Uzaktan erişim; RDP, SSH, VPN ve web tabanlı yönetim panellerini kapsar. Bunların her biri saldırganların öncelikli hedefidir ve her birinde şifreleme ile kimlik doğrulama farklı biçimde çalışır. SSH kendi anahtar mekanizmasını kullanır, RDP ve web panelleri ise TLS sertifikalarına dayanır.
RDP ve sertifika
Windows Uzak Masaüstü, varsayılanda kendinden imzalı bir sertifika üretir ve istemci her seferinde uyarı verir. Kullanıcıların uyarıyı körü körüne geçmesine alışması, ortadaki adam saldırısını fark edilmez kılar. Çözüm, sertifikayı kurum CA'sından veya uygun alan adı için güvenilir bir CA'dan almak ve RDP dinleyicisine atamaktır. Ağ Düzeyinde Kimlik Doğrulama'yı (NLA) etkin tutun, RDP'yi doğrudan internete açmayın.
Önerilen mimari
- RDP portunu (3389) internete açmak yerine VPN veya Remote Desktop Gateway arkasına alın.
- Gateway'in HTTPS sertifikası için herkesçe güvenilen bir SSL sertifikası kullanın.
- Çok faktörlü doğrulama ekleyin.
- Hesap kilitleme ve başarısız giriş izleme politikaları tanımlayın.
SSH için ipuçları
# /etc/ssh/sshd_config
PasswordAuthentication no
PermitRootLogin no
PubkeyAuthentication yes
AllowUsers yonetici- Parola yerine anahtar tabanlı giriş kullanın ve özel anahtarları parolayla koruyun.
- Değişiklik sonrası
sshd -tile sözdizimini doğrulayın; ikinci bir oturumu açık tutarak test edin. - Sunucu parmak izini ilk bağlantıda doğrulayın.
- Porta yönelik kaba kuvvet denemelerini sınırlamak için hız sınırlama veya fail2ban benzeri bir araç düşünün.
Web tabanlı yönetim panelleri
- cPanel, Plesk, router ve benzeri arayüzleri yalnızca HTTPS'ten ve geçerli sertifikayla sunun.
- Yönetim arayüzünü IP beyaz listesi veya VPN ile sınırlayın.
- TLS 1.2+ dışındaki protokolleri kapatın.
Doğrulama
Web tabanlı paneller ve RD Gateway için sertifika zincirini SSL Checker ile, sorun varsa SSL sorun giderici ile inceleyin.
Özetle uzaktan erişimde temel ilke; hizmeti doğrudan açmamak, sertifikaları güvenilir kaynaktan almak ve çok faktörlü doğrulamayı zorunlu kılmaktır.