İnternete Açık RDP Portu: Ofisinizde Beş Dakikada Nasıl Kontrol Edilir?

Şirketinizin internetten gelen bağlantıya açık bir 3389 numaralı kapısı var mı? Cevabı çoğu firma bilmiyor. Muhasebe programı için kurulan bir sunucuya “eve gidince de bakabilelim” diye üç yıl önce açılan kural, kimsenin kapatmayı düşünmediği bir kural olarak güvenlik duvarında duruyor olabilir.

Bu yazıda önce o kuralı dışarıdan nasıl göreceğinizi, sonra bulursanız ne yapacağınızı anlatıyorum. Kontrol beş dakika sürer.

RDP neden hâlâ ilk bakılan kapı?

RDP, Windows’un uzaktan masaüstü protokolü ve varsayılan olarak 3389 numaralı TCP portundan çalışıyor. Amerikan siber güvenlik kurumu CISA’nın diğer kurumlarla birlikte hazırladığı #StopRansomware kılavuzu, saldırganların ağa çoğunlukla internete açık ve zayıf korunan uzak erişim hizmetlerinden girdiğini yazıyor. Kılavuz, ağdaki RDP kullanımını denetlemeyi, kullanılmayan RDP portlarını kapatmayı, hesap kilitleme eşiği koymayı ve çok adımlı doğrulamayı zorunlu tutmayı öneriyor. LockBit ve MedusaLocker için yayımlanan CISA bültenlerinde de RDP istismarı ilk erişim yöntemleri arasında sayılıyor.

Mantık basit. Port internetten görünüyorsa botlar onu saatler içinde buluyor ve kullanıcı adı, parola denemeye başlıyor. Parolası tahmin edilen tek bir hesap, sunucuya doğrudan masaüstü erişimi demek.

Dışarıdan nasıl kontrol edilir?

Kontrolü ofisin içinden değil, dışarıdan yapmak gerekiyor. İçeriden bakınca port her zaman açık görünür.

1. Ofisin kamusal IP adresini öğrenin. Ofisteki herhangi bir bilgisayarda tarayıcıdan “IP adresim nedir” diye aratmanız yeter. Birden fazla hat varsa her biri için tekrarlayın.
2. Telefonunuzu mobil veriye alın, ofis Wi-Fi’ından çıkın. Aynı hatta olmak sonucu bozar.
3. Telefondan ya da evdeki bilgisayardan bir port tarama sitesinde 3389’u sorgulayın. Daha teknik yol: dışarıdaki bir Windows bilgisayarda PowerShell’de Test-NetConnection <ofis-ip> -Port 3389 yazın. TcpTestSucceeded : True görüyorsanız port açık demektir.
4. Başka portları da deneyin. Yöneticiler güvenlik olsun diye RDP’yi 3390, 33890 ya da 5000’li bir porta taşımayı sever. Bu güvenlik değil, bulunması biraz daha uzun süren bir kapı. Tarayıcılar bütün portları dolaşıyor.

Bir de güvenlik duvarının içinden bakın. Port yönlendirme (NAT), sanal IP ya da “virtual server” bölümünde hedefi 3389 olan her kayıt aday. Sophos, Fortinet, MikroTik ya da operatörün verdiği modem fark etmez, kural orada bir yerde yazılı.

Port açıksa ne yapılır?

Önce kuralı kapatmadan kimin kullandığını öğrenin. Aksi hâlde Pazartesi sabahı “bağlanamıyorum” diyen bir muhasebe ekibiyle uğraşırsınız. Sunucuda Olay Görüntüleyici’de Güvenlik günlüğüne bakın: 4624 numaralı başarılı girişlerde oturum türü 10 uzaktan masaüstü anlamına geliyor. 4625 ise başarısız girişler. Dışarıdan günde yüzlerce 4625 görüyorsanız saldırı denemesi zaten sürüyor.

Sonra kuralı değiştirin. Seçenekler şöyle:

Çözüm	Ne yapar	Dikkat edilecek nokta
VPN arkasına almak	RDP yalnızca VPN bağlandıktan sonra erişilir olur	VPN hesabına da çok adımlı doğrulama gerekir
Erişim kaynağını kısıtlamak	Kural yalnızca belirli IP’lerden gelen bağlantıya izin verir	Sabit IP’si olmayan evlerde pratik değil
Uzak masaüstü ağ geçidi	Tek, denetlenen bir giriş noktası	Kurulum ve sertifika yönetimi ister
Bulut tabanlı erişim (örneğin Azure Virtual Desktop ya da Entra uygulama proxy)	Sunucuyu internete hiç açmaz	Lisans ve kurulum maliyeti var

Yirmi kullanıcıya kadar olan ofislerde genelde en hızlı yol güvenlik duvarındaki VPN. Kural kapatılır, çalışanlar önce VPN’e bağlanır, sonra sunucuya girer. Bir saat içinde biter.

Kuralı kapattıktan sonra yapılacaklar

Port yıllardır açıksa kapatmak yetmez, o sürede biri içeri girmiş olabilir. Şunlara bakın:

• Sunucudaki yerel yönetici hesaplarında bilmediğiniz isim var mı?
• Zamanlanmış görevlerde ya da başlangıç klasöründe tanımadığınız bir şey var mı?
• Uç nokta koruması (EDR) sunucuda çalışıyor mu, yoksa sunucu “sonra bakarız” listesinde mi?
• Yedekler ağdan silinebilir durumda mı? Fidye yazılımı önce yedeği arar.
• Dışarıdan erişimi olan kullanıcıların parolalarını değiştirdiniz mi?

İçerideki RDP için de ağ düzeyinde kimlik doğrulamayı (NLA) açık tutun ve hesap kilitleme ilkesini kurun. Beş yanlış denemede on beş dakika kilit, kaba kuvvet denemesini ciddi biçimde yavaşlatır.

Sık sorulan sorular

RDP portunu başka numaraya taşımak işe yarar mı? Taramayı birkaç dakika geciktirir, o kadar. Hizmet açık kaldıkça aynı parola tahmini saldırısı sürer.

Parolam uzun ve karmaşık, yine de risk var mı? Var. Parola sızıntılarında başka sitelerde kullandığınız parola saldırganın listesinde olabilir. Çok adımlı doğrulama olmadan dışarıya açık hiçbir giriş güvenli sayılmaz.

Bunu kendi başıma kontrol edebilir miyim? Dışarıdan port testi ve güvenlik duvarı kurallarına bakmak için uzman gerekmiyor. Günlük analizi ve kuralın yerine kurulacak yapı için BT sorumlusu ya da hizmet aldığınız firma devreye girmeli.

Ofisinizin dışarıdan nasıl göründüğünü birlikte kontrol etmek isterseniz iletişim sayfamızdan yazabilirsiniz.