Uzak masaüstü internete açık olan her sunucu, açıldıktan birkaç dakika sonra botlardan oturum açma denemeleri almaya başlar. Bu size yönelik bir saldırı değildir: botlar milyonlarca IP adresini dener. Bu önlemlerle hiçbir şansları kalmaz.
1. Tahmin edilemeyen bir şifre
İlk ve en koruyucu önlem: 16 karakter veya daha uzun, sözlükte bulunan kelimeler içermeyen ve başka hiçbir yerde kullanmadığınız bir şifre. Bir şifre yöneticisi bu şifreyi sizin için oluşturur ve hatırlar.
2. Kimin denediğine bakın
Son 24 saatte en çok başarısız deneme yapan IP adresleri (yönetici olarak açılmış PowerShell'de):
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} |
ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, NameYüzlerce, hatta binlerce deneme görüyorsanız bu, açık bir 3389 portu için normaldir. Önemli olan hiçbirinin başarılı olmamasıdır.
3. Birkaç başarısız denemeden sonra kilitleme
net accounts /lockoutthreshold:10 /lockoutduration:15 /lockoutwindow:1510 başarısız denemeden sonra ilgili hesap 15 dakika boyunca kilitlenir. Dikkat: Windows Server 2022'de yerleşik Administrator hesabı varsayılan olarak kilitlenmez (kendi sunucunuzun dışında asla kalmamanız için); bu yüzden bu ayar daha çok diğer kullanıcıları korur. 1. maddedeki şifrenin en önemli önlem olmasının nedeni budur.
4. Sabit IP adresiniz varsa yalnızca kendi adresinize izin verin
En güçlü önlem budur: uzak masaüstü yalnızca sizin bağlantınıza yanıt verir.
# 198.51.100.7 yerine kendi genel IP adresinizi yazın ("IP adresim nedir" sitelerinden herhangi birinde görebilirsiniz)
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Set-NetFirewallRule -RemoteAddress 198.51.100.7Portu değiştirip yeni kurallar oluşturduysanız aynısını onlara da Set-NetFirewallRule -DisplayName "Uzak masaüstü TCP 50000" -RemoteAddress 198.51.100.7 ile uygulayın. Ev IP adresiniz değişirse dışarıda kalırsınız: VNC konsolu üzerinden girin ve erişimi -RemoteAddress Any ile yeniden açın.
5. Portu değiştirin
Uzak masaüstünü başka bir porta taşımak, otomatik denemelerin çoğunu ortadan kaldırır. Bunu uzak masaüstü portunu değiştirme rehberinde anlatıyoruz.
Yapılmaması gerekenler
- Administrator hesabının adını değiştirmeyin: panel, şifreyi sıfırlamak için bu hesabı kullanır.
- NLA'yı devre dışı bırakmayın (Network Level Authentication, ağ düzeyinde kimlik doğrulama): varsayılan olarak etkindir ve birçok saldırıyı oturum açma ekranına ulaşmadan durdurur.
- Kullanıcınızı paylaşmayın: her kişi için ayrı bir kullanıcı oluşturun.