RDP保護:ポート、パスワード、制限

自動スキャナーは数時間以内にインターネットに公開されたポート3389を発見します。次に来るのが Administrator アカウントに対するパスワード総当たり攻撃で、これがWindowsマシンを失う最も一般的な原因です。防御はいくつかのシンプルな層で構築します。

第1層：接続できるのは誰か

最も効果的な方法は、自分のアドレスだけにRDPを許可することです。Windowsファイアウォールの既定の規則は全員に3389を許可しているため、これを置き換えます。

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 203.0.113.5,198.51.100.0/24

結果を確認するには：

Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Get-NetFirewallAddressFilter

自宅のアドレスが動的IPの場合、補助ノード1台からのアクセスだけを残すか、VPNを構築してRDPを完全に閉じるという選択肢があります。規則の設定を誤っても、パネル /hosting/vds/m/<id> の「コンソール」タブ、「Screen」モードから常に緊急の接続手段があります。

第2層：アカウントとパスワード

• 作成時に発行されたパスワードを変更し、長くしてください。16文字以上が目安です。
• 「Remote Desktop Users」グループに自分用の別アカウントを作成し、組み込みの Administrator の名前を変更します：Rename-LocalUser -Name Administrator -NewName adm-local。総当たり攻撃の半数は Administrator という名前を狙っています。
• ログイン失敗後のロックアウトを有効にします：

net accounts /lockoutthreshold:5 /lockoutduration:30 /lockoutwindow:30

• NLA（セッション作成前の認証）が有効になっていることを確認します：

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1

第3層：ポートと監視

ポートの変更は防御ではありませんが、大量のスキャナーを遮断し、ログを整理できます：

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 34567
New-NetFirewallRule -DisplayName "RDP custom" -Direction Inbound -Protocol TCP -LocalPort 34567 -Action Allow -RemoteAddress 203.0.113.5
Restart-Service TermService -Force

その後は ADDRESS:34567 に接続します。3389の古い規則は無効にしてください。

誰がアクセスを試みているかを監視します：

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='IP';e={$_.Properties[19].Value}}

イベント4625はログイン失敗、4624はログイン成功です。海外のアドレスから4625イベントが絶え間なく記録される場合は、アドレスフィルターを有効にしていないということです。

よくある間違い

• ポートの変更だけに頼る。 スキャナーは1日以内にどのポートでもRDPを発見します。実際に効果があるのは許可リストです。
• 古いクライアントとの互換性のためにNLAを無効にする。 そうすると誰でもログイン画面に到達でき、マシンに負荷をかけられます。
• 他のユーザーのことを忘れる。 誰がログインを許可されているかを確認してください：Get-LocalGroupMember "Remote Desktop Users"。
• 自分を締め出して慌てる。 パネルのコンソールは常に機能し、規則がすべてを壊してしまった場合はリカバリーディスクが役立ちます。

アカウント、権限、グループについては記事Windows Serverのユーザーと権限で、フィルターの一般的な設定についてはWindowsファイアウォールで詳しく説明しています。