Как настроить защиту RDP от брутфорса (перебора) и взлома
Удалённый рабочий стол (RDP) — один из самых удобных способов администрирования Windows-серверов и рабочих станций. Но именно он чаще всего становится целью атак: миллионы ботов ежедневно сканируют интернет в поисках открытых 3389-портов, чтобы перебрать пароли и получить доступ к системе.
В этой статье разберём пошагово, как настроить защиту RDP, чтобы снизить риски до минимума.
Чем опасен незащищённый RDP
- Брутфорс-атаки — тысячи попыток подбора паролей в минуту.
- Кража учётных записей — если пароль слабый, его угадают за часы.
- Малварь и шифровальщики — после успешного входа на сервер его быстро заражают.
- Финансовые потери — простой сервисов, потеря данных, репутационные риски.
По статистике Microsoft, до 70% успешных атак на Windows-сервера происходят именно через плохо настроенный и незащищённый RDP.
Шаг 1. Изменение порта по умолчанию
RDP всегда по умолчанию работает, используя 3389 порт, и именно его сканируют боты. Меняя порт, вы снижаете «шум» в логах и количество автоматических атак.
Как изменить порт:
- Откройте regedit.
- Перейдите в раздел: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber
- Задайте новое значение (например, 49200).
- Перезапустите сервер.
Важно: после изменения порта добавьте правило в брандмауэр и укажите новый порт при подключении.
Шаг 2. Ограничение доступа по IP
Лучший способ защиты — разрешить доступ к RDP только с определённых IP-адресов.
Варианты:
- Настроить правило в Windows Firewall: разрешить вход только с нужных подсетей.
- Если сервер за роутером/фаерволом — фильтрация делается на внешнем устройстве.
- Оптимально — полностью закрыть RDP извне и подключаться через VPN.
Шаг 3. Включение NLA (Network Level Authentication)
NLA требует аутентификацию ещё до загрузки RDP-сессии, что уменьшает риск атак.
Включение:
- Панель управления → Система и безопасность → Система.
- «Удалённые подключения» → включить «Разрешить подключение только с компьютеров с NLA».
Шаг 4. Настройка политики паролей
Даже если у вас VPN и ограничение по IP, слабый пароль = почти гарантированный взлом.
Минимальные требования:
- длина не менее 12 символов;
- обязательное использование цифр, спецсимволов, заглавных букв;
- запрет на повторение последних 10 паролей;
- блокировка учётной записи после 5–10 неудачных попыток входа.
Всё это настраивается в Local Security Policy или через GPO (Group Policy).
Шаг 5. Двухфакторная аутентификация (2FA)
Лучшее решение против брутфорса. Даже если пароль украден — вход без второго фактора невозможен.
Инструменты:
- Duo Security (поддержка Windows RDP).
- FreeRADIUS + OTP.
- Azure MFA (для интеграции с AD).
Шаг 6. Fail2Ban / RDP Guard
На Linux-серверах давно используют Fail2Ban.
Для Windows тоже есть аналоги — например, RDP Guard.
Он блокирует IP-адреса после нескольких неудачных попыток входа.
Шаг 7. Ведение логов и мониторинг
Без мониторинга администратор узнает о взломе слишком поздно.
- Включите аудит событий в Windows (Event Viewer → Security).
- Настройте сбор логов в Zabbix или в SIEM при наличии.
- Настройте уведомления о множественных ошибках входа.
Дополнительные меры
- Не используйте учётку «Администратор» — создайте уникальные аккаунты.
- Своевременно обновляйте Windows и ставьте патчи безопасности.
Итог
Защита RDP — это комплекс мер: смена порта, ограничение доступа, пароли, 2FA и мониторинг. Если внедрить всё сразу, риск взлома снижается почти до нуля.
Если что-то не получается или нужна помощь в настройке RDP-доступа — обращайтесь в itfly.by
