Как защитить удалённый рабочий стол от брутфорс-атак

Любой сервер с открытым в интернет удалённым рабочим столом через несколько минут после включения начинает получать попытки входа от ботов. Это не атака лично на вас: боты перебирают миллионы IP-адресов. С этими мерами у них ничего не выйдет.

1. Пароль, который невозможно подобрать

Первое и самое важное: 16 символов или больше, без словарных слов, и этот пароль не должен использоваться больше нигде. Менеджер паролей сгенерирует его и запомнит за вас.

2. Посмотрите, кто пытается войти

IP-адреса с наибольшим числом неудачных попыток за последние 24 часа (PowerShell от имени администратора):

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} |
  ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

Сотни или тысячи попыток — обычное дело для открытого порта 3389. Важно, чтобы ни одна из них не оказалась удачной.

3. Блокировка после нескольких неудачных попыток

net accounts /lockoutthreshold:10 /lockoutduration:15 /lockoutwindow:15

После 10 неудачных попыток учётная запись блокируется на 15 минут. Учтите: в Windows Server 2022 встроенная учётная запись Administrator по умолчанию не блокируется (чтобы вы никогда не лишились доступа к собственному серверу), поэтому эта мера защищает прежде всего остальных пользователей. Вот почему пароль из пункта 1 важнее всего.

4. Если у вас статический IP-адрес, разрешите вход только с него

Это самая сильная мера: удалённый рабочий стол отвечает только на ваше подключение.

# Замените 198.51.100.7 на свой публичный IP-адрес (его покажет любой сайт вроде "мой IP")
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Set-NetFirewallRule -RemoteAddress 198.51.100.7

Если вы меняли порт и создавали новые правила, примените к ним то же самое: Set-NetFirewallRule -DisplayName "Remote desktop TCP 50000" -RemoteAddress 198.51.100.7. А если ваш домашний IP-адрес сменится, вы потеряете доступ: войдите через консоль VNC и снова откройте доступ с помощью -RemoteAddress Any.

5. Смените порт

Перенос удалённого рабочего стола на другой порт отсекает большую часть автоматических попыток. Подробнее — в статье как сменить порт удалённого рабочего стола.

Чего делать не нужно

Не переименовывайте учётную запись Administrator: панель использует её для сброса пароля.
Не отключайте NLA (проверку подлинности на уровне сети): она включена по умолчанию и останавливает многие атаки ещё до экрана входа.
Не делитесь своей учётной записью: создайте отдельную для каждого человека.