Захист RDP: порт, паролі, обмеження

Автоматичні сканери виявляють відкритий в інтернет порт 3389 протягом кількох годин. Далі починається перебір паролів до облікового запису Administrator — найпоширеніший спосіб втратити машину з Windows. Захист будується з кількох простих шарів.

Шар перший: хто може підключатися

Найдієвіший підхід — дозволити RDP лише зі своїх адрес. У Windows Firewall типове правило дозволяє 3389 усім; замініть його.

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 203.0.113.5,198.51.100.0/24

Щоб перевірити результат:

Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Get-NetFirewallAddressFilter

Якщо у вас динамічна домашня адреса, варіант — залишити доступ з єдиного допоміжного вузла або налаштувати VPN і повністю закрити RDP. Аварійний вхід є завжди, якщо ви помилитеся в правилі: вкладка «Консоль» у панелі /hosting/vds/m/<id>, режим «Screen».

Шар другий: облікові записи та паролі

• Змініть пароль, виданий під час створення, і зробіть його довгим — щонайменше 16 символів.
• Створіть для себе окремий обліковий запис у групі «Remote Desktop Users», а вбудований Administrator перейменуйте: Rename-LocalUser -Name Administrator -NewName adm-local. Половина всіх спроб перебору націлена саме на ім'я Administrator.
• Увімкніть блокування після невдалих спроб:

net accounts /lockoutthreshold:5 /lockoutduration:30 /lockoutwindow:30

• Перевірте, що NLA увімкнено — автентифікація до створення сеансу:

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1

Шар третій: порт і моніторинг

Зміна порту — не захист, але вона відсікає масові сканери й очищає журнал:

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 34567
New-NetFirewallRule -DisplayName "RDP custom" -Direction Inbound -Protocol TCP -LocalPort 34567 -Action Allow -RemoteAddress 203.0.113.5
Restart-Service TermService -Force

Після цього підключайтеся до ADDRESS:34567. Вимкніть старе правило для 3389.

Стежте, хто стукає у ваші двері:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='IP';e={$_.Properties[19].Value}}

Подія 4625 — невдалий вхід, 4624 — успішний. Постійний потік подій 4625 із чужих адрес означає, що ви так і не увімкнули фільтр за адресами.

Типові помилки

• Покладатися лише на зміну порту. Сканер знайде RDP на будь-якому порту протягом доби; насправді допомагає список дозволених адрес.
• Вимикати NLA для сумісності зі старим клієнтом. Тоді будь-хто може дістатися до екрана входу й навантажити машину.
• Забути про інших користувачів. Перевірте, кому дозволено входити: Get-LocalGroupMember "Remote Desktop Users".
• Заблокувати себе й панікувати. Консоль у панелі працює завжди, а якщо правило зламало все, допоможе диск відновлення.

Докладніше облікові записи, права та групи розглянуто в статті Користувачі та права в Windows Server, а загальне налаштування фільтрів — у Windows Firewall.