Uzak masaüstü, BT ekiplerinin ve uzaktan çalışan personelin en çok kullandığı araçlardan biri. Microsoft’un Uzak Masaüstü Protokolü (RDP) başta olmak üzere bu teknolojiler, doğru yapılandırıldığında son derece işlevseldir. Sorun, hızlı çözüm uğruna yapılan kısa yollarda başlar. Bu rehberde uzaktan erişimi güvenli hâle getirmek için atılması gereken adımları sırasıyla anlatıyoruz. Kurumsal ölçekte hazır bir yapı arıyorsanız yerli uzak masaüstü ve güvenli uzaktan erişim hizmetimizi inceleyebilirsiniz.
RDP’yi internete açmak neden tehlikeli?
Bir sunucunun uzak masaüstü portunu güvenlik duvarında doğrudan internete yönlendirmek, o sunucuyu dünyadaki herkesin denemesine açmak demektir. İnternet sürekli olarak otomatik araçlarla taranır; açık bir uzak masaüstü servisi bulunduğunda üç tür saldırı başlar:
- Parola deneme saldırıları: Yaygın kullanıcı adları ve sızdırılmış parola listeleriyle sürekli giriş denemesi yapılır.
- Kimlik bilgisi doldurma: Başka bir sitede sızdırılmış e-posta ve parola çiftleri kurumsal hesaplarda denenir.
- Açık istismarı: Yaması geçilmemiş sistemlerde, kimlik doğrulama bile gerekmeden çalışabilen güvenlik açıkları hedeflenir.
Port numarasını varsayılan değerden farklı bir sayıya taşımak tarama araçlarını yalnızca kısa süre oyalar; gerçek bir koruma sağlamaz. Fidye yazılımı olaylarının önemli bir kısmının başlangıç noktası, bu şekilde açık bırakılmış uzaktan erişim servisleridir.
VPN, RDP Gateway ve yeni nesil erişim: farklar
VPN
VPN, kullanıcının cihazı ile kurum ağı arasında şifreli bir tünel kurar. Kullanıcı tünel üzerinden ağa “dahil” olur ve oradan uzak masaüstüne bağlanır. Bu, RDP’yi internete açmaktan çok daha güvenlidir. Ancak klasik VPN’lerde bağlanan kişi çoğunlukla ağın geniş bir bölümünü görür. Bir hesabın ele geçirilmesi, saldırganın ağ içinde yatay hareket etmesi için kapı aralar. VPN cihazlarının kendileri de düzenli yamalanmazsa hedef hâline gelir.
Uzak Masaüstü Ağ Geçidi
RDP trafiğini şifreli bir ağ geçidi üzerinden taşıyan bu yaklaşım, sunucuları doğrudan internete açmadan erişim sağlar. MFA ile birleştirildiğinde makul bir güvenlik düzeyi sunar; yine de ağ geçidinin kendisi internete açık bir bileşendir ve sıkı bakım gerektirir.
Uygulama ya da cihaz düzeyinde erişim (ZTNA)
Zero Trust ağ erişimi olarak da bilinen bu modelde kullanıcı ağa değil, yalnızca izin verilen cihaza veya uygulamaya bağlanır. Hedef cihaz dışarıya port açmaz; bağlantı içeriden dışarıya, bir aracı sunucu üzerinden kurulur. Her bağlantı kimlik, cihaz durumu ve politikaya göre ayrı ayrı değerlendirilir. Bugün kurumsal uzaktan erişimde önerilen yön budur.
Güvenli uzaktan erişim için yedi adım
- Envanter çıkarın: Dışarıdan erişilebilen tüm servisleri, açık portları ve çalışanların kurduğu uzaktan erişim araçlarını listeleyin. Çoğu kurum bu adımda bilmediği kapılar bulur.
- Açık portları kapatın: İnternete doğrudan açık uzak masaüstü servislerini öncelikli olarak kapatın; geçici olarak ağ geçidi veya VPN arkasına alın.
- MFA’yı zorunlu kılın: Parolanın tek başına yetmediği bir yapı kurun. Uzaktan erişimde çok faktörlü kimlik doğrulama artık bir tercih değil, temel gerekliliktir.
- En az yetki ilkesini uygulayın: Her kullanıcı yalnızca işini yapmak için gereken cihaza erişsin. Yönetici yetkisini günlük kullanıcı hesabından ayırın.
- Paylaşılan hesapları kaldırın: Her bağlantı bir kişiye ait olsun; böylece olay anında kimin ne yaptığı izlenebilir.
- Kayıt tutun ve izleyin: Bağlantı loglarını merkezi bir yerde toplayın, olağandışı saat ve konumlardan gelen girişlere alarm kurun.
- Yamaları geciktirmeyin: Uzaktan erişim bileşenleri, VPN cihazları ve sunucular için kritik güncellemeleri öncelikli uygulayın.
Bu adımların kurumsal kimlik altyapınızla nasıl birleştiğini görmek için kimlik ve erişim yönetimi, log izleme tarafı için SIEM ve SOC hizmeti sayfalarımıza göz atabilirsiniz.
Tedarikçi erişimi: en çok unutulan kapı
Muhasebe yazılımı firması, yazıcı bakım şirketi, otomasyon tedarikçisi... Pek çok kurumda dış tarafların sistemlere uzaktan bağlanması gerekir ve bu erişimler genellikle en az denetlenen bağlantılardır. Sık görülen tablo, yıllar önce verilmiş, süresiz ve ortak bir hesapla yapılan erişimlerdir. Doğru yaklaşım şöyledir:
- Tedarikçiye yalnızca ilgili cihaza erişim tanımlayın.
- Erişimi zaman aralığıyla sınırlayın; mümkünse her oturum için onay isteyin.
- Tedarikçi oturumlarını kayıt altına alın.
- Sözleşme sona erdiğinde erişimi aynı gün kapatın.
Veri yerleşimi ve KVKK boyutu
Bulut tabanlı uzaktan erişim araçlarında bağlantı yönetimi, kullanıcı listesi, cihaz bilgileri ve oturum kayıtları hizmet sağlayıcının sunucularında tutulur. Bu sunucular yurt dışındaysa, kişisel verilerin yurt dışına aktarımı konusu KVKK kapsamında ayrıca değerlendirilmelidir. Oturum kayıtlarının kendisi de ekranda görünen kişisel verileri içerebilir. Bu nedenle kayıt politikasını amaçla sınırlı tutmak, çalışanları bilgilendirmek ve saklama sürelerini belirlemek gerekir. Bu değerlendirmeyi hukuk danışmanınızla birlikte yapmanızı öneririz. Verinin Türkiye’de tutulduğu yerli çözümler bu süreci sadeleştirir; ayrıntılar için yerli uzak masaüstü sayfamıza bakabilirsiniz.
Bağlanan cihaz da güvenli olmalı
En iyi korunan bağlantı bile, zararlı yazılım bulaşmış bir ev bilgisayarından açıldığında risk taşır. Uzaktan erişim politikası, bağlanan cihazın işletim sisteminin güncel olmasını, uç nokta korumasının çalışmasını ve disk şifrelemesinin açık olmasını şart koşabilir. Kişisel cihazlardan erişim gerekiyorsa dosya aktarımı ve pano kopyalama kapatılarak verinin cihaza inmesi engellenebilir.
Uzaktan erişim politikası nasıl yazılır?
Teknik önlemler, yazılı bir politika ile desteklenmediğinde zamanla aşınır. İyi bir uzaktan erişim politikası kısa ve uygulanabilir olmalı, en azından şu soruları yanıtlamalıdır:
- Uzaktan erişim hangi rollere, hangi gerekçeyle verilir ve kim onaylar?
- Hangi cihazlardan bağlanılabilir; kişisel cihazlar için ek kısıtlar nelerdir?
- Hangi araç kurumsal olarak onaylıdır; onaysız araç kurulumu nasıl ele alınır?
- Oturum kayıtları hangi sistemler için tutulur, ne kadar saklanır, kim inceleyebilir?
- Tedarikçi erişimi nasıl talep edilir, nasıl sonlandırılır?
- Yetkiler hangi sıklıkla yeniden gözden geçirilir?
Politikayı çalışanlara duyurmak ve kısa bir farkındalık eğitimiyle desteklemek, kuralların gerçekten uygulanmasını sağlar. Özellikle oltalama e-postalarıyla uzaktan erişim bilgilerinin çalınmaya çalışıldığı senaryolar eğitimde mutlaka anlatılmalıdır.
Bir olay yaşanırsa ne yapmalı?
Şüpheli bir uzak oturum fark edildiğinde ilk iş, ilgili hesabın oturumlarını sonlandırmak ve parolasını sıfırlamaktır. Ardından bağlantı kayıtları incelenerek hangi cihazlara erişildiği belirlenir, etkilenen sistemler ağdan izole edilir. Kişisel veri etkilendiyse KVKK kapsamındaki bildirim yükümlülükleri değerlendirilmelidir. Bu adımların önceden yazılı bir olay müdahale planında yer alması, panik anında zaman kazandırır.
Kısa kontrol listesi
- İnternete doğrudan açık uzak masaüstü servisi kalmadı mı?
- Tüm uzaktan erişimlerde MFA zorunlu mu?
- Paylaşılan hesaplar kaldırıldı mı?
- Tedarikçi erişimleri süreli ve kayıtlı mı?
- Bağlantı logları merkezi olarak izleniyor mu?
- Bağlantı verisinin nerede tutulduğu biliniyor mu?
Sık sorulan sorular
RDP portunu değiştirmek yeterli bir önlem mi?
Hayır. Port numarasını değiştirmek otomatik tarama araçlarını yalnızca kısa süre oyalar. Gerçek koruma için servisin internete doğrudan açık olmaması, MFA kullanılması ve erişimin bir ağ geçidi ya da aracı sunucu üzerinden kurulması gerekir.
VPN varken ayrıca uzaktan erişim çözümüne ihtiyaç var mı?
VPN ağ düzeyinde erişim verir ve genellikle geniş bir yetki kapsamı sunar. Uygulama ya da cihaz düzeyinde erişim modeli kullanıcıyı yalnızca izin verilen hedefe bağlar, oturum kaydı ve ayrıntılı yetkilendirme sağlar. İki yapı bir geçiş döneminde birlikte kullanılabilir.
Tedarikçi erişimini nasıl güvenli hâle getirebiliriz?
Erişimi yalnızca ilgili cihazla ve belirli bir zaman aralığıyla sınırlayın, her tedarikçi çalışanına ayrı hesap tanımlayın, oturumları kayıt altına alın ve sözleşme bittiğinde erişimi hemen kapatın.
Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.
