یک سرور Windows RDP ابزاری قدرتمند و هدفی جذاب است. ربات‌ها شبانه‌روز اینترنت را برای پورت‌های باز دسکتاپ راه دور اسکن می‌کنند. این گام‌ها حدود ده دقیقه طول می‌کشند و بیشتر خطر را برطرف می‌کنند.
1. تغییر تنظیمات حساب Administrator
- یک رمز عبور بلند و یکتا (16 نویسه یا بیشتر) تعیین کنید.
- یک کاربر عادی با نام مشخص برای کار روزانه بسازید و حساب داخلی Administrator را در صورت امکان تغییر نام دهید یا غیرفعال کنید.
- از یک مدیر رمز عبور استفاده کنید. هرگز رمزی را از سایت دیگر دوباره استفاده نکنید.
2. فعال کردن Network Level Authentication
System Properties، Remote را باز کنید و مطمئن شوید گزینهٔ "Allow connections only from computers running Remote Desktop with Network Level Authentication" تیک خورده است. NLA کاری می‌کند که کلاینت پیش از ایجاد نشست کامل احراز هویت شود، که یک دسته کامل از حملات را مسدود می‌کند.
3. محدود کردن اتصال‌ها
قوی‌ترین گام منفرد یک قانون فایروال است که پورت 3389 را فقط از آدرس IP خودتان مجاز کند.
New-NetFirewallRule -DisplayName "RDP from my IP" -Direction Inbound `
-Protocol TCP -LocalPort 3389 -RemoteAddress 203.0.113.10 -Action Allowآدرس نمونه را با آدرس خودتان جایگزین کنید و قانون عمومی پیش‌فرض "Remote Desktop - User Mode (TCP-In)" را غیرفعال کنید. اگر IP شما مرتب تغییر می‌کند، از یک VPN با آدرس ثابت استفاده کنید و فقط همان را مجاز کنید.
4. جلوگیری از حدس زدن رمز عبور
یک سیاست قفل حساب تنظیم کنید: Local Security Policy، Account Policies، Account Lockout Policy. قفل کردن حساب به مدت 15 دقیقه پس از 5 تلاش ناموفق، حملات brute-force را غیرعملی می‌کند.
5. Windows را به‌روز نگه دارید
به‌روزرسانی‌ها را سریع نصب کنید، به‌ویژه برای Remote Desktop Services. چند مورد از بدترین نقص‌های RDP در به‌روزرسانی‌های ماهانه، مدت‌ها پیش از آنکه مهاجمان به‌طور گسترده از آن‌ها استفاده کنند رفع شدند.
6. اختیاری: تغییر پورت
بردن RDP از 3389 به پورتی دیگر نویز لاگ ناشی از ربات‌های معمولی را کم می‌کند، اما یک اسکنر مصمم را متوقف نمی‌کند. آن را یک امتیاز جزئی بدانید، نه جایگزینی برای گام‌های بالا. اگر آن را تغییر می‌دهید، یادتان باشد پورت جدید را در فایروال باز کنید.
7. بررسی لاگ‌ها
Event Viewer را باز کنید، Windows Logs، Security، و دنبال event ID 4625 (ورود ناموفق) بگردید. صدها شکست از یک آدرس یعنی کسی در حال حدس زدن است. آن آدرس را مسدود کنید و گام 3 را بازبینی کنید.
عادت‌های خوب
- روی سروری که به آن تکیه دارید در وب نگردید و پیوست ایمیل باز نکنید.
- Defender را فعال و به‌روز نگه دارید.
- وقتی کارتان تمام شد قطع اتصال کنید (نه فقط بستن پنجره) و از نشست‌های بلااستفاده خارج شوید.
- از فایل‌های مهم خارج از سرور پشتیبان بگیرید.