Uzaktan çalışanların şirket ağına güvenli bağlanması, VPN programını kurmaktan fazlasını gerektirir. Erişim sınırları, çok faktörlü doğrulama, cihaz denetimi ve güncel bir VPN geçidi birlikte planlanmalıdır.
Uzaktan çalışan bir ekip, ofisteki dosya sunucusuna, muhasebe programına ya da iç uygulamalara evden veya yoldan erişmek ister. Bu erişimi sağlamanın yaygın yolu VPN'dir; ancak aceleyle kurulan bir VPN, internetten şirket ağının içine açılan geniş bir kapıya dönüşebilir. Güvenli bir kurulum, bağlantı programını çalıştırmaktan çok kimin neye, hangi cihazla ve hangi koşullarda bağlanacağını doğru tasarlamaya dayanır.
VPN ne yapar, ne yapmaz?
VPN (sanal özel ağ), çalışanın cihazı ile şirket ağı arasında internet üzerinden şifreli bir tünel kurar. Bu tünel, yolda akan verinin başkaları tarafından okunmasını ve değiştirilmesini zorlaştırır. Uzaktan çalışma için kullanılan türe "uzaktan erişim VPN'i" denir; iki ofisi kalıcı olarak birbirine bağlayan "siteden siteye VPN" ise ayrı bir senaryodur.
VPN'in yapmadığı şeyleri de bilmek gerekir. Bağlanan cihaz zararlı yazılım taşıyorsa tünel bu zararlıyı da şirket ağına taşır. Kullanıcı adı ve parolası çalınmış bir hesap, VPN üzerinden meşru bir kullanıcı gibi içeri girebilir. Yani VPN bir güvenli yol sağlar; yolun iki ucundaki kimliği ve cihazı ayrıca korumanız gerekir.
Önce erişim haritasını çıkarın
En sık görülen hata, VPN'e bağlanan herkese ofis ağının tamamını açmaktır. Bunun yerine rolleri ve ihtiyaç duydukları kaynakları eşleştirin. Örneğin muhasebe ekibi yalnızca muhasebe sunucusuna ve ortak muhasebe klasörüne, satış ekibi müşteri yönetim uygulamasına, BT sorumlusu ise yönetim arayüzlerine erişsin. Kameralar, yazıcılar ve üretim cihazları uzaktan erişim listesinde hiç yer almasın.
Bu eşleştirmeyi VPN cihazında veya güvenlik duvarında kullanıcı gruplarına göre kurallarla uygulayın. Böylece bir hesap ele geçirilse bile saldırganın ulaşabileceği alan, o hesabın gerçekten ihtiyaç duyduğu birkaç kaynakla sınırlı kalır. Dış destek firmaları için ayrı hesap ve ayrı, daha dar bir kural grubu tanımlayın; erişimi süreli tutun.
Güncel bir protokol seçin
VPN'ler farklı protokollerle çalışır. Günümüzde IKEv2 ile kurulan IPsec ve TLS tabanlı (çoğu zaman "SSL VPN" olarak anılan) çözümler yaygın ve güvenilir kabul edilir. PPTP gibi eski protokoller artık güvenli sayılmaz; mevcut kurulumunuzda hâlâ kullanılıyorsa değiştirilmesi gerekir. Protokolden bağımsız olarak üreticinin önerdiği güncel şifreleme ayarlarını kullanın ve eski uyumluluk seçeneklerini, gerçekten ihtiyaç yoksa kapalı tutun.
Kimlik doğrulamayı güçlendirin
VPN girişinde yalnızca kullanıcı adı ve parola yeterli değildir. Çok faktörlü doğrulama (parolaya ek olarak telefondaki bir onay ya da tek kullanımlık kod gibi ikinci bir kanıt istenmesi) çalınmış parolaların tek başına işe yaramasını önlemeye yardımcı olur. Bunu ilk günden zorunlu tutun; sonradan eklemek kullanıcı alışkanlıklarını değiştirmeyi gerektirir.
Her çalışanın kendi hesabı olsun; "uzak" ya da "vpn" adlı ortak hesaplar kullanmayın. Ortak hesapta kimin bağlandığını ayırt edemez, ayrılan bir çalışanın erişimini tek başına kapatamazsınız. Mümkünse VPN girişini şirketin ana kullanıcı dizinine bağlayın; bir çalışanın hesabı kapatıldığında VPN erişimi de kendiliğinden kapanır. Şirket cihazlarında, kullanıcı kimliğine ek olarak cihaza yüklenen bir sertifika istemek de yalnızca tanınan cihazların bağlanmasını sağlar.
Bağlanan cihazı da hesaba katın
Evdeki ortak bilgisayardan, güncellenmemiş bir dizüstünden ya da çocukların oyun yüklediği bir makineden yapılan VPN bağlantısı, şirket ağını bu cihazın riskleriyle buluşturur. Tercih edilen yaklaşım, VPN erişimini şirketin yönettiği cihazlarla sınırlamaktır. Bu cihazlarda işletim sistemi güncellemeleri, uç nokta koruması, disk şifreleme ve ekran kilidi merkezi olarak denetlenebilir.
Kişisel cihaz kullanımına izin vermek zorundaysanız erişimi daraltın: örneğin yalnızca e-posta ve tarayıcı üzerinden çalışan uygulamalar. Bazı VPN çözümleri, bağlanmadan önce cihazın güncel olup olmadığını ve koruma yazılımının çalışıp çalışmadığını kontrol edebilir; bu özellik varsa açmayı değerlendirin.
Tüm trafik mi, yalnız şirket trafiği mi?
VPN açıkken kullanıcının bütün internet trafiği şirket üzerinden mi geçecek, yoksa yalnızca şirket kaynaklarına giden trafik mi? İlki "tam tünel", ikincisi "bölünmüş tünel" (split tunneling) olarak bilinir. İki yaklaşımın da yeri vardır:
| Tam tünel | Bölünmüş tünel | |
|---|---|---|
| Trafik yolu | Tüm internet trafiği şirket ağından çıkar | Yalnızca şirket kaynaklarına giden trafik tünele girer |
| Denetim | Şirketin web filtreleme ve güvenlik kuralları uygulanır | Genel internet trafiği şirket denetiminin dışında kalır |
| Hat yükü | Ofis internet hattına ek yük bindirir | Ofis hattı daha az etkilenir |
| Uygun olduğu durum | Hassas veriyle çalışan, sıkı denetim gereken roller | Bulut uygulamalarının yoğun kullanıldığı, hat kapasitesinin sınırlı olduğu yapılar |
Bölünmüş tünel seçtiğinizde cihaz üzerindeki korumanın önemi artar; çünkü internet trafiği şirketin güvenlik duvarından geçmez. Seçimi ofis hattınızın kapasitesine ve çalışanların gerçekte hangi kaynakları kullandığına göre yapın.
VPN cihazını güncel ve sade tutun
VPN geçidi internete doğrudan açık durduğu için saldırganların sürekli taradığı bir hedeftir. Üreticilerin yayımladığı güvenlik açığı duyurularında VPN ürünleri sık sık yer alır ve bilinen açıklar kısa sürede istismar edilebilir. Bu nedenle VPN cihazının güncellemelerini olağan bakım takviminden ayırın: kritik bir güvenlik düzeltmesi yayımlandığında haftalarca beklemeden uygulayın.
Kullanılmayan özellikleri, örneğin web portalı ya da eski istemci desteği gibi seçenekleri kapatın. Cihazın yönetim arayüzünü internete açmayın; yönetimi yalnızca iç ağdan veya belirli adreslerden yapın. Destek süresi biten bir VPN cihazı güncelleme almayacağı için değiştirilmesi gereken öncelikli kalemlerden biridir.
Uzak masaüstü bağlantısını (RDP) doğrudan internete açmak, VPN kurmaktan daha pratik görünebilir; ancak bu bağlantılar parola deneme saldırılarının sık hedefidir. Uzak masaüstü gerekiyorsa VPN'in arkasında, yalnızca ilgili kullanıcıların erişebileceği şekilde kullanın.
Bağlantıları izleyin
VPN kayıtları; kimin, ne zaman, hangi adresten bağlandığını ve ne kadar bağlı kaldığını gösterir. Bu kayıtlarda şu durumlara dikkat edin: mesai dışı saatlerde olağan dışı bağlantılar, çalışanların bulunmadığı ülkelerden gelen girişler, aynı hesapla aynı anda iki farklı yerden bağlantı ve art arda başarısız giriş denemeleri. Belirli sayıda hatalı denemeden sonra hesabı geçici olarak kilitleyen ya da bağlantı adresini engelleyen ayarları açın.
Uzun süre boşta kalan oturumların otomatik olarak kapanmasını sağlayın. Unutulup açık bırakılan bir oturum, cihaz başkasının eline geçtiğinde şirket ağına hazır bir yol demektir.
Devreye alırken aşamalı ilerleyin
Yeni VPN'i önce küçük bir pilot grupla deneyin. Farklı ev internet hatlarından, mobil veriden ve otel gibi ortak kablosuz ağlardan bağlantıyı test edin; kullanıcıların sık karşılaştığı sorunları not edin. Kurulum adımlarını, çok faktörlü doğrulamanın nasıl kullanılacağını ve telefon değişikliğinde ne yapılacağını anlatan kısa bir rehber hazırlayın. Eski uzaktan erişim yöntemini, yenisi sorunsuz çalıştıktan sonra planlı olarak kapatın; iki yöntemin uzun süre birlikte açık kalması riski ikiye katlar.
Kontrol listesi
- Her rolün VPN üzerinden hangi kaynaklara erişeceği belirlendi ve kurallarla sınırlandı mı?
- PPTP gibi eski protokoller kapatıldı, güncel şifreleme ayarları kullanılıyor mu?
- VPN girişinde çok faktörlü doğrulama zorunlu mu?
- Herkesin kişisel hesabı var mı, ortak VPN hesapları kaldırıldı mı?
- VPN erişimi şirketin yönettiği, güncel ve korumalı cihazlarla sınırlı mı?
- VPN cihazının güvenlik güncellemeleri hızla uygulanıyor, yönetim arayüzü internete kapalı mı?
- Olağan dışı saat, konum ve başarısız giriş denemeleri kayıtlarda izleniyor mu?
- Boşta kalan oturumlar otomatik olarak kapanıyor mu?