Uzak masaüstü protokolü, sunuculara ve iş istasyonlarına grafik arayüzle uzaktan erişim sağlar. Yönetim kolaylığı nedeniyle yaygın kullanılır ancak internete açıldığında en sık hedef alınan servislerden biri hâline gelir. Fidye yazılımı operasyonlarının önemli bir bölümü bu yolla başlamıştır. Bu nedenle erişimin doğrudan internete açılması kabul edilemez. Erişim mutlaka bir aracı katman üzerinden verilmelidir. Bu kural politikada yer almalıdır.

Riskin kaynağı iki yönlüdür. Birincisi kimlik bilgisi denemeleridir; zayıf parolalar kısa sürede bulunur. İkincisi protokol zafiyetleridir; geçmişte kimlik doğrulama öncesi sömürülebilen kritik açıklar yayımlanmıştır. İki risk de dışa açık erişimde çok daha yüksektir. Kısıtlama her iki riski birden azaltır. Öncelik buradadır.

RDP Güvenliği Nedir?

RDP güvenliği, uzak masaüstü erişiminin yetkisiz kullanıma kapatılması, güçlü kimlik doğrulamayla korunması ve izlenmesi için alınan önlemlerin bütünüdür.

Korumanın temeli erişim kısıtlamasıdır. Servisin internetten doğrudan erişilebilir olmaması sağlanır; erişim bir sanal özel ağ ya da erişim aracısı üzerinden verilir. Bu tasarım, hem kimlik denemelerini hem protokol zafiyetlerini büyük ölçüde etkisiz kılar. Uygulaması basittir. Etkisi kanıtlanmıştır. Öncelikli adımdır.

Alınması Gereken Önlemler

İlk önlem, ağ düzeyinde kimlik doğrulamanın zorunlu kılınmasıdır. Bu ayar, oturum açılmadan önce kimlik doğrulaması yapılmasını sağlar ve kimlik doğrulama öncesi zafiyetlere karşı koruma üretir. Ayar çoğu sürümde mevcuttur. Etkinleştirilmesi önerilir. Eski istemcilerde uyumluluk kontrol edilir.

İkinci önlem, çok faktörlü doğrulamadır. Erişim aracısı üzerinden verilen erişimlerde bu kontrol uygulanabilir. Böylece çalınan bir parola tek başına yeterli olmaz. Çok faktörlü kimlik doğrulama bu senaryoda belirleyicidir. Uygulaması aracı katmanda yapılır. Kapsam eksiksiz olmalıdır.

Üçüncü önlem, hesap kilitleme ve kaynak kısıtlamasıdır. Başarısız deneme sayısının sınırlanması ve erişimin belirli adreslerle kısıtlanması saldırı yüzeyini daraltır. Ayrıca yönetici hesaplarıyla doğrudan erişim engellenmelidir. Bu ayarlar merkezî politikayla uygulanır. Denetim yapılır. Sapmalar düzeltilir.

• İnternete doğrudan açılmaması
• Ağ düzeyinde kimlik doğrulamanın zorunlu kılınması
• Çok faktörlü doğrulamanın uygulanması
• Kaynak adres kısıtlaması
• Oturum kayıtlarının toplanması ve izlenmesi

İzleme ve Tespit

Başarısız giriş denemelerinin izlenmesi temel bir tespit kaynağıdır. Kısa sürede çok sayıda deneme, kaba kuvvet girişimini gösterir. Bu kural kolayca yazılır ve yanlış pozitif oranı düşüktür. Ayrıca olağandışı saatlerde ve konumlardan yapılan başarılı girişler incelenmelidir. Bu örüntü, ele geçirme göstergesidir. Uyarı üretilir.

Yeni oturum açan hesapların davranışı da izlenir. Uzak masaüstü oturumu sonrası başlatılan olağandışı süreçler, yanal hareket işareti olabilir. Yanal hareket tespiti bu kayıtları kullanır. Süreç oluşturma kayıtları gereklidir. Yapılandırma kontrol edilir.

Ağ Geçidi ve Aracı Kullanımı

Doğrudan erişim yerine bir ağ geçidi kullanılması önerilen yaklaşımdır. Ağ geçidi, kimlik doğrulamayı merkezîleştirir ve tek bir noktada denetim sağlar. Ayrıca oturum kaydı ve ek doğrulama bu katmanda uygulanabilir. Arka uçtaki sistemler doğrudan erişilebilir olmaktan çıkar. Bu tasarım, saldırı yüzeyini belirgin biçimde daraltır. Uygulaması yaygındır.

Ağ geçidinin kendisi de sıkılaştırılmalıdır. Dışa açık olduğu için öncelikli hedeftir. Yazılım güncel tutulmalı, gereksiz özellikler kapatılmalı ve erişim kısıtlanmalıdır. Bu sistem, dışa açık bölgenin parçasıdır. DMZ kuralları geçerlidir. İzleme önceliklidir.

Alternatif olarak uygulama düzeyinde erişim çözümleri kullanılabilir. Bu çözümlerde kullanıcı ağ erişimi almaz; yalnızca yetkili olduğu uygulamaya bağlanır. Bu model daha dar bir erişim sağlar. Geçiş kimlik altyapısı gerektirir. Kademeli yapılabilir. Değerlendirme yapılır.

Yaygın Yapılandırma Hataları

İlk hata, servisin standart portta ve internete açık bırakılmasıdır. Port değiştirmek gerçek bir koruma sağlamaz ama otomatik taramaların bir bölümünü azaltır. Asıl çözüm erişimi kapatmaktır. Port değişikliği tek başına yeterli sayılmamalıdır. Yanlış güven üretir. Kısıtlama gerekir.

İkinci hata, yerel yönetici hesaplarının ortak parolayla kullanılmasıdır. Bu durumda bir makinenin ele geçirilmesi diğerlerine de erişim sağlar. Benzersiz parola yönetimi bu riski ortadan kaldırır. Hash geçirme saldırıları bu boşluğu kullanır. Otomatik parola yönetimi önerilir. Uygulaması kolaydır.

Fidye Yazılımı Bağlantısı

Bu protokol, fidye yazılımı operasyonlarının en yaygın giriş yollarından biridir. Dışa açık ve zayıf parolayla korunan erişim noktaları, otomatik taramalarla bulunur ve kimlik denemeleriyle ele geçirilir. Elde edilen erişim, doğrudan kullanılabilir ya da pazarlarda satılabilir. Bu nedenle erişimin kapatılması, fidye riskini doğrudan azaltır. Fidye yazılımı saldırıları bu yolla sıkça başlar. Öncelik buradadır.

Kapatma mümkün değilse çok faktörlü doğrulama zorunlu tutulmalıdır. Bu kontrol, çalınan parolanın tek başına yeterli olmamasını sağlar. Ayrıca kaynak adres kısıtlaması uygulanmalıdır. İki önlem birlikte riski belirgin biçimde düşürür. Uygulama planlanır. Kapsam eksiksiz olmalıdır.

Ele geçirilen erişimlerin izlenmesi de gereklidir. Olağandışı saatlerde ve konumlardan yapılan başarılı girişler incelenmelidir. Bu tespit, saldırının erken aşamasında müdahale imkânı verir. Kural kolayca yazılır. Kimlik kayıtları kullanılır. Uyarı üretilir.

Privia Security olarak uzaktan erişim yapılandırmalarını ve dışa açık servisleri düzenli zafiyet tarama hizmeti kapsamında izliyoruz.