Uzak masaüstünü (RDP) internete açmak neden riskli? VPN ve MFA ile güvenli erişim

Uzaktan çalışmak ya da ticari programa evden bakmak için en hızlı yol genelde modemde 3389 portunu sunucuya yönlendirmektir. Çalışır, ama uzak masaüstünü (RDP) internete açmak, sunucunuzu dünyadaki tüm otomatik tarayıcıların hedefi haline getirir. Bu yazıda riskin ne olduğunu, açık bir RDP'yi nasıl fark edeceğinizi ve aynı işi VPN ve iki aşamalı doğrulama (MFA) ile nasıl güvenli yapacağınızı anlatıyoruz.

RDP'yi doğrudan internete açınca ne oluyor?

İnternette sürekli dolaşan tarama araçları, açık 3389 portu bulduğu adresleri listeye ekler. Ardından otomatik şifre denemeleri başlar: "administrator", "admin", "muhasebe", "user1" gibi yaygın kullanıcı adlarına, sızdırılmış şifre listelerinden binlerce deneme yapılır. Bu denemeler gece gündüz sürer ve kimse bir şey fark etmez.

Zayıf bir şifre bulunduğunda saldırgan sunucuya sizin gibi bağlanır. Sahada sık gördüğümüz senaryo şudur: içeri giren kişi önce yedeklerin nerede olduğuna bakar, erişebildiği yedekleri siler, ardından fidye yazılımını çalıştırır. Ticari programın veritabanı, ortak klasörler ve ağdan erişilen her şey şifrelenir.

Şifre güçlü olsa bile risk bitmez. RDP servisinde zaman zaman güvenlik açıkları yayınlanır; güncelleme gecikmişse şifre bilinmeden de içeri girmek mümkün olabilir.

Sunucunuzda RDP dışarıya açık mı? Nasıl kontrol edilir

• Modem/firewall ayarı: Port yönlendirme (NAT, sanal sunucu) listesinde 3389 veya sunucunun iç IP adresine giden başka bir port var mı bakın.
• Olay günlüğü: Sunucuda eventvwr.msc ile Olay Görüntüleyicisi'ni açın, Windows Günlükleri > Güvenlik bölümünde 4625 numaralı olayları filtreleyin. Tanımadığınız IP adreslerinden yüzlerce başarısız deneme görüyorsanız RDP dışarıya açıktır.
• Dışarıdan test: Ofis dışındaki bir internetten (ör. telefonun hotspot'u) ofisin dış IP adresine uzak masaüstü ile bağlanmayı deneyin. Oturum açma ekranı geliyorsa, herkese geliyor demektir.

Doğru yöntem: önce VPN, sonra uzak masaüstü

Güvenli kurguda internetten görünen kapı uzak masaüstü değil, VPN'dir. Kullanıcı önce VPN ile ofis ağına bağlanır; bağlandıktan sonra bilgisayarı sanki ofisteymiş gibi iç IP adresi üzerinden sunucuya uzak masaüstü açar. Modemde ya da firewall'da 3389 yönlendirmesi tamamen kaldırılır.

VPN seçenekleri

• Firewall üzerindeki SSL VPN veya IPsec: Ofiste bir firewall varsa en temiz yol budur. Kullanıcı tanımı, erişim saatleri ve hangi sunuculara gidebileceği firewall'dan yönetilir, kayıtlar orada tutulur.
• WireGuard veya OpenVPN: Firewall yoksa ayrı bir küçük sunucu ya da destekleyen bir router üzerinde kurulabilir. Hafif ve hızlıdır.
• Uzak Masaüstü Ağ Geçidi (RD Gateway): Windows Server rolüdür; RDP trafiğini HTTPS üzerinden taşır. Doğru kurulup MFA ile birleştirilirse kullanılabilir, ama küçük ofislerde VPN genelde daha basittir.

Firewall'un modemden farkını ve küçük ofiste neden gerekli olduğunu KOBİ'ler için firewall yazımızda ayrıca anlattık.

İki aşamalı doğrulama (MFA) neden şart?

VPN'i şifreyle korumak, RDP'yi şifreyle korumaktan daha iyidir ama tek başına yetmez. Kullanıcı şifresi bir oltalama e-postasıyla veya başka bir sitede sızdırılarak ele geçerse, VPN o kişiyi ağın içine alır. MFA ile şifreye ek olarak telefondaki doğrulama uygulamasının ürettiği tek kullanımlık kod da istenir.

• Firewall'unuzun VPN'i için MFA desteği olup olmadığına bakın; çoğu kurumsal üründe TOTP (Google Authenticator, Microsoft Authenticator gibi uygulamalarla çalışan) destek bulunur.
• SMS ile kod göndermek hiç yoktan iyidir, ama uygulama tabanlı kod daha sağlamdır.
• MFA'yı sadece yöneticilere değil, VPN kullanan herkese uygulayın. Saldırganlar çoğu zaman en az yetkili hesaptan girip içeride yetki yükseltir.

VPN arkasındaki RDP için ek önlemler

VPN dış kapıyı kapatır, ama içeride de düzen gerekir:

1. Ağ Düzeyinde Kimlik Doğrulama (NLA) açık olsun. Sistem Özellikleri > Uzak sekmesinde "Yalnızca Ağ Düzeyinde Kimlik Doğrulamalı Uzak Masaüstü çalıştıran bilgisayarlardan bağlantılara izin ver" seçili olmalı.
2. Hesap kilitleme ilkesi: Belirli sayıda hatalı denemeden sonra hesap bir süre kilitlensin.
3. Uzak masaüstü yetkisini sınırlayın: "Remote Desktop Users" grubunda sadece gerçekten bağlanması gereken kişiler olsun; "Administrator" adlı hesabı uzak bağlantı için kullanmayın.
4. VPN kullanıcısını sadece gerekli sunucuya yönlendirin: Muhasebecinin VPN hesabı tüm ağa değil, sadece ticari program sunucusuna erişsin.
5. Güncellemeler: Sunucu ve firewall yazılımı güncel tutulmalı. Güncellemeden sonra uzak masaüstünde "CredSSP" hatası alırsanız CredSSP hatası çözüm yazımıza bakabilirsiniz.

Evdeki bilgisayar da işin parçası

VPN ile ofise bağlanan bilgisayar, bağlı olduğu süre boyunca ağınızın bir parçası olur. Çocukların oyun oynadığı, güncellemeleri aylardır yapılmamış ya da korsan yazılım yüklü bir ev bilgisayarı, VPN tünelinden içeri zararlı yazılım taşıyabilir. Mümkünse uzaktan çalışan personele iş için ayrı bir dizüstü bilgisayar verin. Bu mümkün değilse en azından işletim sisteminin güncel, güvenlik yazılımının açık olduğundan ve kullanıcının bilgisayarda yönetici olmadan çalıştığından emin olun. Firewall'unuz destekliyorsa VPN bağlantısı sırasında istemcinin güvenlik durumunu kontrol eden özellikleri de açabilirsiniz. Personel işten ayrıldığında evdeki bilgisayarında kalan VPN profilini ve kayıtlı şifreleri silmeyi de ayrılış rutininize ekleyin; hesabı kapatmak asıl önlemdir ama iz bırakmamak da önemlidir.

Ne zaman bir teknisyene gösterilmeli?

Olay günlüğünde başarılı oturum açma kayıtları (4624) arasında tanımadığınız IP adresleri veya mesai dışı saatler görüyorsanız, kendi başınıza müdahale etmeden önce sunucuyu ağdan ayırıp destek alın. İçeri girilmiş bir sistemde sadece şifre değiştirmek yetmez; saldırganın bıraktığı kullanıcıları, zamanlanmış görevleri ve uzaktan erişim araçlarını bulmak gerekir.

VPN, MFA ve firewall kurgusunu network güvenliği kapsamında, sunucu tarafındaki sıkılaştırmayı sunucu bakım hizmetimiz içinde yapıyoruz. Sunucunuzun dışarıya açık olup olmadığından emin değilseniz 0 356 214 70 65'ten arayın, birlikte bakalım.