Remote Desktop Protocol, açık 3389 portu, zayıf parolalar ve gürültülü oturum açma telemetrisi nedeniyle botların ve deneyimsiz saldırganların işini kolaylaştırdığından sürekli hedef alınır. RDP kaba kuvvet saldırılarını nasıl önleyeceğinizi soruyorsanız kısa yanıt şudur: maruziyeti azaltın, kimlik doğrulama gücünü artırın ve günlükleri yakından takip edin. 3389 portunu bir VPN veya RD Gateway arkasına alın, her erişim noktasında MFA uygulayın, Network Level Authentication'ı etkinleştirin, hesap kilitleme politikasını 5-10 başarısız deneme ve 15-30 dakikalık süre olarak ayarlayın ve Event ID 4625 artışlarını sürekli izleyin. Saldırganlar her yıl daha hızlı tarayıp tahmin ettiğinden, güvenlik planınızın somut kontrollere dayanması gerekir.
ÖZ: Hızlı Koruma Kontrol Listesi
- Kamuya açık erişimi ortadan kaldırmak için 3389 portunu VPN veya RD Gateway arkasına alın
- Tüm RDP erişim noktaları için çok faktörlü kimlik doğrulaması zorunlu kılın
- Oturum öncesi doğrulama için Network Level Authentication (NLA) özelliğini etkinleştirin
- Hesap kilitleme ayarları: 5-10 geçersiz deneme, 15-30 dakika kilitleme süresi, 15 dakika sıfırlama
- Windows Event ID 4625 (başarısız) ve 4624 (başarılı) olaylarını sürekli izleyin
- Kaynak erişimini kısıtlamak için IP izin listesi ve coğrafi engelleme kullanın
- En az 14 karakter uzunluğunda güçlü bir parola politikası uygulayın
RDP Kaba Kuvvet Saldırıları Neden Başarılı Olur
Açık RDP caziptir: kitlesel taramalar dakikalar içinde onu bulabilir, çoğu zaman yerel yönetici haklarıyla çalışır ve tek bir zayıf parola fidye yazılımına kapı aralayabilir. Port 3389, herkese açık internette adeta erişimi ilan eden bir reklam panosu gibi durur; otomatik araçlar ise giriş ekranlarını döverek ilerlemeye uzman gerektirmez. Parola saldırıları çarpıcı biçimde artmıştır: Microsoft, %74 artış bildirdi yalnızca 2021'den 2022'ye. Bu yüzden kaba kuvvet saldırılarını önlemeye dair her kılavuz, 3389'u herkese açık internete maruz bırakmamakla başlar; ardından kimse oturum açma ekranına ulaşmadan MFA ve kilitleme kuralları gibi katmanlar eklenir.
2025'in ortasında FDN3 gibi ağlardan gelen son kampanyalar, büyük ölçekli parola spreyi saldırılarının binlerce sistemde SSL VPN ve RDP cihazlarını ne kadar hızlı hedef alabildiğini gösterdi. Saldırılar, güvenlik ekiplerinin en az hazırlıklı olduğu belirli zaman dilimlerinde doruk noktasına ulaşır; temel sorunlar çözülmediği sürece bu kalıp tekrarlanmaya devam eder. Başarısız oturum açma girişimlerindeki ani artışlar, çok sayıda kullanıcı adına yönelik tekrarlayan denemeler ve ülkeden ülkeye atlayan IP adresleri bunun belirtileridir. Ancak uygun bir izleme sistemi olmadan bunları fark ettiğinizde hasar çoğunlukla başlamış olur. Tehlike büyük: Verizon'ın 2025 Veri İhlali Araştırmaları Raporu tüm ihlallerin %44'ünde fidye yazılımı tespit etti; RDP bu saldırılar için tercih edilen giriş noktası olmayı sürdürüyor.
Modern uç nokta tespiti, oturum düzeyindeki RDP verilerini bir araya getirebilir; bu sayede müdahale ekipleri saçma sapan deneme kalıplarını daha erken fark eder. Ama önleme her zaman tespiti geçer. Bu yüzden bir sonraki bölüm, saldırılar olaya dönüşmeden durduran kontrollere odaklanıyor.
RDP Kaba Kuvvet Saldırıları Nasıl Önlenir: Temel Koruma Yöntemleri
En hızlı kazanımlar; ağ maruziyetini azaltmaktan, daha güçlü oturum açma engellerinden ve yerleşik Windows politikalarından gelir. RDP kaba kuvvet saldırılarını önlemenin özü, tüm bu katmanları bir arada kullanan RDP kaba kuvvet koruması uygulamaktır.
Önce Açık Kapıyı Kapat: 3389'u Herkese Açmayı Bırak
RDP'yi bir VPN arkasına alın ya da TLS şifrelemesiyle birlikte 443 portunda Remote Desktop Gateway dağıtın. Bilinen IP'ler için kısa bir izin listesi ve bir gateway, ham port yönlendirmesini her seferinde geride bırakır. Bu adım, gürültüyü ve parola tahmin hacmini ciddi ölçüde düşürür. Çevre güvenlik duvarınızı 3389 portuna internet üzerinden doğrudan erişimi engelleyecek biçimde yapılandırın; tüm meşru trafiği güvenli gateway üzerinden yönlendirin. Saldırganlar ulaşamadıkları şeye kaba kuvvet uygulayamaz.
RDP için Çok Faktörlü Kimlik Doğrulamayı Etkinleştir
Numara eşleştirmeli uygulama bildirimleri veya donanım anahtarları gibi push-spam'e dayanıklı MFA, yalnızca parolaya dayanan izinsiz girişlerin büyük çoğunluğunu engeller. MFA'yi gateway düzeyinde veya sıkı dizin entegrasyonuna sahip bir RDP sağlayıcısı aracılığıyla ekleyin. Microsoft'un araştırmasına göre ele geçirilen hesapların %99'undan fazlasında MFA etkin değil; bu da bu kontrolün neden bu kadar önemli olduğunu açıkça ortaya koyuyor. Bunu, Azure AD ile Network Policy Server entegrasyonu kullanarak RD Gateway üzerinden ya da TOTP ve donanım token'larını destekleyen üçüncü taraf çözümlerle devreye alın.
Ağ Düzeyi Kimlik Doğrulamayı (NLA) Zorunlu Kıl
NLA, tam bir masaüstü yüklenmeden önce kimlik doğrulamayı zorlar; böylece başarısız oturumların kaynak tüketimini azaltır ve saldırı yüzeyini daraltır. NLA'yı şifrelenmiş kimlik bilgisi aktarımı için TLS ile birlikte kullanın. Bu yöntem, Credential Security Support Provider (CredSSP) kullanarak doğrulamayı bağlantı sürecinin en başına taşır. Hakemli araştırmalara göre NLA, kimliği doğrulanmamış oturumların sunucu kaynaklarını tüketmesini engelleyerek aktif saldırılar sırasında RDP gecikmesini %48 oranında azaltabilir. Sistem Özellikleri'nde Uzak sekmesinden "Yalnızca Ağ Düzeyi Kimlik Doğrulaması çalıştıran bilgisayarlardan bağlantıya izin ver" seçeneğini belirleyerek etkinleştirin.
Hesap Kilitleme Politikalarını Uygula
Botların sonsuza kadar tahmin yapmasını önlemek için makul eşikler ve kilitleme pencereleri belirleyin. Bunlar klasik RDP kaba kuvvet saldırısı önleme yöntemleridir ve doğru yapılandırıldığında hâlâ işe yarıyor. Yerel Güvenlik İlkesi'nde (secpol.msc) Hesap İlkeleri altında şu parametreleri yapılandırın: 5-10 geçersiz deneme eşiği, 15-30 dakika kilitleme süresi ve 15 dakika sonra sayacı sıfırlama. Bu değerler, Windows Güvenlik önerileri ve sektör çerçeveleri dahil olmak üzere 2025 güvenlik temel çizgilerinin ortak görüşünden alınmıştır. Güvenlik ile yardım masası yükünü dengeleyin; çünkü kilitlenmiş her hesap bir destek talebi oluşturur.
İzin Listeleri ve Coğrafi Kısıtlama Kullan
Kapıyı kimin çalabileceğini sınırlayın. Ülke engellemeleri, ASN engellemeleri ve kısa statik izin listeleri, pek çok küçük ofis ortamında trafiği neredeyse sıfıra indirir. Bu kuralları güvenlik duvarı düzeyinde yapılandırın; hiçbir zaman iş yapmadığınız coğrafi bölgelerin tamamını engelleyin ve uzak çalışanlar için belirli IP aralıklarıyla erişimi kısıtlayın. Bazı ortamlar bunu daha da ileri götürerek RDP'ye yalnızca mesai saatleri içinde izin veren zaman tabanlı erişim kontrolleri uygular.
Parola Güçlendirmesi ve Döngüsü
Uzun parola öbekleri kullanın, her yönetici hesabı için benzersiz parolalar belirleyin ve bir parola yöneticisi kullanın. Bu, temel RDP kaba kuvvet korumasıdır; ama pek çok ihlal hâlâ buradan başlıyor. Grup İlkesi aracılığıyla zorunlu kılınan karmaşıklık gereksinimleriyle birlikte minimum parola uzunluğunu 14 karakter olarak ayarlayın. Parola ne kadar uzun olursa, otomatik araçların kaba kuvvetle kırmaya çalışması o kadar zorlaşır. Farklı yönetici hesaplarında parola tekrarından kaçının; çünkü ele geçirilen tek bir kimlik bilgisi tüm altyapınıza yayılabilir.
Windows ve RDP Yığınını Zamanında Güncelle
Bilinen RDP açıklarını yamayın ve güncellemeleri sunucular ile istemcilere dağıtın. Eski zafiyetler hâlâ kullanılıyor; saldırganlar önce yama uygulanmamış sistemleri hedef alır çünkü bunlar daha kolay hedeflerdir. Windows Update, WSUS veya Intune temel çizgilerini kullanarak düzenli bir yama takvimi uygulayın; böylece RDP altyapınız bilinen açıklara karşı güncel kalır.
Başarısız Girişleri Toplayın ve Uyarı Alın
Windows Güvenlik günlüklerini bir SIEM'e iletin, Event ID 4625 ve 4624'ü izleyin; anormal hacimler, kaynak coğrafyaları ve servis hesabı erişimleri için uyarı kuralları oluşturun. Kaba kuvvet saldırılarını önlemeyi öğrenmek her zaman günlükleri takip etmeyi içerir; çünkü önleyici kontroller başarısız olduğunda reaktif tespit hasarı sınırlar. Bir saat içinde tek bir IP'den 10'dan fazla başarısız deneme için uyarı yapılandırın; RDP etkinliğine işaret eden Type 10 (uzak etkileşimli) ve Type 3 (ağ) oturum açma kalıplarını izleyin.
Bu önlemlerin her biri tek başına riski azaltır. Birlikte, gerçek baskı altında ayakta duran RDP kaba kuvvet saldırısı önleme yöntemlerini oluştururlar.
| Yöntem | Uygulama Karmaşıklığı | Nereye Yapılandırılır | Birincil Fayda |
| VPN/RD Gateway | Orta | Güvenlik Duvarı veya RD Gateway (port 443) | Genel port 3389 açığını ortadan kaldırır |
| Çok Faktörlü Kimlik Doğrulama | Orta | Gateway, kimlik sağlayıcı veya RDP eklentisi | Yalnızca parolaya dayalı giriş denemelerini engeller |
| Ağ Düzeyinde Kimlik Doğrulama | Düşük | Sistem Özellikleri → Uzak → NLA onay kutusu | Oturum oluşturulmadan önce kimlik doğrulaması |
| Hesap Kilitleme İlkesi | Düşük | secpol.msc → Account Policies → Account Lockout | Sonsuz parola tahminlerini sınırlar |
| Olay Günlüğü İzleme | Orta | SIEM/EDR veya Windows Olay Görüntüleyici | Saldırı kalıplarını erken tespit eder |
| IP İzin Listesi/Coğrafi Sınırlama | Düşük | Güvenlik duvarı kuralları veya IPS/Coğrafi politikalar | Bağlantı kaynağı erişimini kısıtlar |
| Güçlü Parola İlkesi | Düşük | Domain GPO veya Yerel Güvenlik İlkesi | Kaba kuvvet saldırılarını zorlaştırır |
| Düzenli Yamaların Uygulanması | Düşük | Windows Update, WSUS veya Intune | Bilinen RDP açıklarını kapatır |
Aktif RDP Kaba Kuvvet Saldırıları Nasıl Tespit Edilir
Kontrollere geçmeden önce temelleri gözden kaçırmayın. Başarısız oturum açma girişimleri için Windows Security günlüğündeki Event ID 4625'i izleyin; ani artışlar aktif saldırıya işaret eder. Birkaç dakika içinde aynı kaynak IP'den düzinelerce ya da yüzlerce 4625 olayı görüyorsanız, gerçek zamanlı olarak bir brute force girişimine tanıklık ediyorsunuz demektir. Modern tespit yöntemleri, Network Level Authentication'ın benimsenmesiyle kimlik doğrulama akışı değiştiğinden, Type 3 oturumlarını (NLA üzerinden ağ kimlik doğrulaması) takiben Type 10 oturumlarını (uzak etkileşimli) arar.
Tek IP adresinden birden fazla kullanıcı adına yönelik başarısız giriş desenlerine dikkat edin; bu tablo, hedefli saldırıdan çok parola spreyi olduğunu gösterir. Coğrafi tutarsızlıklar da önem taşır. Kullanıcılarınız Kuzey Amerika'da çalışıyorken Doğu Avrupa veya Asya kaynaklı giriş denemeleri görüyorsanız, bu hemen araştırmanız gereken bir uyarı işaretidir. Bazı saldırganlar gerçek konumlarını gizlemek için konut proxy'leri kullanır; ancak hacim ve zamanlama desenleri yine de varlıklarını ele verir.
Bu olayları, birden fazla sunucudaki etkinliği ilişkilendirebilecek merkezi bir kayıt sistemi veya SIEM'e iletin. Uyarı eşiklerini ortamınızın normal kimlik doğrulama desenlerine göre ayarlayın; büyük bir işletme için olağan görünen şey, küçük bir işletme için şüpheli olabilir. Amaç, brute force saldırılarını ve desenlerini başarıya ulaşmadan önce durdurmayı öğrenmektir; hasarı belgeleyen bir kayıt sistemi değil.
Devam Eden Bir RDP Brute Force Saldırısı Nasıl Durdurulur
İzleme sistemi tekrarlayan başarısız oturumlar veya kimlik bilgisi spreyi için uyarı verirse adımları sırayla uygulayın. Önce kaynağı izole edin: IP'yi veya IP aralığını çevre güvenlik duvarında engelleyin. Hacim yüksekse, araştırma süresince saldırıyı yavaşlatmak için geçici hız limitleri uygulayın. Saldırıyı gerçek zamanlı olarak görüyorsanız otomatik araçların yetişmesini beklemeyin.
İkinci olarak, kimliği sabitleyin: hedef alınan hesabın parolasını süresi dolmuş olarak işaretleyin ve diğer hizmetlerde yeniden kullanılıp kullanılmadığını kontrol edin. Ele geçirildiğinden şüpheleniliyorsa hesabı devre dışı bırakın; ihlal sonrası temizlemek yerine erişimi önlemek her zaman daha iyidir. Saldırganın fark edilmeden önce sisteme girip girmediğini anlamak için o hesabın son başarılı oturumlarını inceleyin.
Üçüncü olarak, erişim yollarını doğrulayın: erişim için RD Gateway veya VPN'nin zorunlu olduğunu onaylayın ve 3389'u internete yeniden açan sahte port yönlendirmelerini kaldırın. Bazı saldırılar, aylarca önce açılan ve kapatılmayı unutulan geçici bir güvenlik duvarı kuralı nedeniyle başarıya ulaşır. Dördüncü olarak, yan etkileri araştırın: RDP oturum günlüklerini, yeni yerel yönetici hesaplarını, servis kurulumlarını ve zamanlanmış görevleri gözden geçirin. EDR telemetrisi, saldırganların kısa erişim pencerelerinde yerleştirdiği kalıcılık mekanizmalarını yakalamaya yardımcı olur.
Son olarak tespitleri iyileştirin: ayrıcalıklı hesaplardaki başarısız oturum fırtınaları için kurallar ekleyin ve öğrenilen dersler varsayılan hale gelsin diye takip bileti oluşturun. Bu adımlar olayları kısa tutar ve uyarılar tetiklendiğinde brute force saldırılarının hasara yol açmasını engellemenin somut yolunu gösterir.
Gelişmiş RDP Brute Force Koruma Stratejileri
Özellikle internete açık iş yükleri ve hareket halindeki yöneticiler için birkaç ek adım büyük fark yaratır. RD Gateway veya güvenlik duvarında IP başına eşikler belirleyin ve RDP başarısız el sıkışma sellerini eşleştiren IPS imzalarını ayarlayın. Bu, botların makine hızında sizi zorlamasını engeller ve SOC uyarılarına önceliklendirme için daha fazla bağlam sağlar. Ağ kenarındaki hız sınırlaması, tek bir saldırganın tüm kimlik doğrulama kaynaklarınızı tüketmesini önler. Black Basta ve RansomHub dahil büyük fidye yazılımı grupları, RDP brute force'u birincil ilk erişim tekniği olarak benimsedi.
Modern EDR, yönetici çalışmasını sahte saldırılardan ayırt etmeye ve ilgili konaklar arasında tehdit avlamayı desteklemeye yarayan oturum meta verisi ekler. Bu bağlam, saldırganlar ortamınızda yanal hareket ettiğinde bekleme süresini kısaltır. Bir ihlali saatler içinde mi yoksa günler içinde mi yakaladığınız çoğu zaman doğru telemetrinin doğru yerde olmasına bağlıdır.
Yüksek riskli konaklarda gereksiz sürücü, pano ve yazıcı yönlendirmesini kapatın. Kullanıcı kolaylığı sağlayan özellikleri devre dışı bırakmak, veri sızdırmaya ya da araçları ortamınıza taşımaya çalışan saldırganlar için engel oluşturur. En az ayrıcalık ilkeleri ve yerel yönetici ayrımıyla birleştirin; böylece tek bir hesabın ele geçirilmesi her şeyi teslim etmez. Yanal hareket yavaşladığında brute force girişimlerini durdurmak çok daha kolay hale gelir.
Varsayılan 3389 portunu değiştirerek port gizleme, yalnızca varsayılan portlara bakan botlardan gelen gürültüyü azaltır; ancak kararlı taramaları durdurmaz. Portu değiştirirseniz yine de VPN, allowlist ve MFA ile birleştirin; çünkü gizleme tek başına hedefli saldırılara karşı yetersizdir. Yeni Windows sunucularda, Remote Desktop ayarlarını, NLA'yı ve güvenlik duvarı kurallarını PowerShell veya CMD kullanarak yükseltilmiş bir terminalden doğrulayın. RDP'yi komut satırı üzerinden etkinleştirmek gibi görevler, betikleştirilip incelendiğinde temiz ve tekrarlanabilir kalır; bu adımları değişiklik sürecinize bağlamak sapmaların erken yakalanmasını sağlar.
RDP hijyeni, daha geniş bir uzaktan erişim konusunun parçasıdır. Sistemleri tarayıcılar veya üçüncü taraf uygulamalar aracılığıyla yönetiyorsanız onları da denetleyin;Chrome Remote Desktop güvenlik riski, örneğin, açık bir 3389 kadar kayıt gürültüsü üretebilir. Araçlar genelinde Good hijyeni, RDP brute force korumasını her alanda güçlü tutar.
Sonuç
Artık "RDP brute force saldırıları nasıl önlenir?" sorusuna katmanlı ve net bir yanıtınız var. VPN veya gateway ile maruziyeti düşük tutun, MFA, NLA ve kilitleme politikalarıyla çıtayı yükseltin ve kimlik doğrulama günlüklerini yakından izleyin. Bu adımlar, yalnızca belgede değil gerçek ortamlarda gerçek baskı altında işe yarayan pratik bir brute force saldırısı önleme yaklaşımı oluşturur.
Bu kontrolleri test etmek için temiz bir ortama ya da güvenliği doğru yapılandırılmış bir üretim tabanına ihtiyaç duyuyorsanız, RDP satın alın hızlı bağlantı, hızlı I/O için NVMe depolama ve uygun izleme altyapısı sunan sağlayıcılardan yararlanabilirsiniz. Gecikmeyi düşük tutmak için ekibinizin konumuna yakın veri merkezleri seçin ve sağlayıcının ihtiyaç duyduğunuz güvenlik kontrollerini desteklediğinden emin olun.
Uzak Masaüstüne mi İhtiyacınız Var?
%99,95 çalışma süresiyle güvenilir, yüksek performanslı RDP sunucuları. ABD, Avrupa ve Asya'nın başlıca şehirlerinde masaüstünüzü yanınızda taşıyın.
RDP Sunucusu Edinin
