Dış firmaların sunucularınıza güvenli erişimi: VPN yerine ne kullanmalı?

Hemen her işletmenin sistemlerine dışarıdan bağlanan birileri vardır. ERP danışmanı muhasebe veritabanında bir raporu düzeltir, otomasyon firması üretim hattındaki bir bilgisayara bağlanır, yazılım tedarikçisi web sunucusuna güncelleme yükler. Bu bağlantıların çoğu yıllar önce, “şimdilik” açılmış bir VPN hesabı ya da internete açık bir uzak masaüstü portu üzerinden yapılır. İş biter, hesap kalır. Bu yazıda dış firma erişiminde klasik VPN modelinin neden yetersiz kaldığını, yerine hangi ilkelerle bir erişim modeli kurulacağını ve bunun hangi araçlarla uygulanabileceğini anlatıyoruz. Konunun ürün tarafı için Access Manager Plus sayfamıza bakabilirsiniz.

Dış firma erişiminde VPN neden yetersiz kalır?

VPN kötü bir teknoloji değildir. Şubeleri birbirine bağlamak ve kendi çalışanlarınızın uzaktan çalışması için hâlâ temel bir araçtır. Sorun, dış firmalar için tasarlanmamış olmasıdır. Klasik bir VPN bağlantısı kullanıcıyı ağın içine alır; kişi bir sunucuya değil, bir ağ bölümüne bağlanır. Buna göre birkaç tipik sorun ortaya çıkar:

• Erişim gereğinden geniştir. ERP danışmanı yalnızca bir sunucuya ihtiyaç duyar ama VPN kuralı çoğu zaman bütün sunucu ağını açar.
• Hesaplar kapanmaz. Proje biter, danışman değişir, firma ile sözleşme sona erer; VPN hesabı ise açık kalır. Kimse hangi hesabın kime ait olduğunu hatırlamaz.
• Hesaplar paylaşılır. Dış firmada tek bir “destek” ya da “erp_firma” hesabını beş kişi kullanır. Bir olayda kimin bağlandığını ayırt edemezsiniz.
• Şifreler dışarıda kalır. Dış firma çalışanı sunucunun yönetici şifresini bilir. Çalışan firmadan ayrıldığında o şifre de onunla gider.
• Ne yapıldığı bilinmez. Güvenlik duvarı kaydı bağlantının açıldığını gösterir, sunucuda hangi dosyanın silindiğini göstermez.

Tedarikçinin kendi ağı ele geçirildiğinde, saldırgan o firmanın size açık olan VPN hesabıyla doğrudan ağınıza girebilir. Tedarikçi üzerinden gelen saldırıların bilinen yollarından biri budur. İnternete doğrudan açılmış uzak masaüstü portları ise kaba kuvvet ve parola deneme saldırılarının en bilinen hedefidir.

Doğru model: ağa değil, sisteme erişim

Dış firma erişiminde amaç, “ağa girmesine izin vermek” değil, “belirli bir sistemde, belirli bir iş için, belirli bir süre çalışmasına izin vermek” olmalıdır. Bu modelin beş ilkesi vardır:

1. Kişiye özel hesap. Her dış firma çalışanı kendi adıyla ve çok faktörlü kimlik doğrulamayla giriş yapar. Paylaşılan hesap olmaz.
2. En az yetki. Kullanıcı yalnızca kendisine tanımlanan sunucuları görür. ERP danışmanı ERP sunucusunu, otomasyon firması yalnızca ilgili hat bilgisayarını görür.
3. Talep ve onay. Erişim kalıcı değildir. Dış firma talep eder, sistem sahibi onaylar, erişim belirlenen süre için açılır ve süre bitince kapanır.
4. Şifreyi göstermeden bağlantı. Oturum, merkezde saklanan kimlik bilgisiyle otomatik açılır. Dış firma sunucunun yönetici şifresini hiç görmez.
5. Kayıt ve izleme. Her oturum kaydedilir; gerektiğinde canlı izlenir ve sonlandırılır. “Kim, ne zaman, hangi sunucuda, ne yaptı?” sorusunun cevabı hazırdır.

Bu ilkeler, KVKK’nın Kişisel Veri Güvenliği Rehberi’nde yer alan yetki kontrolü, erişim logları ve uzaktan erişimde iki kademeli kimlik doğrulama tavsiyeleriyle ve ISO 27001’in tedarikçi ilişkileri ile erişim kontrolü başlıklarıyla doğrudan örtüşür. Teknik tedbirlerin tam listesini KVKK teknik tedbirler kontrol listemizde topladık.

Hangi araçlarla uygulanır?

Ayrıcalıklı oturum yönetimi (PAM ağ geçidi)

Dış firma erişimi için en doğrudan çözüm, bağlantıları tek bir şifreli ağ geçidinde toplayan ayrıcalıklı oturum yönetimi yazılımlarıdır. ManageEngine Access Manager Plus, RDP, SSH, VNC ve SQL bağlantılarını VPN’e ve karşı tarafa ajan kurmaya gerek kalmadan tarayıcıdan açar. Talep ve onay akışı, yardım masası kaydıyla doğrulama, oturumların AES-256 ile şifrelenmiş video kaydı, canlı izleme ve anında sonlandırma ürünün temel özellikleridir. Üretici, dış firma ve yüklenici erişimini ve operasyonel teknoloji sistemlerine erişimi ürünün öne çıkan kullanım alanları arasında sayar.

Şifre kasası, süreli yetki ve uç nokta yetki yönetimi de gerekiyorsa aynı yetenekler PAM360 içinde gelir. Üç ManageEngine ürününün farkını PAM360, Password Manager Pro ve Access Manager Plus karşılaştırmamızda anlattık.

Güvenlik duvarında daraltma

Ağ geçidi devreye girdiğinde güvenlik duvarındaki dış firma VPN kuralları sadeleştirilir. Dış firma artık tüm sunucu ağına değil, yalnızca ağ geçidine ulaşır. İnternete açık uzak masaüstü portları kapatılır. Bu çalışmayı FortiGate ya da kullandığınız diğer güvenlik duvarı üzerinde, mevcut kuralları gözden geçirerek yaparız.

Ağ bölümlendirme

Üretim hattı bilgisayarları, muhasebe sunucusu ve misafir Wi-Fi aynı ağda olmamalıdır. Dış firmanın eriştiği sistemler ayrı bir bölümde olduğunda, bir hesabın ele geçirilmesi bütün ağın ele geçirilmesi anlamına gelmez.

Dış firma erişimi için kontrol listesi

• Sistemlerinize bağlanan tüm dış firmaların ve kişilerin güncel bir listesi var mı?
• Her dış firma hesabı kişiye özel mi? Paylaşılan hesap kaldı mı?
• Uzaktan erişimde çok faktörlü kimlik doğrulama zorunlu mu?
• Dış firma hesapları sözleşme bitiminde, kimin sorumluluğunda kapatılıyor?
• Dış firma çalışanları sunucuların yönetici şifrelerini biliyor mu? Biliyorsa en son ne zaman değiştirildi?
• İnternete doğrudan açık uzak masaüstü ya da SSH portu var mı?
• Son üç ayda dış firmaların yaptığı oturumları gösterebilir misiniz?
• Tedarikçi sözleşmelerinde bilgi güvenliği ve gizlilik yükümlülükleri yer alıyor mu?

Bu listede birkaç “hayır” çıkması olağandır. Önemli olan, hangi sistemin en kritik olduğunu belirleyip oradan başlamaktır.

Geçişi nasıl planlamalı?

Dış firmaların alışkanlığını bir gecede değiştirmek zordur; ERP danışmanının ay sonu kapanışında bağlanamaması kimsenin istemediği bir durumdur. Bu yüzden geçişi aşamalı yaparız:

1. Envanter: VPN hesaplarını, açık portları ve uzak masaüstü araçlarını listeleriz. Unutulmuş hesaplar genellikle bu adımda çıkar.
2. Pilot: En sık bağlanan bir ya da iki firmayı yeni yönteme alırız, geri bildirimleri toplarız.
3. Yaygınlaştırma: Diğer firmaları taşır, her biri için erişebileceği sistemleri ve onay kurallarını tanımlarız.
4. Kapatma: Tüm firmalar geçtikten sonra eski VPN hesaplarını kapatır, dış firmaların bildiği şifreleri değiştiririz.
5. Gözden geçirme: Oturum raporlarını düzenli olarak inceler, biten projelerin erişimlerinin kapandığını doğrularız.

Kendi çalışanlarınızın uzaktan erişimi için VPN kullanmaya devam edebilirsiniz; yeter ki çok faktörlü kimlik doğrulama açık ve yetkiler rol bazında olsun.

Unna ile dış firma erişimi

Önce dinleriz: sistemlerinize kimin, hangi yoldan, ne sıklıkla bağlandığını birlikte çıkarırız. Birlikte planlarız: her dış firma için erişebileceği sistemleri, onay kurallarını ve kayıt politikasını tanımlar, ihtiyaca göre Access Manager Plus ya da PAM360’ı seçeriz. Kurar ve devreye alırız: ağ geçidini kurar, güvenlik duvarı kurallarını daraltır, dış firmaları aşama aşama taşırız. Yanınızda kalırız: oturum raporlarını sizinle gözden geçirir, yeni gelen tedarikçileri aynı modele dahil ederiz. Veri merkezinde barındırılan sunucularınıza da aynı onaylı ve kayıtlı yoldan erişilir. Tüm seçenekler kimlik ve erişim yönetimi sayfamızda; bir değerlendirme için bize yazın.