Yeni bir Windows Server'ı ilk saatte güvenli hale getirin

Yeni bir Windows sunucu, çevrim içi olduktan birkaç dakika sonra Uzak Masaüstü için taranır. Windows Server 2022 ve 2025 için bu kontrol listesi yaygın açıkları kapatır. PowerShell komutlarını Yönetici olarak çalıştır ile açılmış bir pencerede çalıştırın.

1. adım: Tüm güncellemeleri kurun

Settings › Windows Update sayfasını açıp her şeyi kurun ya da SConfig'in 6 numaralı seçeneğini kullanın. Otomatik güncellemeleri SConfig'in 5 numaralı seçeneğiyle ayarlayın. Bkz. otomatik güncellemeler.

Doğrulama: yeniden başlatmadan sonra Windows Update sunucunun güncel olduğunu bildirir.

2. adım: Kişisel yönetici hesapları kullanın

Kayıtlardaki işlemlerin bir ad taşıması ve ikinci bir giriş yolunuz olması için kişisel bir yönetici hesabı oluşturun:

$password = Read-Host -AsSecureString
New-LocalUser -Name "alex" -Password $password -FullName "Alex"
Add-LocalGroupMember -Group "Administrators" -Member "alex"

Yerleşik Administrator hesabına uzun ve benzersiz bir şifre verin (net user Administrator *) ve acil durum hesabı olarak tutun ya da yeni hesabın çalıştığını doğruladıktan sonra devre dışı bırakın.

Doğrulama: alex olarak oturum açın ve whoami /groups çalıştırın; BUILTIN\Administrators listelenir.

3. adım: Ağ Düzeyinde Kimlik Doğrulama'yı açık tutun

NLA, tam bir Uzak Masaüstü oturumu başlamadan önce kimlik doğrulaması ister ve birçok saldırıyı engeller. Kontrol edin:

(Get-CimInstance -Namespace root\cimv2\TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired

1, NLA'nın zorunlu olduğu anlamına gelir. Gerekirse SConfig'in 7 numaralı seçeneği ayarlayabilir.

4. adım: Uzak Masaüstü'nü IP adreslerinizle sınırlayın

Yerleşik Uzak Masaüstü güvenlik duvarı kurallarını kendi adreslerinizle sınırlayın. Örnek adresleri kendinizinkilerle değiştirin:

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 198.51.100.7, 203.0.113.0/24

Mevcut oturumunuzu açık tutun ve hâlâ girebildiğinizi doğrulamak için ikinci bir oturum bağlayın. Adresleri değişen ekipler için Uzak Masaüstü'nü bunun yerine bir VPN arkasına alın. Daha fazlası: Windows Defender Güvenlik Duvarı kuralları.

5. adım: Bir hesap kilitleme politikası ayarlayın

Kilitleme, şifre tahminini yavaşlatır. Mevcut politikayı gösterin, ardından bir eşik ve süre ayarlayın:

net accounts
net accounts /lockoutthreshold:10 /lockoutduration:15 /lockoutwindow:15

Bu, 15 dakika içinde 10 başarısız oturum açmadan sonra hesabı 15 dakika kilitler. Dengeyi koruyun: çok katı bir eşik, saldırganların sizi bilerek dışarıda bırakmasına izin verir.

Doğrulama: net accounts yeni değerleri gösterir.

6. adım: Microsoft Defender Antivirus'ü kontrol edin

Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Update-MpSignature

Üç Enabled değeri de True olmalı ve imza tarihi yakın olmalıdır.

7. adım: İhtiyacınız olmayanları kaldırın

Kurulu rolleri ve özellikleri listeleyin ve kullanmadıklarınızı kaldırın:

Get-WindowsFeature | Where-Object Installed

Ağda neyin dinlediğini kontrol edin ve beklenmeyen her şeyi kapatın veya kısıtlayın:

Get-NetTCPConnection -State Listen | Sort-Object LocalPort | Select-Object LocalAddress, LocalPort, OwningProcess

8. adım: Oturum açmaları izleyin

Security kaydında başarısız oturum açmalar 4625, başarılılar 4624 numaralı olaydır:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 | Select-Object TimeCreated, Message

Birçok adresten gelen sürekli başarısızlıklar, Uzak Masaüstü'nün açıkta olduğunu gösterir; kısıtlayın (4. adım). Tanımadığınız başarılı bir oturum açma, şifreleri hemen değiştirmeniz ve sunucunuz ele geçirildiyse yapmanız gerekenler rehberini izlemeniz gerektiği anlamına gelir.

9. adım: Yedekleyin

Önemli verilerin yedeklerini sunucudan uzakta tutun ve geri yüklemeyi test edin. Windows Server Backup ve uzak kopyalar için yedekleme stratejisi rehberine bakın.

Sorun giderme

4. adımdan sonra Uzak Masaüstü çalışmayı durdurdu. Genel IP adresiniz listede değil ya da değişti. Web konsolunu kullanıp Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress Any çalıştırın, ardından doğru adresi ekleyin. Bkz. güvenlik duvarı değişikliğinden sonra erişimi kaybetmek.

Hesabınız kilitlendi. Kilitleme süresini bekleyin ya da başka bir yönetici hesabından kontrol edin: net user alex /active:yes devre dışı bir hesabı yeniden etkinleştirir; kilit ise ayarlanan süreden sonra kalkar.

Güvenlik duvarı grup adı bulunamıyor. Başka bir dilde kurulmuş bir sunucuda görünen grup adı farklıdır. Get-NetFirewallRule -DisplayGroup "*Remote*" ile bulun.

Sonraki adımlar

• Ayrıntılı kurallar: Windows Defender Güvenlik Duvarı kuralları.
• Bağlantı sorunları: Uzak Masaüstü bağlantı sorunları.