Ochrana RDP: port, heslá, obmedzenia

Automatizované skenery nájdu port 3389 vystavený do internetu v priebehu niekoľkých hodín. Potom prichádza na rad hádanie hesiel na účet Administrator — najčastejší spôsob, ako prísť o Windows stroj. Ochrana sa skladá z niekoľkých jednoduchých vrstiev.

Prvá vrstva: kto sa môže pripojiť

Najúčinnejší prístup je povoliť prístup k RDP len z vlastných adries. Vo Windows Firewall predvolené pravidlo povoľuje 3389 pre všetkých; nahraď ho.

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 203.0.113.5,198.51.100.0/24

Na overenie výsledku:

Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Get-NetFirewallAddressFilter

Ak máš dynamickú domácu adresu, možnosťou je nechať prístup z jedného pomocného uzla alebo si nastaviť VPN a RDP úplne zavrieť. Ak sa pomýliš v pravidle, vždy existuje núdzový spôsob, ako sa dostať dnu: karta „Console“ v paneli /hosting/vds/m/<id>, režim „Screen“.

Druhá vrstva: účty a heslá

• Zmeň heslo vygenerované pri vytvorení a nastav ho dlhé — aspoň 16 znakov.
• Vytvor si samostatný účet v skupine „Remote Desktop Users“ a premenuj vstavaný Administrator: Rename-LocalUser -Name Administrator -NewName adm-local. Polovica všetkých pokusov o hádanie hesla mieri práve na meno Administrator.
• Zapni uzamknutie účtu po neúspešných pokusoch:

net accounts /lockoutthreshold:5 /lockoutduration:30 /lockoutwindow:30

• Skontroluj, či je zapnuté NLA — overenie pred vytvorením relácie:

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1

Tretia vrstva: port a monitoring

Zmena portu nie je ochrana, ale odreže hromadné skenery a vyčistí log:

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 34567
New-NetFirewallRule -DisplayName "RDP custom" -Direction Inbound -Protocol TCP -LocalPort 34567 -Action Allow -RemoteAddress 203.0.113.5
Restart-Service TermService -Force

Potom sa pripájaj na ADDRESS:34567. Vypni staré pravidlo pre 3389.

Sleduj, kto ti klope na dvere:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='IP';e={$_.Properties[19].Value}}

Udalosť 4625 je neúspešné prihlásenie, 4624 je úspešné. Neustály prúd udalostí 4625 z cudzích adries znamená, že si filter adries nikdy nezapol.

Časté chyby

• Spoliehať sa len na zmenu portu. Skener nájde RDP na akomkoľvek porte do jedného dňa; pomôže až zoznam povolených adries.
• Vypnutie NLA kvôli kompatibilite so starým klientom. Potom sa na prihlasovaciu obrazovku dostane ktokoľvek a zaťaží stroj.
• Zabudnutie na ostatných používateľov. Skontroluj, kto sa smie prihlásiť: Get-LocalGroupMember "Remote Desktop Users".
• Zamknutie sa von a panika. Konzola v paneli funguje vždy, a ak pravidlo rozbilo všetko, pomôže recovery disk.

Účtom, právam a skupinám sa podrobnejšie venuje článok Používatelia a práva vo Windows Server a všeobecnému nastaveniu filtrov Windows Firewall.