Kurumsal VPN Güvenliği İçin Kontroller

Uzak erişim VPN’leri, internete açık oldukları ve kimlik doğrulamanın ardından kurum ağına geniş erişim sağladıkları için saldırganların öncelikli hedefleri arasındadır. Bu rehber, marka bağımsız olarak kurumsal VPN’lerde uygulanması gereken kontrolleri özetler.

1. Her kullanıcıda MFA

Parola tek başına yeterli değildir. Tüm uzak erişim kullanıcılarında, tedarikçiler dahil, MFA zorunlu olmalıdır. Mümkünse VPN, SAML veya RADIUS ile merkezi kimlik sağlayıcıya (ör. Microsoft Entra ID, Active Directory + MFA sunucusu) bağlanmalı; böylece hesap kapatma ve koşullu erişim kuralları tek noktadan yönetilir.

2. Güncel protokol ve şifreleme

• IPsec’te IKEv2 kullanın; IKEv1 ve agresif modu kapatın.
• AES-GCM gibi güncel şifreleme algoritmalarını ve güçlü Diffie-Hellman gruplarını tercih edin; eski 3DES, MD5 ve SHA-1 önerilerini kaldırın.
• Platformunuzun SSL VPN yol haritasını takip edin. Örneğin Fortinet, FortiOS 7.6.3 ile SSL VPN tünel modunu kaldırmış ve IPsec’i önermiştir.

3. Ağa değil, gerekli sistemlere erişim

VPN’e bağlanan kullanıcıya tüm iç ağı açmak, ele geçirilen tek bir hesabın etki alanını büyütür. Kullanıcı gruplarına göre hedef sistem listeleri tanımlayın; yönetim arayüzlerine ve üretim (OT) ağlarına yalnızca ilgili gruplardan, tercihen ayrı politikalarla erişim verin.

4. Cihaz durumunu hesaba katın

Kurumsal olmayan veya güncellemeleri eksik cihazların bağlanması riski artırır. Platformunuz destekliyorsa işletim sistemi sürümü, disk şifreleme ve uç nokta koruması gibi koşulları bağlantı kararına ekleyin.

5. Tedarikçi erişimini süreli ve kayıtlı yapın

• Kalıcı tedarikçi hesapları yerine talep üzerine açılan, işi bitince kapanan hesaplar kullanın.
• Kritik sistemlerde oturum kaydı yapan bir erişim ağ geçidi veya PAM çözümünü değerlendirin.
• Tedarikçi hesaplarını en az üç ayda bir gözden geçirin.

6. Loglama ve alarm

Başarılı ve başarısız bağlantılar, olağan dışı ülke/konum, aynı hesabın eş zamanlı bağlantıları ve yönetim grubundaki girişler merkezi log sistemine gönderilmeli ve alarm üretmelidir.

7. Cihazı güncel tutun

VPN ağ geçitlerindeki zafiyetler, gerçek saldırılarda en sık istismar edilenler arasındadır. Üretici güvenlik bültenlerini ve CISA’nın aktif istismar edilen zafiyetler (KEV) kataloğunu takip edin, kritik yamaları planlı ama hızlı uygulayın.

Uzak erişim mimarinizi gözden geçirmek için VPN ve Güvenli Uzak Erişim, tedarikçi erişimi için Ayrıcalıklı Erişim Yönetimi (PAM) ve Tedarikçi Siber Risk Yönetimi hizmetlerimizi inceleyebilirsiniz.