MFA Nedir? VPN ve RDP Bağlantılarında Çok Faktörlü Doğrulama

Uzaktan çalışma modelinin yayginlasmasi, VPN ve RDP gibi uzak erişim yontemlerini kurumsal altyapilarin vazgeçilmez bir parçası haline getirdi. Ancak bu erişim noktalarini yalnızca kullanıcı adı ve parola ile korumak, günümüz tehdit ortamında yeterli değil. Çok Faktörlü Kimlik Doğrulama (MFA) bu noktada devreye giriyor.

1. MFA (Çok Faktörlü Kimlik Doğrulama) Nedir?

MFA, bir kullanıcının kimliğini doğrulamak için en az iki bagimsiz faktoru bir arada kullanan güvenlik yöntemidir. Bu faktörler üç temel kategoride değerlendirilir:

• Bildiginiz bir şey: Parola, PIN kodu
• Sahip olduğunuz bir şey: Cep telefonu (SMS OTP), e-posta hesabı, donanım anahtari
• Size özgü bir şey: Parmak izi, yuz tanıma gibi biyometrik veriler

Tek faktörlü dogrulamada saldirgan yalnızca parolayi ele gecirmekle sisteme erisebilirken, MFA etkinlestirildiginde ikinci bir doğrulama adımını daha gecmesi gerekir. Bu da yetkisiz erişimlerin önüne büyük ölçüde geçer.

2. MFA Neden Bu Kadar Önemli?

Kurumsal ağlara yönelik saldırıların büyük çoğunluğu, ele geçirilmiş kimlik bilgileri üzerinden gerçekleşir. En yaygın saldırı vektorleri şunlardır:

• Brute Force: Otomatik araçlarla milyonlarca parola kombinasyonunun denenmesi.
• Credential Stuffing: Daha önce sizdirilmis parola veritabanlarinin farklı sistemlerde kullanılması.
• Phishing: Sahte e-posta veya web sayfalari aracılığıyla kullanıcıların parolalarinin calimasi.

Özellikle VPN ve RDP gibi doğrudan iç ağa erişim sağlayan servislerde MFA kullanmamak, kurumsal altyapının en zayıf halkasini oluşturur.

3. VPN MFA — FortiGate SSL VPN ve IPSec VPN Koruması

VPN bağlantılarında MFA uygulaması, uzaktan çalışan personelin şirket ağına güvenli erişimini sağlamanın en etkili yollarından biridir. Özellikle FortiGate cihazlarda SSL VPN ve IPSec VPN tunelleri yoğun olarak kullanılır.

MFA ile VPN Erişim Akışı

1. Kullanıcı VPN istemcisine kullanıcı adı ve parolasini girer.
2. Sistem, kullanıcının cep telefonuna veya e-posta adresine tek kullanımlık bir doğrulama kodu (OTP) gönderir.
3. Kullanıcı bu kodu VPN istemcisindeki ikinci doğrulama alanına girer.
4. Her iki faktor de doğrulandıktan sonra VPN tuneli oluşturulur.

4. RDP MFA — Uzak Masaüstü Bağlantılarında Güvenlik

Uzak Masaüstü Protokolü (RDP), sistem yöneticileri ve uzaktan çalışan ekipler için kritik bir erişim aracıdır. Ancak RDP, saldırganlar için de en cazip hedeflerden biridir. İnternete açık RDP portlari, sürekli olarak otomatik brute force saldırılarına maruz kalır.

RDP MFA uygulamasinda kullanıcı, Windows oturumunu acmadan önce ek bir doğrulama adimi geçer. Bu doğrulama sunucu tarafında gerçekleştirilir ve kullanıcıya SMS veya e-posta ile gönderilen tek kullanımlık kodun girilmesi istenir. Böylece parola calinsaniyor olsa bile yetkisiz erişim engellenir.

RDP MFA Avantajları

• İnternete açık RDP bağlantı noktalarinda brute force saldırılarına karşı koruma
• Fidye yazılımı saldırıları için en yaygın giriş noktasının guclenmesi
• Kullanıcı bazinda erişim takibi ve denetim imkanı
• KVKK ve kurumsal uyumluluk gereksinimlerinin karşılanması

5. SMS OTP Nasıl Çalışır?

SMS OTP (Tek Kullanimlik Parola), kullanıcının cep telefonuna kısa mesaj ile gönderilen, belirli bir süre geçerli olan sayısal koddur. Doğrulama süreci şu şekilde isler:

1. Kullanıcı ilk kimlik doğrulama adımını (parola) basariyla geçer.
2. Sistem, tanimli SMS sağlayıcısına bir HTTP GET isteği gönderir.
3. SMS sağlayıcısı, kullanıcının telefonuna OTP kodunu iletir.
4. Kullanıcı bu kodu belirli süre içinde sisteme girer ve erişim sağlanır.

6. E-posta OTP ile Doğrulama

SMS OTP'nin yanında, e-posta tabanlı OTP de etkili bir ikinci faktor olarak kullanılabilir. Özellikle kurumsal e-posta altyapısı olan organizasyonlar için ek maliyet olusturmadan MFA uygulaması yapmak mümkündür.

E-posta OTP'de doğrulama kodu kullanıcının tanimli e-posta adresine gönderilir. Kullanıcı gelen kodu ilgili doğrulama ekranina girerek işlemini tamamlar. Bu yöntem özellikle SMS maliyetini düşük tutmak isteyen kurumlar ve yurt dışında bulunan çalışanlar için tercih edilir.

7. MFA Loglarının Saklanması ve Denetim

MFA kullaniminda yalnızca erişimi guclendirmek değil, tüm doğrulama işlemlerini kayıt altına almak da büyük önem taşır. Denetim ve uyumluluk açısından şu bilgiler saklanmalıdır:

• Doğrulama isteginde bulunan kullanıcı bilgisi
• Doğrulama yöntemi (SMS OTP veya e-posta OTP)
• Doğrulama sonucu (başarılı veya başarısız)
• Islem zamanı ve kaynak IP adresi
• Başarısız denemelerin sayısı ve zamanlari

Bu loglar hem iç denetim süreçlerinde hem de olası güvenlik olaylarinin arastirilmasinda kritik veri kaynağı oluşturur. Özellikle 5651 sayılı Kanun ve KVKK gereksinimleri çerçevesinde, erişim loglarının belirli surelerle saklanması zorunludur.

8. Kurumsal Ortamda MFA En İyi Uygulamaları

MFA yapılandırmasını kurumsal ortamda en verimli şekilde kullanmak için aşağıdaki uygulamaları dikkate alin:

• Tüm uzak erişim noktalarini kapsamına alin: VPN, RDP, web tabanlı uygulamalar ve yönetim panelleri dahil tüm erişim noktalarinda MFA aktif edilmelidir.
• OTP kodlarinin gecerlilik süresini kisitlayin: Kodlar 60 ile 120 saniye arasında geçerli olmalıdır. Uzun süreli kodlar güvenlik riski oluşturur.
• Başarısız denemeleri sinirlandin: Ust uste belirli sayıda hatalı OTP girisinde hesap geçici olarak kilitlenmelidir.
• Logları merkezi olarak toplayin: Tüm MFA islemlerine ait logları tek bir noktada saklayarak denetimi kolaylastirin.
• Kullanıcıları bilgilendirin: MFA neden kullanildigini, OTP kodlarini kimseyle paylasmamasi gerektiğini calisanlara aciklayin.
• Yedek doğrulama yöntemi tanımlayın: SMS OTP'nin yani sıra e-posta OTP gibi alternatif bir yöntem de tanimli olmalıdır.

9. Subgate Network ile MFA Kurulumu

Subgate Network, VPN ve RDP bağlantılarında MFA uygulamasini kolaylaştıran, merkezi bir yönetim paneli üzerinden tüm süreci kontrol etmenizi sağlayan yerli bir çözüm sunar.

RADIUS protokolü üzerinden çalışan MFA modülü, mevcut FortiGate, pfSense, MikroTik ve diğer firewall yapilandirmalariyla uyumludur. SMS OTP için HTTP GET destekleyen tüm sağlayıcılar, e-posta OTP için ise kurumsal SMTP sunucunuz doğrudan kullanılabilir.

Tüm doğrulama işlemleri otomatik olarak loglanır, raporlanır ve denetim için saklanır. Tek bir panelden VPN MFA, RDP MFA, kullanıcı yönetimi ve log takibi işlemlerini yurutebilirsiniz.