Uzak masaüstü (RDP), bir Windows bilgisayara ya da sunucuya ağ üzerinden bağlanıp onu başındaymış gibi kullanmayı sağlayan Microsoft protokolüdür. Uzaktan çalışma, sunucu yönetimi ve teknik destek için vazgeçilmezdir; ancak yanlış yapılandırıldığında kurum ağına açılan en tehlikeli kapılardan birine dönüşür. Fidye yazılımı saldırılarının önemli bir bölümü, internete açık bırakılmış ve yalnızca parolayla korunan bir RDP bağlantısından başlar.
Bu yazıda RDP’nin neden bu kadar sık hedef alındığını, saldırıların nasıl gerçekleştiğini ve uzak masaüstü erişimini güvenli hale getirmek için uygulayabileceğiniz önlemleri bulacaksınız.
RDP neden saldırganların ilk hedefi?
RDP varsayılan olarak 3389 numaralı portu kullanır. Saldırganların otomatik araçları internetteki adresleri gün boyu tarayarak bu portu açık olan sistemleri bulur. Açık bir RDP portu bulunduğunda üç yoldan biri denenir:
- Kaba kuvvet ve parola deneme: “administrator”, “admin”, “test” gibi yaygın kullanıcı adları ile sık kullanılan parolalar binlerce kez denenir.
- Sızdırılmış parolalar: Başka bir sitede ele geçirilmiş ya da oltalama ile çalınmış kullanıcı adı ve parolalar RDP girişinde denenir. Aynı parolayı birden fazla yerde kullanan çalışanlar bu yöntemin en kolay hedefidir.
- Güvenlik açıkları: Güncellenmemiş sistemlerde RDP servisindeki zafiyetler, parola bile gerekmeden sisteme erişim sağlayabilir. 2019’da duyurulan ve “BlueKeep” olarak bilinen CVE-2019-0708 açığı bunun en bilinen örneğidir.
Saldırgan içeri girdiğinde gerçek bir kullanıcı gibi oturum açmış olur. Antivirüsü kapatabilir, ağdaki diğer sunuculara geçebilir, verileri dışarı çıkarabilir ve sonunda fidye yazılımını çalıştırabilir. Bu yüzden RDP güvenliği yalnızca tek bir bilgisayarın değil, tüm ağın güvenliğidir.
RDP güvenliği için 8 önlem
1. RDP’yi doğrudan internete açmayın
En önemli kural budur. Modem ya da güvenlik duvarı üzerinde 3389 portunu (veya değiştirilmiş başka bir portu) internete yönlendirmek, sisteminizi dünyadaki tüm tarama araçlarına görünür kılar. Port numarasını değiştirmek de koruma sağlamaz; tarama araçları RDP’yi hangi portta olursa olsun tanır.
2. Uzaktan erişimi VPN üzerinden yapın
Uzaktaki çalışanlar önce şifreli bir VPN bağlantısıyla kurum ağına bağlanmalı, RDP’yi ancak bu bağlantının içinden kullanmalıdır. Böylece RDP portu internete hiç açılmaz. SSL VPN ve IPsec seçenekleri için uzaktan güvenli erişim sayfamıza bakabilirsiniz. Daha ileri bir yaklaşım için ZTNA (sıfır güven ağ erişimi) yazımız da fikir verebilir.
3. Çok faktörlü kimlik doğrulama (MFA) ekleyin
Parola ne kadar güçlü olursa olsun çalınabilir. RDP girişine ikinci bir doğrulama adımı eklendiğinde, saldırgan parolayı ele geçirse bile kullanıcının telefonundaki onay olmadan oturum açamaz. MFA, hem VPN girişinde hem de RDP ve Windows oturum açma ekranında uygulanmalıdır; VPN aşılsa bile sunuculara erişim ayrıca korunmuş olur. Konunun ayrıntıları için MFA nedir? yazımıza bakabilirsiniz.
4. Ağ Düzeyinde Kimlik Doğrulamayı (NLA) açık tutun
NLA, kullanıcının oturum ekranı açılmadan önce kimliğini doğrulamasını zorunlu kılar. Bu, sunucunun kimliği doğrulanmamış bağlantılara kaynak harcamasını önler ve bazı RDP zafiyetlerinin istismarını zorlaştırır. Windows’ta “Sistem Özellikleri → Uzak” sekmesinde Ağ Düzeyinde Kimlik Doğrulama (NLA) gerektiren seçenek işaretli olmalıdır; güncel Windows sürümlerinde bu varsayılan olarak açıktır.
5. Hesap kilitleme politikası tanımlayın
Belirli sayıda hatalı denemeden sonra hesabın geçici olarak kilitlenmesi, kaba kuvvet saldırılarını pratikte imkânsız hale getirir. Grup İlkesi’nde “Hesap Kilitleme İlkesi” altından eşik değeri ve kilit süresi belirlenebilir. Bununla birlikte güçlü ve benzersiz parolalar kullanılması da şarttır.
6. RDP yetkisini yalnızca gerekenlere verin
Her kullanıcının her sunucuya uzak masaüstüyle bağlanabilmesi gerekmez. RDP yetkisini “Remote Desktop Users” grubu üzerinden yalnızca ihtiyacı olan kişilere verin, yönetici hesaplarıyla günlük işlerde RDP kullanmaktan kaçının ve kullanılmayan hesapları kapatın. Erişimi mesai saatleriyle sınırlamak da saldırı penceresini daraltır.
7. Sistemleri güncel tutun
RDP’deki zafiyetler Microsoft’un güvenlik güncellemeleriyle kapatılır. İnternete erişimi olan ya da uzaktan bağlanılan tüm Windows sistemlerine güncellemelerin düzenli uygulanması, BlueKeep gibi parola gerektirmeyen saldırılara karşı tek gerçek korumadır.
8. Giriş denemelerini izleyin ve kısıtlayın
Windows olay günlüğünde başarısız oturum açma denemeleri 4625, başarılı oturumlar 4624 numaralı olaylarla kaydedilir. Kısa sürede çok sayıda 4625 kaydı, devam eden bir saldırının işaretidir. Güvenlik duvarında ülke bazlı erişim kontrolüyle (GeoIP) yalnızca çalıştığınız ülkelerden gelen bağlantılara izin vermek ve IDS/IPS ile kaba kuvvet denemelerini otomatik engellemek ek bir koruma katmanı sağlar.
RDP güvenlik kontrol listesi
| Kontrol | Nasıl doğrulanır? |
|---|---|
| RDP internete kapalı | Güvenlik duvarı ve modemde 3389 ya da başka bir porttan RDP’ye yönlendirme kuralı yok |
| Uzaktan erişim VPN ile | Uzaktaki kullanıcılar RDP’den önce VPN’e bağlanıyor |
| MFA etkin | VPN ve RDP girişinde parolanın yanında ikinci onay isteniyor |
| NLA açık | Sistem Özellikleri → Uzak sekmesinde NLA seçeneği işaretli |
| Hesap kilitleme var | Grup İlkesi’nde hesap kilitleme eşiği tanımlı |
| Yetkiler sınırlı | Remote Desktop Users grubunda yalnızca gerekli kullanıcılar var |
| Güncellemeler uygulanmış | Windows Update’te bekleyen güvenlik güncellemesi yok |
| Günlükler izleniyor | 4625 olayları düzenli kontrol ediliyor ya da bir log sistemine gönderiliyor |
RDP girişine MFA nasıl eklenir?
Windows’un kendisi RDP girişinde ikinci bir doğrulama adımı sunmaz; bunun için Windows oturum açma ekranına entegre olan bir MFA çözümü gerekir. PONA Teknoloji’nin geliştirdiği Sectify, Windows’a kurulan Credential Provider istemcisiyle hem yerel oturum açmaya hem de uzak masaüstü girişine ikinci faktör ekler:
- Kullanıcı RDP ile bağlanır ve her zamanki gibi kullanıcı adı ile parolasını girer.
- Parola doğruysa Sectify, kullanıcının telefonundaki Sectify uygulamasına bir push bildirimi gönderir.
- Kullanıcı bildirimi onaylarsa oturum açılır; onaylanmazsa giriş reddedilir. Parolayı ele geçiren bir saldırgan bu adımı geçemez.
Sectify ile kullanıcı, grup ya da departman bazlı MFA kuralları, çalışma saati kısıtlamaları, IP ve coğrafi konum sınırlamaları tanımlanabilir; tüm giriş denemeleri tek panelden gerçek zamanlı izlenir. Aynı platform FortiGate VPN ve yönetici girişlerine, RADIUS/LDAP destekleyen ağ cihazlarına da ikinci faktör ekler. Mevcut sistemleri yeniden kurmak gerekmez.
Sectify MFA ve SSO hakkında daha fazla bilgi alın ya da kendi ortamınızda denemek için demo talep edin.
