Güvenlik Duvarı ve VPN Sertleştirme Kontrolleri

Bir KOBİ ağında internete doğrudan bakan tek cihaz genellikle güvenlik duvarıdır. Dışarıdan bakan biri için de ilk kapı orasıdır. Buna rağmen sahada karşılaştığımız tablo çoğu yerde aynı: cihaz yeni, lisansı güncel, ama yönetim paneli dışarıya açık, VPN kullanıcılarında tek bir parola var ve iki yıl önce işten ayrılan kişinin hesabı hâlâ duruyor.

Bu üçü bir aradaysa saldırganın açık aramasına gerek kalmaz. Elindeki, başka bir sızıntıdan gelmiş parola listesiyle denemeye başlar. Tutan bir giriş bulduğunda içeriye geçerli bir kullanıcı olarak girer; kayıtlarda bu, olağan bir VPN bağlantısı gibi görünür. Kimse bir alarm görmez, çünkü teknik olarak yanlış bir şey olmamıştır.

Aşağıdaki kontroller marka bağımsızdır. FortiGate, Sophos, Palo Alto, MikroTik ya da pfSense kullanıyor olmanız sonucu değiştirmez; menü adları değişir, yapılacak iş aynı kalır.

1. Yönetim arayüzünü internetten kaldırın

Cihazın yönetim arayüzü, yani web paneli ve SSH erişimi, dış bacakta açıksa dünyadaki her tarama botu onu görür. Yönetime erişim yalnızca iç ağdan ya da VPN üzerinden olmalıdır.

• WAN tarafında HTTPS ve SSH yönetimini kapatın.
• Tamamen kapatılamıyorsa kaynak adres kısıtı koyun; yalnız bilinen ofis ve teknisyen adreslerinden erişime izin verin.
• Yönetim portunu değiştirmek tek başına bir önlem değildir. Port taraması bunu dakikalar içinde bulur; port değişikliği yalnızca gürültüyü azaltır.
• Üreticinin bulut yönetim panelini kullanıyorsanız o hesabın parolası ve ikinci doğrulaması, cihazınki kadar önemlidir. Cihaza girilemeyen yerde panele giriliyor.

2. VPN'de ikinci doğrulama istisnasız olsun

Parola tek başına bir kimlik kanıtı değil. Çalışanlarınızın iş e-postasıyla açtığı hesaplar yıllar içinde farklı sitelerden sızdı; aynı parolanın VPN'de de kullanılıyor olma ihtimali düşük değil.

• Uygulama tabanlı tek kullanımlık kod ya da onay bildirimi kullanın. SMS en son tercihtir.
• İstisna bırakmayın. Yönetici hesapları, yöneticilerin hesapları ve "acil durumda lazım olur" denen hesaplar dahil. Tek bir istisna kuralın tamamını geçersiz kılar.
• Şube tüneli, kamera aktarımı gibi cihazdan cihaza bağlantılar kullanıcı hesabıyla değil, sertifikayla kurulsun.
• Mümkünse cihaz sertifikasıyla birleştirin: doğru parola, doğru kod ve tanımlı bilgisayar. Üçü birden ele geçirilmesi çok daha zordur.

3. Hesapları sayın: kim, neden, ne zamana kadar

Güvenlik duvarındaki kullanıcı listesi zamanla bir arşive dönüşür. Kimsenin silmediği hesap, kimsenin fark etmediği kapı demektir.

• İşten ayrılanların hesapları çıkış gününde kapatılmalı. Bunu insan kaynakları sürecine bağlayın; hatırlamaya bırakmayın.
• Ortak hesap kullanmayın. "Muhasebe" ya da "ofis" adında bir hesabın arkasında kimin olduğu bilinmiyorsa, bir olay sonrası kimse cevap veremez.
• Üreticinin varsayılan hesaplarını ve kurulum sırasında açılan geçici hesapları silin.
• Yönetici hesabı sayısını iki üç kişiyle sınırlayın. Herkesin yönetici olduğu ağda kimsenin sorumluluğu yoktur.
• Üç ayda bir hesap listesini gözden geçirin. Bu iş yirmi dakika sürer; ertelendiğinde yıllara yayılır.

4. Herkese her yer değil: en az yetki ve bölümleme

• VPN ile bağlanan kişi tüm ağa değil, yalnızca işini yapacağı sunuculara erişsin. Kural listesinde hedefin "hepsi" olduğu satır, aslında bir yetki değil bir varsayımdır.
• Kamera, yazıcı ve üretim cihazlarını ayrı bir VLAN'a alın. Bu cihazların yazılımı, ağdaki en geç güncellenen yazılımdır.
• Misafir Wi-Fi tamamen ayrı dursun ve şirket ağını görmesin.
• Sunucu yönetim arayüzleri (iDRAC, iLO, hipervizör paneli) kullanıcı ağından ayrılsın.

Bölümlemenin ikinci faydası fidye yazılımında ortaya çıkar: bulaşan bilgisayar tüm ağa değil, yalnızca kendi bölümüne ulaşır. Kurtarma süresini belirleyen şey çoğu zaman budur.

5. Güncelleme disiplini: takvimli ve yedekli

• Üreticinin güvenlik bültenine abone olun ve ayda bir bakım penceresi belirleyin. Güncelleme, boş bulunduğunuzda değil planladığınızda yapılır.
• Her güncellemeden önce yapılandırma yedeği alın.
• Destek süresi bitmiş cihaz için yama çıkmaz. O cihaz artık güvenlik duvarı değil, yalnızca trafiği geçiren bir kutudur.
• "Sorun çıkmasın" diye güncellemeyi ertelemek, kritik bir açık duyurulduğunda telaşla güncelleme yapmaktan daha risklidir.

6. Kayıt tutun ve uyarı kurun

• Şunlar uyarı üretmeli: arka arkaya başarısız giriş denemeleri, yeni yönetici hesabı açılması, yapılandırma değişikliği, yeni port yönlendirme, alışılmadık saatte ya da ülkeden gelen VPN girişi.
• Kayıtlar cihazın kendi diskinde değil, dışarıda tutulsun. Cihaz ele geçirilirse üzerindeki kayıtlar da silinir.
• Kimsenin bakmadığı kayıt bile değerlidir: bir olaydan sonra "ne oldu, ne zaman başladı" sorusunu yanıtlayan tek şey odur. En az altı ay saklayın.

7. Yapılandırma yedeği ve geri dönüş

• Her değişiklikten sonra yapılandırmayı dışarı alın; tarih ve değişiklik notuyla saklayın.
• Yedek dosyasını şifreli tutun. İçinde parolalar, anahtarlar ve VPN sırları vardır; düz saklanan bir yedek, güvenlik duvarının kendisinden daha değerli bir hedeftir.
• Cihaz arızasında güncel yapılandırma yedeği kesintiyi saatlerden dakikalara indirir.

On iki maddelik kontrol listesi

Kontrol	Nasıl doğrularsınız
Yönetim arayüzü dışarıya kapalı	Ofis dışından panele girmeyi deneyin; açılmamalı
Yönetim erişimi adresle kısıtlı	Kural listesinde kaynak adresler yazılı olmalı
VPN'de ikinci doğrulama zorunlu	Test hesabıyla yalnız parolayla girmeyi deneyin; reddedilmeli
İstisna hesabı yok	Kullanıcı listesinde ikinci doğrulaması olmayan kimse kalmamalı
Ayrılan personelin hesapları kapalı	Son bir yılın çıkış listesiyle karşılaştırın
Ortak ve varsayılan hesap yok	Her hesabın karşılığında bir kişi olmalı
Yönetici sayısı sınırlı	İki üç kişi; fazlası varsa gerekçesi yazılı olmalı
VPN kullanıcısı yalnız gereken sunuculara erişiyor	Kural listesinde hedef "hepsi" olmamalı
Kamera, yazıcı ve üretim cihazları ayrı VLAN'da	Ofis bilgisayarından kameraya doğrudan erişmeyi deneyin
Cihaz güncel ve destek süresi devam ediyor	Üreticinin ömür tablosunda model ve sürümü kontrol edin
Kayıtlar dışarıda tutuluyor, uyarı kurulu	Test girişinin uyarı ürettiğini görün
Yapılandırma yedeği güncel ve şifreli	Son yedeğin tarihine ve saklandığı yere bakın

Yamanlar Bilişim nasıl destek sağlar

Bu listeyi kendi ekibinizle de yürütebilirsiniz; maddelerin çoğu bir günlük iştir. Dışarıdan destek isterseniz izlediğimiz sıra şudur: mevcut güvenlik duvarı ve VPN yapılandırmasını çıkarır, yukarıdaki maddelerden hangilerinin açık olduğunu yazılı olarak raporlar, ardından sertleştirmeyi ve ikinci doğrulamayı devreye alırız. Ağ bölümleme ve kayıt düzeni ağ altyapısı kurulumu, sertleştirme ve izleme tarafı ise kurumsal siber güvenlik hizmetimizin kapsamındadır.

Sık sorulan sorular