RDP Nedir? Uzak Masaüstü Protokolü ve Güvenliği

RDP’nin taşıdığı şey dosya değil, ekranın kendisi bile değil: sunucuda oluşan görüntünün tarifi bir yöne, sizin klavye ve fare hareketiniz öbür yöne gider. İş baştan sona sunucuda yapılır; sizin bilgisayarınız yalnızca bir kabin, bir ekran ve iki elden ibarettir. Protokolü anlamanın kısayolu bu cümle: veri değil, kontrol taşınıyor.

Bu yüzden RDP’yi uzaktan sürülen bir iş makinesine benzeteceğiz. Araç sahada, siz kabindesiniz. Kameranın görüntüsü size geliyor, direksiyon ve pedal hareketiniz araçtaki motora gidiyor. Bağlantı koptuğunda araç ortadan kaybolmuyor, olduğu yerde çalışmaya devam ediyor; siz tekrar bağlandığınızda kaldığınız yerden sürmeye devam ediyorsunuz.

Benzetmenin ikinci yarısı da makalenin ikinci yarısını veriyor. Araç bir frekansı dinliyorsa, o frekansı bulan herkes direksiyona geçmeyi deneyebilir. Ağ protokolleri rehberimizde RDP’yi “yönetmek” grubunda anmış ve iki ayrı hayatı olduğunu söylemiştik; burada o iki hayatı da açacağız, sonra da o frekansın internete açık bırakılmasının ne anlama geldiğini ölçeceğiz. Ölçümü doğrudan görmek isterseniz lab bölümüne atlayabilirsiniz.

RDP Nedir? Ekranı Değil, Ekranın Tarifini Taşır

RDP, bir Windows makinenin grafik oturumunu ağ üzerinden başka bir makinenin ekranına taşıyan protokoldür ve TCP’nin 3389 numaralı portunu kullanır. Uzak masaüstü dediğimiz şeyin altındaki protokol budur: siz kendi bilgisayarınızda bir pencere açarsınız, o pencerenin içinde çalışan her şey aslında karşı taraftaki sunucuda çalışır. Protokolün tam tanımını Microsoft, açık protokol belgeleri arasında MS-RDPBCGR adıyla yayımlıyor.

Kabindeki operatör benzetmesi burada başlıyor. Aracı siz sürüyorsunuz ama araç sizde değil. Elinizdeki direksiyon sahadaki tekerleği çeviriyor, gözünüzdeki ekran sahadaki kameradan besleniyor. Kabin ile araç arasındaki o iki yönlü hat, RDP’nin ta kendisi.

RDP Neyin Kısaltması?

RDP, Remote Desktop Protocol ifadesinin kısaltmasıdır; Türkçede uzak masaüstü protokolü olarak geçer. Microsoft tarafından geliştirilmiştir ve teknik olarak sıfırdan icat edilmiş bir protokol değildir: ITU-T’nin uygulama paylaşımı için tanımladığı T.128 protokolünü temel alır. Yani kökeni “uzaktan yönetim” değil, “ekranı paylaşmak” fikridir. Yönetim aracına dönüşmesi sonradan olmuştur ve makalenin ilerleyen bölümlerindeki güvenlik tartışmasının kaynağı da tam olarak bu köken.

Burada karıştırılan bir ayrım var ve sahada gerçekten yanlış cümleler kurdurtuyor: RDP bir protokoldür, mstsc.exe ise onu konuşan istemcidir. Windows’ta Uzak Masaüstü Bağlantısı penceresini açtığınızda protokolü değil, protokolü konuşan programı açmış olursunuz. Aynı protokolü konuşan başka istemciler de vardır ve macOS’tan, Linux’tan ya da telefondan bağlanmanızı sağlayan şey budur. Program ile protokolün aynı şey olmaması, birinin değişirken diğerinin yerinde kalabilmesi demektir.

Çizim Tarifi Gelir, Tuş Gider

RDP’nin taşıdığı şey ekranın görüntüsü değil, ekranın nasıl çizileceğinin tarifidir. Sunucu ekranı kendi belleğinde oluşturur, ama size o ekranın fotoğrafını göndermez; “şu koordinata şu boyutta dolu bir dikdörtgen çiz”, “şu yazı tipiyle şu metni yaz”, “az önce gönderdiğim şu görüntüyü şuraya tekrar koy” gibi komutlar gönderir. Sizin bilgisayarınızdaki istemci bu komutları uygular ve ekran orada oluşur.

Neden böyle yapıldığını görmek için alternatifin maliyetini hesaplamak yeterli. 1920x1080 çözünürlükte, piksel başına 3 bayt renk bilgisiyle tek bir kare 6,2 MB eder. Saniyede 30 kare göndermek istediğinizde bu saniyede 186 MB, yani yaklaşık 1,5 Gbit/s bant genişliği demektir. Tek kullanıcı için. Aynı ekranda bir metin kutusuna “Merhaba” yazdığınızda ise çizim tarifi olarak gönderilecek şey birkaç yüz bayttır.

İki yön ve taşıdıkları şöyle ayrışıyor:

• Sunucudan size: çizim komutları, ekranın değişen bölgeleri, ses, yazıcı ve pano içeriği.
• Sizden sunucuya: klavye tuşları, fare hareketleri ve tıklamalar, pano içeriği, yönlendirilmiş sürücü ve cihazlar.

Kabindeki operatör de tam olarak bunu yapar: kendisine görüntü gelir, kendisinden komut gider. Aracın motoru kabinde değildir.

Benzetmenin koptuğu yer de burası ve söylemek gerekiyor. Teleoperasyondaki kamera görüntüsü gerçekten ham videodur; RDP’de ise ham görüntü kural değil istisnadır. Ekranda video oynatmak ya da yoğun grafik çizdirmek gibi çizim komutlarına dökülemeyen durumlarda protokol görüntüyü sıkıştırıp göndermeye geçer. Yani “asla görüntü göndermez” demek yanlış olur; doğrusu şu: görüntü göndermek son çaredir, ilk tercih tariftir. RDP oturumunda video izlemenin neden orantısız biçimde yavaş hissettirdiğini de bu açıklıyor.

RDP Nasıl Çalışır? 3389 Portu ve Oturumun Kurulması

RDP varsayılan olarak TCP 3389 portunu dinler. Bu port, SSH’ın 22’si ya da HTTP’nin 80’i gibi 0-1023 aralığındaki iyi bilinen portlardan biri değildir; kayıtlı portlar aralığındadır. Pratik sonucu şu: 3389 numarası daha az “sistem portu” gibi durur ama tanınırlığı en az onlar kadar yüksektir, çünkü tek bir üründe ve tek bir işte kullanılır. Bir tarama sonucunda açık bir 3389 görmek, karşınızda bir Windows makine olduğunu ve ona uzaktan bağlanılabildiğini birlikte söyler.

Yeni sürümlerde aynı numara UDP üzerinden de kullanılır. TCP oturumu her zaman kurulur ve kontrol trafiğini taşır; UDP kanalı ise varsa devreye girer ve grafik gibi kaybı tolere edilebilir trafiği taşıyarak hattı hızlandırır. Yani UDP 3389’un kapalı olması bağlantıyı engellemez, yalnızca akıcılığı düşürür. İkisinin neden bu şekilde bölündüğünü, yani TCP’nin garanti veren, UDP’nin vermeyen tarafını port rehberimizde ele aldık.

Bağlantı kurulurken sıra şöyle işler:

1. TCP bağlantısı kurulur. İstemci 3389’a bağlanır, standart üçlü el sıkışma tamamlanır.
2. İstemci ne konuşabileceğini söyler. İlk RDP paketinde istemci, desteklediği güvenlik yöntemlerini bildirir: düz RDP güvenliği, TLS, ya da kimlik doğrulamayı öne alan CredSSP. Bu paket henüz şifreli değildir, çünkü taraflar neyle şifreleyeceklerine daha karar vermemişlerdir.
3. Sunucu birini seçer. Sunucu, kendi yapılandırmasının izin verdiği en yüksek yöntemi seçip cevap verir. Sunucuda NLA zorunlu tutulmuşsa ve istemci onu desteklemiyorsa bağlantı burada, daha kimlik sorulmadan reddedilir.
4. Kanal TLS ile şifrelenir. Bu andan sonra trafiği dinleyen biri içeriği okuyamaz. Tarayıcıdaki HTTPS ile aynı mekanizma; TLS el sıkışmasının adım adım nasıl işlediğini ayrı bir rehberde paket yakalamayla anlattık.
5. Kimlik doğrulanır. NLA açıksa kimlik tam burada, oturum daha oluşturulmadan doğrulanır. Kapalıysa bu adım ertelenir ve sunucu önce size bir oturum açma ekranı çizer.
6. Oturum kurulur ve yetenekler karşılaştırılır. İki taraf çözünürlük, renk derinliği, ses, pano ve sürücü yönlendirme gibi başlıklarda ne yapabildiklerini bildirir. Ortak paydada anlaşılır ve ekran akmaya başlar.

Dikkat edilecek nokta ikinci ve üçüncü adımda: sunucu, kimliğinizi doğrulamadan önce sizinle konuşmuş olur. Ne kadar konuştuğu ise NLA’nın açık olup olmadığına bağlıdır ve makalenin güvenlik yarısı bu cümlenin üstünde duruyor.

Oturum Sunucuda Yaşar, Bağlantı Kopunca Ölmez

RDP’de oturum sizin bilgisayarınızda değil, sunucuda yaşar. Ekranı çizen, programları çalıştıran, belleği tutan taraf sunucudur; sizin tarafınızda yalnızca o oturumun görüntüsü ve girdileriniz vardır. Bunun doğrudan sonucu şu: bağlantı koparsa oturum kapanmaz. Kablo çekilir, Wi-Fi düşer, dizüstü bilgisayarın kapağı kapanır; sunucudaki oturum olduğu gibi durmaya devam eder ve içindeki programlar çalışmayı sürdürür.

Bunun neden önemli olduğunu görmek için tersini düşünün. Altı saat sürecek bir rapor sorgusu başlattınız ve üçüncü saatte internetiniz bir dakika gitti. Oturum bağlantıya bağlı olsaydı, o bir dakika sorgunun tamamını çöpe atardı. RDP’de oturum sunucuda kaldığı için tekrar bağlandığınızda sorgu hâlâ çalışıyordur.

Kabindeki operatör benzetmesi burada tam oturuyor: telsiz bağlantısı kesildiğinde araç buharlaşmaz, sahada durmaya devam eder. Operatör tekrar bağlandığında aracı bıraktığı yerde bulur.

Bu davranışın ikinci yüzü de var ve sahada asıl sorun çıkaran taraf o. Kapatmak yerine pencereyi çarpı ile kapatan kullanıcılar, sunucuda çalışmaya devam eden oturumlar bırakır. Her biri bellek tutar, her biri lisans sayar ve bir gün sunucu “daha fazla oturum kabul edilemiyor” demeye başlar.

Bağlantı Kesildi mi, Oturum Kapandı mı?

İkisi farklı şeylerdir ve karışması, sunucuda birikmiş hayalet oturumların en yaygın sebebidir.

• Bağlantı kesildi (Disc): oturum sunucuda ayakta, programlar çalışıyor, yalnız ekranı gören kimse yok. Pencereyi çarpı ile kapatmak bunu yapar.
• Oturum kapandı: kullanıcı Sign out dedi, programlar kapandı, oturum yok edildi ve kaynaklar geri verildi.

Sunucuda o an ne olduğunu görmek için kullanılan komut şu:

query session

Kullanıcılarınıza öğretilecek tek şey varsa o da bu ayrımdır: işi bitince pencereyi kapatmak değil, oturumu kapatmak gerekir. Terminal sunucu kurgusunda bu bir nezaket meselesi değil, kapasite meselesidir.

RDP’nin İki Hayatı: Yönetim Oturumu ve Terminal Sunucu

RDP’nin iki ayrı kullanım biçimi vardır ve ikisi teknik olarak aynı protokolü konuşsa da idari olarak tamamen farklı şeylerdir. Ayrımı bilmemek, sahada hem yanlış mimari hem beklenmedik lisans faturası üretiyor.

Birincisi yönetim oturumudur. Sunucuya bağlanıp bir ayar değiştirir, bir kayıt bakar, bir servis yeniden başlatırsınız. Windows Server bunu ek bir rol kurmadan destekler ve aynı anda iki uzak yönetim oturumuna izin verir. Bu iki oturum sunucuyu yönetmek içindir; iş yaptırmak için değil.

İkincisi terminal sunucudur. Onlarca kullanıcı aynı sunucuya bağlanır, her biri kendi masaüstünü açar, kendi programını çalıştırır ve kendi bilgisayarında çalışıyormuş gibi hisseder. Burada RDP artık bir yönetim protokolü değil, doğrudan iş yapma katmanıdır. Bunun için sunucuya Uzak Masaüstü Hizmetleri (Remote Desktop Services) rolü kurulur.

Kabin benzetmesiyle: birincisinde tek bir aracı bakım için uzaktan sürüyorsunuz, ikincisinde bir araç filosunu kiralık olarak sürücülere veriyorsunuz. Aynı telsiz, farklı iş.

İkisini Ayırmak Neden Lisans Meselesi?

Çünkü ikinci kullanım biçimi ayrı bir erişim lisansı ister. Yönetim için gelen iki oturum sunucunun kendi lisansına dahildir; kullanıcılara masaüstü dağıtmaya başladığınız anda her kullanıcı ya da her cihaz için ayrı bir erişim lisansı gerekir.

Sahada bu, çoğu zaman kurulum sırasında değil aylar sonra fark edilir. Uzak Masaüstü Hizmetleri rolü kurulduğunda lisans sunucusu tanımlanmamış olsa bile çalışmaya başlar ve bir süre boyunca sorun çıkarmaz; o sürenin sonunda kullanıcılar aniden bağlanamaz olur. Sunucuda hiçbir şey değişmemiştir, yalnız tanınan süre dolmuştur. Belirtinin en can sıkıcı yanı, tam olarak kimsenin bir şey değiştirmediği bir sabah ortaya çıkmasıdır.

Lisans türleri, kullanıcı ve cihaz lisansı arasındaki fark, lisans sunucusunun kurulumu ve rolün diğer bileşenlerinin ne işe yaradığı bu makalenin konusu değil; ayrı bir yazının konusu. Burada bilinmesi gereken tek şey ayrımın kendisi: sunucuyu yönetmek ile sunucuda çalıştırmak aynı şey değildir ve ikincisi ücretlidir.

Lab: RDP El Sıkışması Neye Benziyor?

El sıkışma sırasını anlatırken şunu söylemiştik: sunucu, kimliğinizi doğrulamadan önce sizinle konuşmuş oluyor. Bu bölümde o konuşmayı okuyacağız.

Ölçüm lab ortamımızdaki web01 sunucusunda yapıldı: Windows Server 2025, 192.168.1.40. Dikkat çekici olan, ölçmek için hiçbir şeye ihtiyaç duyulmaması. Paket yakalama aracı kurulmadı, sunucuya giriş yapılmadı, yönetici yetkisi kullanılmadı. Yalnızca 3389’a bir TCP bağlantısı açıldı ve bir istemcinin göndereceği ilk paket elle kurulup gönderildi.

Bağlantı Kurulurken Sunucu Ne Söylüyor?

RDP bağlantısının ilk paketi kimlik doğrulanmadan gidip gelir, şifresizdir ve sunucu o pakette hangi güvenlik yöntemini şart koştuğunu açıkça bildirir. Yani bir sunucunun NLA zorunlu tutup tutmadığını, o sunucuya hiç giriş yapmadan öğrenebilirsiniz.

Gönderdiğimiz paket, modern bir istemcinin gönderdiğiyle aynı: “TLS de konuşabilirim, CredSSP de”. Dökümü okumadan önce bilinmesi gereken üç şey var:

• Baytların hepsi ham hâlde okunabiliyor, çünkü bu aşamada henüz şifreleme başlamadı.
• Cevabın anlamını taşıyan yer son dört bayt; öncesi zarf.
• Sayılar küçük uçlu (little endian) yazılır, yani 02 00 00 00 değeri 2 demektir.

GIDEN  : 03 00 00 13 0e e0 00 00 00 00 00 01 00 08 00 03 00 00 00
GELEN  : 03 00 00 13 0e d0 00 00 12 34 00 02 3f 08 00 02 00 00 00

Gelen cevabın söylediği şey sırayla şu:

1. 03 00 00 13 : paketin zarfı ve toplam uzunluğu, 0x13 yani 19 bayt.
2. 0e d0 : “bağlantı isteğin kabul edildi” anlamına gelen X.224 Connection Confirm.
3. 02 : bundan sonrası bir pazarlık cevabıdır, hata değil.
4. 02 00 00 00 : seçilen protokol 2, yani CredSSP. Bu, NLA’nın kendisidir.

Sunucu, karşısındakinin kim olduğunu bilmeden, “seninle ancak kimliğini önce doğrulayarak konuşurum” demiş oldu.

Asıl öğretici olan ikinci deneme. Bu kez NLA’yı bilmeyen eski bir istemciyi taklit ettim ve yalnızca düz RDP güvenliği istedim:

GIDEN  : 03 00 00 13 0e e0 00 00 00 00 00 01 00 08 00 00 00 00 00
GELEN  : 03 00 00 13 0e d0 00 00 12 34 00 03 00 08 00 05 00 00 00

Burada onbirinci bayt 03’e döndü, yani cevap bir pazarlık sonucu değil bir reddediştir. Son dört bayttaki 05 ise reddin gerekçesini veriyor ve adı kendini anlatıyor: HYBRID_REQUIRED_BY_SERVER. Sunucu bağlantıyı kurmayı reddetti, çünkü karşı taraf kimliğini önceden doğrulayacak yöntemi konuşamıyordu.

Aynı ölçümü kendi sunucunuzda tekrarlamak için gereken tek şey bu:

$istek = [byte[]]@(0x03,0x00,0x00,0x13,0x0E,0xE0,0x00,0x00,0x00,0x00,0x00,0x01,0x00,0x08,0x00,0x00,0x00,0x00,0x00)
$c = New-Object System.Net.Sockets.TcpClient('192.168.1.40', 3389)
$s = $c.GetStream(); $s.Write($istek, 0, $istek.Length)
$cevap = New-Object byte[] 19; $s.Read($cevap, 0, 19) | Out-Null
($cevap | ForEach-Object { $_.ToString('x2') }) -join ' '
$c.Close()

Onbirinci bayt 03 ve sonu 05 ise sunucunuz NLA’yı şart koşuyor demektir; 02 ile bitiyorsa koşmuyor.

Bu ölçümün pratik değeri iki yerde. Birincisi envanter: bir kurumda hangi sunucuların NLA’sız kaldığını, hiçbirine giriş yapmadan, tek tek listeleyebilirsiniz. İkincisi ise madalyonun diğer yüzü ve rahatsız edici olanı: aynı bilgi saldırgan için de bedava. Sunucunun kendini nasıl savunduğu, savunmanın en başında, kimliği sorulmadan ilan ediliyor. Kabindeki araç, telsizi açan herkese hangi frekansta ve hangi kurallarla konuştuğunu söylüyor.

NLA Açıkken ve Kapalıyken

NLA’yı kapatmak, sunucunun NLA kullanmayı bırakması anlamına gelmiyor. Bu cümlenin doğruluğu tartışma konusu değil, ölçüm konusu; aynı sunucuda aynı betiği ayar açıkken ve kapalıyken çalıştırdım.

Sahada bu ayara verilen standart anlam şudur: NLA’yı kapatırsam NLA konuşamayan eski istemciler bağlanabilir. Ölçtüm. Bağlanamadılar.

Peki ayar gerçekten değişti mi, yoksa hiçbir şey mi olmadı? Değişti ve kanıtı paketin kendisinde: reddin gerekçe kodu 05’ten 01’e döndü, cevabın bayrak baytı da 3f’ten 1f’e. Sunucu farklı bir şey söylüyor; söylediği şey yine “hayır”.

Sonuçlar iki cümlede toplanıyor ve ikisi de sahada yanlış biliniyor:

1. Modern istemci hâlâ CredSSP ile bağlanıyor. Sunucu, karşı taraf sunduğu sürece en güçlü yöntemi seçmeye devam ediyor. Yani ayar NLA’yı kapatmıyor, yalnızca zorunlu olmaktan çıkarıyor.
2. Eski istemci yine reddedildi, çünkü ayrı bir engel daha var: sunucu düz RDP güvenliğini hiç kabul etmiyor, en azından TLS istiyor.

İkinci maddenin sebebi, sistem yöneticilerinin çoğunun tek ayar sandığı yerde iki ayrı ayar olması. İkisinin de kayıt defterinde adı var ve yan yana duruyorlar:

Get-ItemProperty 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication, SecurityLayer

Ölçüm bittikten sonra, NLA yeniden açılmış hâliyle lab sunucumuzdan dönen cevap şu:

UserAuthentication : 1
SecurityLayer      : 2

• UserAuthentication, Remote sekmesindeki o onay kutusudur: kimlik doğrulamanın oturum kurulmadan önce mi yapılacağını söyler. Kutuyu kaldırdığınızda 0 olan değer budur.
• SecurityLayer, kanalın hangi güvenlik katmanıyla kurulacağını söyler ve 2 değeri TLS’i zorunlu tutar. Onay kutusu bu değere hiç dokunmaz.

Eski istemcinin ikinci ölçümde de reddedilmesinin sebebi tam olarak bu 2. Kutuyu kaldırmak UserAuthentication değerini gevşetti, SecurityLayer yerinde kaldı, sunucu da düz RDP güvenliğini reddetmeye devam etti. Yani “NLA’yı kapattım” cümlesi, sunucunun kabul ettiği güvenlik katmanı hakkında hiçbir şey söylemiyor.

Buradan çıkan asıl ders ölçme alışkanlığıyla ilgili. Bir ayarı değiştirdiğinizde arayüz size “kaydedildi” der; ne değiştiğini söylemez. Sunucunun ağda ne söylediğini sormak, bu iki bilgi arasındaki farkı kapatmanın en ucuz yolu.

RDP Güvenliği: 3389’u İnternete Açmak Ne Demek?

İnternete doğrudan açılmış bir 3389 portu, sunucunuzun oturum açma kapısını herkesin ulaşabileceği bir yere koymak demektir. Fidye yazılımı olaylarının müdahale raporlarında ilk erişim yolu olarak yıllardır en sık anılan yöntemlerden biri budur ve sebebi karmaşık bir açık değil: kapı oradadır, kim olduğunuzu sormadan önce sizinle konuşur ve arkasında yalnızca bir parola vardır.

Kabin benzetmesinin ikinci yarısı da tam burada devreye giriyor. Araç bir frekansı dinliyorsa, o frekansı bulan herkes direksiyona geçmeyi deneyebilir. Frekansı gizli tutmak bir plan değildir; frekanslar taranır.

Bu, RDP’ye özgü bir kusur da değil. Yönetim kapısı hangi protokolde olursa olsun aynı sorunu doğurur: Linux sunucularda ve ağ cihazlarında aynı işi SSH yapar ve orada da açık olmak tek başına güvenli olmak anlamına gelmez. Telnet ise aynı işi şifresiz yaptığı için çoktan emekli olması gerekirdi ve hâlâ açık cihazlar bulunuyor. Yönetim erişiminin bir bütün olarak nasıl sınırlandırıldığı siber güvenlik hizmetimizin kapsamına giriyor.

Açık Port Ne Kadar Sürede Bulunur?

Bu sorunun savunma tarafında işe yarayan cevabı şu: bulunmayı bir değişken saymayın, sabit sayın. Bir IPv4 adresi 32 bittir, yani adres uzayının tamamı 2^32, 4.294.967.296 adres eder. Tek bir portu bütün bu uzayda taramak bugün özel bir imkan gerektirmiyor; sürekli çalışan otomatik tarayıcılar bunu rutin olarak yapıyor. Dolayısıyla “adresimi kimse bilmiyor” cümlesi bir güvenlik önlemi değil, yalnızca bir varsayımdır.

Buna karşılık kendi durumunuzu tahmin etmenize gerek yok, çünkü sunucunuz zaten kaydını tutuyor. Başarısız oturum açma denemeleri Windows’un güvenlik günlüğüne 4625 numaralı olay olarak yazılır. Son yedi gündeki sayıyı almak için:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-7)} | Measure-Object

Sayı üç haneliyse ve bunu yapan sizin kullanıcılarınız değilse, portunuz çoktan bulunmuş demektir. Bu ölçümü yapmak dakikalar sürer ve tartışmayı görüş meselesi olmaktan çıkarır. Bu denemelere karşı kapıda alınabilecek önlemleri, yani deneme sınırını, coğrafi kısıtlamayı ve MFA’yı siber güvenlik önlemleri rehberimizin kimlik bölümünde topladık. Deneme sınırının kendisini, yani hesap kilitlemenin kaçıncı denemede devreye girdiğini ve ne kadar sürdüğünü brute force makalesinde laboratuvarda ölçtük.

NLA Tam Olarak Neyi Engeller?

NLA (Network Level Authentication, Ağ Düzeyinde Kimlik Doğrulama), kullanıcının kimliğini oturum açma ekranı hiç oluşturulmadan önce doğrulatır. Kapalıyken sıralama şudur: bağlanan taraf kim olduğunu söylemeden sunucu bir oturum hazırlar, grafik oturum açma ekranını çizer ve karşı tarafa gönderir; parola ancak bundan sonra sorulur. Açıkken sıralama tersine döner: kimlik önce doğrulanır, oturum ancak doğrulandıktan sonra oluşturulur.

Peki bu tersine çevirme saldırgandan tam olarak neyi alır? İki şeyi. Birincisi kaynak: kimliği doğrulanmamış her bağlantı denemesi artık sunucuda bir oturum kurmuyor, dolayısıyla bir deneme seli sunucuyu meşgul edemiyor.

İkincisi ve asıl önemlisi yüzey: kimlik doğrulanmadan önce erişilebilen kod miktarı çok küçülüyor. RDP’nin geçmişindeki en ciddi açıklar, kimlik doğrulanmadan önce ulaşılabilen bileşenlerdeydi ve Microsoft’un bu açıklar için verdiği azaltıcı önlem her seferinde aynı oldu: NLA’yı açın. NLA açıkken saldırganın o koda ulaşmak için önce geçerli bir kimlik göstermesi gerekir.

Mekanizması CredSSP üzerinden yürür: istemci, kullanıcının credential’ını (kimlik bilgisi) TLS ile korunan kanal üzerinden sunucuya sunar ve doğrulama sonucu olumlu değilse bağlantı oturum katmanına hiç geçmez. Domain’e üye bir makinede o doğrulamayı fiilen yapan şey Kerberos’un bilet mekanizmasıdır; NLA, kimlik doğrulamayı icat etmez, yalnızca ne zaman yapılacağını öne çeker.

NLA’nın yapmadığı şeyi de yazmak gerek, çünkü açık olması tek başına bir güvence değil. Geçerli bir kullanıcı adı ve parolayı deneyen bir saldırgan NLA’ya takılmaz; NLA kimliği doğrular, parolanın zayıf olup olmadığını sorgulamaz. Yani NLA açık bir sunucuda da parola denemesi çalışmaya devam eder, yalnız daha ucuza mal olmaz. Portun internete açık olmaması hâlâ birinci savunmadır; NLA ikincisidir.

Portu Hiç Açmamak: VPN ve RD Gateway

Doğru kurgu 3389’u sıkılaştırmak değil, onu internetten hiç görünmez kılmaktır. Üç yaygın yol var ve üçü de aynı fikri uygular: RDP’ye ulaşmadan önce kimlik doğrulanmış bir kanaldan geçmek.

• VPN. Kullanıcı önce VPN’e bağlanır, ağın içine girer, RDP’yi ancak oradan konuşur. Dışarıdan bakan biri için 3389 diye bir port yoktur. VPN’in nasıl çalıştığını ve neyi korumadığını VPN nedir yazımızda anlattık.
• RD Gateway. RDP trafiğini HTTPS içine alıp 443 üzerinden taşır. Dışarıya açılan tek şey kimlik doğrulaması yapan bir web geçididir; sunucuların kendisi açıkta kalmaz.
• Jump server. Yönetim erişimi tek bir sıkılaştırılmış makineden geçer, diğer sunuculara oradan bağlanılır.

Hangisini seçerseniz seçin ölçüt aynı: internetten gelen bir tarama sonucunda 3389 görünüyorsa kurgu tamamlanmamıştır. Yönetim portlarının hangi ağda durması gerektiğini ve sınırın nasıl çizileceğini firewall kurulumu rehberimizde ele alıyoruz.

RDP Yetkisi Kimde? Remote Desktop Users Grubu

Bir Windows makineye RDP ile bağlanabilmek için kullanıcının Remote Desktop Users grubunda olması ya da yerel yönetici olması gerekir. Yöneticiler bu gruba eklenmeden de bağlanır, çünkü erişim zaten yönetici yetkisinden gelir.

Grubun içeriğini görmek için:

net localgroup "Remote Desktop Users"

Domain’e üye lab sunucumuzda bu komutun döndürdüğü cevap şu ve ilk bakışta bir arıza gibi görünüyor:

Alias name     Remote Desktop Users
Comment        Members in this group are granted the right to logon remotely

Members

-------------------------------------------------------------------------------
The command completed successfully.

Üye yok. Grup boş, ama sunucuya RDP ile bağlanılabiliyor. Arıza değil; Domain Admins bu grubun içinde değildir. Makine domain’e katılırken o grup, makinenin yerel Administrators grubuna eklenir ve bağlanma hakkı oradan gelir. Aynı sunucuda ikinci listeye bakınca görünen tam olarak bu:

Alias name     Administrators
Comment        Administrators have complete and unrestricted access to the computer/domain

Members

-------------------------------------------------------------------------------
Administrator
SISTEMKUSU\Domain Admins
The command completed successfully.

Administrators bağlanma hakkını zaten taşıdığı için yöneticiler Remote Desktop Users’a hiç dokunmadan bağlanır.

Yani yetkinin geldiği iki ayrı yol var ve bunları karıştırmak teşhisi yavaşlatıyor:

Pratik sonucu iki cümle. “Grup boş ama ben bağlanabiliyorum” bir çelişki değildir, yönetici olduğunuzun kanıtıdır. Ve tersi: bir kullanıcının bağlanabilmesi için o grubu sizin doldurmanız gerekir, kimse sizin için doldurmuyor. İki listeyi yan yana koymak bunu bir bakışta gösterir:

net localgroup Administrators

Buraya kadarı her yerde yazan kısımdır. Asıl işinize yarayacak olan ise altındaki mekanizmadır, çünkü sahada “kullanıcıyı gruba ekledim ama hâlâ bağlanamıyor” cümlesinin cevabı orada.

Bağlanma iznini veren şey aslında grup değil, bir kullanıcı hakkıdır. Windows’ta bu hakkın adı Allow log on through Remote Desktop Services ve Local Security Policy → Local Policies → User Rights Assignment altında durur. Remote Desktop Users grubu, varsayılan olarak bu hakka sahip olduğu için işe yarar; yani grup bir kısayoldur, kaynağın kendisi değildir. Bir GPO bu haktan grubu çıkardıysa gruba kullanıcı eklemek hiçbir şey değiştirmez ve belirti tam olarak yukarıdaki cümledir.

İkinci ve daha sinsi olanı ise reddetme hakkıdır: Deny log on through Remote Desktop Services. Windows’ta reddetme her zaman izni yener. Sıkılaştırılmış ortamlarda bu hak çoğu zaman bilinçli olarak doldurulmuştur ve bir hesabın neden bağlanamadığı sorusunun cevabı, izin listesine bakan herkesin gözünden kaçar. Bir kullanıcı gruba üye, hak listesinde de görünüyor ama yine bağlanamıyorsa bakılacak yer burasıdır.

Bu hakkın bilinçli olarak doldurulduğu en yaygın kurgu katman modelidir: hangi hesabın hangi sınıf makineye oturum açabileceği baştan çizilir ve gerisi reddetme hakkıyla kapatılır. Bunu bir GPO ile nasıl kurduğumuzu, Active Directory sıkılaştırma rehberimizin katman modeli bölümünde adım adım anlatıyoruz. Oradaki mantığı bilmek, burada karşınıza çıkan “sebepsiz” reddi de açıklar: hesap reddedilmiyor, bulunduğu makine sınıfına oturum açması reddediliyor.

Yetkiyi tek tek kullanıcı yerine grup üzerinden vermek yalnız pratik değil, izlenebilir olanıdır: kimin bağlanabildiği sorusunun cevabı tek bir yerde durur ve bir çalışan ayrıldığında yapılacak iş tek bir kaydı silmektir. Aynı disiplinin domain genelindeki karşılığını, yani yetkinin kullanıcıya değil gruba verilmesini Active Directory grup ve OU yönetimi rehberimizde ele alıyoruz.

RDP Teşhisi: Bağlanamıyorum, Nereye Bakmalı?

“Uzak masaüstü bağlanamıyor” tek bir arıza değil, en az beş farklı arızanın ortak belirtisidir. Sırayı doğru kurmak, hepsini tek tek denemekten çok daha hızlıdır; aşağıdaki sıra ucuzdan pahalıya ve dıştan içe doğru ilerliyor.

1. Makine gerçekten ayakta mı? Ping cevap veriyor olması yeterli kanıt değil; ping’e cevap veren bir makinede servisler açılmamış olabilir. Bilinen başka bir portu deneyin.
2. 3389 dinleniyor mu? Bu tek ölçüm, sorunun ağda mı sunucuda mı olduğunu söyler.
3. RDP sunucuda açık mı? Kapalıysa port da kapalıdır ve arayacağınız başka bir şey yoktur.
4. Güvenlik duvarı kuralı doğru profilde mi? RDP kuralı etkin ama makinenin ağ bağlantısı Public profilinde kaldıysa kural uygulanmaz. Belirti “port kapalı” gibi görünür, oysa servis çalışmaktadır.
5. Yetki var mı? Grup üyeliği, kullanıcı hakkı ve reddetme hakkı; üçü de bir önceki bölümde.
6. NLA uyumsuzluğu var mı? Eski bir istemci ya da sertifika sorunu, kimlik doğrulama aşamasında takılır ve hata mesajı çoğu zaman gerçek sebebi söylemez.

İkinci adımın karşılığı tek satır:

Test-NetConnection 192.168.1.40 -Port 3389

Bu sıranın ilk üç adımını lab ortamımızda birebir yaşadım ve teşhisin nasıl daraldığını göstermeye değer. web01 sunucusunda 3389 cevap vermiyordu. Ama aynı makinede 443 ve 5985 portları sorunsuz cevap veriyordu, yani makine ayaktaydı, ağ yolu açıktı ve güvenlik duvarı her şeyi engellemiyordu. Üç port birlikte okununca geriye tek bir ihtimal kaldı: sorun ağda değil, sunucunun kendisinde RDP kapalıydı.

Sunucunun konsolunda Win + R → sysdm.cpl → Remote sekmesine bakıldığında sebep göründü.

Bu ekranın karşılığını kayıt defterinden de okuyabilirsiniz; 1 değeri RDP’nin kapalı olduğunu söyler:

Get-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server" -Name fDenyTSConnections

Açma adımlarını burada tekrarlamıyoruz: GUI ve PowerShell tarafındaki sıra, güvenlik duvarı kuralı ve NLA seçeneğinin işaretlenmesi Windows Server kurulumu rehberimizin RDP yapılandırması bölümünde duruyor.

Buradaki asıl ders tek bir portun cevabı değil, portların birlikte okunmasıdır. Tek başına kapalı bir 3389, ağ arızasından güvenlik duvarına, kapalı makineden kapalı servise kadar her şey olabilir. Aynı makinede açık duran ikinci bir port ise bu ihtimallerin çoğunu bir anda eler. Kabindeki operatör benzetmesiyle: telsizden ses gelmiyorsa önce telsizin bozuk olduğunu düşünürsünüz, ama aynı telsizden başka bir kanal net geliyorsa sorun telsizde değildir.

Sonuç: RDP Güvenliği Bir Ayar Değil, Yerleştirme Kararıdır

RDP’yi “uzaktan bağlanma programı” diye anlatmak, yaptığı işi de doğurduğu riski de eksik anlatmaktır. Taşıdığı şey görüntü değil çizim tarifidir ve bu yüzden dar hatta bile çalışır. Oturum sizde değil sunucuda yaşar ve bu yüzden bağlantınız koptuğunda işiniz ölmez. İki ayrı hayatı vardır ve ikisini ayırmamak lisans faturasını aylar sonra kapıya getirir.

Güvenlik tarafındaki asıl mesele ise bir ayar değil bir yerleştirme kararı. NLA açık olmalıdır, doğru; ama NLA’nın işi kapının arkasındaki kontrolü sıkılaştırmaktır, kapıyı caddeden çekmek değil. Kapıyı caddeden çeken şey VPN, RD Gateway ya da jump server’dır.

Kabindeki operatör aracı frekansın gizliliğiyle korumaz. Frekansı bulan herkesin direksiyona geçemeyeceğinden emin olarak korur.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn