Windows Sunucu Kurulumu Sonrası Yapılacaklar: 15 Ayar

Yeni bir Windows sunucu teslim aldığınızda ilk bir saat, sunucunun sonraki aylarda nasıl davranacağını belirler. Kurulumdan hemen sonra internete açık duran, varsayılan yönetici hesabıyla çalışan ve güncellemesi yapılmamış bir sunucu, otomatik tarayıcıların ilk hedeflerinden biri olur. Bu rehberde Windows sunucu kurulumu sonrası yapılacaklar listesini 15 somut adım hâlinde topladık: kimlik ve erişim, güncelleme, güvenlik duvarı, Microsoft Defender, performans ayarları, log takibi ve yedekleme. Her adımda neden önemli olduğunu, nereden yapılacağını ve mümkünse tek satırlık PowerShell komutunu bulacaksınız. Liste Windows Server 2016, 2019, 2022 ve 2025 için geçerlidir; ister VDS ister kiralık fiziksel sunucu kullanın, sıralama aynıdır.

Windows sunucu kurulumu sonrası yapılacaklar neden ilk saatte bitmeli?

Bir sunucu IP adresi aldığı anda internetteki tarama trafiğine görünür olur. Uzak Masaüstü (RDP) portu açık bir Windows sunucuya, çoğu zaman ilk saatler içinde parola deneme istekleri gelmeye başlar. Bu denemelerin çoğu basit sözlük saldırılarıdır; ancak "Administrator" gibi tahmin edilebilir bir kullanıcı adı ve zayıf bir parola birleşince başarılı olabilirler. Başarılı bir girişin sonucu genellikle fidye yazılımı, kripto madenciliği ya da sunucunuzun başka saldırılarda kullanılmasıdır.

İyi haber şu: saldırıların büyük kısmı birkaç temel ayarla etkisiz kalır. Aşağıdaki sıralama, önce kapıyı kilitleyen (kimlik ve erişim), sonra evi sağlamlaştıran (güncelleme ve güvenlik duvarı), en son da düzenli bakımı kuran (izleme ve yedek) bir mantıkla hazırlandı. Adımları sırayla uygularsanız, birinin yarım kalması diğerlerini riske atmaz.

Başlamadan önce: konsol erişimini ve bilgileri hazırlayın

Ağ ve güvenlik duvarı ayarlarıyla oynarken en sık yapılan hata, RDP bağlantısını kendi elinizle kesmektir. Bu yüzden ilk iş, RDP dışındaki bir yoldan sunucuya ulaşabildiğinizi doğrulamaktır.

• VDS kullanıyorsanız: Müşteri Arayüzü üzerinden sunucunun konsoluna girin. Konsol, ağ bağlantısı kopsa bile ekranı ve klavyeyi size verir. Buradan yeniden başlatma ve gerekirse yeniden kurulum da yapılabilir.
• Kiralık fiziksel sunucu kullanıyorsanız: tarayıcıdan açılan HTML5 KVM konsoluna (IPMI/iDRAC) girişi deneyin. Konsol erişimini ve kullanımını HTML5 KVM konsolu rehberimizde anlattık.
• Teslim e-postasındaki IP adresi, yönetici kullanıcı adı ve geçici parolayı bir parola yöneticisine kaydedin. Parolaları düz metin dosyada ya da e-postada bırakmayın.
• Sunucunun hangi işi yapacağını yazın: web sitesi (IIS), veritabanı (MSSQL), muhasebe yazılımı, uzak masaüstü çalışma ortamı gibi. Açık bırakacağınız portlar ve kuracağınız roller buna göre belirlenecek.

1. Aşama: Kimlik ve erişim (adım 1-5)

Adım 1: Teslim parolasını hemen değiştirin

Teslim parolası e-postayla ya da panelle size iletilmiş bir paroladır; bir kez dolaşıma girmiş sayılır. İlk girişte en az 14 karakterli, harf, rakam ve sembol içeren, başka hiçbir yerde kullanmadığınız yeni bir parola belirleyin. RDP oturumunda Ctrl+Alt+End menüsünden "Parola değiştir" seçeneğini kullanabilir ya da aşağıdaki komutu çalıştırabilirsiniz.

net user Administrator *

Komut yeni parolayı ekranda göstermeden iki kez sorar.

Adım 2: Kendinize ayrı bir yönetici hesabı açın

Herkesin tahmin edebildiği "Administrator" adı, parola denemelerinin neredeyse tamamında kullanılır. Kendi adınızla yeni bir hesap açıp Yöneticiler grubuna ekleyin; günlük işlerinizi bu hesapla yapın.

$p = Read-Host -AsSecureString "Yeni parola"
New-LocalUser -Name "ops.yonetici" -Password $p -PasswordNeverExpires
Add-LocalGroupMember -Group "Administrators" -Member "ops.yonetici"

Türkçe dil paketli bir sistemde grup adı "Yöneticiler" olarak görünebilir; komutu buna göre uyarlayın.

Adım 3: Varsayılan Administrator hesabını yeniden adlandırın ya da devre dışı bırakın

Yeni hesabınızla oturum açıp her şeyin çalıştığını doğruladıktan sonra varsayılan hesabı kapatın. Kapatmak istemiyorsanız en azından adını değiştirin; böylece saldırganın elinde kullanıcı adı da olmaz.

Rename-LocalUser -Name "Administrator" -NewName "srv-yedek-yonetici"
# veya tamamen kapatmak için:
Disable-LocalUser -Name "Administrator"

Bu adımı yeni hesabı test etmeden yapmayın. Yanlışlıkla kendinizi dışarıda bırakırsanız konsol üzerinden geri dönmeniz gerekir.

Adım 4: Hesap kilitleme ve parola politikasını ayarlayın

Hesap kilitleme politikası, belirli sayıda hatalı denemeden sonra hesabı bir süre kilitler ve kaba kuvvet saldırılarını çok yavaşlatır. Tek sunuculu, etki alanına (domain) bağlı olmayan bir sistemde şu komut yeterlidir:

net accounts /lockoutthreshold:5 /lockoutwindow:30 /lockoutduration:30
net accounts /minpwlen:14

Bu ayarla 5 hatalı denemeden sonra hesap 30 dakika kilitlenir. Değerleri çok düşük tutarsanız saldırgan sizi bilerek kilitleyebilir; 5-10 deneme ve 15-30 dakika makul bir aralıktır. Mevcut durumu net accounts komutuyla görebilirsiniz.

Adım 5: Uzak Masaüstünü sıkılaştırın (NLA ve IP kısıtı)

Ağ Düzeyinde Kimlik Doğrulama (NLA), kullanıcı kimliğini oturum ekranı açılmadan önce doğrular; hem güvenlik hem kaynak tüketimi açısından açık olmalıdır. Yeni sürümlerde varsayılan olarak açıktır, yine de kontrol edin:

Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1

Asıl etkili önlem, RDP'yi yalnız bilinen IP adreslerine açmaktır. Sabit bir ofis IP'niz varsa önce kendi kuralınızı ekleyin, bağlantının çalıştığını görün, sonra genel kuralı kapatın. RDP güvenliğinin tüm ayrıntılarını (port değiştirme, VPN arkasına alma, oturum sınırları) RDP VDS ve 10 adımda RDP güvenliği yazımızda ayrıca ele aldık.

2. Aşama: Güncelleme ve sistem temeli (adım 6-8)

Adım 6: Windows güncellemelerini kurun ve otomatik kurulumu planlayın

İlk girişte bekleyen tüm güvenlik güncellemelerini kurun ve sunucuyu yeniden başlatın. Server Core ya da masaüstü deneyimli kurulumda en hızlı yol sconfig aracıdır: menüden Windows Update seçeneğine girip güncellemeleri arayabilir ve kurabilirsiniz. Masaüstü deneyimli sürümde Ayarlar > Windows Update ekranı da aynı işi yapar.

Ardından güncellemelerin ne zaman kurulacağına karar verin. Üretim sunucusunda "otomatik indir, belirlediğim saatte kur" yaklaşımı en dengelisidir: güncellemeler gecikmez, yeniden başlatma da gece bakım saatinde olur. Aylık güvenlik güncellemeleri genellikle her ayın ikinci salı günü yayınlanır; o haftayı takviminize işaretleyin.

Adım 7: Bilgisayar adını, saat dilimini ve saat eşitlemesini düzeltin

Loglarda anlamlı bir sunucu adı görmek ve doğru saat, sorun çözerken çok zaman kazandırır. Sertifikalar ve bazı kimlik doğrulama işlemleri de doğru saate bağlıdır.

Set-TimeZone -Id "Turkey Standard Time"
w32tm /resync
w32tm /query /status
Rename-Computer -NewName "WEB01" -Restart

Yeniden adlandırma sunucuyu yeniden başlatır; bu komutu en sona bırakın.

Adım 8: Kullanmadığınız rolleri ve eski protokolleri kaldırın

Her açık servis, olası bir saldırı yüzeyidir. Kurulu rol ve özellikleri listeleyin, ihtiyacınız olmayanları kaldırın:

Get-WindowsFeature | Where-Object Installed
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol
Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force

SMBv1 yeni Windows Server sürümlerinde varsayılan olarak kurulu gelmez; yine de eski bir imaj ya da yükseltilmiş bir sistemde açık kalmış olabilir, kontrol edin. Dosya paylaşımı yapmayacaksanız 445 portunu da internete açık bırakmayın.

3. Aşama: Ağ, güvenlik duvarı ve Defender (adım 9-11)

Adım 9: Ağ ayarlarına dokunmadan önce iki kez düşünün

Teslim edilen bir VDS'te IP adresi, ağ geçidi ve DNS ayarları hazır gelir. "Statik IP'ye çevireyim" diye yanlış bir ağ geçidi girmek sunucuyu anında erişilemez hâle getirir. Ek IP tanımlayacaksanız teslim e-postasındaki değerleri kullanın ve işlemi konsol açıkken yapın. IPv6 kullanmak istiyorsanız Türkiye lokasyonlu VDS, kiralık sunucu ve GPU sunucularda ücretsiz bir /64 IPv6 bloğu verilir; adresleri kontrol etmek için şu komut yeterlidir:

Get-NetIPAddress | Select-Object InterfaceAlias, IPAddress, PrefixLength

Adım 10: Windows Güvenlik Duvarını "gereken kadar açık" bırakın

Windows Güvenlik Duvarı kapatılmamalı, doğru yapılandırılmalıdır. Mantık basit: içeri gelen her şeyi engelle, yalnız ihtiyaç duyulan portları ve mümkünse yalnız gerekli kaynak adresleri aç.

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction
New-NetFirewallRule -DisplayName "RDP - ofis" -Direction Inbound -Protocol TCP -LocalPort 3389 -RemoteAddress 203.0.113.10 -Action Allow
# kendi kuralınızla bağlandığınızı doğruladıktan sonra:
Disable-NetFirewallRule -DisplayGroup "Remote Desktop"

Web sunucusu kuruyorsanız 80 ve 443 portlarını herkese açmanız gerekir; ama veritabanı portu (MSSQL için 1433) gibi servisleri internete açmayın. Uygulama aynı sunucudaysa veritabanının dışarıya açılmasına gerek yoktur; başka bir sunucudan bağlanılacaksa yalnız o sunucunun IP'sine izin verin.

Ağ seviyesindeki saldırılar (hacimli DDoS) sunucu içindeki güvenlik duvarıyla durdurulamaz; o katman için DDoS koruma seçeneklerine bakabilirsiniz.

Adım 11: Microsoft Defender'ı açık tutun, istisnaları dar tanımlayın

Windows Server sürümlerinde Microsoft Defender Antivirus yerleşik gelir. Başka bir uç nokta güvenlik ürünü kurmadıysanız açık kalmalı ve imzaları güncel olmalıdır.

Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Update-MpSignature

Performans gerekçesiyle Defender'ı kapatmak yaygın ama yanlış bir alışkanlıktır. SQL Server, yedekleme yazılımı gibi yoğun disk kullanan uygulamalarda üreticinin önerdiği klasörleri ve dosya türlerini istisna olarak ekleyin; tüm diski istisna yapmayın.

Add-MpPreference -ExclusionPath "D:\SQLData"

4. Aşama: Performans ayarları (adım 12-13)

Adım 12: Güç planını ve görsel efektleri sunucuya göre ayarlayın

Bazı imajlarda güç planı "Dengeli" gelir; işlemci yük altında hızını geç artırabilir. Sunucularda "Yüksek performans" planı daha tutarlı yanıt süresi verir.

powercfg /setactive SCHEME_MIN
powercfg /getactivescheme

Masaüstü deneyimli kurulumda Sistem Özellikleri > Gelişmiş > Performans ekranından "En iyi performans için ayarla" seçeneğini seçmek, özellikle çok kullanıcılı uzak masaüstü ortamlarında RAM ve işlemci tasarrufu sağlar. Her girişte açılan Sunucu Yöneticisi'ni de kapatabilirsiniz:

Get-ScheduledTask -TaskName ServerManager | Disable-ScheduledTask

Adım 13: Disk alanını ve sayfa dosyasını kontrol edin

Windows güncellemeleri, loglar ve geçici dosyalar zamanla sistem diskini doldurur. Sistem diski dolan bir Windows sunucu güncelleme kuramaz, servisleri beklenmedik biçimde durabilir. Diskleri ve boş alanı düzenli kontrol edin:

Get-Volume | Select-Object DriveLetter, FileSystemLabel, SizeRemaining, Size

Paket yükseltmesiyle disk büyüdüyse yeni alanı mevcut bölüme katmak için:

$max = (Get-PartitionSupportedSize -DriveLetter C).SizeMax
Resize-Partition -DriveLetter C -Size $max

Veritabanı ve uygulama verisini mümkünse sistem diskinden ayrı bir bölüme ya da diske koyun; hem yedekleme hem geri yükleme kolaylaşır. Kaç GB RAM ve disk gerektiğinden emin değilseniz Windows VDS kiralama rehberimizdeki iş yükü örneklerine bakabilirsiniz.

5. Aşama: Kayıt, izleme ve yedek (adım 14-15)

Adım 14: Güvenlik loglarını büyütün ve başarısız girişleri izleyin

Varsayılan güvenlik log boyutu yoğun parola denemelerinde birkaç gün içinde dolar ve eski kayıtlar silinir. Log boyutunu büyütün ve oturum açma denetimini açık tutun:

wevtutil sl Security /ms:1073741824
auditpol /set /subcategory:"Logon" /success:enable /failure:enable

Takip etmeniz gereken başlıca olay kimlikleri şunlardır:

Son 24 saatteki başarısız girişleri saymak için:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} | Measure-Object

Adım 15: Yedeği kurun ve bir kez geri yükleyerek test edin

Fidye yazılımı, yanlış silinen bir klasör ya da bozulan bir güncelleme; hepsinin tek kesin çaresi test edilmiş bir yedektir. Windows Server'daki yerleşik Windows Server Backup özelliğini kurup düzenli yedek planlayabilirsiniz:

Install-WindowsFeature Windows-Server-Backup
wbadmin start backup -backupTarget:E: -include:C: -allCritical -quiet

Yedek hedefi aynı diskte olmamalıdır; aynı sunucudaki ikinci bir disk bile tek başına yeterli değildir, çünkü fidye yazılımı ulaşabildiği her diski şifreler. Önemli verilerin bir kopyasını farklı bir konumda tutun (3-2-1 kuralı: 3 kopya, 2 farklı ortam, 1 kopya farklı yerde). VDS kullanıyorsanız isteğe bağlı ücretli Yedekleme Hizmeti eklentisini de bu planın parçası yapabilirsiniz.

En önemlisi: yedeği en az bir kez geri yükleyerek test edin. Hiç geri yüklenmemiş bir yedek, çalıştığı kanıtlanmamış bir yedektir.

15 adımın özet kontrol listesi

En sık yapılan 6 hata

1. Güvenlik duvarı kuralını test etmeden genel kuralı kapatmak: RDP bağlantısı kopar. Önce yeni kuralı ekleyin, yeni bir oturumla deneyin, sonra eskisini kapatın.
2. Defender'ı tamamen kapatmak: performans sorununun kaynağı çoğu zaman Defender değil, eksik RAM ya da dolu disktir. Önce kaynak kullanımına bakın.
3. Güncellemeleri "sonra" diye ertelemek: internete açık sunucularda açıklar yayınlandıktan kısa süre sonra istismar edilmeye başlanır.
4. Herkesin aynı yönetici hesabını kullanması: kimin ne yaptığı loglardan anlaşılmaz, bir kişi ayrıldığında parolayı herkes için değiştirmek gerekir. Her kişiye ayrı hesap açın.
5. Veritabanı portunu internete açmak: MSSQL ve benzeri servisler yalnız uygulama sunucusuna açık olmalıdır.
6. Yedeği aynı diske almak: disk arızasında ya da fidye yazılımında yedek de gider.

Hangi Windows Server sürümünü seçmeli?

Yukarıdaki adımlar tüm güncel sürümlerde geçerlidir, ama yeni bir kurulumda sürüm seçimi de güvenliği etkiler: daha yeni sürümler daha uzun süre güvenlik güncellemesi alır ve daha güncel varsayılan güvenlik ayarlarıyla gelir. Uygulamanızın desteklediği en yeni sürümü seçmek genellikle en doğru karardır.

Sürümler arasındaki farkları ve kurulum ayrıntılarını Windows Server 2025 VDS rehberimizde ve Windows Server 2022 VDS rehberimizde bulabilirsiniz.

VDS mi kiralık sunucu mu? Bu listeyi uygularken fark eden noktalar

Adımların tamamı iki sunucu türünde de aynıdır; değişen, sorun anında elinizdeki araçlardır. VDS'te Müşteri Arayüzünden konsola girer, gerekirse sunucuyu birkaç dakikada yeniden kurabilirsiniz. Kiralık fiziksel sunucuda ise HTML5 KVM konsolu ile BIOS seviyesine kadar erişiminiz olur; donanımsal RAID ve disk sağlığını da kendiniz takip edersiniz. Yoğun MSSQL, çok kullanıcılı uzak masaüstü ya da sanallaştırma gibi iş yüklerinde kiralık sunucu seçenekleri daha fazla kaynak sunar; tek bir site, küçük bir muhasebe yazılımı ya da test ortamı için VDS paketleri çoğu zaman yeterlidir. VDS'lerde trafik adil kullanım kapsamında limitsizdir; ayrıntılar adil kullanım sayfasında yer alır.

İlgili Rehberler

• RDP VDS nedir, kimler kullanır? 10 adımda RDP güvenliği
• Windows Server 2025 VDS seçim ve kurulum rehberi
• Windows Server 2022 VDS seçim ve kurulum rehberi
• Windows VDS kiralama rehberi: RDP, IIS ve MSSQL
• Sunucu yavaşladı mı? 10 dakikada performans sorunlarını tespit etme
• Windows VPS/VDS paketleri
• Kiralık sunucu seçenekleri

Sık Sorulan Sorular