حماية RDP: المنفذ وكلمات المرور والقيود

تكتشف الماسحات الآلية المنفذ 3389 مكشوفًا على الإنترنت في غضون ساعات. ثم يأتي تخمين كلمات المرور بالقوة الغاشمة ضد حساب Administrator — وهو الطريقة الأكثر شيوعًا لفقدان جهاز Windows. وتُبنى الحماية من عدة طبقات بسيطة.

الطبقة الأولى: من يمكنه الاتصال

النهج الأكثر فعالية هو السماح لعناوينك الخاصة فقط بالوصول إلى RDP. في جدار حماية Windows، تسمح القاعدة الافتراضية بالمنفذ 3389 للجميع؛ استبدلها.

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 203.0.113.5,198.51.100.0/24

للتحقق من النتيجة:

Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Get-NetFirewallAddressFilter

إذا كان لديك عنوان منزلي ديناميكي، فمن الخيارات ترك الوصول من عقدة مساعدة واحدة أو إعداد VPN وإغلاق RDP تمامًا. هناك دائمًا طريق طارئ للدخول إذا أخطأت في القاعدة: تبويب «Console» في لوحة التحكم /hosting/vds/m/<id>، وضع «Screen».

الطبقة الثانية: الحسابات وكلمات المرور

• غيّر كلمة المرور الصادرة عند الإنشاء واجعلها طويلة — 16 حرفًا على الأقل.
• أنشئ حسابًا منفصلًا لنفسك في مجموعة «Remote Desktop Users»، وأعد تسمية Administrator المدمج: Rename-LocalUser -Name Administrator -NewName adm-local. نصف جميع محاولات التخمين تستهدف اسم Administrator.
• فعّل القفل بعد المحاولات الفاشلة:

net accounts /lockoutthreshold:5 /lockoutduration:30 /lockoutwindow:30

• تحقق من تفعيل NLA — المصادقة قبل إنشاء الجلسة:

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1

الطبقة الثالثة: المنفذ والمراقبة

تغيير المنفذ ليس حماية، لكنه يقطع الماسحات الجماعية وينظّف السجل:

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 34567
New-NetFirewallRule -DisplayName "RDP custom" -Direction Inbound -Protocol TCP -LocalPort 34567 -Action Allow -RemoteAddress 203.0.113.5
Restart-Service TermService -Force

بعد ذلك، اتصل عبر ADDRESS:34567. عطّل القاعدة القديمة للمنفذ 3389.

راقب من يطرق بابك:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='IP';e={$_.Properties[19].Value}}

الحدث 4625 هو تسجيل دخول فاشل، و4624 هو تسجيل دخول ناجح. التدفق المستمر لأحداث 4625 من عناوين أجنبية يعني أنك لم تفعّل عامل تصفية العناوين أبدًا.

أخطاء شائعة

• الاعتماد على تغيير المنفذ فقط. سيجد الماسح RDP على أي منفذ خلال يوم؛ القائمة المسموح بها هي ما يساعد فعليًا.
• تعطيل NLA للتوافق مع عميل قديم. عندئذٍ يمكن لأي شخص الوصول إلى شاشة تسجيل الدخول وإثقال الجهاز.
• نسيان المستخدمين الآخرين. تحقق من المسموح لهم بتسجيل الدخول: Get-LocalGroupMember "Remote Desktop Users".
• حبس نفسك بالخارج والذعر. تعمل وحدة التحكم في لوحة التحكم دائمًا، وإذا أفسدت القاعدة كل شيء، فسيساعدك قرص الاسترداد.

تُغطى الحسابات والحقوق والمجموعات بمزيد من التفصيل في مقالة المستخدمون والحقوق في Windows Server، وإعداد عامل التصفية العام في جدار حماية Windows.