Kısa cevap: NLA, MFA ve RDP portu aynı şeyi yapmaz. Birinin etkin olması diğerlerini otomatik olarak sağlamaz. Bu yazı, bir Windows VDS için güvenlik kontrolü yaparken hangi sorunun hangi ayarla yanıtlandığını ayırmanıza yardımcı olur. Tek bir kutuyu işaretleyip erişimi bütünüyle güvenli saymak doğru değildir.
NLA hangi aşamada devrededir?
Microsoft’un Uzak Masaüstü açıklaması, NLA’nın oturum kurulmadan önce kimlik doğrulama istemesini anlatır ve bu korumanın kullanılmasını önerir. Bu özellik, kendi başına ek bir doğrulama cihazı veya tek kullanımlık kod sağladığı anlamına gelmez. Kullanıcıya gerçekten hangi adımların sorulduğunu onaylı bir hesapla gözlemleyin; yalnız ayar ekranındaki etikete bakmayın.
Dört farklı soruyu ayrı cevaplayın
Kim bağlanabilir, nereden bağlanabilir, kimliğini nasıl kanıtlar ve hangi işlemleri yapabilir? Birincisi hesap ve grup yönetimi, ikincisi ağ erişimi, üçüncüsü doğrulama yöntemi, dördüncüsü yetki kapsamıdır. RDP parola ve oturum rehberi temel ayrımları açıklar. Paylaşılan yönetici hesabı bütün çalışanların kimliğini tek hesaba indirgediğinden olay incelemesini de zorlaştırır. Mümkün olan iş akışında kişiye özgü hesap tercih edin.
Port değişikliği neyi kanıtlamaz?
Varsayılandan farklı porta bağlanmanız, kullanıcının yetkili olduğunu veya bağlantıda MFA uygulandığını kanıtlamaz. İzinli kaynakları ve kullanıcıları ayrı kontrol edin. RDP port değiştirme rehberini uygulayacaksanız mevcut konsol erişiminizi ve geri dönüş planınızı önce doğrulayın. Tek yönetim yolunu kaybetmek için kötü niyetli bir saldırı gerekmeyebilir; eksik bir kural değişikliği de sizi dışarıda bırakabilir.
Her korumaya bir doğrulama ekleyin
Örnek bir test kaydında izinli kullanıcının açabildiği, yetkisiz kullanıcının reddedildiği, beklenmeyen kaynaktan erişimin sınırlandığı ve MFA gerekiyorsa ikinci adımın atlanamadığı ayrı satırlar olmalıdır. Bu testleri yalnız kendi yetkili ortamınızda yapın. Üretim müşterilerinin hesaplarını deneme aracı olarak kullanmayın. Başarısız girişlerin nasıl kaydedildiğini olay günlüğü rehberiyle birlikte değerlendirin.
Ekip değiştikçe erişimi yeniden değerlendirin
Çalışan ayrıldığında yalnız parolayı değiştirmek yetmeyebilir; grup üyeliği, kayıtlı erişim ve kullanılan yönetim araçları gözden geçirilmelidir. Geçici destek hesabına bitiş zamanı verin. Sunucuya erişim ihtiyacı olmayan personele bütün masaüstünü açmak yerine iş uygulamasının rol sistemini düşünün. VDS güvenlik kontrol listesini düzenli inceleyin. Bu kontrollerin hiçbiri yedekleme veya yazılım güncellemesinin yerini almaz; aynı planın farklı sorumluluklarıdır.
Bu konunun diğer kontrolleri
- NLA Etki Alanı Denetleyicisine Ulaşamıyor: DNS ve Hesap Kontrolü
- RDP Erişimi Kaybolursa: NLA’yı Kapatmadan Konsol Kurtarma Planı
Sıkça Sorulan Sorular
NLA açıkken MFA da açık mıdır?
Hayır. NLA ve çok faktörlü doğrulama farklı kontrollerdir. Kullanılan erişim mimarisinde MFA’nın nerede uygulandığını ve gerçekten zorunlu olup olmadığını ayrıca doğrulayın.
RDP portunu değiştirirsem güçlü parola gereksiz olur mu?
Hayır. Port adresi ile kullanıcı kimliğinin güvenliği farklıdır. Port değiştirme, izinli kullanıcı ve bağlantı kaynağı denetiminin yerine geçmez.
NLA bağlantı hatası veriyorsa kapatayım mı?
Genel çözüm olarak kapatmayın. İstemci uyumu, kullanıcı hakları ve varsa etki alanı erişimi önce incelenmelidir. Kurtarma gerekiyorsa yetkili konsol ve kontrollü bakım kullanılmalıdır.
Bir erişim kontrol tablosunda hangi sütunlar bulunmalı?
Kullanıcı veya rol, izinli bağlantı yolu, gerekli doğrulama, erişebileceği uygulama ve son kontrol tarihi ayrı sütunlar olabilir. Gerçek parolayı tabloda saklamayın. Bir kişinin görev değişikliği olduğunda hangi erişimin kaldırılacağını bu tablodan görebilmelisiniz. Dış destek için verilen geçici erişimde bitiş zamanı ve onaylayan sorumlu da bulunmalıdır. Tabloyu hazırlamak ayarları otomatik uygulamaz; kayıtla gerçek sunucu yapılandırmasının uyuştuğunu yetkili testlerle ayrıca kontrol edin.