Uzak Masaüstü (RDP) güvenliği: 3389 portunu internete açmanın riskleri

Windows sunucuya veya ofis bilgisayarına dışarıdan bağlanmanın en kolay yolu Uzak Masaüstü'dür (RDP). En tehlikeli yolu da odur: internete doğrudan açık RDP, fidye yazılımı saldırılarının en bilinen giriş kapılarından biridir.

Neden bu kadar riskli?

• İnternetteki botlar açık RDP portlarını sürekli tarar ve binlerce kullanıcı adı/şifre denemesi yapar.
• Administrator, admin, user gibi tahmin edilebilir hesaplar ve zayıf şifreler dakikalar içinde bulunabilir.
• İçeri giren saldırgan genellikle hemen bir şey yapmaz; yedekleri bulur, siler, sonra verileri şifreler.

Sunucunda saldırı olup olmadığını görmek için Olay Görüntüleyicisi → Windows Günlükleri → Güvenlik bölümünde 4625 (başarısız oturum açma) olaylarına bak. Port açıksa büyük ihtimalle yüzlercesini göreceksin.

En iyi çözüm: RDP'yi internete hiç açma

Uzak Masaüstü'nü sadece şu yollardan biriyle kullan:

• VPN: Önce şirket ağına VPN ile bağlan, sonra RDP yap. RDP portu dışarıya kapalı kalır. Kendi sunucunda WireGuard gibi hafif çözümler kurulabilir.
• Uzak Masaüstü Ağ Geçidi (RD Gateway): RDP trafiğini HTTPS üzerinden ve ek kimlik doğrulamayla geçirir.
• Sıfır güven (zero trust) erişim araçları: Bağlantıyı bir kimlik sağlayıcısı üzerinden yetkilendiren hizmetler.

Mutlaka açık kalacaksa: zorunlu önlemler

1. IP kısıtlaması: Windows Defender Güvenlik Duvarı'nda RDP kuralını aç, Kapsam sekmesinde sadece kendi sabit IP adreslerine izin ver. Tek başına en etkili önlem budur.
2. Ağ Düzeyinde Kimlik Doğrulama (NLA): Açık olsun. Bağlantı, oturum ekranı açılmadan önce doğrulanır.
3. Hesap kilitleme ilkesi: secpol.msc → Hesap İlkeleri → Hesap Kilitleme İlkesi. Örneğin 10 başarısız denemede 15 dakika kilit.
4. Güçlü ve benzersiz şifre: En az 14-16 karakter. Administrator hesabını yeniden adlandır veya devre dışı bırakıp ayrı bir yönetici hesabı kullan.
5. Sadece gerekli kullanıcılar: "Uzak Masaüstü Kullanıcıları" grubunda sadece gerçekten bağlanması gerekenler olsun.
6. Güncellemeler: RDP ile ilgili ciddi açıklar geçmişte birçok kez yayımlandı. Windows güncellemelerini erteleme.
7. İki adımlı doğrulama: RDP için ek doğrulama sağlayan çözümler mevcut.

Port değiştirmek işe yarar mı?

3389 yerine başka bir port kullanmak, otomatik taramaların bir kısmını azaltır ve günlükleri temizler. Ama güvenlik önlemi değildir: port taraması birkaç dakikada yeni portu bulur. Yukarıdaki önlemlerin yerine değil, yanında düşün.

Yedekleri unutma

Fidye yazılımı saldırganları önce yedeklere ulaşmaya çalışır. Yedekler:

• Aynı sunucuda veya aynı ağ paylaşımında olmamalı,
• Sunucudaki hesap tarafından silinemeyecek şekilde saklanmalı (yedek sunucusunun veriyi çekmesi, değiştirilemez depolama),
• Düzenli olarak geri yükleme testinden geçmeli.

Şüpheli bir giriş görürsen

Başarılı bir giriş (olay 4624, oturum türü 10 = uzak etkileşimli) tanımadığın bir IP'den geldiyse sunucuyu ağdan ayır, şifreleri temiz bir cihazdan değiştir ve olay müdahalesi için bir uzmandan destek al. Saldırgan içerideyse sadece şifre değiştirmek çoğu zaman yeterli olmaz.