Windows RDP-сервер - мощный инструмент и привлекательная цель. Боты круглосуточно сканируют интернет в поисках открытых портов удалённого рабочего стола. Эти шаги занимают около десяти минут и устраняют большую часть риска.
1. Измените настройку учётной записи Administrator
- Задайте длинный уникальный пароль (16 символов или больше).
- Создайте обычного именованного пользователя для ежедневной работы и по возможности переименуйте или отключите встроенную учётную запись Administrator.
- Используйте менеджер паролей. Никогда не повторяйте пароль с другого сайта.
2. Включите проверку подлинности на уровне сети
Откройте Свойства системы, Удалённый доступ и убедитесь, что установлен флажок «Разрешать подключения только с компьютеров, на которых работает удалённый рабочий стол с проверкой подлинности на уровне сети». NLA заставляет клиента пройти аутентификацию до создания полноценного сеанса, что блокирует целый класс атак.
3. Ограничьте круг тех, кто может подключаться
Самый сильный отдельный шаг - правило брандмауэра, разрешающее порт 3389 только с вашего собственного IP-адреса.
New-NetFirewallRule -DisplayName "RDP from my IP" -Direction Inbound `
-Protocol TCP -LocalPort 3389 -RemoteAddress 203.0.113.10 -Action AllowЗамените примерный адрес своим и отключите стандартное широкое правило «Удалённый рабочий стол - пользовательский режим (TCP-In)». Если ваш IP часто меняется, используйте VPN с фиксированным адресом и разрешите только его.
4. Остановите подбор паролей
Настройте политику блокировки учётной записи: Локальная политика безопасности, Политики учётных записей, Политика блокировки учётной записи. Блокировка учётной записи на 15 минут после 5 неудачных попыток делает атаки перебором непрактичными.
5. Поддерживайте Windows в актуальном состоянии
Устанавливайте обновления без промедления, особенно для служб удалённых рабочих столов. Несколько худших уязвимостей RDP были исправлены в ежемесячных обновлениях задолго до того, как злоумышленники стали использовать их массово.
6. По желанию: смените порт
Перенос RDP с порта 3389 уменьшает шум в логах от случайных ботов, но не остановит настойчивый сканер. Считайте это мелким дополнением, а не заменой описанных выше шагов. Если вы меняете порт, не забудьте открыть новый порт в брандмауэре.
7. Проверяйте логи
Откройте Просмотр событий, Журналы Windows, Безопасность, и найдите событие с ID 4625 (неудачный вход). Сотни неудач с одного адреса означают, что кто-то подбирает пароль. Заблокируйте этот адрес и пересмотрите шаг 3.
Хорошие привычки
- Не просматривайте веб-сайты и не открывайте вложения электронной почты на сервере, от которого вы зависите.
- Держите Defender включённым и обновлённым.
- Когда закончите, отключайтесь (а не просто закрывайте окно) и завершайте неиспользуемые сеансы.
- Делайте резервные копии важных файлов вне сервера.