Proteggere il desktop remoto dagli attacchi brute force

Qualsiasi server con il desktop remoto aperto a Internet riceve tentativi di accesso da parte di bot pochi minuti dopo l'accensione. Non è un attacco contro di te: provano milioni di IP. Con queste misure non hanno speranze.

1. Una password impossibile da indovinare

La prima cosa e quella che protegge di più: 16 caratteri o più, senza parole del dizionario e che non usi da nessun'altra parte. Un password manager te la genera e se la ricorda al posto tuo.

2. Guarda chi ci sta provando

Gli IP con più tentativi falliti nelle ultime 24 ore (PowerShell come amministratore):

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} |
  ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

Se vedi centinaia o migliaia di tentativi, è normale su una porta 3389 aperta. Quello che conta è che nessuno vada a segno.

3. Blocco dopo diversi tentativi falliti

net accounts /lockoutthreshold:10 /lockoutduration:15 /lockoutwindow:15

Dopo 10 tentativi falliti, l'account interessato viene bloccato per 15 minuti. Attenzione: su Windows Server 2022 l'account Administrator integrato non viene bloccato di default (così non resti mai chiuso fuori dal tuo stesso server), quindi questo protegge soprattutto gli altri utenti. Per questo la password del punto 1 è ciò che conta di più.

4. Se hai un IP fisso, lascia entrare solo il tuo

È la misura più forte: il desktop remoto risponde solo alla tua connessione.

# Sostituisci 198.51.100.7 con il tuo IP pubblico (lo trovi su qualsiasi sito "qual è il mio IP")
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Set-NetFirewallRule -RemoteAddress 198.51.100.7

Se hai cambiato la porta e creato nuove regole, applica la stessa cosa anche a quelle con Set-NetFirewallRule -DisplayName "Desktop remoto TCP 50000" -RemoteAddress 198.51.100.7. E se l'IP di casa tua cambia, resterai chiuso fuori: entra dalla console VNC e riaprilo con -RemoteAddress Any.

5. Cambia la porta

Spostare il desktop remoto su un'altra porta elimina la maggior parte dei tentativi automatici. Te lo spieghiamo in cambiare la porta del desktop remoto.

Cosa non fare

Non rinominare l'account Administrator: il pannello lo usa per reimpostare la password.
Non disattivare l'NLA (l'autenticazione a livello di rete): è attiva di default e blocca molti attacchi prima che arrivino alla schermata di accesso.
Non condividere il tuo utente: creane uno per ogni persona.