Bir Windows RDP sunucusu güçlü bir araçtır ve cazip bir hedeftir. Botlar internette açık uzak masaüstü portlarını gece gündüz tarar. Bu adımlar yaklaşık on dakika sürer ve riskin büyük kısmını ortadan kaldırır.
1. Administrator hesabı kurulumunu değiştirin
- Uzun ve benzersiz bir parola belirleyin (16 karakter veya daha fazla).
- Günlük iş için adı olan normal bir kullanıcı oluşturun ve yapabiliyorsanız yerleşik Administrator hesabını yeniden adlandırın veya devre dışı bırakın.
- Bir parola yöneticisi kullanın. Başka bir siteden parolayı asla yeniden kullanmayın.
2. Ağ Düzeyinde Kimlik Doğrulamayı (NLA) açın
System Properties, Remote bölümünü açın ve "Allow connections only from computers running Remote Desktop with Network Level Authentication" seçeneğinin işaretli olduğundan emin olun. NLA, tam bir oturum oluşturulmadan önce istemcinin kimlik doğrulamasını sağlar; bu da bir saldırı sınıfının tamamını engeller.
3. Kimin bağlanabileceğini sınırlayın
Tek başına en güçlü adım, 3389 numaralı porta yalnızca kendi IP adresinizden izin veren bir güvenlik duvarı kuralıdır.
New-NetFirewallRule -DisplayName "RDP from my IP" -Direction Inbound `
-Protocol TCP -LocalPort 3389 -RemoteAddress 203.0.113.10 -Action AllowÖrnek adresi kendinizinkiyle değiştirin ve "Remote Desktop - User Mode (TCP-In)" için varsayılan geniş kuralı devre dışı bırakın. IP'niz sık değişiyorsa sabit adresli bir VPN kullanın ve yalnızca ona izin verin.
4. Parola tahminini durdurun
Bir hesap kilitleme ilkesi belirleyin: Local Security Policy, Account Policies, Account Lockout Policy. 5 başarısız denemeden sonra bir hesabı 15 dakika kilitlemek kaba kuvvet saldırılarını uygulanamaz hale getirir.
5. Windows'u güncel tutun
Güncellemeleri, özellikle Remote Desktop Services için, gecikmeden kurun. En kötü RDP açıklarının birkaçı, saldırganlar onları yaygın biçimde kullanmadan çok önce aylık güncellemelerle kapatılmıştı.
6. İsteğe bağlı: portu değiştirin
RDP'yi 3389'dan başka porta taşımak sıradan botların yarattığı günlük gürültüsünü azaltır, ama kararlı bir tarayıcıyı durdurmaz. Bunu küçük bir ek olarak görün, yukarıdaki adımların yerine asla koymayın. Değiştirirseniz yeni portu güvenlik duvarında açmayı unutmayın.
7. Günlüklerinizi kontrol edin
Event Viewer'ı açın, Windows Logs, Security bölümünde 4625 olay kimliğini (başarısız oturum açma) arayın. Tek bir adresten gelen yüzlerce başarısızlık, birinin parola tahmin ettiği anlamına gelir. O adresi engelleyin ve 3. adımı gözden geçirin.
İyi alışkanlıklar
- Güvendiğiniz bir sunucuda web'de gezinmeyin veya e-posta eklerini açmayın.
- Defender'ı açık ve güncel tutun.
- İşiniz bittiğinde bağlantıyı kesin (yalnızca pencereyi kapatmayın) ve kullanılmayan oturumlardan çıkış yapın.
- Önemli dosyaları sunucu dışında yedekleyin.