RDP Portunu İnternete Açmak Neden Tehlikeli? Uzak Masaüstü Sunucu Güvenliği
Oktay Alver · Kurucu, ADEA SistemKısaca: İnternete açık uzak masaüstü (RDP) portu, sunucuya yapılan saldırılarda en sık kullanılan giriş kapılarından biridir. Sophos'un 2023 olay müdahale vakalarında RDP, saldırıların yüzde 90'ında kötüye kullanılmış ve vakaların yüzde 65'inde ilk erişim RDP gibi dış uzaktan erişim servisleri üzerinden olmuştur. Doğru yöntem RDP'yi internete hiç açmamak, sunucuya VPN üzerinden bağlanmaktır.
RDP nedir?
RDP (Remote Desktop Protocol), Windows sunuculara uzaktan grafik arayüzle bağlanmayı sağlayan Microsoft protokolüdür. Varsayılan olarak 3389 numaralı TCP portunu kullanır. Uzak masaüstüyle çalışan muhasebe, ERP ve iş uygulamaları bu protokol üzerinden kullanılır.
Açık RDP portu neden tehlikeli?
İnternete açık bir RDP portu, dünyanın her yerinden erişilebilen bir oturum açma ekranıdır. Otomatik tarama araçları internetteki adresleri sürekli tarar ve açık RDP servislerini dakikalar içinde bulur. Ardından üç tür saldırı başlar:
- Parola deneme (brute force): Yaygın kullanıcı adları ve sızdırılmış parola listeleriyle sürekli oturum açma denemesi yapılır.
- Çalıntı kimlik bilgileri: Başka bir sızıntıda ele geçirilmiş kullanıcı adı ve parolalar doğrudan denenir.
- Güvenlik açıkları: RDP servisinde yamalanmamış bir açık varsa, parola bile gerekmeden sunucuya erişilebilir.
Saldırgan içeri girdikten sonra genellikle yetkisini yükseltir, ağdaki diğer sistemlere geçer ve sonunda fidye yazılımı çalıştırır.
Rakamlar ne söylüyor?
Sophos'un 2023 yılında müdahale ettiği 150'den fazla olayı inceleyen Active Adversary raporuna göre, saldırganlar RDP'yi saldırıların yüzde 90'ında kötüye kullanmış. RDP gibi dış uzaktan erişim servisleri, vakaların yüzde 65'inde ilk erişim yöntemi olmuş. Raporda bir müşterinin altı ay içinde dört kez, her seferinde açık RDP portu üzerinden ele geçirildiği de aktarılıyor.
Kaynak: Sophos, Active Adversary Report, Nisan 2024
Kendi honeypot ağımızda da aynı tabloyu görüyoruz: internete açılan uzak erişim servisleri, açıldıkları andan itibaren sürekli deneme trafiği alıyor. SiberKapan tehdit listelerimiz bu trafikten besleniyor.
Port değiştirmek ya da güçlü parola yeterli mi?
RDP portunu 3389 yerine başka bir numaraya almak, yalnızca varsayılan portu tarayan araçlardan kaçmayı sağlar; servis yine açıktır ve kapsamlı taramalarda bulunur. Güçlü parola ve hesap kilitleme politikası parola deneme saldırılarını zorlaştırır, ama çalıntı kimlik bilgilerine ve güvenlik açıklarına karşı koruma sağlamaz. Bunlar faydalı ek önlemlerdir, çözüm değildir.
Windows sunucuya güvenli erişim nasıl olmalı?
1. RDP portunu internete kapatın
Uzak masaüstü portu internetten erişilebilir olmamalıdır. Sunucunun önünde ayrı bir güvenlik duvarı varsa bu kural orada uygulanır.
2. Sunucuya VPN üzerinden bağlanın
Kullanıcılar önce şifreli VPN tüneline bağlanır, RDP'yi bu tünelin içinden kullanır. İnternetten bakıldığında sunucuda açık bir uzak masaüstü servisi görünmez.
3. Çok faktörlü doğrulama ve bağlantı onayı ekleyin
VPN ve RDP oturumlarında ikinci doğrulama adımı, çalıntı parolaları tek başına işe yaramaz hale getirir. Daha sıkı bir model, her bağlantının bir yöneticinin onayına bağlanmasıdır.
4. Yamaları güncel tutun ve erişimleri kayıt altına alın
İşletim sistemi güncellemeleri düzenli uygulanmalı, kimin ne zaman bağlandığı kayıt altında tutulmalıdır.
5. Yedeğiniz olsun
Bütün önlemlere rağmen bir olay yaşanırsa, sunucuyu temiz bir ana döndürebilmek için birden fazla geri dönüş noktası gerekir.
Bizim sunucularımızda nasıl?
Windows sunucularımızda RDP portu varsayılan olarak internete kapalıdır. Sunucuya pakete dahil 2 VPN kullanıcısıyla bağlanırsınız; güvenlik duvarı (FortiGate Firewall) sunucunun önünde çalışır. İsterseniz AdeGate ile her RDP bağlantısı yöneticinizin telefonuna onay isteği olarak düşer. 7 restore point yedekleme fiyata dahildir. Ayrıntılar Windows sunucu sayfamızda.