Windows bulut sunucu güvenliği: Windows Server 2025'te Defender, SMB, yerel yönetici ve denetim ilkesi sertleştirme

Windows bulut sunucu güvenliği konuşulurken çoğu zaman yalnız RDP akla gelir. RDP'yi kapatmak ya da tünele almak önemli bir adım, ama yeterli değil. SMB, NTLM, yerel yönetici hesabı, Defender ayarları, denetim günlükleri ve SQL Server portu da saldırı yüzeyinin parçası. Bu rehber Windows Server 2025 çalışan bir bulut sunucuyu yöneten sistem yöneticileri ve KOBİ sahipleri için hazırlandı. Her adımda komut, beklenen çıktı ve geri alma yolu var.

Ön koşullar ve başlamadan önce

• Windows Server 2025 (Standard ya da Datacenter, Masaüstü Deneyimi veya Core). Komutların çoğu 2022'de de çalışır, fark olan yerler belirtildi.
• Yönetici yetkisiyle açılmış PowerShell 5.1 oturumu.
• Sağlayıcınızın panelinden konsol erişimi. Güvenlik duvarı ya da hesap ayarında hata yaparsanız RDP'siz içeri girmenin tek yolu budur. Başlamadan önce konsolun açıldığını bir kez deneyin.
• Değişikliklerden önce bir snapshot ya da imaj yedeği.

RDP tarafını henüz ele almadıysanız önce RDP erişimini WireGuard tüneline alma rehberine, sunucu yeni teslim edildiyse Windows bulut sunucu ilk kurulum betiğine bakın. Bu yazı onların bıraktığı yerden devam ediyor.

Saldırı yüzeyi: RDP dışında neler açık kalır

Bir Windows bulut sunucusunda internete bakan tipik riskler şunlardır:

• TCP 445 (SMB): Dosya paylaşımı. İnternete açık olmamalı.
• TCP 135 ve 139 (RPC, NetBIOS): Eski uyumluluk servisleri.
• TCP 5985 ve 5986 (WinRM): PowerShell uzaktan yönetim. Windows Server'da varsayılan açıktır, güvenlik duvarı profili ne izin veriyorsa o kadar erişilir.
• TCP 1433 (SQL Server): Logo, Mikro, Netsis gibi programlar için kurulan SQL Server. Kurulumlarda sık sık "her yerden erişim" kuralı eklenir.
• Yerel yönetici hesabı: Adı herkesçe bilinen Administrator hesabı, parola tahmini saldırılarının ilk hedefidir.

İlk iş, sunucunun dışarıdan nasıl göründüğünü ölçmek. Sunucunun içinden bakmak yanıltabilir, çünkü sağlayıcı tarafında ayrı bir ağ filtresi olabilir ya da tam tersine hiç olmayabilir.

Dışarıdan port taraması (bash)

Aşağıdaki betik, sunucunuza farklı bir ağdaki Linux makineden (ev bağlantınızdaki bir Linux, başka bir VPS) bakar. Ubuntu 24.04 ve Debian 12 için hazırlandı, nmap paketini gerektirir. Yalnız okuma yapar, hiçbir şeyi değiştirmez; geri alınacak bir adımı yoktur. HEDEF değerini kendi sunucunuzun genel IP adresiyle değiştirin; yalnız kendi sunucunuzu tarayın.

#!/usr/bin/env bash
# windows-dis-tarama.sh
# Windows bulut sunucusunun internetten görünen kritik portlarını kontrol eder.
# Ubuntu 24.04 ve Debian 12 için hazırlandı. Salt okunur, tekrar çalıştırılabilir.
set -euo pipefail

HEDEF="${1:-192.0.2.10}"   # Kendi sunucunuzun genel IP'si (örnek: belge adresi)
PORTLAR="135,139,445,1433,3389,5985,5986"

# nmap yoksa kur (zaten kuruluysa apt bir şey yapmaz)
if ! command -v nmap >/dev/null 2>&1; then
  sudo apt-get update -qq
  sudo apt-get install -y -qq nmap
fi

echo "Hedef: ${HEDEF}  Portlar: ${PORTLAR}"
# -Pn: ICMP kapalı olsa da taramayı yap
# --reason: portun neden açık/kapalı/filtreli göründüğünü yaz
nmap -Pn -sT -p "${PORTLAR}" --reason "${HEDEF}" | tee "tarama-${HEDEF}-$(date +%F).txt"

# Açık kalan portları ayrıca listele
ACIK=$(grep -E '^[0-9]+/tcp +open' "tarama-${HEDEF}-$(date +%F).txt" | awk '{print $1}' || true)
if [ -n "${ACIK}" ]; then
  echo "UYARI: Internetten erisilebilen portlar:"
  echo "${ACIK}"
else
  echo "Kritik portlarin hicbiri internetten acik gorunmuyor."
fi

Hedeflenen sonuç: 445, 135, 139, 1433, 5985 ve 5986 için filtered ya da closed. RDP'yi tünele aldıysanız 3389 da filtered görünmeli. open görünen her port bu yazıdaki ilgili bölümün konusudur. Değişikliklerden sonra betiği yeniden çalıştırıp karşılaştırın.

Eski rehberlerde artık geçerli olmayan öneriler

İnternetteki Windows sunucu güvenlik kontrol listelerinin bir kısmı Windows Server 2008 ve 2012 dönemine ait. Windows Server 2025 için bazı maddeler değişti:

• "SMBv1'i kapatın": SMBv1, Windows Server 2019'dan bu yana varsayılan olarak kurulu gelmiyor. Artık yapılacak iş kapatmak değil, kurulmadığını doğrulamaktır.
• "NTLMv1'i devre dışı bırakın": Microsoft, NTLMv1'i Windows Server 2025 ve Windows 11 24H2 ile kaldırdı. Gündemde NTLM'in genel kullanımını denetlemek var.
• "Parolayı her 30 günde bir değiştirin": Güncel öneri sık zorunlu değişim yerine uzun ve benzersiz parola ile hesap kilitleme. Zorunlu değişim, kullanıcıyı tahmin edilebilir parolalara itiyor.
• "Ek antivirüs kurun": Microsoft Defender Antivirus Windows Server'ın parçası. İkinci bir motor eklemek çoğu zaman yalnız çakışma getirir; asıl iş Defender'ı doğru ayarlamak.
• "RDP portunu değiştirin": Port değişikliği taramalardaki gürültüyü azaltır ama güvenlik kontrolü sayılmaz. Asıl çözüm 3389'u internete kapatmak.

SMBv1, NTLM ve gereksiz rolleri PowerShell ile kapatma

SMB durumunu doğrulama

# SMB yapılandırmasını oku (salt okunur)
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol, EnableSMB2Protocol, RequireSecuritySignature, EncryptData
Get-WindowsFeature FS-SMB1 | Select-Object Name, InstallState

Beklenen: EnableSMB1Protocol : False, FS-SMB1 için InstallState : Available ya da Removed. Windows Server 2025'te SMB imzalama varsayılan olarak zorunlu tutuluyor; RequireSecuritySignature değerinin True olduğunu görün. Değer False ise kendiniz ya da bir kurulum programı değiştirmiş olabilir.

SMBv1'i kaldırma ve 445'i dışarıya kapatma

Aşağıdaki betik Windows Server 2025 ve 2022, PowerShell 5.1 için hazırlandı. SMBv1'i kapatır, varsa özelliği kaldırır ve Public profilde 445'e gelen bağlantıyı engelleyen bir kural ekler. Tekrar çalıştırıldığında var olan kuralı yeniden oluşturmaz.

Kendini kilitleme uyarısı: Bu bölüm ve SQL Server bölümü güvenlik duvarı kuralı içeriyor. Kuralları uygulamadan önce RDP (ya da tünel) erişiminize izin veren kuralın etkin olduğunu Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select DisplayName, Enabled ile kontrol edin. Yanlış bir engelleme kuralı sizi sunucunun dışında bırakabilir; bu durumda sağlayıcı panelindeki konsoldan girip kuralı silmeniz gerekir.

# smb-sertlestirme.ps1  (Windows Server 2025/2022, PowerShell 5.1)
# SMBv1'i kapatır, özelliği kaldırır, 445'i Public profilde engeller.

# 1) SMBv1 sunucu tarafını kapat (zaten kapalıysa değişiklik olmaz)
Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force

# 2) SMBv1 özelliği kuruluysa kaldır (yeniden başlatma isteyebilir)
if ((Get-WindowsFeature FS-SMB1).InstallState -eq 'Installed') {
    Uninstall-WindowsFeature FS-SMB1
}

# 3) SMB imzalamayı zorunlu tut
Set-SmbServerConfiguration -RequireSecuritySignature $true -Force

# 4) Internete bakan (Public) profilde 445'i engelle
$kural = 'SERT-SMB-445-Public-Engel'
if (-not (Get-NetFirewallRule -DisplayName $kural -ErrorAction SilentlyContinue)) {
    New-NetFirewallRule -DisplayName $kural -Direction Inbound -Protocol TCP `
        -LocalPort 445 -Action Block -Profile Public
}

Geri alma: Remove-NetFirewallRule -DisplayName 'SERT-SMB-445-Public-Engel'. SMBv1'i geri açmanız gerekiyorsa bunu yapmak yerine o eski istemciyi güncellemeyi düşünün. Ağ kartınızın hangi profilde olduğunu Get-NetConnectionProfile ile görün; genel IP'li arabirim Public değilse kuralı ilgili profile göre düzenleyin.

NTLM: önce denetle, sonra kısıtla

Etki alanına üye olmayan (workgroup) bir bulut sunucusunda NLA ile RDP girişi NTLM kullanır. NTLM'i körü körüne kapatırsanız RDP'ye giremezsiniz. Doğru sıra şu:

# Yalnız NTLMv2 yanıtlarını kabul et, LM ve NTLMv1'i reddet (değer 5)
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa' -Name 'LmCompatibilityLevel' -Value 5 -Type DWord

# Gelen NTLM trafiğini engellemeden denetle (2 = tüm hesaplar için denetim)
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0' -Name 'AuditReceivingNTLMTraffic' -Value 2 -Type DWord

Denetim kayıtları Microsoft-Windows-NTLM/Operational günlüğüne düşer. Birkaç hafta izleyip NTLM'i kimin kullandığını görmeden kısıtlama ilkesine geçmeyin. Geri alma: iki değeri de silmek ya da önceki değerine döndürmek.

Gereksiz rol ve servisler

Get-WindowsFeature | Where-Object Installed ile kurulu rolleri listeleyin. Kullanmadığınız IIS, FTP ya da Web Yönetim araçlarını kaldırın. Print Spooler servisini kapatma önerisi sık geçer, ama dikkat: Logo ya da Mikro kullanıcıları RDP üzerinden yazıcı yönlendirmesiyle çıktı alıyorsa Spooler gereklidir. Yazdırma yapılmayan, örneğin yalnız SQL Server çalışan bir sunucuda kapatabilirsiniz:

Stop-Service Spooler; Set-Service Spooler -StartupType Disabled
# Geri alma: Set-Service Spooler -StartupType Automatic; Start-Service Spooler

Yerel yönetici hesabı, LAPS ve hesap kilitleme ilkesi

LAPS ne zaman işe yarar

Windows LAPS, Windows Server 2025'e yerleşik gelir ve yerel yönetici parolasını otomatik döndürür. Ancak parolayı Active Directory ya da Microsoft Entra ID'ye yedekler; etki alanına ya da Entra ID'ye bağlı olmayan tek bir bulut sunucusunda kullanılamaz. Ayrıntılar Windows LAPS genel bakış belgesinde.

Karar ölçütü basit:

• Sunucu bir etki alanının üyesiyse: Windows LAPS'ı ilke ile etkinleştirin, her sunucunun yerel yönetici parolası farklı ve dönen olsun.
• Tek başına bir sunucuysa: adlandırılmış bir yönetici hesabı açın, uzun ve benzersiz bir parola verin, parolayı bir parola kasasında tutun ve yerleşik Administrator hesabını devre dışı bırakın.

Adlandırılmış yönetici ve yerleşik hesabı kapatma

Aşağıdaki betik Windows Server 2025 ve 2022 için hazırlandı. ORNEK_YONETICI yerine kendi hesap adınızı yazın. Önemli sıra: önce yeni hesabı oluşturun, yeni hesapla RDP'ye girip test edin, ancak ondan sonra 3. adımı çalıştırın.

$ad = 'ORNEK_YONETICI'

# 1) Hesap yoksa oluştur; parola güvenli biçimde sorulur, betikte yazılmaz
if (-not (Get-LocalUser -Name $ad -ErrorAction SilentlyContinue)) {
    $parola = Read-Host -AsSecureString "Yeni yonetici parolasi"
    New-LocalUser -Name $ad -Password $parola -PasswordNeverExpires:$false
}

# 2) Administrators ve Remote Desktop Users gruplarına ekle (SID ile, dil bağımsız)
foreach ($sid in 'S-1-5-32-544','S-1-5-32-555') {
    $grup = Get-LocalGroup -SID $sid
    if (-not (Get-LocalGroupMember -Group $grup -Member $ad -ErrorAction SilentlyContinue)) {
        Add-LocalGroupMember -Group $grup -Member $ad
    }
}

# 3) YENİ HESAPLA GİRİŞİ TEST ETTİKTEN SONRA çalıştırın:
# Yerleşik yönetici hesabı (SID'i -500 ile biter) devre dışı
# Get-LocalUser | Where-Object { $_.SID -like '*-500' } | Disable-LocalUser

Grup adlarının Türkçe Windows'ta farklı olabileceği için SID kullanıldı. Geri alma: Get-LocalUser | Where-Object { $_.SID -like '*-500' } | Enable-LocalUser.

Hesap kilitleme

Önce mevcut ilkeyi okuyun: net accounts. "Kilitleme eşiği" Never ya da 0 görünüyorsa parola tahmini sınırsızdır. Makul bir başlangıç:

net accounts /lockoutthreshold:10 /lockoutwindow:15 /lockoutduration:15

Bu, 15 dakika içinde 10 hatalı denemede hesabı 15 dakika kilitler. Eşiği çok düşük tutarsanız (örneğin 3) saldırgan meşru kullanıcılarınızı kilitleyerek hizmet dışı bırakabilir. Geri alma: net accounts /lockoutthreshold:0.

Microsoft Defender ve Exploit Protection ayarları

Önce durumu görün:

Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated, IsTamperProtected

RealTimeProtectionEnabled : True ve imza tarihinin son bir iki gün içinde olması beklenir. Ardından bulut koruması, istenmeyen yazılım (PUA) engelleme ve ağ korumasını açın. Windows Server'da ağ koruması için ayrıca izin vermek gerekir:

Set-MpPreference -MAPSReporting Advanced -SubmitSamplesConsent SendSafeSamples
Set-MpPreference -PUAProtection Enabled
Set-MpPreference -AllowNetworkProtectionOnWinServer $true
Set-MpPreference -EnableNetworkProtection AuditMode   # önce denetim, sonra Enabled

# ASR: LSASS'tan kimlik bilgisi çalınmasını engelle, önce denetim kipinde
Add-MpPreference -AttackSurfaceReductionRules_Ids 9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2 `
    -AttackSurfaceReductionRules_Actions AuditMode

Saldırı yüzeyi azaltma (ASR) kurallarını bir süre denetim kipinde çalıştırın, Microsoft-Windows-Windows Defender/Operational günlüğünde 1121 ve 1122 olaylarına bakın. Logo, Mikro ya da başka bir iş programının engellenmediğini gördükten sonra Enabled kipine geçin. Hangi kuralın sunucularda desteklendiği ASR kuralları başvuru belgesinde yazılı. SQL Server çalışan sunucuda Microsoft'un önerdiği dosya ve süreç dışlamalarını resmi belgeye göre ekleyin; tüm diski dışlamak gibi geniş dışlamalardan kaçının.

Exploit Protection için sistem düzeyindeki ayarları Get-ProcessMitigation -System ile kontrol edin. DEP, CFG ve ASLR (BottomUp, HighEntropy) varsayılan olarak açık gelmelidir; OFF görüyorsanız birisi kapatmıştır. Geri alma: Defender ayarlarının her biri aynı komutun Disabled değeriyle ya da Remove-MpPreference -AttackSurfaceReductionRules_Ids ile geri çevrilir.

Denetim ilkesi ve olay günlüklerini izlemeye bağlama

Varsayılan denetim ilkesi bir saldırıyı sonradan anlamak için yetersiz kalır. auditpol alt kategori adları Türkçe Windows'ta yerelleştirildiği için GUID kullanmak daha güvenlidir. Aşağıdaki komutlar Windows Server 2025 ve 2022 için hazırlandı:

$alt = @{
  'Kimlik dogrulama (Credential Validation)' = '{0CCE923F-69AE-11D9-BED3-505054503030}'
  'Oturum acma (Logon)'                      = '{0CCE9215-69AE-11D9-BED3-505054503030}'
  'Hesap kilitleme (Account Lockout)'        = '{0CCE9217-69AE-11D9-BED3-505054503030}'
  'Ozel oturum (Special Logon)'              = '{0CCE921B-69AE-11D9-BED3-505054503030}'
  'Kullanici hesabi yonetimi'                = '{0CCE9235-69AE-11D9-BED3-505054503030}'
  'Guvenlik grubu yonetimi'                  = '{0CCE9237-69AE-11D9-BED3-505054503030}'
  'Denetim ilkesi degisikligi'               = '{0CCE922F-69AE-11D9-BED3-505054503030}'
  'Surec olusturma (Process Creation)'       = '{0CCE922B-69AE-11D9-BED3-505054503030}'
}
foreach ($g in $alt.Values) { auditpol /set /subcategory:$g /success:enable /failure:enable }

# Süreç kayıtlarına komut satırını ekle
New-Item 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Audit' -Force | Out-Null
Set-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Audit' `
  -Name ProcessCreationIncludeCmdLine_Enabled -Value 1 -Type DWord

# Güvenlik günlüğünü 1 GB'a büyüt, kayıtlar hızla dönmesin
wevtutil sl Security /ms:1073741824

Önce mevcut ilkeyi auditpol /backup /file:C:\Yedek\denetim-oncesi.csv ile yedekleyin; geri almak için auditpol /restore /file:C:\Yedek\denetim-oncesi.csv yeterli.

İzlenecek temel olay kimlikleri:

Son 24 saatteki başarısız girişleri hızla görmek için:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} |
  ForEach-Object { $_.Properties[19].Value } | Group-Object | Sort-Object Count -Descending | Select-Object -First 10

Bu çıktı en çok deneme yapan kaynak IP'leri sıralar. Günlük tutmak tek başına yetmez; 4740, 4720, 4732 ve 1102 olayları bir izleme sistemine anlık uyarı olarak bağlanmalı. 1102 özellikle önemli: saldırganlar iz silmek için günlüğü temizler.

Logo ve Mikro çalışan sunucuda SQL Server portunu kısıtlama

Logo ve Mikro kullanıcıları programı çoğunlukla sunucuya RDP ile bağlanıp orada çalıştırır. Bu durumda program SQL Server'a sunucunun içinden bağlanır ve 1433'ün internete açık olması gerekmez. Önce hangi kuralların 1433'ü açtığını görün:

Get-NetFirewallPortFilter -Protocol TCP | Where-Object LocalPort -eq 1433 |
  Get-NetFirewallRule | Where-Object { $_.Enabled -eq 'True' -and $_.Direction -eq 'Inbound' } |
  Select-Object DisplayName, Action, Profile

Şubeden ya da ofisten doğrudan SQL bağlantısı gerçekten gerekiyorsa, kuralı yalnız o sabit IP'lere daraltın. Aşağıdaki örnek Windows Server 2025 ve 2022 için hazırlandı; 198.51.100.0/24 yerine ofis IP aralığınızı yazın. Yukarıdaki kendini kilitleme uyarısı burada da geçerli: RDP kuralına dokunmuyoruz, yalnız 1433'ü kısıtlıyoruz.

$izinli = '198.51.100.0/24'   # Ofis/şube sabit IP aralığınız
$kural  = 'SERT-SQL-1433-Izinli'

# Mevcut geniş izin kurallarını silmek yerine devre dışı bırak (geri alınabilir)
Get-NetFirewallPortFilter -Protocol TCP | Where-Object LocalPort -eq 1433 |
  Get-NetFirewallRule | Where-Object { $_.Action -eq 'Allow' -and $_.DisplayName -ne $kural } |
  Disable-NetFirewallRule

# Dar kapsamlı izin kuralı (yoksa oluştur)
if (-not (Get-NetFirewallRule -DisplayName $kural -ErrorAction SilentlyContinue)) {
    New-NetFirewallRule -DisplayName $kural -Direction Inbound -Protocol TCP `
      -LocalPort 1433 -RemoteAddress $izinli -Action Allow
}

Geri alma: devre dışı bırakılan kuralları Enable-NetFirewallRule -DisplayName "<kural adı>" ile açın, yeni kuralı Remove-NetFirewallRule -DisplayName 'SERT-SQL-1433-Izinli' ile silin. Ek olarak SQL Server'da sa hesabını kapatın ya da çok güçlü bir parola verin ve programın kullandığı SQL girişini yalnız ilgili veritabanlarıyla yetkilendirin. Sonra dışarıdan tarama betiğini tekrar çalıştırın; 1433 izinli ağ dışından filtered görünmeli.

Doğrulama listesi

• Dış tarama: 135, 139, 445, 1433, 5985, 5986 kapalı ya da filtreli.
• Get-SmbServerConfiguration: SMB1 False, imzalama True.
• net accounts: kilitleme eşiği tanımlı.
• Get-LocalUser: yerleşik yönetici Enabled : False, adlandırılmış yönetici çalışıyor.
• Get-MpComputerStatus: gerçek zamanlı koruma açık, imzalar güncel.
• auditpol /get /category:*: oturum açma ve hesap yönetimi için başarı ve hata denetimi açık.

Sık yapılan hatalar

• Yeni yönetici hesabını test etmeden yerleşik hesabı kapatmak. Konsol erişiminiz yoksa sunucuya giremezsiniz.
• NTLM'i denetlemeden kapatmak. Workgroup sunucuda RDP girişini bozar.
• ASR kurallarını doğrudan engelleme kipinde açmak. İş programlarının bir bölümü beklenmedik biçimde durabilir.
• Engelleme kuralını yanlış profile yazmak. Genel IP'li arabirim Private profilindeyse Public kuralı hiçbir şeyi engellemez.
• Yedeği aynı sunucuda tutmak. Fidye yazılımı yönetici yetkisi kazanırsa yerel yedekleri de şifreler. Yedeği sunucudan ayrı ve değiştirilemez bir hedefte tutmak için bulut yedekleme seçeneklerine bakabilirsiniz.

Sık sorulan sorular

Windows bulut sunucu güvenliği için ilk hangi adımı atmalıyım?

Dışarıdan port taraması. Neyin internete açık olduğunu bilmeden yapılan sertleştirme yanlış yere odaklanır. Taramadan sonra öncelik sırası: RDP'yi tünele almak, 445 ve 1433'ü kapatmak, yerleşik yönetici hesabını kapatmak.

Tek bir bulut sunucusunda LAPS kullanabilir miyim?

Windows LAPS parolayı Active Directory ya da Microsoft Entra ID'ye yedekler; tek başına duran bir workgroup sunucusunda bu hedef olmadığı için kullanılamaz. Bu durumda adlandırılmış yönetici hesabı, parola kasası ve hesap kilitleme ilkesi birlikte uygulanır.

Defender yerine başka bir antivirüs kurmalı mıyım?

Zorunlu değil. Defender Windows Server'ın parçasıdır ve bulut koruması, ASR ve ağ korumasıyla birlikte ayarlandığında çoğu KOBİ sunucusu için yeterli bir temel sağlar. Başka bir ürün kurarsanız Defender pasif kipe geçer; iki motoru aynı anda etkin tutmayın.

Bu ayarlar Logo ya da Mikro'yu bozar mı?

SMB, hesap ve denetim ayarları genellikle bozmaz. Risk taşıyan adımlar Print Spooler'ı kapatmak (RDP yazdırmayı keser), ASR kurallarını doğrudan engellemeye almak ve 1433 kuralını daraltırken uzaktan bağlanan bir şubeyi unutmak. Bu üç adımı mesai dışında ve önce denetim kipinde uygulayın.

Bu ayarları kaç sunucuda tekrar edeceğim?

Birden fazla sunucunuz varsa PowerShell bloklarını tek bir betikte toplayıp her sunucuda çalıştırabilirsiniz; her blok tekrar çalıştırılabilir yazıldı. Etki alanı varsa aynı ayarları Grup İlkesi ile dağıtmak daha kolay izlenir.

Sonuç

Windows Server 2025 bazı eski önerileri varsayılan hale getirdi, ama sunucuyu kendiliğinden güvenli yapmadı. Dışarıdan taramayla başlayın, SMB ve NTLM durumunu doğrulayın, yerleşik yönetici hesabını kapatın, Defender'ı denetim kipinden başlatarak sıkılaştırın, denetim ilkesini açıp olayları izlemeye bağlayın ve SQL Server portunu yalnız gereken adreslere bırakın. Yeni bir sunucu ile temiz bir başlangıç yapmak isterseniz Windows sunucu kiralama sayfasındaki lisans dahil ve RDP ile hazır gelen sunucularda bu adımları ilk günden uygulayabilirsiniz.