{"id":118,"title":"Terminal Server (Uzak Masa\u00fcst\u00fc Sunucusu) Kullan\u0131c\u0131 Politikalar\u0131","content":"

Remote Desktop Services (RDS)<\/strong>, hibrit çal\u0131\u015fma ça\u011f\u0131nda kurulu\u015flar\u0131n bel kemi\u011fi haline geldi. Ancak, bu güçlü eri\u015fim imkan\u0131 ayn\u0131 zamanda siber sald\u0131rganlar için de yüksek de\u011ferli bir hedef olu\u015fturuyor. Zay\u0131f yap\u0131land\u0131r\u0131lm\u0131\u015f bir RDS ortam\u0131, veri ihlallerine, fidye yaz\u0131l\u0131m sald\u0131r\u0131lar\u0131na ve sistem ele geçirmelere kar\u015f\u0131 aç\u0131k bir kap\u0131 olabilir.<\/p>\r\n

Bu kapsaml\u0131 rehberde, RDS ortam\u0131n\u0131z\u0131 günümüzün karma\u015f\u0131k tehdit ortam\u0131na kar\u015f\u0131 nas\u0131l güçlendirece\u011finizi, Microsoft'un en iyi güvenlik uygulamalar\u0131n\u0131<\/strong> ad\u0131m ad\u0131m inceleyerek anlataca\u011f\u0131z.<\/p>\r\n

1. RDS Güvenlik Mimarisi: Sa\u011flam Bir Temel Olu\u015fturun<\/h2>\r\n

Güvenlik, do\u011fru mimari ile ba\u015flar. Tüm bile\u015fenleri bir araya y\u0131\u011fmak yerine, güvenli ve katmanl\u0131 bir tasar\u0131m hedefleyin.<\/p>\r\n

Önerilen Güvenli Mimari:<\/strong><\/p>\r\n

    \r\n
  • \r\n

    A\u011f Segmentasyonu:<\/strong> RDS bile\u015fenlerinizi mant\u0131ksal olarak ay\u0131r\u0131n.<\/p>\r\n

      \r\n
    • \r\n

      DMZ:<\/strong> RD Gateway ve RD Web Access sunucular\u0131n\u0131z\u0131 buraya yerle\u015ftirin.<\/p>\r\n<\/li>\r\n

    • \r\n

      \u0130ç A\u011f:<\/strong> RD Connection Broker, RD Session Host ve di\u011fer kritik bile\u015fenleri güvenli iç a\u011f\u0131n\u0131zda tutun.<\/p>\r\n<\/li>\r\n<\/ul>\r\n<\/li>\r\n

    • \r\n

      Yüksek Kullan\u0131labilirlik (HA):<\/strong> Tek nokta ar\u0131zas\u0131n\u0131 önleyin. RD Connection Broker ve RD Gateway için yük dengeleme (Load Balancing) ve kümeleme (Clustering) kullan\u0131n.<\/p>\r\n<\/li>\r\n

    • \r\n

      Güvenlik Katmanlar\u0131:<\/strong> \u0130nternet'ten gelen trafik, iç a\u011fdaki oturum sunucular\u0131n\u0131za ula\u015fmadan önce en az iki güvenlik duvar\u0131 katman\u0131ndan geçmelidir.<\/p>\r\n<\/li>\r\n<\/ul>\r\n

      2. A\u011f Katman\u0131nda Güvenlik: \u0130lk Savunma Hatt\u0131n\u0131z<\/h2>\r\n

      RDS'inizi internete do\u011frudan maruz b\u0131rakmay\u0131n. A\u011f seviyesindeki önlemler, sald\u0131r\u0131 yüzeyinizi büyük ölçüde azalt\u0131r.<\/p>\r\n

      A. Network Level Authentication (NLA) - Zorunlu K\u0131l\u0131n!<\/strong>
      NLA, bir RDP oturumu ba\u015flat\u0131lmadan önce kullan\u0131c\u0131n\u0131n kimli\u011fini do\u011frular. Bu, hizmet reddi (DoS) sald\u0131r\u0131lar\u0131na kar\u015f\u0131 kritik bir korumad\u0131r.<\/p>\r\n

      PowerShell ile NLA'y\u0131 Etkinle\u015ftirme:<\/strong><\/p>\r\n

      \r\n
      \r\n
      \r\n
      \r\n
      powershell<\/span><\/div>\r\n<\/div>\r\n<\/div>\r\n<\/div>\r\n
      Set-ItemProperty<\/span> -<\/span>Path 'HKLM:\\System\\CurrentControlSet\\Control\\Terminal Server\\WinStations\\RDP-Tcp'<\/span> -<\/span>name \"UserAuthentication\"<\/span> -<\/span>Value 1<\/pre>\r\n<\/div>\r\n
      B. Varsay\u0131lan RDP Portunu De\u011fi\u015ftirin<\/strong>
      Otomatik taray\u0131c\u0131lar\u0131n hedefi olmamak için varsay\u0131lan 3389 TCP portunu de\u011fi\u015ftirin.<\/p>\r\n
      PowerShell ile RDP Portu De\u011fi\u015ftirme:<\/strong><\/p>\r\n
      \r\n
      \r\n
      \r\n
      \r\n
      powershell<\/span><\/div>\r\n<\/div>\r\n<\/div>\r\n<\/div>\r\n
      Set-ItemProperty<\/span> -<\/span>Path 'HKLM:\\SYSTEM\\CurrentControlSet\\Control\\Terminal Server\\WinStations\\RDP-Tcp'<\/span> -<\/span>name \"PortNumber\"<\/span> -<\/span>Value 9876\r\nNew-NetFirewallRule<\/span> -<\/span>DisplayName \"RDP Custom Port\"<\/span> -<\/span>Direction Inbound -<\/span>Protocol TCP -<\/span>LocalPort 9876 -<\/span>Action Allow<\/pre>\r\n<\/div>\r\n
      C. IP K\u0131s\u0131tlamalar\u0131 Getirin<\/strong>
      RD Gateway üzerinden sadece belirli IP aral\u0131klar\u0131n\u0131n (örne\u011fin, \u015firket VPN'iniz) ba\u011flanmas\u0131na izin verin.<\/p>\r\n
      3. Kimlik Do\u011frulama ve Yetkilendirme: Kale Kap\u0131lar\u0131n\u0131z\u0131 Güçlendirin<\/h2>\r\n
      Zay\u0131f kimlik bilgileri, güvenli\u011fin en büyük dü\u015fman\u0131d\u0131r. Burada kat\u0131 olun.<\/p>\r\n
      A. Çok Faktörlü Kimlik Do\u011frulama (MFA) \u015eart!<\/strong>
      MFA, RDS güvenli\u011finizde yapabilece\u011finiz en kritik iyile\u015ftirmelerden biridir. Azure AD MFA<\/strong> veya RD Gateway<\/strong> ile entegre olan üçüncü taraf çözümler (Duo Security gibi) kullan\u0131n.<\/p>\r\n
      B. Güçlü Parola Politikalar\u0131 Uygulay\u0131n<\/strong><\/p>\r\n
        \r\n
      • \r\n
        Minimum 14 karakter.<\/strong><\/p>\r\n<\/li>\r\n
      • \r\n
        Karma\u015f\u0131kl\u0131k gerektirin<\/strong> (Büyük\/küçük harf, say\u0131, özel karakter).<\/p>\r\n<\/li>\r\n
      • \r\n
        Parola geçmi\u015fini hat\u0131rla<\/strong> (24) ve 90 günde bir de\u011fi\u015ftirme<\/strong> zorunlulu\u011fu getirin.<\/p>\r\n<\/li>\r\n<\/ul>\r\n
        PowerShell ile Parola Politikas\u0131:<\/strong><\/p>\r\n
        \r\n
        \r\n
        \r\n
        \r\n
        powershell<\/span><\/div>\r\n<\/div>\r\n<\/div>\r\n<\/div>\r\n
        $domain<\/span> = Get-ADDomain<\/span>\r\nSet-ADDefaultDomainPasswordPolicy<\/span> -<\/span>Identity $domain<\/span>.<\/span>DNSRoot -<\/span>ComplexityEnabled $true<\/span> -<\/span>MinPasswordLength 14 -<\/span>PasswordHistoryCount 24 -<\/span>MaxPasswordAge 90.<\/span>00:00:00 -<\/span>MinPasswordAge 1.<\/span>00:00:00 -<\/span>LockoutThreshold 5<\/pre>\r\n<\/div>\r\n
        C. Ayr\u0131cal\u0131kl\u0131 Eri\u015fimi Yönetin (PAM)<\/strong>
        Yönetici hesaplar\u0131 için \"tam zaman\u0131nda\" (Just-In-Time) eri\u015fim prensibini uygulay\u0131n. Kullan\u0131c\u0131lar\u0131n sadece ihtiyaç duyduklar\u0131 anda ve sadece ihtiyaç duyduklar\u0131 süre boyunca yönetici ayr\u0131cal\u0131klar\u0131na sahip olmas\u0131n\u0131 sa\u011flay\u0131n.<\/p>\r\n
        4. Eri\u015fim Kontrolü: \"En Az Ayr\u0131cal\u0131k\" \u0130lkesini Benimseyin<\/h2>\r\n
        Bir kullan\u0131c\u0131 veya uygulama, sadece görevini yapmak için ihtiyaç duydu\u011fu izinlere sahip olmal\u0131d\u0131r.<\/p>\r\n
        A. Rol Tabanl\u0131 Eri\u015fim Kontrolü (RBAC)<\/strong>
        \"RDS Yöneticisi\" gibi geni\u015f roller atamak yerine, \"Yard\u0131m Masas\u0131\" (sadece oturumu sonland\u0131rabilir) veya \"Uygulama Yay\u0131nc\u0131s\u0131\" gibi özelle\u015ftirilmi\u015f roller olu\u015fturun.<\/p>\r\n
        B. Oturum K\u0131s\u0131tlamalar\u0131 Koyun<\/strong><\/p>\r\n
          \r\n
        • \r\n
          Bo\u015fta kalma süresi:<\/strong> 30 dakika sonra oturumu sonland\u0131r\u0131n.<\/p>\r\n<\/li>\r\n
        • \r\n
          Ba\u011flant\u0131s\u0131 kesilmi\u015f oturum süresi:<\/strong> 60 dakika sonra sonland\u0131r\u0131n.<\/p>\r\n<\/li>\r\n
        • \r\n
          E\u015fzamanl\u0131 oturum say\u0131s\u0131:<\/strong> Kullan\u0131c\u0131 ba\u015f\u0131na maksimum oturum say\u0131s\u0131n\u0131 s\u0131n\u0131rlay\u0131n.<\/p>\r\n<\/li>\r\n<\/ul>\r\n
          PowerShell ile Oturum K\u0131s\u0131tlamalar\u0131:<\/strong><\/p>\r\n
          \r\n
          \r\n
          \r\n
          \r\n
          powershell<\/span><\/div>\r\n<\/div>\r\n<\/div>\r\n<\/div>\r\n
          Set-RDSessionCollectionConfiguration<\/span> -<\/span>CollectionName \"MyCollection\"<\/span> -<\/span>IdleSessionLimitMin 30 -<\/span>DisconnectedSessionLimitMin 60 -<\/span>MaxSessionLimit 3<\/pre>\r\n<\/div>\r\n
          5. \u015eifreleme ve Veri Güvenli\u011fi: Verilerinizi Koruyun<\/h2>\r\n
          Veriler hem yolda (a\u011f üzerinde) hem de yatarken (disk üzerinde) \u015fifrelenmelidir.<\/p>\r\n
          A. TLS 1.2+ Kullan\u0131n<\/strong>
          RDS bile\u015fenleri aras\u0131ndaki tüm ileti\u015fim, güvenli TLS 1.2 veya üzeri bir sürümle \u015fifrelenmelidir. Eski ve güvensiz SSL\/TLS sürümlerini (1.0, 1.1) devre d\u0131\u015f\u0131 b\u0131rak\u0131n.<\/p>\r\n
          B. Güvenilir Sertifikalar Kullan\u0131n<\/strong>
          RD Gateway, RD Web Access gibi bile\u015fenler için otomatik olarak olu\u015fturulan kendinden imzal\u0131 sertifikalar yerine, güvenilir bir Sertifika Otoritesi'nden (CA) al\u0131nm\u0131\u015f sertifikalar kullan\u0131n.<\/p>\r\n
          C. Disk \u015eifrelemesi Uygulay\u0131n<\/strong>
          Oturum sunucular\u0131n\u0131z\u0131n i\u015fletim sistemi disklerini BitLocker<\/strong> ile \u015fifreleyin. Bu, fiziksel eri\u015fim veya disk h\u0131rs\u0131zl\u0131\u011f\u0131 durumunda verilerinizi korur.<\/p>\r\n
          6. \u0130zleme ve Denetim: Görünürlü\u011fünüzü Art\u0131r\u0131n<\/h2>\r\n
          Sald\u0131r\u0131y\u0131 önleyemezseniz bile, onu h\u0131zl\u0131ca tespit edip müdahale edebilmelisiniz.<\/p>\r\n
          A. Kapsaml\u0131 Günlükleme (Logging) Yap\u0131n<\/strong>
          Tüm RDS bile\u015fenlerinde (Gateway, Session Host, Connection Broker) ba\u015far\u0131l\u0131\/ba\u015far\u0131s\u0131z oturum açma, oturum kapatma ve hesap kilitleme olaylar\u0131n\u0131 kaydedin. Bu günlükleri merkezi bir SIEM<\/strong> sistemine (örne\u011fin, Azure Sentinel, Splunk) yönlendirin.<\/p>\r\n
          PowerShell ile Geli\u015fmi\u015f Denetim:<\/strong><\/p>\r\n
          \r\n
          \r\n
          \r\n
          \r\n
          powershell<\/span><\/div>\r\n<\/div>\r\n<\/div>\r\n<\/div>\r\n
          auditpol.<\/span>exe \/<\/span>set<\/span> \/<\/span>subcategory:\"Logon\"<\/span> \/<\/span>success:enable \/<\/span>failure:enable\r\nauditpol.<\/span>exe \/<\/span>set<\/span> \/<\/span>subcategory:\"Logoff\"<\/span> \/<\/span>success:enable \/<\/span>failure:enable<\/pre>\r\n<\/div>\r\n
          B. Anormal Davran\u0131\u015flar\u0131 Tespit Edin<\/strong>
          SIEM sisteminizde, a\u015fa\u011f\u0131dakileri tespit eden kurallar olu\u015fturun:<\/p>\r\n
            \r\n
          • \r\n
            Ayn\u0131 kullan\u0131c\u0131dan farkl\u0131 co\u011frafi konumlardan k\u0131sa süreli art arda ba\u011flant\u0131lar.<\/p>\r\n<\/li>\r\n
          • \r\n
            Normal çal\u0131\u015fma saatleri d\u0131\u015f\u0131ndaki yönetici eri\u015fimleri.<\/p>\r\n<\/li>\r\n
          • \r\n
            Çok say\u0131da ba\u015far\u0131s\u0131z oturum açma denemesi (Brute-Force sald\u0131r\u0131s\u0131 göstergesi).<\/p>\r\n<\/li>\r\n<\/ul>\r\n
            7. \u0130\u015fletim Sistemi ve Uygulama Güvenli\u011fi: Platformu S\u0131k\u0131la\u015ft\u0131r\u0131n<\/h2>\r\n
            A. Güncel Yamalar\u0131 Aksatmay\u0131n<\/strong>
            Tüm RDS sunucular\u0131n\u0131z için acil bir yama yönetim politikas\u0131 uygulay\u0131n. Kritik güvenlik güncellemelerini mümkün olan en k\u0131sa sürede (test sonras\u0131) da\u011f\u0131t\u0131n.<\/p>\r\n
            B. S\u0131k\u0131la\u015ft\u0131rma (Hardening) Yap\u0131n<\/strong>
            CIS (Center for Internet Security)<\/strong> k\u0131lavuzlar\u0131n\u0131 veya Microsoft Güvenlik Temelleri'ni<\/strong> temel alarak sunucular\u0131n\u0131z\u0131 yap\u0131land\u0131r\u0131n. Gereksiz Windows servislerini ve özellikleri kapat\u0131n.<\/p>\r\n
            C. Uygulama Kontrolleri Uygulay\u0131n<\/strong>
            AppLocker<\/strong> veya Windows Defender Application Control (WDAC)<\/strong> kullanarak, sadece onaylad\u0131\u011f\u0131n\u0131z uygulamalar\u0131n RDS oturumlar\u0131nda çal\u0131\u015fmas\u0131na izin verin. Bu, zararl\u0131 yaz\u0131l\u0131mlar\u0131n yürütülmesini engellemede çok etkilidir.<\/p>\r\n
            8. Kapsaml\u0131 RDS Güvenlik Kontrol Listesi<\/h2>\r\n
            A\u015fa\u011f\u0131daki kontrol listesini, RDS güvenlik duru\u015funuzu de\u011ferlendirmek için kullan\u0131n.<\/p>\r\n
            \r\n
            \r\n
             <\/div>\r\n
             <\/div>\r\n<\/div>\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\n\r\n
            Seviye<\/th>\r\nKontrol Noktas\u0131<\/th>\r\nDurum (\u2713\/\u2717)<\/th>\r\n<\/tr>\r\n<\/thead>\r\n
            Temel<\/strong><\/td>\r\nNLA (Network Level Authentication) Etkin<\/td>\r\n <\/td>\r\n<\/tr>\r\n
             <\/td>\r\nVarsay\u0131lan RDP Portu (3389) De\u011fi\u015ftirildi<\/td>\r\n <\/td>\r\n<\/tr>\r\n
             <\/td>\r\nTüm Bile\u015fenlerde TLS 1.2+ Zorunlu<\/td>\r\n <\/td>\r\n<\/tr>\r\n
             <\/td>\r\nGüçlü Parola Politikas\u0131 Aktif<\/td>\r\n <\/td>\r\n<\/tr>\r\n
             <\/td>\r\nOtomatik Güncellemeler ve Yamalar Etkin<\/td>\r\n <\/td>\r\n<\/tr>\r\n
            Orta<\/strong><\/td>\r\nÇok Faktörlü Kimlik Do\u011frulama (MFA) Uyguland\u0131<\/td>\r\n <\/td>\r\n<\/tr>\r\n
             <\/td>\r\nRD Gateway ile Güvenli \u0130nternet Eri\u015fimi Sa\u011fland\u0131<\/td>\r\n <\/td>\r\n<\/tr>\r\n
             <\/td>\r\nA\u011f Segmentasyonu ve Güvenlik Duvarlar\u0131 Yap\u0131land\u0131r\u0131ld\u0131<\/td>\r\n <\/td>\r\n<\/tr>\r\n
             <\/td>\r\nAppLocker\/WDAC ile Uygulama Kontrolü Sa\u011fland\u0131<\/td>\r\n <\/td>\r\n<\/tr>\r\n
             <\/td>\r\nMerkezi Günlük Toplama (SIEM) Aktif<\/td>\r\n <\/td>\r\n<\/tr>\r\n
             <\/td>\r\nOturum K\u0131s\u0131tlamalar\u0131 (Süre, E\u015fzamanl\u0131 Oturum) Tan\u0131mland\u0131<\/td>\r\n <\/td>\r\n<\/tr>\r\n
            \u0130leri<\/strong><\/td>\r\nAyr\u0131cal\u0131kl\u0131 Eri\u015fim Yönetimi (PAM\/JIT) Uygulan\u0131yor<\/td>\r\n <\/td>\r\n<\/tr>\r\n
             <\/td>\r\nSIEM ile Anormal Davran\u0131\u015f Alg\u0131lama Kurallar\u0131 Çal\u0131\u015f\u0131yor<\/td>\r\n <\/td>\r\n<\/tr>\r\n
             <\/td>\r\nDüzenli S\u0131zma Testleri ve Güvenlik Denetimleri Yap\u0131l\u0131yor<\/td>\r\n <\/td>\r\n<\/tr>\r\n
             <\/td>\r\nVeri Kayb\u0131 Önleme (DLP) Çözümleri Entegre Edildi<\/td>\r\n <\/td>\r\n<\/tr>\r\n
             <\/td>\r\nKo\u015fullu Eri\u015fim Politikalar\u0131 ile Risk Bazl\u0131 Kimlik Do\u011frulama<\/td>\r\n <\/td>\r\n<\/tr>\r\n<\/tbody>\r\n<\/table>\r\n<\/div>\r\n
            Microsoft RDS güvenli\u011fi, \"bir kere yap\u0131l\u0131p unutulacak\" bir proje de\u011fil, sürekli bir süreçtir. Bu rehberde özetlenen katmanl\u0131 yakla\u015f\u0131m\u0131 benimseyerek, kurumsal uzak eri\u015fim altyap\u0131n\u0131z\u0131n güvenlik seviyesini önemli ölçüde art\u0131rabilir, kullan\u0131c\u0131lar\u0131n\u0131za hem üretken hem de güvenli bir çal\u0131\u015fma ortam\u0131 sunabilirsiniz.<\/p>\r\n
            Unutmay\u0131n:<\/strong> Güvenlik, en zay\u0131f halkan\u0131z kadar güçlüdür. Düzenli olarak kontrollerinizi gözden geçirin, güncel tehditlere kar\u015f\u0131 haz\u0131rl\u0131kl\u0131 olun ve güvenlik kültürünüzü sürekli geli\u015ftirin.<\/p>\r\n
            \r\n
            Not: Bu blog yaz\u0131s\u0131 genel bilgi ve rehberlik amac\u0131yla haz\u0131rlanm\u0131\u015ft\u0131r. Tüm güvenlik ayarlar\u0131n\u0131 uygulamadan önce bir test ortam\u0131nda do\u011frulama yapman\u0131z ve kurulu\u015funuza özgü gereksinimleri ve uyumluluk kurallar\u0131n\u0131 göz önünde bulundurman\u0131z önemle tavsiye edilir.<\/em><\/p>","excerpt":"Microsoft RDS Security Best Practices: G\u00fcvenli Uzak Masa\u00fcst\u00fc Hizmetleri Gerekli Politikalar \u0130\u00e7indekiler 1. (giri\u015f) 2. (rds-g\u00fcvenlik-mimarisi)...","created_at":"2025-04-14 01:56:57","updated_at":"2026-09-05 10:44:10","category_id":6,"view_count":801,"reading_time":9,"status":"published","editor_choice":0,"is_editor_choice":0,"published_at":"2025-04-14 01:56:57","featured_image":"resimyok.jpg","slug":"terminal-server-uzak-masaustu-sunucusu-kullanici-politikalari","category_name":"Sistem","category_slug":"sistem","category_color":"#3b82f6"}