A Remote Desktop Protocol továbbra is a legfontosabb célpont, mert a szabad 3389-es port, a gyenge jelszavak és a zajos bejelentkezési telemetria megkönnyíti a robotok és az alacsony képzettségű színészek életét. Ha azt kérdezi, hogyan lehet megakadályozni az RDP brute force támadásait, a rövid válasz az, hogy csökkentse az expozíciót, növelje a hitelesítés erősségét, és figyelje a naplókat, mint egy sólyom. Rejtse el a 3389-es portot VPN vagy RD Gateway mögé, kényszerítse ki az MFA-t minden hozzáférési ponton, engedélyezze a hálózati szintű hitelesítést, állítsa be a fiókzárolási házirendeket 5 és 10 kísérlet között 15-30 perces időtartammal, és folyamatosan figyelje a 4625-ös eseményazonosító kiugrásait. A támadók évről évre gyorsabban szkennelnek, találgatnak és forognak, így a játékkönyvnek konkrét vezérlőkre van szüksége, nem vágyálomra.
TL;DR: Gyors védelmi ellenőrzőlista
- A 3389-es port elrejtése a VPN vagy RD Gateway mögé, hogy elkerülje a nyilvános kitettséget
- Többtényezős hitelesítés megkövetelése minden RDP hozzáférési ponthoz
- Engedélyezze a hálózati szintű hitelesítést (NLA) a munkamenet előtti ellenőrzéshez
- Fiókzár beállítása: 5-10 érvénytelen próbálkozás, 15-30 perces időtartam, 15 perces visszaállítás
- Folyamatosan figyelje a 4625-ös (sikertelen) és a 4624-es (sikeres) Windows eseményazonosítókat
- Használja az IP engedélyezési listát és a földrajzi blokkolást a forráshoz való hozzáférés korlátozásához
- Tartson be erős jelszópolitikát, legalább 14 karakter hosszúsággal
Miért sikeresek az RDP brute Force támadásai?
A nyílt RDP azért vonzó, mert tömeges vizsgálatokkal percek alatt megtalálható, gyakran helyi adminisztrátori jogokkal fut, és egy gyenge jelszó ransomware-hez vezethet. A 3389-es port ki van téve a nyilvános internetre, mint egy óriásplakát hirdetési hozzáférés, és az automatizált eszközöknek nincs szükségük szakértelemre a bejelentkezési képernyőkön való kalapáláshoz. A jelszavas támadások drámaian megnövekedtek A Microsoft 74%-os növekedésről számolt be egyedül 2021-től 2022-ig. Ez az oka annak, hogy a brute force támadások megelőzésére vonatkozó minden útmutató mindig azzal kezdődik, hogy a 3389-et nem teszik közzé a nyilvános interneten, majd olyan rétegeket adnak hozzá, mint az MFA és a kizárási szabályok, mielőtt bárki elérné a bejelentkezési képernyőt.
Az olyan hálózatok legutóbbi kampányai, mint az FDN3 2025 közepén, megmutatták, hogy a nagyszabású jelszószórással milyen gyorsan lehet megcélozni az SSL VPN- és RDP-eszközöket több ezer rendszerben. A támadások csúcspontja bizonyos ablakokban történik, amikor a biztonsági csapatok a legkevésbé felkészültek, és a minta megismétlődik, mert az alapok hibásak maradnak. A sikertelen bejelentkezések hirtelen megugrása, a sok felhasználónévvel való ismételt próbálkozás és az országugrásos IP-címek árulkodó jelek, de mire megfelelő felügyelet nélkül észreveszi őket, a kár gyakran elkezdődött. A tét nagy: A Verizon 2025-ös adatszivárgási vizsgálati jelentése ransomware-t talált az összes incidens 44%-ában, és az RDP továbbra is a támadások preferált belépési pontja.
A modern végpont-észlelés össze tudja kapcsolni a munkamenet-szintű RDP-adatokat, így a válaszadók hamarabb észlelik a permetezés és az imádkozás mintáit. A megelőzés azonban minden alkalommal felülmúlja az észlelést, ezért a következő rész azokra a vezérlőkre összpontosít, amelyek leállítják a támadásokat, mielőtt azok incidenssé válnának.
Az RDP brute Force támadásainak megelőzése: Alapvető védelmi módszerek
A leggyorsabb hasznot a hálózat kitettségének csökkentése, az erősebb bejelentkezési kapuk és a beépített Windows-házirendek jelentik. Az RDP brute force támadások megelőzésének elsajátítása azt jelenti, hogy be kell vezetni az RDP brute force védelmet, amely egyesíti ezeket a rétegeket.
Először zárja be a nyitott ajtót: távolítsa el a Public 3389-et
Rejtse el az RDP-t VPN mögé, vagy telepítse a Távoli asztali átjárót a 443-as porton TLS-titkosítással. Az ismert IP-címek rövid engedélyezési listája és egy átjáró minden egyes alkalommal felülmúlja a nyers porttovábbítást. Ez a lépés csökkenti a zajt és drámaian csökkenti a jelszókitalálás hangerejét. Állítsa be a kerületi tűzfalat úgy, hogy blokkolja az internetről a 3389-es porthoz való közvetlen hozzáférést, majd irányítsa át az összes jogos forgalmat a biztonságos átjárón. A támadók nem kényszeríthetik erőszakkal azt, amit nem tudnak elérni.
Kapcsolja be a többtényezős hitelesítést az RDP-hez
A push-spamnek ellenálló MFA, mint például a számegyeztető vagy hardverkulcsokat tartalmazó alkalmazásparancsok, blokkolja a legtöbb csak jelszóval történő behatolást. MFA hozzáadása az átjáró szintjén vagy egy RDP-szolgáltatón keresztül szoros címtárintegrációval. A Microsoft kutatása szerint a feltört fiókok több mint 99%-ánál nincs engedélyezve az MFA, ami mindent elmond arról, hogy miért számít ez a vezérlés. Telepítse a RD Gateway-n keresztül a Network Policy Server Azure AD-vel való integrációjával, vagy használjon harmadik féltől származó megoldásokat, amelyek támogatják a TOTP-t és a hardverjogkivonatokat.
Hálózati szintű hitelesítés (NLA) szükséges
Az NLA kikényszeríti a hitelesítést a teljes asztal betöltése előtt, csökkentve ezzel az erőforrás-elszívást a sikertelen munkamenetekből, és csökkentve a támadási felületet. Párosítsa az NLA-t a TLS-szel a hitelesítő adatok titkosított továbbításához. Ez a hitelesítési adatok biztonsági támogatási szolgáltatója (CredSSP) segítségével történő csatlakozási folyamat legelejére tolja az ellenőrzést. Szakértői felülvizsgált kutatások szerint az NLA 48%-kal csökkentheti az RDP várakozási idejét az aktív támadások során azáltal, hogy megakadályozza, hogy a nem hitelesített munkamenetek kiszolgáló erőforrásokat fogyasztjanak. Engedélyezze a Rendszer tulajdonságai, Távoli lapon a „Csak hálózati szintű hitelesítést futtató számítógépekről történő csatlakozás engedélyezése” lehetőséget választva.
Alkalmazza a fiókzárolási irányelveket
Állítson be ésszerű küszöbértékeket és zárja be az ablakokat, hogy a robotok ne tudjanak örökre kitalálni. Ezek klasszikus RDP brute force támadás-megelőzési módszerek, és megfelelően konfigurálva továbbra is működnek. Konfigurálja a Helyi biztonsági házirend (secpol.msc) segítségével a Fiókházirendek alatt a következő paraméterekkel: 5-10 érvénytelen próbálkozás küszöbértéke, 15-30 perces zárolási időtartam és 15 perc után visszaállító számláló. Ezek az értékek több 2025-ös biztonsági alapvonal konszenzusából származnak, beleértve a Windows biztonsági ajánlásokat és az iparági keretrendszereket. Egyensúlyozza a biztonságot a help desk terhelésével szemben, mert minden zárolt fiók támogatási jegyet generál.
Használja az engedélyezési listákat és a földrajzi kerítést
Korlátozza, hogy ki kopogtathat az ajtón. Az országblokkok, az ASN-blokkok és a rövid statikus engedélyezési listák szinte nullára csökkentik a forgalmat sok kis irodai rendszerben. Állítsa be ezeket a szabályokat a tűzfal szintjén, blokkolva azokat a teljes földrajzi régiókat, amelyekkel soha nem üzletel, és korlátozza a távoli dolgozók hozzáférését bizonyos IP-tartományokhoz. Egyes környezetek ezt tovább viszik azáltal, hogy időalapú hozzáférés-szabályozást hajtanak végre, amely csak munkaidőben engedélyezi az RDP-t.
Jelszavak keményítése és elforgatása
Használjon hosszú jelmondatokat, rendszergazdánként egyedi titkokat és jelszókezelőt. Ez az alapvető RDP brute force védelem, de még mindig túl sok jogsértés kezdődik itt. Állítsa be a jelszó minimális hosszát 14 karakterre, és összetettségi követelményeket kényszerít ki a csoportházirend. Minél hosszabb a jelszó, annál nehezebben tudnak feltörni az automatizált eszközök a brute force módszerekkel. Kerülje el a jelszavak újrafelhasználását a különböző adminisztratív fiókokban, mert egyetlen feltört hitelesítő adat a teljes infrastruktúrán áthaladhat.
A Windows és az RDP Stack azonnali frissítése
Javítsa ki az ismert RDP-hibákat, és frissítse a szervereket és az ügyfeleket. A régi sebezhetőségek továbbra is felbukkannak a vadonban, és a támadók először a javítatlan rendszereket veszik célba, mert egyszerűbbek. Valósítson meg egy rendszeres javítási ütemezést a Windows Update, a WSUS vagy az Intune alapvonalaival, hogy az RDP-infrastruktúrája naprakész maradjon az ismert kizsákmányolásokkal szemben.
Gyűjtse össze és értesítse a sikertelen bejelentkezéseket
Továbbítsa a Windows biztonsági naplóit egy SIEM-re, figyelje a 4625-ös és 4624-es eseményazonosítót, és riasztást kapjon a rendellenes mennyiségekre, forrásföldrajzokra és a szolgáltatásfiók találataira. A brutális erőszakos támadások megelőzésének megtanulása mindig magában foglalja a naplók szemmel tartását, mert a reaktív észlelés korlátozza a károkat, ha a megelőző ellenőrzések sikertelenek. Konfiguráljon riasztásokat több mint 10 sikertelen próbálkozásra egyetlen IP-ről egy órán belül, és figyelje a 10-es típusú (távoli interaktív) és a 3-as típusú (hálózati) bejelentkezési mintákat, amelyek RDP-tevékenységet jeleznek.
Ezek mindegyike önmagában csökkenti a kockázatot. Együtt alkotják az RDP brute force támadásmegelőzési módszereit, amelyek valódi nyomás alatt is megállják a helyüket.
| Módszer | A megvalósítás összetettsége | Hol kell konfigurálni | Elsődleges előny |
| VPN/RD Gateway | Közepes | Tűzfal vagy RD Gateway (443-as port) | Megszünteti a 3389-es nyilvános port kitettségét |
| Többtényezős hitelesítés | Közepes | Átjáró, identitásszolgáltató vagy RDP-bővítmény | Leállítja a csak jelszóval végzett bejelentkezési kísérleteket |
| Hálózati szintű hitelesítés | Alacsony | Rendszertulajdonságok → Távoli → NLA jelölőnégyzet | Hitelesítés a munkamenet létrehozása előtt |
| Fiókzárolási szabályzat | Alacsony | secpol.msc → Account Policies → Account Lockout | Korlátozza a végtelen jelszókitalálást |
| Eseménynapló figyelés | Közepes | SIEM/EDR vagy Windows Event Viewer | Korai támadásminta észlelése |
| IP engedélyezési lista/földrajzi kerítés | Alacsony | Tűzfalszabályok vagy IPS/Geo házirendek | Korlátozza a csatlakozási forrás hozzáférését |
| Erős jelszópolitika | Alacsony | Domain csoportházirend-objektum vagy helyi biztonsági házirend | Növeli a nyers erő nehézségét |
| Rendszeres foltozás | Alacsony | Windows Update, WSUS vagy Intune | Bezárja az ismert RDP sebezhetőségeket |
Az aktív RDP brute Force támadások észlelése
A vezérlés előtt tartsa szemmel az alapokat. Figyelje a 4625-ös eseményazonosítót a Windows biztonsági naplójában a sikertelen bejelentkezési kísérletekért, mert a tüskék aktív támadásokat jeleznek. Ha perceken belül több tucat vagy több száz 4625-ös eseményt lát ugyanarról a forrás-IP-ről, akkor valós időben figyeli a brutális erőszak kísérletét. A modern észlelés a 3-as típusú bejelentkezéseket (hálózati hitelesítés NLA-n keresztül), majd a 10-es típusú (távoli interaktív) bejelentkezést keresi, mivel a hitelesítési folyamat megváltozott a hálózati szintű hitelesítés elfogadásával.
Ügyeljen az egyetlen IP-címről származó több felhasználónévnél előforduló sikertelen bejelentkezési mintákra, amelyek inkább jelszavak szórását jelzik, mint célzott támadásokat. A földrajzi ellentmondások is számítanak. Ha a felhasználók Észak-Amerikában dolgoznak, de bejelentkezési kísérleteket lát Kelet-Európából vagy Ázsiából, akkor érdemes azonnal megvizsgálni. Egyes támadók lakossági proxykat használnak valódi helyük elrejtésére, de a hangerő és az időzítési minták továbbra is felfedik jelenlétüket.
Továbbítsa ezeket az eseményeket egy központi naplózórendszerre vagy SIEM-re, amely képes korrelálni a tevékenységeket több szerver között. Állítsa be a riasztási küszöbértékeket a környezete normál hitelesítési mintái alapján, mert ami egy nagyvállalatnál normálisnak tűnik, az gyanús lehet egy kisvállalkozás számára. A cél az, hogy megtanuljuk, hogyan lehet megállítani a brute force támadásokat és azok mintáit, mielőtt azok sikeresek volnának, nem csak dokumentálni őket a sérülés után.
Hogyan lehet megállítani egy folyamatban lévő RDP brute Force támadást
Ha a felügyelet riasztást ad ki ismétlődő sikertelen bejelentkezésről vagy hitelesítő adatpermetezésről, hajtsa végre a lépéseket sorrendben. Először is tartalmazza a forrást úgy, hogy blokkolja az IP-t vagy a tartományt a peremi tűzfalon. Ha a hangerő nagy, alkalmazzon ideiglenes sebességkorlátokat a támadás lelassításához a vizsgálat során. Ne várja meg, amíg az automatizált eszközök felzárkóznak, amikor láthatja, hogy a támadás valós időben történik.
Másodszor, stabilizálja az identitást a megcélzott fiók jelszavának lejártával és más szolgáltatásokban való újrafelhasználás ellenőrzésével. Kompromisszum gyanúja esetén tiltsa le a fiókot, mert a hozzáférés megakadályozása felgyorsítja a jogsértés utáni tisztítást. Tekintse át a legutóbbi sikeres bejelentkezéseket az adott fiókhoz, és állapítsa meg, hogy a támadó már azelőtt belépett-e, hogy Ön észrevette volna.
Harmadszor, ellenőrizze a hozzáférési útvonalakat úgy, hogy megerősíti, hogy a hozzáféréshez RD Gateway vagy VPN szükséges, és távolítson el minden rosszindulatú port-átirányítást, amely újra kiteszi a 3389-et az internetre. Egyes támadások azért sikeresek, mert valaki hónapokkal ezelőtt megnyitott egy ideiglenes tűzfalszabályt, és elfelejtette bezárni. Negyedszer, keressen mellékhatásokat az RDP-munkamenetnaplók, az új helyi rendszergazdák, a szolgáltatástelepítések és az ütemezett feladatok áttekintésével. Az EDR telemetria segít elkapni a kitartó mozgásokat, amelyeket a támadók a rövid hozzáférési ablakok során hajtanak végre.
Végül hangolja az észleléseket úgy, hogy szabályokat ad hozzá a sikertelen bejelentkezési viharokhoz a privilegizált fiókokhoz, és indítsa el a jegyvásárlást a nyomon követéshez, hogy a leckék alapértelmezetté váljanak. Ezek a műveletek rövidre zárják az incidenseket, és pontosan bemutatják, hogyan lehet megakadályozni, hogy a brutális erőszakos támadások károkat okozzanak, miután az észlelés tüzet riaszt.
Fejlett RDP Brute Force Protection Strategies
Néhány extra lépés megtérül, különösen az internethez kapcsolódó munkaterhelések és az útközbeni adminisztrátorok esetén. Állítson be IP-küszöbértékeket az RD Gateway-n vagy a tűzfalon, és hangolja be az RDP sikertelen kézfogás-áradásának megfelelő IPS-aláírásokat. Ez megakadályozza, hogy a robotok gépsebességgel csapjanak le, és az SOC-riasztásoknak több kontextust biztosítanak az osztályozáshoz. A sebességkorlátozás a hálózat szélén megakadályozza, hogy az egyes támadók az összes hitelesítési erőforrást felhasználják. A nagy zsarolóprogram-csoportok, köztük a Black Basta és a RansomHub, az RDP brute-forcing-ot alkalmazták elsődleges hozzáférési módszerként.
A modern EDR munkamenet-metaadatokat ad hozzá, amelyek segítenek megkülönböztetni az adminisztrátori munkát a szakaszos támadásoktól, és támogatja a kapcsolódó gazdagépek közötti vadászatot. Ez a kontextus lerövidíti a várakozási időt, amikor a támadók oldalirányban mozognak a környezeten keresztül. A különbség az órákban és a napokban mért behatolás között gyakran abból adódik, hogy a megfelelő telemetria a megfelelő helyen van.
Kapcsolja ki a szükségtelen meghajtót, vágólapot és nyomtató-átirányítást a magas kockázatú gazdagépeken. A kényelmi funkciók letiltása súrlódást okoz a behatolók számára, akik megpróbálják kiszivárogtatni az adatokat vagy áthelyezni az eszközöket a környezetbe. Párosítsa a legkevesebb privilégium elvével és a helyi adminisztrátori elválasztással, így egy fiók kompromittálása nem ad át mindent. A nyers erővel végzett kísérletek leállítása könnyebb, ha az oldalirányú mozgás kúszássá lassul.
Az alapértelmezett 3389-es port-elzavarás nem állítja le a meghatározott vizsgálatokat, de csökkenti a csak az alapértelmezett portokat elérő robotok zaját. Ha módosítja, továbbra is párosítsa a VPN-sel, az engedélyezési listákkal és az MFA-val, mert az ismeretlenség önmagában nem működik a célzott támadásokkal szemben. Friss Windows-kiszolgálókon PowerShell vagy CMD segítségével erősítse meg a távoli asztal beállításait, az NLA-t és a tűzfalszabályokat egy emelt szintű terminálról. Az olyan feladatok, mint például az RDP parancssoron keresztüli engedélyezése, tiszta és reprodukálhatóak maradnak a szkriptek elkészítésekor és felülvizsgálásakor, így ezeket a lépéseket a változtatási folyamathoz kötik, így a sodródás korán észlelhető.
Az RDP-higiénia egy szélesebb távoli hozzáférési történet része. Ha a rendszereket böngészőkön vagy harmadik féltől származó alkalmazásokon keresztül kezeli, ellenőrizze azokat is –A Chrome távoliasztal-szolgáltatás biztonsági kockázataPéldául a 3389-es kitettségű naplózajt képes generálni. A megfelelő szerszámhigiénia megőrzi az RDP nyers erő elleni védelmét az egész területen.
Következtetés
Most egyértelmű, többrétegű válasza van arra, hogy „hogyan lehet megakadályozni az RDP brute force támadásait?” Tartsa alacsonyan az expozíciót VPN-sel vagy átjáróval, emelje fel a lécet MFA-, NLA- és zárolási szabályzatokkal, és gondosan figyelje a hitelesítési naplókat. Ezek a lépések gyakorlati brute force támadásmegelőzést jelentenek, amely valós környezetben, tényleges nyomás alatt működik, nem csak a dokumentációban.
Ha tiszta környezetre van szüksége ezeknek a vezérlőknek a teszteléséhez, vagy megfelelő biztonsággal rendelkező termelési lábra, akkor megteheti vásárolni RDP-t olyan szolgáltatóktól, amelyek magukban foglalják a gyors csatlakozást, a gyors I/O-t biztosító NVMe tárolást és a megfelelő felügyeleti infrastruktúrát. Válasszon olyan adatközpontokat, amelyek megfelelnek a csapat helyének, hogy a késleltetés alacsony maradjon, és gondoskodjon arról, hogy a szolgáltató támogassa a szükséges biztonsági vezérlőket.
Távoli asztalra van szüksége?
Megbízható, nagy teljesítményű RDP-kiszolgálók 99,95 üzemidővel. Útközben vigye magával asztali számítógépét az Egyesült Államok, Európa és Ázsia összes nagyvárosába.
Szerezz be egy RDP szervert
