RDP 보호: 포트, 비밀번호, 제한

자동 스캐너는 몇 시간 안에 인터넷에 노출된 포트 3389를 찾아냅니다. 그다음에는 Administrator 계정을 대상으로 한 비밀번호 무차별 대입이 이어지는데, 이는 Windows 머신을 잃는 가장 흔한 방식이에요. 보호는 몇 가지 간단한 계층으로 구성돼요.

첫 번째 계층: 누가 연결할 수 있는가

가장 효과적인 방법은 자신의 주소에서만 RDP를 허용하는 거예요. Windows 방화벽의 기본 규칙은 모든 사용자에게 3389를 허용하므로, 이를 교체해야 해요.

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 203.0.113.5,198.51.100.0/24

결과를 확인하려면:

Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Get-NetFirewallAddressFilter

집 주소가 유동 IP라면, 보조 노드 하나에서만 접속을 허용하거나 VPN을 설정하고 RDP를 완전히 닫는 방법이 있어요. 규칙을 잘못 만들어도 언제나 비상 진입 경로가 있는데, 제어판 /hosting/vds/m/<id>의 "Console" 탭, "Screen" 모드예요.

두 번째 계층: 계정과 비밀번호

• 생성 시 발급된 비밀번호를 변경하고 길게 만드세요 — 최소 16자예요.
• "Remote Desktop Users" 그룹에 자신만의 별도 계정을 만들고, 내장된 Administrator의 이름을 변경하세요: Rename-LocalUser -Name Administrator -NewName adm-local. 모든 무차별 대입 시도의 절반이 Administrator라는 이름을 노려요.
• 실패한 시도 후 잠금을 활성화하세요:

net accounts /lockoutthreshold:5 /lockoutduration:30 /lockoutwindow:30

• NLA가 활성화되어 있는지 확인하세요 — 세션 생성 전 인증이에요:

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1

세 번째 계층: 포트와 모니터링

포트를 바꾸는 것은 보호가 아니지만, 대량 스캐너를 차단하고 로그를 정리해 줘요:

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 34567
New-NetFirewallRule -DisplayName "RDP custom" -Direction Inbound -Protocol TCP -LocalPort 34567 -Action Allow -RemoteAddress 203.0.113.5
Restart-Service TermService -Force

그런 다음 ADDRESS:34567로 접속하세요. 3389에 대한 기존 규칙은 비활성화하세요.

누가 문을 두드리는지 지켜보세요:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='IP';e={$_.Properties[19].Value}}

이벤트 4625는 로그인 실패, 4624는 성공이에요. 외부 주소에서 4625 이벤트가 끊임없이 들어온다면 주소 필터를 활성화하지 않은 거예요.

흔한 실수

• 포트 변경에만 의존하는 것. 스캐너는 하루 안에 어떤 포트에서든 RDP를 찾아내요. 실제로 도움이 되는 것은 허용 목록이에요.
• 구형 클라이언트와의 호환을 위해 NLA를 비활성화하는 것. 그러면 누구나 로그인 화면에 접근해 머신에 부하를 줄 수 있어요.
• 다른 사용자를 잊는 것. 누가 로그인할 수 있는지 확인하세요: Get-LocalGroupMember "Remote Desktop Users".
• 자신을 잠그고 당황하는 것. 제어판의 콘솔은 항상 작동하며, 규칙이 모든 것을 망가뜨렸다면 복구 디스크가 도움이 될 거예요.

계정, 권한, 그룹은 Windows Server의 사용자와 권한 문서에서 더 자세히 다루고, 일반적인 필터 설정은 Windows 방화벽에서 확인할 수 있어요.