RDP güvenliği: 3389 portunu internete açmadan uzak masaüstü erişimi

RDP’yi güvenli kullanmanın temel kuralı, kaynağın 3389 portunu kullanıcıların günlük giriş adresi yapmamaktır. Bunun için erişim bir ağ yoluyla değil, kimlik, atama ve etkin oturum politikası gerektiriyorsa onayla kurulan bir oturumla verilir. Cerberus’ta sunucunun adresi veya portu normal akışta kullanıcıya dağıtılmaz; kullanıcı atanmış masaüstünü tarayıcıdan açar. Bu sayfa risk ile seçenekleri ve Cerberus modelinin neyi desteklediğini, neyi dağıtım sorumluluğunda bıraktığını anlatır.

İnternete açık RDP portu neden risklidir?

İnternete açık bir RDP portu, herkesin ulaşabildiği bir giriş yüzeyidir. Her açık port için bir güvenlik duvarı kuralı, bir istisna ve bakım yükü oluşur. Portu gören herkes parola denemesi yapabilir ve servisin zafiyetlerini hedefleyebilir; ağ katmanında ek bir engel yoktur.

Erişim yalnızca ağ ulaşılabilirliği olarak düşünülürse şu sorular cevapsız kalır:

• Bu kişi bu sunucuya neden ve ne kadar süreyle bağlanıyor?
• Parola kimde ve kimlerle paylaşıldı?
• İş bitince erişim gerçekten kapandı mı?

RDP’ye güvenli erişimde hangi seçenekler var?

Üç yaygın yaklaşım vardır; her birinin sınırı farklıdır.

Hangisi seçilirse seçilsin, ulaşılabilirlik ile yetkilendirme farklı sorulardır.

Ulaşılabilir olmak yetkili olmak demek değildir

Bir sunucuya ağ üzerinden ulaşılabilmesi, kullanıcının onunla çalışma hakkı olduğu anlamına gelmez. Cerberus bu iki soruyu ayırır. Ağ yolu bağlantı modeline göre hazırlanır; oturum kararı ise Kimlik, kapsam ve atama girdileriyle ayrıca verilir: kişi, rol, kaynak ataması, süre, kaynak hazırlığı ve politika. Ağ üzerinden ulaşılabilir bir kaynak otomatik olarak başlatılabilir bir kullanıcı oturumuna dönüşmez.

Süre, onay ve geri alma bu kararın parçasıdır. Süreli erişim ile bitiş zamanı veya kullanım bütçesi belirlenir, oturum onayı (politika gerektiriyorsa) isteği süre ve politikayla başlatır, geri alma yeni oturumları ve açık oturumu ayrı ayrı kapatır. Dış ekiplere bu akışı uygulamak için tedarikçi erişimi sayfasına bakın.

Cerberus’ta RDP oturumu nasıl açılır?

Zero Port modeli, kaynak bağlantı noktasını kullanıcının günlük giriş adresi olmaktan çıkarır. Akış şöyledir:

1. Kullanıcı giriş yapar ve kendisine atanmış kaynakları görür.
2. RDP, VNC, SSH veya terminal çalışma yolunu seçer.
3. Başlatma isteği güncel erişim kararı ve kaynak hazırlığıyla değerlendirilir.
4. Karar olumluysa tarayıcıda çalışma yüzeyi açılır.

Karar olumsuzsa kullanıcı çalışma yüzeyine taşınmadan neden kategorisini görür: atama, süre, kaynak hazırlığı, aktif oturum çatışması veya politika. Adımların tamamı Oturum akışı sayfasındadır. Kullanıcıya ham IP, hostname veya port normal akış olarak dağıtılmaz; hedef parola gösterilmeden de çalışılabilir.

Bağlantı modeline göre kaynak tarafında ne gerekir?

“3389 açmaya gerek yok” ifadesi her bağlantı modeli için aynı biçimde geçerli değildir. Zero Trust / Zero Port modeli üç bağlantı modeli tanımlar:

Windows Agent makineye kurulur; RDP hazırlık durumu, servis sağlığı ve yönetilen yerel hesap hazırlığı sinyali üretir; özel ağ bağlayıcısı seçildiğinde kaynak erişilebilirliği buradan hazırlanır. Bu yolda kullanıcı kaynağa adres ile değil, atanmış çalışma yüzeyiyle bağlanır. Ayrıntı Windows Agent sayfasındadır.

Agent olmadan bağlanan kaynaklarda gateway, hedefe ulaşabilen bir ağ konumunda çalışır. Hedef mevcut bir ağ yoluyla veya açık portla ulaşılabiliyorsa Cerberus oturumu ve kaydı yönetir, fakat firewall, allowlist ve ağ maruziyeti dağıtım sorumluluğunda kalır. Başka bir deyişle, Cerberus açık bir portu kendiliğinden kapatmaz; kullanıcıya o portu giriş adresi olarak vermez. Modeller Agent olmadan kaynak bağlama sayfasında karşılaştırılır.

Her modelde ağ ekibi kaynak tarafındaki güvenlik duvarını ve erişilebilirlik sınırlarını işletmeye devam eder.

Cerberus VPN’in yerini mi alır?

Cerberus kullanıcıya kaynak adresi veya geniş ağ üyeliği vermek yerine yönetilen çalışma yüzeyini sunar. Kullanıcı cihazı geniş bir ağa değil, atanmış çalışma yüzeyine bağlanır. Arka planda ise bağlantı modeline göre özel bir ağ yolu kullanılabilir: Windows Agent özel ağ bağlayıcısını hazırlayabilir, gateway özel ağa katılıp hedefe Cerberus adına ulaşabilir. Yani özel ağ teknolojisi kalkmaz; kullanıcıya verilen şey ağ değil, politikayla yönetilen bir oturum olur.

Neyi yönetir, neyi yönetmez?

Cerberus şunları yönetir: kimin hangi kaynağa atanacağı, oturumun ne zaman ve ne kadar süreyle açılacağı, geri alma ve karar, başlangıç, durum değişikliği ile kapanış olay kayıtları. Bu kayıtlar olay kaydıdır; oturum videosu değildir ve oturum kaydı geliştirme aşamasındadır.

Cerberus şunları yönetmez: hedef sunucunun işletim sistemi yamaları, kaynak tarafındaki güvenlik duvarı kuralları ve Windows dışı kaynaklarda makine içi hazırlık sinyalleri. Cerberus sunucu barındırma veya sanallaştırma yönetimi sunmaz; kendi sunucularınıza, sanal makinelerinize ve masaüstlerinize erişimi yönetir.

RDP erişimi için kontrol listesi

• Kullanıcıların günlük giriş adresi olarak 3389 portu kullanılmıyor.
• Erişim kişiye ve kaynağa atanmış; ağa genel üyelik verilmemiş.
• Süre sınırı tanımlı; oturum politikası gerektiriyorsa onay akışı da tanımlı.
• Hedef parola kullanıcıya dağıtılmıyor.
• Kaynak tarafındaki güvenlik duvarı kuralları ve ağ maruziyeti ayrıca gözden geçiriliyor.
• Geri alma ve kapanış olayları denetim kayıtlarında kontrol edilebiliyor.

RDP erişimini kendi kaynaklarınızla denemek için canlı demoyu açın.