Uzak Masaüstü Protokolü, açıktaki bağlantı noktası 3389, zayıf parolalar ve gürültülü oturum açma telemetrisinin botlar ve düşük vasıflı aktörler için hayatı kolaylaştırması nedeniyle bir numaralı hedef olmaya devam ediyor. RDP kaba kuvvet saldırılarını nasıl önleyeceğinizi soruyorsanız kısa cevap, maruz kalmayı azaltmak, kimlik doğrulama gücünü artırmak ve günlükleri şahin gibi izlemektir. Bağlantı noktası 3389'u bir VPN veya RD Ağ Geçidinin arkasına gizleyin, her erişim noktasında MFA'yı zorunlu kılın, Ağ Düzeyinde Kimlik Doğrulamayı etkinleştirin, hesap kilitleme politikalarını 15-30 dakikalık sürelerle 5 ila 10 deneme arasında ayarlayın ve Olay Kimliği 4625 artışlarını sürekli izleyin. Saldırganlar her yıl daha hızlı tarar, tahmin eder ve yön değiştirir; bu nedenle taktik kitabınızın hayali düşüncelere değil, somut kontrollere ihtiyacı vardır.
TL;DR: Hızlı Koruma Kontrol Listesi
- Herkese açık riskleri ortadan kaldırmak için 3389 numaralı bağlantı noktasını VPN veya RD Ağ Geçidinin arkasına gizleyin
- Tüm RDP erişim noktaları için çok faktörlü kimlik doğrulamayı zorunlu kılın
- Oturum öncesi doğrulama için Ağ Düzeyinde Kimlik Doğrulamayı (NLA) etkinleştirin
- Hesap kilitlemeyi ayarlayın: 5-10 geçersiz deneme, 15-30 dakikalık süre, 15 dakikalık sıfırlama
- Windows Olay Kimlikleri 4625 (başarısız) ve 4624'ü (başarılı) sürekli izleyin
- Kaynak erişimini sınırlamak için IP izin verilenler listesine ekleme ve coğrafi engellemeyi kullanın
- Minimum uzunluğu 14+ karakter olan güçlü şifre politikasını koruyun
RDP Kaba Kuvvet Saldırıları Neden Başarılı Olur?
Açık RDP çekicidir çünkü toplu taramalarla birkaç dakika içinde bulunabilir, genellikle yerel yönetici haklarıyla çalışır ve zayıf bir parola fidye yazılımına yol açabilir. 3389 numaralı bağlantı noktası, halka açık internette bir reklam panosu reklam erişimi gibi açıkta duruyor ve otomatik araçların, oturum açma ekranlarında ustalığa ihtiyaç duymaması gerekiyor. Şifre saldırıları dramatik bir şekilde arttı Microsoft %74 artış bildirdi Yalnızca 2021'den 2022'ye. Bu nedenle, kaba kuvvet saldırılarını önlemeye yönelik herhangi bir kılavuz, her zaman 3389'u halka açık internette ifşa etmemekle başlar, ardından herhangi biri oturum açma ekranına ulaşmadan önce MFA ve kilitleme kuralları gibi katmanları ekler.
2025 ortalarında FDN3 gibi ağların son kampanyaları, büyük ölçekli şifre püskürtmenin binlerce sistemdeki SSL VPN ve RDP cihazlarını ne kadar hızlı hedefleyebileceğini gösterdi. Saldırılar, güvenlik ekiplerinin en az hazır olduğu belirli pencerelerde zirveye çıkıyor ve temeller bozulduğu için bu model tekrarlanıyor. Başarısız oturum açmalardaki ani artışlar, birçok kullanıcı adı üzerinden tekrarlanan girişimler ve farklı ülkelere atlayan IP'ler bunun belirtileridir, ancak bunları uygun bir izleme olmadan fark ettiğinizde, hasar genellikle başlamış demektir. Riskler yüksek: Verizon'un 2025 Veri İhlali Araştırmaları Raporu Tüm ihlallerin %44'ünde fidye yazılımının bulunduğunu ve RDP'nin bu saldırılar için tercih edilen giriş noktası olmaya devam ettiğini tespit ettik.
Modern uç nokta tespiti, oturum düzeyindeki RDP verilerini bir araya getirebilir, böylece müdahale ekipleri püskürtme ve dua etme düzenlerini daha erken tespit edebilir. Ancak önleme her zaman tespitten daha üstündür; bu nedenle bir sonraki bölüm, saldırıları olaya dönüşmeden durduran kontrollere odaklanmaktadır.
RDP Kaba Kuvvet Saldırıları Nasıl Önlenir: Temel Koruma Yöntemleri
En hızlı kazanımlar ağ riskindeki kesintilerden, daha güçlü oturum açma kapılarından ve yerleşik Windows politikalarından gelir. RDP kaba kuvvet saldırılarının nasıl önleneceği konusunda uzmanlaşmak, tüm bu katmanları birleştiren RDP kaba kuvvet korumasını uygulamak anlamına gelir.
Önce Açık Kapıyı Kapatın: Kamuyu Kaldırın 3389
RDP'yi bir VPN'in arkasına gizleyin veya Uzak Masaüstü Ağ Geçidini TLS şifrelemesi ile 443 numaralı bağlantı noktasına dağıtın. Bilinen IP'ler için kısa bir izin verilenler listesi ve bir ağ geçidi, her seferinde ham bağlantı noktası yönlendirmeyi geride bırakır. Bu hareket gürültüyü azaltır ve parola tahmin etme ses düzeyini önemli ölçüde azaltır. Çevre güvenlik duvarınızı internetten 3389 numaralı bağlantı noktasına doğrudan erişimi engelleyecek şekilde yapılandırın ve ardından tüm yasal trafiği güvenli ağ geçidi üzerinden yönlendirin. Saldırganlar ulaşamayacakları yere kaba kuvvet uygulayamazlar.
RDP için Çok Faktörlü Kimlik Doğrulamayı Açın
Numara eşleştirme veya donanım anahtarları içeren uygulama istemleri gibi push-spam dirençli MFA, yalnızca parola içeren izinsiz girişlerin çoğunu engeller. MFA'yı ağ geçidi düzeyinde veya sıkı dizin entegrasyonuna sahip bir RDP sağlayıcısı aracılığıyla ekleyin. Microsoft'un araştırmasına göre ele geçirilen hesapların %99'undan fazlasında MFA etkin değil; bu da size bu kontrolün neden önemli olduğu hakkında her şeyi anlatıyor. Azure AD ile Ağ İlkesi Sunucusu entegrasyonunu kullanarak RD Ağ Geçidi aracılığıyla dağıtın veya TOTP ve donanım belirteçlerini destekleyen üçüncü taraf çözümleri kullanın.
Ağ Düzeyinde Kimlik Doğrulaması Gerektir (NLA)
NLA, tam masaüstü yüklenmeden önce kimlik doğrulamayı zorlayarak başarısız oturumlardan kaynak tüketimini azaltır ve saldırı yüzeyini azaltır. Şifreli kimlik bilgisi aktarımı için NLA'yı TLS ile eşleştirin. Bu, Kimlik Bilgisi Güvenliği Destek Sağlayıcısı (CredSSP) kullanılarak doğrulamayı bağlantı sürecinin en başına kaydırır. Hakemli araştırmalara göre NLA, kimliği doğrulanmamış oturumların sunucu kaynaklarını tüketmesini önleyerek aktif saldırılar sırasında RDP gecikmesini %48 oranında azaltabilir. "Yalnızca Ağ Düzeyinde Kimlik Doğrulama çalıştıran bilgisayarlardan gelen bağlantılara izin ver"i seçerek Sistem Özellikleri, Uzak sekmesinden etkinleştirin.
Hesap Kilitleme Politikalarını Uygulayın
Robotların sonsuza kadar tahminde bulunamaması için makul eşikler ve kilitleme pencereleri ayarlayın. Bunlar klasik RDP kaba kuvvet saldırısı önleme yöntemleridir ve doğru yapılandırıldıklarında çalışmaya devam ederler. Hesap İlkeleri altında Yerel Güvenlik İlkesi (secpol.msc) aracılığıyla şu parametrelerle yapılandırın: 5-10 geçersiz deneme eşiği, 15-30 dakikalık kilitleme süresi ve 15 dakika sonra sıfırlama sayacı. Bu değerler, Windows Güvenliği önerileri ve sektör çerçeveleri de dahil olmak üzere birden fazla 2025 güvenlik temeline ilişkin fikir birliğinden kaynaklanmaktadır. Kilitlenen her hesap bir destek bildirimi oluşturduğundan, güvenliği yardım masası yüküne karşı dengeleyin.
İzin Verilenler Listelerini ve Coğrafi Sınırlamayı Kullanın
Kapıyı kimin çalabileceğini bile sınırlayın. Ülke blokları, ASN blokları ve kısa statik izin verilenler listeleri, birçok küçük ofis kurulumunda trafiği neredeyse sıfıra indirir. Bu kuralları güvenlik duvarı düzeyinde yapılandırarak hiçbir zaman iş yapmadığınız coğrafi bölgelerin tamamını engelleyin ve uzaktaki çalışanların belirli IP aralıklarına erişimi sınırlandırın. Bazı ortamlar, yalnızca iş saatlerinde RDP'ye izin veren zamana dayalı erişim denetimleri uygulayarak bunu daha da ileri götürür.
Şifreleri Sertleştirin ve Döndürün
Uzun parolalar, yönetici başına benzersiz sırlar ve bir parola yöneticisi kullanın. Bu, temel RDP kaba kuvvet korumasıdır, ancak çok fazla ihlal hala burada başlamaktadır. Grup İlkesi aracılığıyla uygulanan karmaşıklık gereksinimleriyle minimum parola uzunluğunu 14 karaktere ayarlayın. Parola ne kadar uzun olursa, otomatik araçların kaba kuvvet yöntemlerini aşması o kadar zorlaşır. Güvenliği ihlal edilmiş bir kimlik bilgisi tüm altyapınıza yayılabileceğinden, farklı yönetici hesaplarında parolaların yeniden kullanılmasından kaçının.
Windows ve RDP Yığınını Anında Güncelleyin
Bilinen RDP kusurlarını düzeltin ve güncellemeleri sunucular ve istemciler arasında yayınlayın. Eski güvenlik açıkları hala ortalıkta görünüyor ve saldırganlar daha kolay olduğu için öncelikle yama uygulanmamış sistemleri hedef alıyor. RDP altyapınızın bilinen istismarlara karşı güncel kalmasını sağlamak için Windows Update, WSUS veya Intune temellerini kullanarak düzenli bir düzeltme eki uygulama planı uygulayın.
Başarısız Oturum Açma İşlemlerini Toplayın ve Uyarın
Windows Güvenliği günlüklerini bir SIEM'e iletin, Olay Kimlikleri 4625 ve 4624'ü izleyin ve anormal hacimler, kaynak coğrafyalar ve hizmet hesabı isabetleri konusunda uyarı verin. Kaba kuvvet saldırılarının nasıl önleneceğini öğrenmek her zaman günlüklere göz kulak olmayı gerektirir çünkü reaktif tespit, önleyici kontroller başarısız olduğunda hasarı sınırlar. Bir saat içinde tek bir IP'den 10'dan fazla başarısız deneme için uyarıları yapılandırın ve RDP etkinliğini gösteren Tip 10 (uzaktan etkileşimli) ve Tip 3 (ağ) oturum açma modellerini izleyin.
Bunların her biri riski tek başına azaltır. Birlikte, gerçek baskı altında dayanabilen RDP kaba kuvvet saldırısı önleme yöntemlerini oluştururlar.
| Yöntem | Uygulama Karmaşıklığı | Nerede Yapılandırılır | Birincil Fayda |
| VPN/RD Ağ Geçidi | Orta | Güvenlik Duvarı veya RD Ağ Geçidi (bağlantı noktası 443) | Genel bağlantı noktası 3389'a maruz kalmayı ortadan kaldırır |
| Çok Faktörlü Kimlik Doğrulama | Orta | Ağ geçidi, kimlik sağlayıcı veya RDP eklentisi | Yalnızca parolayla oturum açma girişimlerini durdurur |
| Ağ Düzeyinde Kimlik Doğrulama | Düşük | Sistem Özellikleri → Uzak → NLA onay kutusu | Oturum oluşturulmadan önce kimlik doğrulama |
| Hesap Kilitleme Politikası | Düşük | secpol.msc → Account Policies → Account Lockout | Sonsuz şifre tahminini sınırlar |
| Olay Günlüğü İzleme | Orta | SIEM/EDR veya Windows Olay Görüntüleyici | Erken saldırı düzeni tespiti |
| IP İzin Verilen Listesi/Coğrafi Çit | Düşük | Güvenlik duvarı kuralları veya IPS/Coğrafya politikaları | Bağlantı kaynağı erişimini kısıtlar |
| Güçlü Şifre Politikası | Düşük | Etki Alanı GPO'su veya Yerel Güvenlik Politikası | Kaba kuvvet zorluğunu artırır |
| Düzenli Yama | Düşük | Windows Update, WSUS veya Intune | Bilinen RDP güvenlik açıklarını kapatır |
Aktif RDP Kaba Kuvvet Saldırıları Nasıl Tespit Edilir
Kontrollerden önce temel bilgilere dikkat edin. Başarısız oturum açma girişimleri için Windows Güvenlik günlüğündeki Olay Kimliği 4625'i izleyin; çünkü ani artışlar etkin saldırıları gösterir. Dakikalar içinde aynı kaynak IP'den onlarca veya yüzlerce 4625 olay gördüğünüzde, gerçek zamanlı olarak bir kaba kuvvet girişimini izliyorsunuz demektir. Kimlik doğrulama akışı Ağ Düzeyinde Kimlik Doğrulamanın benimsenmesiyle değiştiğinden, modern algılama, Tip 3 oturum açma işlemlerini (NLA yoluyla ağ kimlik doğrulaması) ve ardından Tip 10 oturum açma işlemlerini (uzaktan etkileşimli) arar.
Hedefli saldırılar yerine şifre püskürtmeye işaret eden, tek IP'den birden fazla kullanıcı adı arasındaki başarısız oturum açma modellerine dikkat edin. Coğrafi tutarsızlıklar da önemlidir. Kullanıcılarınız Kuzey Amerika'da çalışıyor ancak Doğu Avrupa veya Asya'dan giriş denemeleri görüyorsanız, bu hemen araştırmaya değer bir tehlike işaretidir. Bazı saldırganlar gerçek konumlarını gizlemek için yerleşik proxy'ler kullanır, ancak hacim ve zamanlama düzenleri yine de varlıklarını ortaya çıkarır.
Bu olayları, birden fazla sunucudaki etkinlikleri ilişkilendirebilen merkezi bir kayıt sistemine veya SIEM'e iletin. Uyarı eşiklerini ortamınızın normal kimlik doğrulama modellerine göre ayarlayın; çünkü büyük bir kuruluş için normal görünen bir durum, küçük bir işletme için şüpheli olabilir. Amaç, yalnızca hasar meydana geldikten sonra bunları belgelemek değil, kaba kuvvet saldırılarını ve bunların kalıplarını başarılı olmadan önce nasıl durduracağınızı öğrenmektir.
Devam Eden Bir RDP Kaba Kuvvet Saldırısı Nasıl Durdurulur
İzleme, tekrarlanan başarısız oturum açma işlemleri veya kimlik bilgisi spreyleri için bir uyarı tetikliyorsa, adımları sırayla uygulayın. İlk olarak, çevre güvenlik duvarında IP'yi veya aralığı engelleyerek kaynağı kontrol altına alın. Hacim yüksekse, araştırma yaparken saldırıyı yavaşlatmak için geçici hız sınırları uygulayın. Saldırının gerçek zamanlı olarak gerçekleştiğini görebildiğiniz zaman, otomatik araçların size yetişmesini beklemeyin.
İkinci olarak, hedeflenen hesabın şifresinin süresini doldurarak ve diğer hizmetlerde yeniden kullanımını kontrol ederek kimliği sabitleyin. Güvenliğin ihlal edildiğinden şüpheleniliyorsa hesabı devre dışı bırakın çünkü erişimi engellemek, ihlalden sonra temizlik yapmaktan daha iyidir. Saldırganın siz fark etmeden önce hesaba girip girmediğini belirlemek için söz konusu hesaba ilişkin son başarılı oturum açma işlemlerini inceleyin.
Üçüncüsü, erişim için RD Ağ Geçidi veya VPN'nin gerekli olduğunu doğrulayarak erişim yollarını doğrulayın ve 3389'u internete yeniden maruz bırakan hileli bağlantı noktası yönlendirmeyi kaldırın. Bazı saldırılar, birisinin aylar önce geçici bir güvenlik duvarı kuralını açıp kapatmayı unutması nedeniyle başarılı olur. Dördüncüsü, RDP oturum günlüklerini, yeni yerel yöneticileri, hizmet kurulumlarını ve zamanlanmış görevleri inceleyerek yan etkileri araştırın. EDR telemetrisi, saldırganların kısa erişim aralıkları sırasında yerleştirdiği kalıcı hareketlerin yakalanmasına yardımcı olur.
Son olarak, ayrıcalıklı hesaplarda başarısız oturum açma fırtınaları için kurallar ekleyerek algılamaları ayarlayın ve derslerin varsayılan hale gelmesi için takip için biletlemeyi tetikleyin. Bu eylemler olayları kısa tutar ve algılama uyarısı tetiklendiğinde kaba kuvvet saldırılarının hasara neden olmasının tam olarak nasıl önleneceğini gösterir.
Gelişmiş RDP Kaba Kuvvet Koruma Stratejileri
Özellikle internete bakan iş yükleri ve hareket halindeki yöneticiler için birkaç ekstra adımın karşılığını alırsınız. RD Ağ Geçidinizde veya güvenlik duvarınızda IP başına eşikler ayarlayın ve IPS imzalarını, RDP başarısız el sıkışma saldırılarıyla eşleşen şekilde ayarlayın. Bu, botların makine hızında size saldırmasını engeller ve SOC uyarılarına önceliklendirme için daha fazla bağlam sağlar. Ağ ucunda hız sınırlaması, bireysel saldırganların tüm kimlik doğrulama kaynaklarınızı tüketmesini engeller. Black Basta ve RansomHub'un da aralarında bulunduğu büyük fidye yazılımı grupları, birincil ilk erişim tekniği olarak RDP kaba kuvvetini benimsedi.
Modern EDR, yönetici çalışmasını aşamalı saldırılardan ayırmaya yardımcı olan ve ilgili ana bilgisayarlar arasında aramayı destekleyen oturum meta verileri ekler. Bu bağlam, saldırganların ortamınızda yanal olarak hareket ettiği durumlarda kalma süresini kısaltır. İzinsiz girişleri saatler ve günler içinde yakalamak arasındaki fark genellikle doğru telemetrinin doğru yerlerde bulunmasına bağlıdır.
Yüksek riskli ana bilgisayarlarda gereksiz sürücü, pano ve yazıcı yönlendirmeyi kapatın. Kolaylık özelliklerinin devre dışı bırakılması, ortamınıza veri sızdırmaya veya araçları taşımaya çalışan davetsiz misafirler için sürtünmeyi artırır. En az ayrıcalık ilkeleri ve yerel yönetici ayrımı ile eşleştirin, böylece bir hesaptan ödün vermek her şeyi devretmez. Yanal hareket yavaşlayıp sürünmeye dönüştüğünde kaba kuvvet girişimlerini durdurmak daha kolaydır.
Varsayılan 3389'u değiştirerek bağlantı noktası gizleme, belirlenen taramaları durdurmaz ancak yalnızca varsayılan bağlantı noktalarını vuran botlardan gelen gürültüyü azaltır. Bunu değiştirirseniz yine de VPN, izin verilenler listeleri ve MFA ile eşleştirin çünkü belirsizlik tek başına hedefli saldırılara karşı başarısız olur. Yeni Windows sunucularında Uzak Masaüstü ayarlarını, NLA'yı ve güvenlik duvarı kurallarını PowerShell veya CMD kullanarak yükseltilmiş bir terminalden onaylayın. Komut satırı aracılığıyla RDP'yi etkinleştirme gibi görevler, komut dosyası oluşturulduğunda ve gözden geçirildiğinde temiz ve tekrarlanabilir kalır; bu adımları değişiklik sürecinize bağlayarak sapmanın erken yakalanmasını sağlar.
RDP hijyeni, daha geniş bir uzaktan erişim hikayesinin bir parçasıdır. Sistemleri tarayıcılar veya üçüncü taraf uygulamalar üzerinden yönetiyorsanız bunları da denetleyin.Chrome Uzaktan Masaüstü güvenlik riskiörneğin, açıkta kalan 3389 kadar log gürültüsü üretebilir. Araçlar arasında iyi hijyen, RDP kaba kuvvet korumasını her alanda güçlü tutar.
Çözüm
Artık "RDP kaba kuvvet saldırıları nasıl önlenir?" sorusuna net ve katmanlı bir cevabınız var. Bir VPN veya ağ geçidiyle maruz kalmayı düşük tutun, MFA, NLA ve kilitleme politikalarıyla çıtayı yükseltin ve kimlik doğrulama günlüklerini yakından izleyin. Bu adımlar, yalnızca belgelemede değil, gerçek ortamlarda, gerçek baskı altında çalışan pratik kaba kuvvet saldırılarının önlenmesini sağlar.
Bu kontrolleri test etmek için temiz bir ortama veya uygun güvenlikli bir üretim dayanağına ihtiyacınız varsa, RDP satın al hızlı bağlantı, hızlı I/O için NVMe depolama ve uygun izleme altyapısı içeren sağlayıcılardan. Gecikmenin düşük kalması için ekibinizin konumuyla eşleşen veri merkezlerini seçin ve sağlayıcının ihtiyacınız olan güvenlik kontrollerini desteklediğinden emin olun.
Uzak Masaüstüne mi ihtiyacınız var?
99,95 çalışma süresine sahip güvenilir, yüksek performanslı RDP sunucuları. ABD, Avrupa ve Asya'daki tüm büyük şehirlere giderken masaüstünüzü yanınıza alın.
Bir RDP Sunucusu edinin
