.