أي خادم يكون فيه سطح المكتب البعيد مفتوحًا للإنترنت يتلقى محاولات تسجيل دخول من البوتات خلال دقائق من تشغيله. وهذا ليس هجومًا موجّهًا ضدك: فهي تجرّب ملايين العناوين. ومع هذه الإجراءات لن تتمكن من فعل شيء.
1. كلمة مرور لا يمكن تخمينها
أول إجراء وأكثرها حماية: 16 حرفًا أو أكثر، دون كلمات من القاموس، ولا تستخدمها في أي موقع آخر. ويمكن لمدير كلمات المرور أن ينشئها لك ويتذكرها بدلًا منك.
2. اعرف من يحاول الدخول
عناوين IP صاحبة أكثر المحاولات الفاشلة خلال آخر 24 ساعة (في PowerShell بصلاحيات المسؤول):
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} |
ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Nameإذا رأيت مئات المحاولات أو آلافها، فهذا طبيعي على منفذ 3389 مفتوح. والمهم ألا تنجح أي منها.
3. القفل بعد عدة محاولات فاشلة
net accounts /lockoutthreshold:10 /lockoutduration:15 /lockoutwindow:15بعد 10 محاولات فاشلة، يُقفل الحساب المعني لمدة 15 دقيقة. وانتبه: في Windows Server 2022 لا يُقفل حساب Administrator المدمج افتراضيًا (حتى لا تُحرم أبدًا من الدخول إلى خادمك)، لذا فهذا الإجراء يحمي المستخدمين الآخرين بالدرجة الأولى. ولهذا السبب تبقى كلمة المرور في النقطة 1 هي الأهم.
4. إذا كان لديك عنوان IP ثابت، فاسمح له وحده بالدخول
هذا هو الإجراء الأقوى: لا يستجيب سطح المكتب البعيد إلا لاتصالك.
# ضع عنوان IP العام الخاص بك مكان 198.51.100.7 (تجده في أي موقع من نوع "what is my IP")
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Set-NetFirewallRule -RemoteAddress 198.51.100.7وإذا كنت قد غيّرت المنفذ وأنشأت قواعد جديدة، فطبّق عليها الإجراء نفسه باستخدام Set-NetFirewallRule -DisplayName "Remote desktop TCP 50000" -RemoteAddress 198.51.100.7. وإذا تغيّر عنوان IP في منزلك، فستفقد الوصول: ادخل عبر وحدة تحكم VNC وافتحه من جديد باستخدام -RemoteAddress Any.
5. غيّر المنفذ
نقل سطح المكتب البعيد إلى منفذ آخر يتخلّص من معظم المحاولات الآلية. نشرح ذلك في تغيير منفذ سطح المكتب البعيد.
ما لا ينبغي فعله
- لا تغيّر اسم حساب Administrator: فلوحة التحكم تستخدمه لإعادة تعيين كلمة المرور.
- لا تعطّل NLA (المصادقة على مستوى الشبكة): فهي مفعّلة افتراضيًا، وتوقف كثيرًا من الهجمات قبل أن تصل إلى شاشة تسجيل الدخول.
- لا تشارك مستخدمك: أنشئ مستخدمًا لكل شخص.