Perlindungan RDP: port, kata sandi, pembatasan

Pemindai otomatis menemukan port 3389 yang terbuka ke internet dalam hitungan jam. Lalu datanglah brute-force kata sandi terhadap akun Administrator — cara paling umum untuk kehilangan mesin Windows. Perlindungan dibangun dari beberapa lapisan sederhana.

Lapisan satu: siapa yang boleh terhubung

Pendekatan paling efektif adalah hanya mengizinkan alamat Anda sendiri untuk RDP. Di Windows Firewall, aturan bawaan mengizinkan 3389 untuk semua orang; gantilah.

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 203.0.113.5,198.51.100.0/24

Untuk memeriksa hasilnya:

Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Get-NetFirewallAddressFilter

Jika Anda memiliki alamat rumah yang dinamis, salah satu opsi adalah membiarkan akses dari satu node tambahan atau menyiapkan VPN dan menutup RDP sepenuhnya. Selalu ada jalur darurat jika Anda membuat kesalahan pada aturan: tab "Console" di panel /hosting/vds/m/<id>, mode "Screen".

Lapisan dua: akun dan kata sandi

• Ubah kata sandi yang diberikan saat pembuatan dan buatlah panjang — minimal 16 karakter.
• Buat akun terpisah untuk diri Anda di grup "Remote Desktop Users", dan ganti nama Administrator bawaan: Rename-LocalUser -Name Administrator -NewName adm-local. Separuh dari semua upaya brute-force menyasar nama Administrator.
• Aktifkan penguncian setelah upaya gagal:

net accounts /lockoutthreshold:5 /lockoutduration:30 /lockoutwindow:30

• Periksa bahwa NLA aktif — autentikasi sebelum sesi dibuat:

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1

Lapisan tiga: port dan pemantauan

Mengubah port bukanlah perlindungan, tetapi ini memotong pemindai massal dan merapikan log:

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 34567
New-NetFirewallRule -DisplayName "RDP custom" -Direction Inbound -Protocol TCP -LocalPort 34567 -Action Allow -RemoteAddress 203.0.113.5
Restart-Service TermService -Force

Setelah itu, hubungkan ke ADDRESS:34567. Nonaktifkan aturan lama untuk 3389.

Pantau siapa yang mengetuk pintu Anda:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='IP';e={$_.Properties[19].Value}}

Event 4625 adalah login gagal, 4624 adalah login berhasil. Aliran event 4625 yang stabil dari alamat asing berarti Anda belum mengaktifkan filter alamat.

Kesalahan umum

• Hanya mengandalkan perubahan port. Pemindai akan menemukan RDP di port mana pun dalam sehari; allowlist-lah yang benar-benar membantu.
• Menonaktifkan NLA demi kompatibilitas dengan klien lama. Akibatnya siapa pun dapat mencapai layar login dan membebani mesin.
• Lupa tentang pengguna lain. Periksa siapa yang diizinkan login: Get-LocalGroupMember "Remote Desktop Users".
• Mengunci diri sendiri lalu panik. Console di panel selalu berfungsi, dan jika aturan merusak segalanya, disk pemulihan akan membantu.

Akun, hak, dan grup dibahas lebih rinci di artikel Pengguna dan hak di Windows Server, dan penyiapan filter secara umum ada di Windows Firewall.