Windows RDP 서버는 강력한 도구이자 매력적인 공격 대상입니다. 봇은 하루 24시간 인터넷에서 열린 원격 데스크톱 포트를 스캔합니다. 아래 단계는 약 10분이면 되며 대부분의 위험을 없애 줍니다.
1. Administrator 계정 설정 변경
- 길고 고유한 비밀번호(16자 이상)를 설정하세요.
- 일상 업무용으로 이름이 있는 일반 사용자를 만들고, 가능하면 내장 Administrator 계정의 이름을 바꾸거나 비활성화하세요.
- 비밀번호 관리자를 사용하세요. 다른 사이트의 비밀번호를 절대 재사용하지 마세요.
2. 네트워크 수준 인증 켜기
시스템 속성, 원격을 열고 "네트워크 수준 인증을 사용하여 원격 데스크톱을 실행하는 컴퓨터에서만 연결 허용"이 선택되어 있는지 확인하세요. NLA는 전체 세션이 만들어지기 전에 클라이언트가 먼저 인증하도록 하여 한 부류의 공격을 통째로 차단합니다.
3. 접속 가능한 대상 제한
가장 효과적인 단일 조치는 3389번 포트를 내 IP 주소에서만 허용하는 방화벽 규칙입니다.
New-NetFirewallRule -DisplayName "RDP from my IP" -Direction Inbound `
-Protocol TCP -LocalPort 3389 -RemoteAddress 203.0.113.10 -Action Allow예시 주소를 내 주소로 바꾸고, "원격 데스크톱 - 사용자 모드(TCP-In)"의 기본 광범위 규칙은 비활성화하세요. IP가 자주 바뀐다면 고정 주소가 있는 VPN을 사용하고 그 주소만 허용하세요.
4. 비밀번호 추측 차단
계정 잠금 정책을 설정하세요: 로컬 보안 정책, 계정 정책, 계정 잠금 정책. 5회 실패 후 15분 동안 계정을 잠그면 무차별 대입 공격이 비현실적이 됩니다.
5. Windows를 최신 상태로 유지
특히 원격 데스크톱 서비스의 업데이트를 신속히 설치하세요. 최악의 RDP 취약점 몇 가지는 공격자가 널리 악용하기 훨씬 전에 월간 업데이트로 수정되었습니다.
6. 선택 사항: 포트 변경
RDP를 3389가 아닌 포트로 옮기면 일반적인 봇이 만드는 로그 노이즈는 줄지만, 끈질긴 스캐너는 막지 못합니다. 사소한 보조 수단으로만 여기고, 위 단계를 대체하는 것으로 생각하지 마세요. 변경했다면 방화벽에서 새 포트를 여는 것을 잊지 마세요.
7. 로그 확인
이벤트 뷰어, Windows 로그, 보안을 열고 이벤트 ID 4625(로그온 실패)를 찾아보세요. 한 주소에서 수백 건의 실패가 있다면 누군가 추측하고 있는 것입니다. 해당 주소를 차단하고 3단계를 다시 점검하세요.
좋은 습관
- 의존하는 서버에서는 웹을 탐색하거나 이메일 첨부 파일을 열지 마세요.
- Defender를 켜 두고 최신 상태로 유지하세요.
- 작업이 끝나면 창을 닫기만 하지 말고 연결을 끊고, 사용하지 않는 세션은 로그아웃하세요.
- 중요한 파일은 서버 밖에 백업하세요.