Ein Windows-RDP-Server ist ein mächtiges Werkzeug und ein attraktives Ziel. Bots scannen das Internet rund um die Uhr nach offenen Remote-Desktop-Ports. Diese Schritte dauern etwa zehn Minuten und beseitigen den größten Teil des Risikos.
1. Die Einrichtung des Administrator-Kontos ändern
- Legen Sie ein langes, einzigartiges Passwort fest (16 Zeichen oder mehr).
- Erstellen Sie einen normalen benannten Benutzer für die tägliche Arbeit und benennen Sie das integrierte Administrator-Konto um oder deaktivieren Sie es, wo möglich.
- Verwenden Sie einen Passwortmanager. Verwenden Sie nie ein Passwort von einer anderen Website erneut.
2. Netzwerkebenenauthentifizierung aktivieren
Öffnen Sie Systemeigenschaften, Remote und stellen Sie sicher, dass „Verbindungen nur von Computern zulassen, auf denen Remotedesktop mit Netzwerkauthentifizierung ausgeführt wird“ angehakt ist. NLA lässt den Client sich authentifizieren, bevor eine vollständige Sitzung entsteht, was eine ganze Klasse von Angriffen blockiert.
3. Einschränken, wer sich verbinden darf
Der wirksamste einzelne Schritt ist eine Firewall-Regel, die Port 3389 nur von Ihrer eigenen IP-Adresse aus erlaubt.
New-NetFirewallRule -DisplayName "RDP from my IP" -Direction Inbound `
-Protocol TCP -LocalPort 3389 -RemoteAddress 203.0.113.10 -Action AllowErsetzen Sie die Beispieladresse durch Ihre und deaktivieren Sie die breite Standardregel für „Remotedesktop - Benutzermodus (TCP eingehend)“. Wenn sich Ihre IP oft ändert, nutzen Sie ein VPN mit fester Adresse und erlauben nur diese.
4. Passwort-Raten stoppen
Richten Sie eine Kontosperrungsrichtlinie ein: Lokale Sicherheitsrichtlinie, Kontorichtlinien, Kontosperrungsrichtlinie. Ein Konto nach 5 fehlgeschlagenen Versuchen für 15 Minuten zu sperren, macht Brute-Force-Angriffe unpraktikabel.
5. Windows aktuell halten
Installieren Sie Updates zeitnah, besonders für die Remotedesktopdienste. Mehrere der schlimmsten RDP-Schwachstellen wurden in monatlichen Updates behoben, lange bevor Angreifer sie breit nutzten.
6. Optional: den Port ändern
RDP von 3389 wegzuverlegen verringert das Log-Rauschen durch gelegentliche Bots, hält aber keinen entschlossenen Scanner auf. Betrachten Sie es als kleine Zusatzmaßnahme, nie als Ersatz für die obigen Schritte. Wenn Sie ihn ändern, denken Sie daran, den neuen Port in der Firewall zu öffnen.
7. Ihre Logs prüfen
Öffnen Sie die Ereignisanzeige, Windows-Protokolle, Sicherheit, und suchen Sie nach der Ereignis-ID 4625 (fehlgeschlagene Anmeldung). Hunderte Fehlschläge von einer Adresse bedeuten, dass jemand rät. Sperren Sie diese Adresse und überprüfen Sie Schritt 3.
Gute Gewohnheiten
- Surfen Sie nicht im Web und öffnen Sie keine E-Mail-Anhänge auf einem Server, auf den Sie angewiesen sind.
- Halten Sie Defender aktiviert und aktuell.
- Trennen Sie die Verbindung (nicht nur das Fenster schließen), wenn Sie fertig sind, und melden Sie ungenutzte Sitzungen ab.
- Sichern Sie wichtige Dateien außerhalb des Servers.