Yerli Uzak Masaüstü ve Güvenli Uzaktan Erişim

Yerli uzak masaüstü erişimi nedir?

Yerli uzak masaüstü erişimi, çalışanların, BT destek ekibinin ve yetkili tedarikçilerin kurum bilgisayarlarına ve sunucularına uzaktan bağlanmasını sağlayan; bağlantı yönetimi, oturum kayıtları ve kimlik bilgileri gibi verilerin Türkiye’deki altyapıda tutulduğu güvenli erişim hizmetidir. Bağlantılar uçtan uca şifrelenir, her oturum çok faktörlü kimlik doğrulamayla açılır, kimin hangi cihaza ne zaman bağlandığı kayıt altına alınır. Racoun’un teknoloji birimi Pedante Bilişim, bu hizmeti siber güvenlik ve yönetilen BT markası Racurity altında, çözüm ortaklarımızın altyapısını tek muhatapla sunarak sağlar.

Uzaktan erişim artık bir kolaylık değil, iş sürekliliğinin parçası. Ancak aynı zamanda saldırganların en sevdiği giriş kapılarından biri. İnternete doğrudan açılmış uzak masaüstü portları, paylaşılan parolalar ve herkese geniş ağ erişimi veren VPN hesapları, fidye yazılımı olaylarının sık görülen başlangıç noktalarıdır. Hizmetimizin amacı, uzaktan çalışmanın esnekliğini korurken bu kapıyı kontrol altına almaktır.

Kimler için uygun?

Hibrit ya da tamamen uzaktan çalışan ekipleri olan şirketler
Şube, mağaza, depo veya fabrika bilgisayarlarına merkezden destek veren BT ekipleri
Sistemlerine yazılım firması, bakım şirketi veya danışman gibi dış tarafların bağlanması gereken kurumlar
Kişisel veri işleyen ve erişim kayıtlarını KVKK kapsamında kanıtlamak isteyen sağlık, finans, hukuk ve eğitim kuruluşları
Bağlantı verisinin yurt dışındaki sunucularda tutulmasını kurumsal politika gereği istemeyen kamu ile çalışan firmalar
Üretim hattındaki endüstriyel bilgisayarlara uzaktan bakım erişimi gereken işletmeler

Neden önemli? Başlıca riskler

İnternete açık RDP: Uzak masaüstü protokolünün portunu doğrudan internete açmak, otomatik parola deneme saldırılarına ve bilinen açıkların istismarına davet çıkarır.
Geniş yetkili VPN: Klasik VPN, bağlanan kullanıcıyı çoğu zaman ağın tamamına sokar. Ele geçirilen tek bir hesap, saldırganın ağ içinde yatay hareket etmesine olanak tanır.
Paylaşılan hesaplar: Destek ekibinin ya da tedarikçinin ortak bir kullanıcı adıyla bağlanması, bir olay sonrasında kimin ne yaptığının tespit edilememesi demektir.
Kontrolsüz araçlar: Çalışanların kendi başına kurduğu ücretsiz uzaktan erişim uygulamaları, BT ekibinin görmediği kapılar açar.
Veri yerleşimi: Bağlantı kayıtları ve oturum verileri yurt dışındaki sunucularda tutulduğunda, kişisel verilerin yurt dışına aktarımı konusu ayrıca değerlendirilmelidir.

Hizmet kapsamı

Şifreli ve aracı sunucu üzerinden bağlantı

Hedef bilgisayar ya da sunucu internete hiçbir port açmaz. Bağlantı, Türkiye’de konumlanan aracı (relay/gateway) sunucu üzerinden, güncel taşıma katmanı güvenliği (TLS) protokolleriyle şifrelenmiş olarak kurulur. Böylece saldırganın tarayabileceği açık bir uzak masaüstü kapısı kalmaz.

Çok faktörlü kimlik doğrulama ve tek oturum açma

Her bağlantı parolanın yanında ikinci bir doğrulama faktörü ister. Kurumsal dizininiz (örneğin Microsoft Entra ID veya Active Directory) ile entegrasyon kurularak kullanıcılar mevcut kimlikleriyle oturum açar; işten ayrılan kişinin erişimi dizinden kapatıldığı anda uzaktan erişimi de sona erer.

Rol bazlı yetkilendirme

Kim hangi cihaza, hangi saatlerde, hangi yetkiyle bağlanabilir, tek tek tanımlanır. Muhasebe ekibi yalnızca kendi bilgisayarına, destek ekibi yalnızca sorumlu olduğu şubelere, tedarikçi yalnızca bakımını yaptığı sunucuya erişir. Bu yaklaşım, “asla güvenme, her zaman doğrula” ilkesine dayanan Zero Trust mimarisinin uzaktan erişimdeki karşılığıdır.

Oturum kaydı ve denetim izi

Kritik sunuculara ve dış tarafların bağlantılarına ait oturumlar, politikaya göre video ya da olay kaydı olarak saklanabilir. Bağlantı başlangıcı, süresi, dosya aktarımı ve pano kullanımı loglanır; bu kayıtlar bir güvenlik izleme altyapısına aktarılabilir.

Dosya aktarımı ve pano politikaları

Veri sızıntısını önlemek için uzak oturumda dosya aktarımı, pano kopyalama, yazıcı yönlendirme ve yerel sürücü eşleme rol bazında açılıp kapatılabilir.

Gözetimli ve gözetimsiz destek

Kullanıcının onay verdiği anlık destek oturumları ile sunucular gibi başında kimse olmayan cihazlara planlı bakım erişimi ayrı politikalarla yönetilir.

Teknik detaylar: VPN, RDP ve yeni nesil erişim

Uzaktan erişimde üç temel yaklaşım vardır. Doğrudan RDP en basit ama en riskli olanıdır ve internete açık kullanılmamalıdır. VPN, kullanıcıyı şifreli bir tünelle ağa dahil eder; doğru segmentasyon ve MFA ile kullanılabilir, ancak ağ düzeyinde erişim verdiği için yetki kapsamı geniştir. Uygulama ya da cihaz düzeyinde erişim (ZTNA olarak da anılır) ise kullanıcıyı ağa değil, yalnızca izin verilen cihaza veya uygulamaya bağlar. Yerli uzak masaüstü hizmetimiz bu üçüncü yaklaşımı esas alır; mevcut VPN’inizi hemen kaldırmanız gerekmez, iki yapı bir geçiş döneminde birlikte çalışabilir.

Uç noktalar tarafında bağlanan cihazın güncel ve korumalı olması da önemlidir. Bu nedenle uzaktan erişim politikalarını uç nokta güvenliği (EDR) ve ağ erişim kontrolü (NAC) ile birlikte kurgulamayı öneririz.

Örnek kullanım senaryoları

Uzaktan çalışan finans ekibi: Muhasebe personeli evden yalnızca ofisteki kendi bilgisayarına bağlanır; dosya indirme kapalıdır, veri ofis cihazında kalır.
Çok şubeli perakende: Merkez BT ekibi mağaza kasalarına ve arka ofis bilgisayarlarına, kullanıcı onayıyla açılan destek oturumlarıyla ulaşır.
Üretim tesisi: Makine tedarikçisi, yalnızca bakımını yaptığı endüstriyel bilgisayara, planlanmış bakım penceresinde ve kayıtlı oturumla erişir.
Yönetici erişimi: Sistem yöneticileri kritik sunuculara ayrı ayrıcalıklı hesaplarla bağlanır; her işlem denetim izine düşer.

Ölçmeniz gereken göstergeler

Hizmet devreye girdikten sonra başarıyı sezgiyle değil verilerle izlemek gerekir. Düzenli raporlarda internete açık uzaktan erişim servisi sayısının sıfırda kalıp kalmadığını, MFA kapsamındaki kullanıcı oranının tam olup olmadığını, süresi dolmuş tedarikçi hesaplarının kapatılıp kapatılmadığını, olağandışı saat veya konumdan gelen bağlantı denemelerini ve yeniden onaylanmayan yetkileri takip ederiz.

Süreç adımları

Keşif: Mevcut uzaktan erişim yöntemleri, internete açık portlar, kullanılan araçlar ve dış taraf bağlantıları çıkarılır.
Erişim matrisi: Kullanıcı grupları, hedef cihazlar ve yetkiler tablo hâlinde tanımlanır.
Kurulum: Aracı sunucu ve ajanlar devreye alınır, dizin entegrasyonu ve MFA yapılandırılır.
Pilot: Küçük bir kullanıcı grubuyla deneme yapılır, kullanıcı deneyimi ve politikalar ayarlanır.
Yaygınlaştırma ve kapatma: Tüm kullanıcılar yeni yapıya alınır; eski açık portlar ve kontrolsüz araçlar kapatılır.
İzleme: Oturum kayıtları ve erişim raporları düzenli gözden geçirilir, yetkiler periyodik olarak yeniden onaylanır.

Racurity ve Pedante ile farkı

Uzaktan erişim tek başına bir yazılım kurulumu değildir; kimlik yönetimi, ağ güvenliği, uç nokta koruması ve log izlemeyle birlikte anlam kazanır. Racurity bu bileşenlerin tamamını aynı çatı altında, tek muhatapla yönetir. Verinin Türkiye’de kalması, KVKK uyum sürecinizi desteklemek açısından önemli bir kolaylık sağlar; ancak uyumun tamamı kurumunuzun süreçleriyle birlikte değerlendirilmelidir. Pedante’nin yazılım ekibi sayesinde erişim taleplerinin iç onay akışlarına bağlanması gibi kuruma özel ihtiyaçları da karşılayabiliriz. Hizmet ve destek koşulları sözleşmede açıkça yazılır.

Sık yapılan hatalar

RDP portunu “numarasını değiştirdik, güvenli” diyerek internete açık bırakmak
Tüm destek ekibinin tek bir yönetici hesabını ortak kullanması
Tedarikçilere süresiz ve kayıtsız erişim vermek
Uzaktan erişimi MFA olmadan yalnızca parolayla korumak
Yeni çözüme geçtikten sonra eski VPN hesaplarını ve araçları kapatmayı unutmak
Oturum kayıtlarını tutup hiç incelememek

İlgili hizmetler

Tüm bilişim hizmetlerimizi görmek için kurumsal BT çözümleri sayfamıza göz atabilirsiniz.

Sık sorulan sorular

Yerli uzak masaüstü çözümünü yabancı uzaktan erişim araçlarından ayıran nedir?

Temel fark veri yerleşimidir: bağlantı yönetimi, oturum kayıtları ve kimlik bilgileri Türkiye’deki altyapıda tutulur. Bunun yanında dizin entegrasyonu, MFA, rol bazlı yetki ve oturum kaydı kurumsal politikalarınıza göre yapılandırılır ve tek muhataptan yönetilir.

Mevcut VPN’imizi kaldırmamız gerekiyor mu?

Hemen gerekmiyor. Geçiş döneminde iki yapı birlikte çalışabilir. Kullanıcılar yeni yapıya alındıkça VPN’in kapsamı daraltılır veya yalnızca belirli senaryolar için bırakılır.

Bağlantılar nasıl şifreleniyor?

Bağlantılar güncel taşıma katmanı güvenliği (TLS) protokolleriyle şifrelenir ve aracı sunucu üzerinden kurulur. Hedef cihaz internete port açmadığı için doğrudan taranabilir bir uzak masaüstü kapısı bulunmaz.

Tedarikçilerin erişimini nasıl kontrol edebiliriz?

Tedarikçiye yalnızca bakımını yaptığı cihaza, belirli zaman aralığında ve gerekirse sizin onayınızla erişim tanımlanır. Oturumlar kayıt altına alınır, iş bitince erişim otomatik olarak sona erdirilebilir.

Oturum kayıtları KVKK açısından sorun yaratır mı?

Oturum kayıtları da kişisel veri içerebilir. Kayıt politikasının amaçla sınırlı tutulması, çalışanların bilgilendirilmesi ve saklama sürelerinin belirlenmesi gerekir. Bu konuda kurumunuzun hukuk danışmanlığıyla birlikte hareket etmenizi öneririz.

Kurulum çalışanların günlük işini aksatır mı?

Kurulum pilot grupla başlar ve kademeli yaygınlaştırılır. Kullanıcılar mevcut kurumsal kimlikleriyle oturum açtığı için öğrenme süreci kısadır; eski yöntemler yeni yapı oturduktan sonra kapatılır.

İletişim

Merkez ofisimiz: Atatürk Mah., Sait Cordan Sk. No:10, 34758 Ataşehir / İstanbul. İstanbul’daki firmalarla yüz yüze, Türkiye genelindeki markalarla online toplantı ve planlı ziyaretlerle çalışıyoruz. 0551 044 08 69 numaralı WhatsApp hattımızdan yazabilir, toplantı planlayabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.