Security Center:Defense against brute-force attacks

Çalışma mantığı

Bir koruma ilkesi oluşturarak brute-force saldırılarına karşı korumayı etkinleştirebilirsiniz. Bir ilke oluşturduktan sonra, belirtilen bir zaman aralığında bir IP adresinden yapılan başarısız oturum açma denemeleri sayısı belirlenen sınırı aşarsa ilke tetiklenir. İlke ardından otomatik olarak bir IP engelleme kuralı oluşturur; bu kural System Rules sekmesinde görünür. Oluşturulan kural, belirtilen süre boyunca sunucuya IP adresinden oturum açılmasını engeller. Kural oluşturulduğunda otomatik olarak etkinleşir ve ilke içinde belirtilen süre boyunca aktif kalır.

Koruma ilkesi oluşturma

Koruma eylemini tetikleyen belirli koşulları tanımlamak için bir koruma ilkesi oluşturabilirsiniz. Birden çok ilke yapılandırabilir ve kullanım senaryolarına göre farklı sunuculara farklı ilkeler uygulayabilirsiniz.

1. Security Center konsolu oturumunu açın.

2. Sol gezinme bölmesinde Protection Configuration > Host Protection > Rule Management yolunu izleyin. Konsolun sol üst köşesinde varlıklarınızın bulunduğu bölgeyi seçin: Chinese Mainland veya Outside Chinese Mainland.

3. Rule Management sayfasında Defense Policy sekmesine tıklayın.

4. Security Center'ın cloud kaynaklarınıza erişmesine izin vermediyseniz Authorize Now seçeneğine tıklayın.

   Yetkilendirme hakkında daha fazla bilgi için bkz. Security Center için hizmet bağlantılı rolü.

5. Create Policy seçeneğine tıklayın. Create Policy panelinde koruma ilkesini yapılandırın.

   Security Center varsayılan bir koruma ilkesi sunar: Tek bir sunucuda 10 dakika içinde 80'den fazla başarısız oturum açma denemesi tespit edilirse kaynak IP adresi 6 saat boyunca engellenir. Hedef sunucuları seçerek bu varsayılan ilkeyi doğrudan uygulayabilirsiniz. Aşağıdaki tabloda açıklanan parametreleri yapılandırarak özel bir ilke de oluşturabilirsiniz.

   Parametre	Açıklama
   Policy Name	Koruma ilkesi için bir ad girin.
   Defense Rule:	İlkeyi tetikleyen koşulları belirtin. Belirtilen bir zaman penceresi içinde başarısız oturum açma denemeleri sayısı eşik değerini aşarsa kaynak IP adresi belirtilen süre boyunca engellenir. Örneğin: 1 dakika içinde 3'ten fazla başarısız oturum açma denemesi varsa IP adresini 30 dakika boyunca engelleyin.
   Protection Scenario	Zorunlu koruma: RDP Brute Force ve SSH Brute Force. Bu seçeneklerin seçimini kaldıramazsınız. İsteğe bağlı koruma: SQL Server Exposed Brute-Force Attack. Bu seçenek veritabanınızı güvence altına almanıza ve hassas verileri korumanıza yardımcı olur. Önemli Bu koruma senaryosunun etkili olması için SQL Server'da oturum açma denetimi seçeneğini etkinleştirmeniz gerekir. Daha fazla bilgi için bkz. SQL Server için oturum açma denetimini etkinleştirme.
   Set as Default Policy	Bu ilkeyi varsayılan olarak ayarlar; böylece başka bir koruma ilkesi atanmamış tüm sunuculara otomatik olarak uygulanır. Not Set as Default Policy seçeneğini belirlerseniz Select a server: bölümünde herhangi bir sunucu seçip seçmediğinizden bağımsız olarak ilke, belirli bir ilkesi olmayan tüm sunuculara uygulanır.
   Select a server:	Bu ilkenin uygulanacağı sunucuları seçin. Security Center tarafından korunan sunucuları seçebilir veya sunucuları ada ya da IP adresine göre filtreleyebilirsiniz.

6. OK seçeneğine tıklayın.

   Önemli

   Her sunucuda yalnızca bir brute-force saldırısı koruma ilkesi bulunabilir.

   • Bu ilke için seçilen bir sunucuda mevcut bir ilke yoksa yeni ilke başarıyla uygulanır.

   • Seçilen bir sunucuda zaten bir ilke varsa ve bunu yenisiyle değiştirmek istiyorsanız Confirm Defense Rule Changes iletişim kutusunda OK seçeneğine tıklayın.

   • Daha önce bir ilke kapsamında olan bir sunucuya yeni bir ilke uygularsanız önceki ilke tarafından korunan sunucu sayısı azalır.

Sistem kurallarını yönetme

Sistem kuralı, bir koruma ilkesi tetiklendiğinde otomatik olarak oluşturulan bir IP engelleme kuralıdır. Aşağıdaki adımlar sistem kurallarının nasıl görüntüleneceğini, etkinleştirileceğini ve devre dışı bırakılacağını açıklar.

1. Security Center konsolu oturumunu açın. Sol gezinme bölmesinde Protection Configuration > Host Protection > Rule Management yolunu izleyin. Konsolun sol üst köşesinde varlıklarınızın bulunduğu bölgeyi seçin: Chinese Mainland veya Outside Chinese Mainland.

2. Rule Management sayfasında Defense Policy sekmesine tıklayın.

3. System Rules alt sekmesinde gerektiğinde işlemleri gerçekleştirin.

   • Sistem kurallarını görüntüleme

     Engellenen IP, bağlantı noktası, etkili sunucular, ilke adı, engelleme mekanizması, Valid Until ve her kuralın durumunu görüntüleyebilirsiniz. Security Center, istemci yükleme durumuna göre uygun engelleme mekanizmasını otomatik olarak seçer:

     • Security Center: Oturum açma denemelerini engellemek için öncelikli olarak Security Center aracısını kullanır. Bu mekanizma, Security Center'ın Advanced, Enterprise veya Ultimate sürümüne sahipseniz ve Malicious Network Behavior Prevention anahtarı etkinse otomatik olarak kullanılır. Malicious Network Behavior Prevention anahtarını etkinleştirme hakkında bilgi için bkz. Proaktif Savunma.

     • ECS Security Group: Bu engelleme kuralı etkinleştirildiğinde güvenlik grubunda karşılık gelen bir kural otomatik olarak oluşturulur. Kuralın süresi dolduğunda veya kural devre dışı bırakıldığında otomatik olarak silinir.

   • Sistem kuralını etkinleştirme

     Bir IP adresini engellemeye devam etmek için kuralı etkinleştirmek üzere Status sütunundaki anahtarı açabilirsiniz. Kuralı yeniden etkinleştirdiğinizde geçerlilik süresi, yeniden etkinleştirme zamanından itibaren iki saate uzatılır.

   • Sistem kuralını devre dışı bırakma

     Engellenen bir oturum açma denemesinin yanlış pozitif olduğunu doğruladıysanız erişime izin vermek için IP engelleme kuralını devre dışı bırakabilirsiniz. Kuralı devre dışı bırakmak için Status sütunundaki anahtarı kapatın. Kural devre dışı bırakıldıktan yaklaşık bir dakika sonra IP adresi sunucuya tekrar erişebilir.

Özel kuralları yönetme

İş gereksinimlerinize göre kötü niyetli IP adreslerinin cloud varlıklarınıza erişimini engellemek için özel IP engelleme kuralları oluşturabilirsiniz.

1. Security Center konsolu oturumunu açın.

2. Sol gezinme bölmesinde Protection Configuration > Host Protection > Rule Management yolunu izleyin. Konsolun sol üst köşesinde varlıklarınızın bulunduğu bölgeyi seçin: Chinese Mainland veya Outside Chinese Mainland.

3. Rule Management sayfasında Defense Policy sekmesine tıklayın.

4. Custom Rules alt sekmesinde gerektiğinde işlemleri gerçekleştirin.

   • Özel IP engelleme kuralı oluşturma

     1. Security Center'ın cloud kaynaklarınıza erişmesine izin vermediyseniz Authorize Now seçeneğine tıklayın.

        Yetkilendirme hakkında daha fazla bilgi için bkz. Security Center için hizmet bağlantılı rolü.

     2. Create Rule seçeneğine tıklayın. Create IP Address Blocking Policy panelinde parametreleri yapılandırın ve OK seçeneğine tıklayın.

        Parametre	Açıklama
        Intercepted Object	Engellenecek IP adresini girin.
        All Assets	IP engelleme kuralının uygulanacağı sunucuları seçin. Birden çok sunucu seçebilirsiniz. Ayrıca belirli bir sunucuyu adına veya IP adresine göre arayabilirsiniz.
        Rule Direction	Engellenecek trafiğin yönünü ayarlayın. Inbound veya Outbound seçebilirsiniz.
        Security Group	IP engelleme kuralı için güvenlik grubunu belirtir. Varsayılan değer Security Center Blocking Policy Group şeklindedir. Kural etkinleştirildiğinde bu güvenlik grubunda karşılık gelen bir kural otomatik olarak oluşturulur. Kuralın süresi dolduğunda veya kural devre dışı bırakıldığında otomatik olarak silinir.
        Expiration Time	Kural için geçerlilik süresini ayarlayın. Kuralın süresi dolduğunda durumu Disabled olarak değişir.

        Özel bir IP engelleme kuralı oluşturulduktan sonra varsayılan durumu Disabled olur. Kuralın etkili olması için elle etkinleştirmeniz gerekir.

   • Özel IP engelleme kurallarının listesini ve ayrıntılarını görüntüleme

     Custom Rules alt sekmesinde her kural için engellenen IP, etkili sunucu sayısı, son kullanma zamanı, kural yönü ve durumu görüntülenebilir. Etkili sunucuların listesini görüntülemek için bir kuralın İşlemler sütunundaki Ayrıntılar seçeneğine tıklayabilirsiniz. Ayrıca sunucu listesini Disabled, Enabled, Enabling veya Enabling failed gibi durumlara göre filtreleyebilirsiniz.

   • Özel IP engelleme kuralını düzenleme

     Düzenlemek istediğiniz kuralı bulun ve Actions sütununda Edit seçeneğine tıklayın. Edit IP Address Blocking Policy panelinde etkili varlıkları ve son kullanma zamanını değiştirebilirsiniz. Security Center ardından değişiklikleri IP engelleme kuralına uygular.

     Yalnızca Disabled durumunda olan IP engelleme kurallarını düzenleyebilirsiniz. Etkin bir kuralı düzenlemek için önce onu devre dışı bırakmanız gerekir.

   • IP engelleme kuralını etkinleştirme veya devre dışı bırakma

     Brute-force saldırısı riski taşıyan IP adresleri için IP engelleme kurallarını etkinleştirebilirsiniz. Bir kuralın meşru trafiği engellediğini doğruladıysanız kuralı devre dışı bırakabilirsiniz. Bir kural devre dışı bırakıldığında Security Center belirtilen IP adresinden sunucunuza erişimi artık engellemez.

     • Enable: Status anahtarını açın ve ardından Enable IP Address Blocking Policy iletişim kutusunda OK seçeneğine tıklayın. Kural etkili hale gelir ve durumu Enabling olarak değişir. Kuralın uygulandığı sunucu sayısı ne kadar fazlaysa Enabling durumu o kadar uzun sürer. Kural etkinleştirildikten sonra Security Center kuralda tanımlandığı şekilde kötü niyetli trafiği engeller. Bir kural etkinleştirildikten sonraki olası durumlardan bazıları şunlardır:

       • Enable Rule: Engelleme kuralı etkili olduğu tüm sunucularda etkinleştirilemedi.

       • Partially Successful: Engelleme kuralı etkili olduğu sunucuların bazılarında başarıyla etkinleştirildi ancak tümünde değil.

       Etkili sunucuların ayrıntılarını görüntülemek için bir kuralın İşlemler sütununda Details seçeneğine tıklayabilirsiniz. Effective Server panelinde Enabling failed durumunda olan bir sunucu için Actions sütununda Retry seçeneğine tıklayarak kuralı yeniden etkinleştirmeyi deneyebilirsiniz.

       Not

       Süresi dolmuş özel bir IP engelleme kuralını etkinleştirirseniz geçerlilik süresi yeniden etkinleştirme zamanından itibaren iki saate uzatılır. Geçerlilik süresini değiştirmeniz gerekiyorsa kuralı etkinleştirmeden önce düzenleyin.

     • Disable: Status anahtarını kapatın ve ardından Disable IP Address Blocking Policy iletişim kutusunda OK seçeneğine tıklayın. IP engelleme kuralı pasif hale gelir, durumu Disabled olarak değişir ve Security Center kuralda belirtilen IP adresinden erişimi artık engellemez.

   • Özel IP engelleme kuralını silme

     Disabled durumunda olan kuralları silebilirsiniz. Hedef kuralın İşlemler sütununda Delete seçeneğine tıklayın ve ardından onay iletişim kutusunda OK seçeneğine tıklayın.

SQL Server için oturum açma denetimini etkinleştirme

SQL Server brute-force saldırılarına karşı korumayı etkinleştirmek için önce SQL Server'da hem başarılı hem de başarısız kimlik doğrulama denemelerini kaydetmek üzere oturum açma denetimini etkinleştirmeniz gerekir. Bu bilgilerin günlüğe kaydedilmesi parola tahmin saldırılarını tespit etmek ve doğrulamak için önemlidir. Aşağıdaki adımları izleyin:

1. SQL Server Management Studio'yu açın ve SQL Server örneğinize bağlanın.

2. Soldaki Object Explorer penceresinde SQL Server örneğinizi bulun, sağ tıklayın ve Properties seçeneğini belirleyin.

3. Server Properties iletişim kutusunun sol menüsünde Security sayfasına tıklayın.

4. Security sayfasının Login auditing bölümünde Both failed and successful logins seçeneğini belirleyin.

5. OK seçeneğine tıklayın ve değişikliklerin etkili olması için SQL Server örneğinizi yeniden başlatın.

Bağlantı noktası açığa çıktıktan sonra brute-force saldırılarını kontrol etme

Windows sunucunuzdaki RDP bağlantı noktası 3389 internete açıksa sunucuda brute-force oturum açma saldırıları yaşanıp yaşanmadığını veya yetkisiz kullanıcı hesapları oluşturulup oluşturulmadığını araştırmak için Event Viewer kullanabilirsiniz.

Önkoşullar: Uzak Masaüstü veya başka bir uzak erişim yöntemi kullanarak Windows örneğinizde oturum açın.

Yordam:

1. Windows arama çubuğunda veya Run iletişim kutusunda (Win+R tuşlarına basın) eventvwr yazın ve Enter tuşuna basarak Event Viewer uygulamasını açın.

2. Event Viewer uygulamasında sol gezinme bölmesinde Windows Logs öğesini genişletin ve Security seçeneğine tıklayın.

3. Brute-force saldırılarını kontrol etmek için: Security günlüğünde Olay Kimliği 4625 (An account failed to log on) için filtreleme yapın veya arama gerçekleştirin. Kısa bir zaman aralığında yüksek sayıda Olay Kimliği 4625 girişi brute-force saldırısı gerçekleştiğine dair güçlü bir göstergedir.

4. Yetkisiz hesap oluşturulmasını kontrol etmek için: Security günlüğünde Olay Kimliği 4720 (A user account was created) için filtreleme yapın veya arama gerçekleştirin. Bu olay sunucuda yeni bir Windows kullanıcı hesabı oluşturulduğunu gösterir ve bu durum yetkisiz erişime işaret edebilir.

5. (İsteğe bağlı) Daha kapsamlı bir inceleme gerçekleştirmek için Windows Logs altındaki System ve Application günlüklerini de gözden geçirerek diğer anormal etkinlikleri tespit edin.