Jak chronić pulpit zdalny przed atakami brute force

Każdy serwer z pulpitem zdalnym otwartym na internet już kilka minut po uruchomieniu staje się celem prób logowania wykonywanych przez boty. To nie jest atak wymierzony w Ciebie: boty sprawdzają miliony adresów IP. Dzięki tym środkom nic nie wskórają.

1. Hasło, którego nie da się odgadnąć

Najważniejsza i najskuteczniejsza ochrona: 16 znaków lub więcej, bez słów ze słownika i takie, którego nie używasz nigdzie indziej. Menedżer haseł wygeneruje je i zapamięta za Ciebie.

2. Sprawdź, kto próbuje się zalogować

Adresy IP z największą liczbą nieudanych prób z ostatnich 24 godzin (PowerShell jako administrator):

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} |
  ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

Jeśli widzisz setki lub tysiące prób, to normalne przy otwartym porcie 3389. Liczy się to, żeby żadna z nich się nie powiodła.

3. Blokada po kilku nieudanych próbach

net accounts /lockoutthreshold:10 /lockoutduration:15 /lockoutwindow:15

Po 10 nieudanych próbach konto, którego dotyczą, zostaje zablokowane na 15 minut. Uwaga: w Windows Server 2022 wbudowane konto Administrator domyślnie nie jest blokowane (żeby nigdy nie odciąć Cię od własnego serwera), więc chroni to przede wszystkim pozostałych użytkowników. Dlatego największe znaczenie ma hasło z punktu 1.

4. Jeśli masz stały adres IP, wpuszczaj tylko swój

To najmocniejsze zabezpieczenie: pulpit zdalny odpowiada tylko na Twoje połączenie.

# Zamień 198.51.100.7 na swój publiczny adres IP (sprawdzisz go na dowolnej stronie typu "jaki jest mój IP")
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Set-NetFirewallRule -RemoteAddress 198.51.100.7

Jeśli port został zmieniony i utworzono nowe reguły, zastosuj do nich to samo poleceniem Set-NetFirewallRule -DisplayName "Pulpit zdalny TCP 50000" -RemoteAddress 198.51.100.7. A jeśli Twój domowy adres IP się zmieni, stracisz dostęp: wejdź wtedy przez konsolę VNC i otwórz go ponownie za pomocą -RemoteAddress Any.

5. Zmień port

Przeniesienie pulpitu zdalnego na inny port eliminuje większość automatycznych prób. Wyjaśniamy to w poradniku jak zmienić port pulpitu zdalnego.

Czego nie robić

Nie zmieniaj nazwy konta Administrator: panel używa go do resetowania hasła.
Nie wyłączaj NLA (uwierzytelniania na poziomie sieci): jest domyślnie włączone i zatrzymuje wiele ataków, zanim dotrą do ekranu logowania.
Nie udostępniaj swojego konta: utwórz osobne dla każdej osoby.