Server Windows RDP adalah alat yang andal sekaligus target yang menarik. Bot memindai internet mencari port remote desktop yang terbuka sepanjang waktu. Langkah-langkah ini memakan waktu sekitar sepuluh menit dan menghilangkan sebagian besar risikonya.
1. Ubah pengaturan akun Administrator
- Atur password yang panjang dan unik (16 karakter atau lebih).
- Buat pengguna bernama biasa untuk pekerjaan harian, dan ganti nama atau nonaktifkan akun Administrator bawaan bila memungkinkan.
- Gunakan pengelola password. Jangan pernah memakai ulang password dari situs lain.
2. Aktifkan Network Level Authentication
Buka System Properties, Remote dan pastikan "Allow connections only from computers running Remote Desktop with Network Level Authentication" dicentang. NLA membuat klien melakukan autentikasi sebelum sesi penuh dibuat, yang memblokir satu kelas serangan sekaligus.
3. Batasi siapa yang bisa terhubung
Langkah tunggal yang paling kuat adalah aturan firewall yang mengizinkan port 3389 hanya dari alamat IP Anda sendiri.
New-NetFirewallRule -DisplayName "RDP from my IP" -Direction Inbound `
-Protocol TCP -LocalPort 3389 -RemoteAddress 203.0.113.10 -Action AllowGanti alamat contoh dengan alamat Anda, dan nonaktifkan aturan umum bawaan untuk "Remote Desktop - User Mode (TCP-In)". Jika IP Anda sering berubah, gunakan VPN dengan alamat tetap dan izinkan hanya alamat itu.
4. Hentikan tebakan password
Atur kebijakan penguncian akun: Local Security Policy, Account Policies, Account Lockout Policy. Mengunci akun selama 15 menit setelah 5 percobaan gagal membuat serangan brute-force tidak praktis.
5. Jaga Windows tetap diperbarui
Pasang pembaruan dengan segera, terutama untuk Remote Desktop Services. Beberapa celah RDP terburuk diperbaiki lewat pembaruan bulanan jauh sebelum penyerang memanfaatkannya secara luas.
6. Opsional: ubah port
Memindahkan RDP dari 3389 mengurangi gangguan log dari bot biasa, tetapi tidak menghentikan pemindai yang gigih. Anggap ini tambahan kecil, jangan pernah sebagai pengganti langkah-langkah di atas. Jika Anda mengubahnya, ingat untuk membuka port baru di firewall.
7. Periksa log Anda
Buka Event Viewer, Windows Logs, Security, dan cari event ID 4625 (logon gagal). Ratusan kegagalan dari satu alamat berarti ada yang menebak-nebak. Blokir alamat itu dan tinjau kembali langkah 3.
Kebiasaan baik
- Jangan menjelajah web atau membuka lampiran email di server yang Anda andalkan.
- Biarkan Defender tetap aktif dan diperbarui.
- Putuskan sambungan (bukan sekadar menutup jendela) setelah selesai, dan keluar dari sesi yang tidak terpakai.
- Cadangkan file penting di luar server.