Başarısız Oturum Açma ve RDP Kaba Kuvvet Saldırısı Tespiti
Bilgi Güvenliği ve Virüs

Windows güvenlik günlüğünde başarısız girişleri (4625) IP adresine göre sayma, başarılı RDP girişlerini görme ve saldırıya karşı alınacak önlemler.

İnternete açık bir Uzak Masaüstü veya SSH hizmeti, dakikalar içinde otomatik parola deneme saldırılarının hedefi olur. Güvenlik günlüğü bu denemeleri kaydeder: 4625 başarısız oturum açmayı, 4624 başarılı oturum açmayı gösterir. Aşağıdaki komutlar saldırının olup olmadığını ve kaynağını hızlıca ortaya çıkarır.

Windows: başarısız girişler

PowerShell
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} | ForEach-Object { $_.Properties[19].Value } | Group-Object | Sort-Object Count -Descending | Select-Object -First 15 Count, Name

Son 24 saatteki başarısız girişleri kaynak IP adresine göre sayar.

PowerShell
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} | ForEach-Object { $_.Properties[5].Value } | Group-Object | Sort-Object Count -Descending | Select-Object -First 15 Count, Name

Denenen kullanıcı adlarını sayar. 'administrator', 'admin', 'user' gibi adlar otomatik saldırı işaretidir.

Windows: başarılı uzak girişler

PowerShell
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddDays(-7)} | Where-Object { $_.Properties[8].Value -eq 10 } | Select-Object TimeCreated, @{n='Kullanici';e={$_.Properties[5].Value}}, @{n='IP';e={$_.Properties[18].Value}}

Son 7 gündeki başarılı Uzak Masaüstü girişlerini (oturum türü 10) kullanıcı ve IP ile listeler. Tanımadığınız bir giriş varsa ciddi bir olay olarak ele alın.

Linux: SSH denemeleri

Linux
sudo grep 'Failed password' /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -nr | head

Debian/Ubuntu'da başarısız SSH girişlerini IP'ye göre sayar (RHEL ailesinde /var/log/secure).

Linux
sudo lastb | head -20

Son başarısız giriş denemelerini gösterir.

Linux
last -i | head -20

Son başarılı girişleri IP adresiyle gösterir.

Önlemler

  • RDP'yi internete açık bırakmayın; VPN veya Uzak Masaüstü Ağ Geçidi arkasına alın.
  • Hesap kilitleme ilkesi tanımlayın (örneğin 10 hatalı denemede 15 dakika kilit).
  • Yönetici hesabının adını tahmin edilemez yapın, güçlü parola ve mümkünse çok faktörlü doğrulama kullanın.
  • Ağ Düzeyinde Kimlik Doğrulamayı (NLA) açık tutun.
  • Linux'ta SSH parola girişini kapatıp anahtarla giriş kullanın, fail2ban ile tekrarlayan denemeleri otomatik engelleyin.

Bilgi Güvenliği ve Virüs: diğer rehberler

Komutları kendi sisteminizde çalıştırmadan önce sunucu, kullanıcı ve klasör adlarını uyarlayın; kritik değişikliklerden önce yedek alın.

Diğer bölümler

Başarısız Oturum Açma ve RDP Kaba Kuvvet Saldırısı Tespiti hakkında

Windows güvenlik günlüğünde başarısız girişleri (4625) IP adresine göre sayma, başarılı RDP girişlerini görme ve saldırıya karşı alınacak önlemler.

Örneklerdeki süslü parantezli alanlar ({{dosya}} gibi) sizin dolduracağınız yerlerdir. Silme ve yönetici yetkisi isteyen komutlarda dikkatli olun.

Başarısız Oturum Açma ve RDP Kaba Kuvvet Saldırısı Tespiti nasıl kullanılır?

  1. Rehberi okuyunAdımları sırasıyla izleyin.
  2. Komutları kopyalayınKod kutularındaki 📋 ile kopyalayın; örnek adları kendi değerlerinizle değiştirin.
  3. Sonucu doğrulayınKontrol komutlarıyla işlemin başarılı olduğunu görün.

Sıkça sorulan sorular

Başarısız Oturum Açma ve RDP Kaba Kuvvet Saldırısı Tespiti nasıl yapılır?

Windows güvenlik günlüğünde başarısız girişleri (4625) IP adresine göre sayma, başarılı RDP girişlerini görme ve saldırıya karşı alınacak önlemler.

Komutları nerede çalıştırmalıyım?

PowerShell komutlarını yönetici olarak açılmış PowerShell'de, CMD komutlarını yönetici Komut İstemi'nde, Linux komutlarını terminalde çalıştırın.