Az Asztal távolról-protokoll a legfőbb támadási cél, mert a nyitott 3389-es port, a gyenge jelszavak és a zajos bejelentkezési telemetria könnyűvé teszik az életét a botoknak és amatőr támadóknak. Ha arra vagy kíváncsi, hogyan lehet megelőzni az RDP brute force támadásokat, a rövid válasz az exponáltság csökkentése, az autentikáció megerősítése és a naplók állandó figyelése. Rejtse el a 3389-es portot az VPN vagy RD Gateway mögé, kényszerítsen ki MFA-t minden hozzáférési ponton, engedélyezze a Network Level Authentication szolgáltatást, állítson be fióklezárási szabályzatokat 5-10 próbálkozás között 15-30 perces időtartammal, és folyamatosan figyelje az Event ID 4625 csúcsokat. A támadók gyorsabban végeznek szkennelést, találgatást és laterális mozgást évről évre, ezért a védelmi stratégiája konkrét kontrollokra van szüksége, nem pedig jó szándékra.
TL;DR: Gyors Védelem Ellenőrzőlista
- Rejtse el a 3389-es portot VPN vagy RD Gateway mögött a nyilvános kitettség kiküszöbölése érdekében
- Többtényezős hitelesítés megkövetelése az összes RDP hozzáférési ponton
- Engedélyezze a Network Level Authentication (NLA) funkciót az munkamenet előtti ellenőrzéshez
- Állítsa be a fiók zárolását: 5-10 érvénytelen kísérlet, 15-30 perces időtartam, 15 perces visszaállítás
- Folyamatosan figyelje a Windows Event ID-kat: 4625 (sikertelen) és 4624 (sikeres)
- Az IP engedélyezési lista és a geoblokkoljátok használatával korlátozza a forráshozzáférést
- Erős jelszóházirendet alkalmazzon minimum 14 karakteres hosszúsággal
Miért sikersek az RDP erőszakos támadások
Az RDP megnyitása vonzó, mert tömeges szkenelésekből percek alatt megtalálható, gyakran helyi rendszergazdai jogokkal fut, és egyetlen gyenge jelszó ransomware-hez vezethet. A 3389-es port nyitva a nyilvános interneten egy plakátként ott reklámozza a hozzáférést, és az automatizált eszközöknek nincs szükségük szaktudásra ahhoz, hogy ismételten támadják a bejelentkezési képernyőket. A jelszó-alapú támadások drámaian növekedtek, már csak Microsoft 74%-os növekedést jelent 2021-ből 2022-be. Ez az oka annak, hogy bármely brute force támadások megelőzésének útmutatója mindig azzal kezdődik, hogy nem teszi ki a 3389-et a nyilvános internetre, majd rétegeket ad hozzá, mint az MFA és a lezárási szabályok, mielőtt valaki a bejelentkezési képernyőhöz érne.
Az olyan hálózatok, mint az FDN3 2025 közepén végrehajtott legújabb kampányai megmutatták, hogy az nagy léptékű jelszó-szóródás mennyire gyorsan tudja célozni az SSL VPN és RDP eszközöket több ezer rendszer között. A támadások akkor érnek csúcspontjára, amikor a biztonsági csapatok a legkevésbé felkészültek, és a minta azért ismétlődik, mert az alapok nem változnak. A sikertelen bejelentkezések hirtelen csúcsai, az ismételt kísérletek számos felhasználónév alatt, és az országokat ugrálgatva IP-címek a jellegzetes jelek, de amikor azok megfigyelés nélkül észreveszi, a sérülés gyakran már megkezdődött. Az értéket magasan tartja: Verizon 2025-ös adatsértési nyomozások jelentése a ransomware-t az összes sérülés 44%-ában találta meg, az RDP továbbra is az ezek támadások elsőszámú belépési pontja marad.
A modern végpont-detektálás összekapcsolhatja a munkamenet-szintű RDP adatokat, így az utána járók hamarabb észreveszik a spray-and-pray mintákat. De a megelőzés jobb, mint a detektálás, ezért a következő rész az olyan kontrollokra összpontosít, amelyek megállítják a támadásokat, mielőtt incidenssé válnának.
Az RDP brute force támadások megelőzése: alapvető védelmi módszerek
A leggyorsabb előrehaladás a hálózati exponáltság csökkentéséből, az erősebb bejelentkezési kapukból és a beépített Windows szabályzatokból származik. Az RDP brute force támadások megelőzésének elsajátítása azt jelenti, hogy az RDP brute force védelmet implementálja, amely az összes ilyen réteget kombinálja.
Zárja be először a nyitott ajtót: Távolítsa el a nyilvános 3389-et
Rejtse el az RDP-t az VPN mögé, vagy helyezzen telepítsen Remote Desktop Gateway-t a 443-as porton TLS titkosítással. Egy rövid engedélyezési lista az ismert IP-khez, valamint az átjáró jobban működik, mint a nyers port-továbbítás. Ez a lépés drasztikusan csökkenti a zajt és a jelszó-találgatási mennyiséget. Konfigurálja a perimeter tűzfalat az internetről a 3389-es port közvetlen hozzáférésének blokkolására, majd irányítsa az összes legitim forgalmat a biztonságos átjárón keresztül. A támadók nem tudják brute force-ozni azt, amit nem érhetnek el.
RDP-hez a Multi-Factor Authentication bekapcsolása
Nyomj-spam-rezisztens MFA, például alkalmazás-értesítések számegyeztetéssel vagy hardverkulcsokkal, blokkolhat a legtöbb csak jelszavas behatolást. Adjon hozzá MFA-t az átjáró szintjén vagy egy RDP szolgáltatón keresztül szoros könyvtár-integrációval. A Microsoft kutatásai szerint a kompromittált fiókok több mint 99%-ánál nincs engedélyezve az MFA, amely mindent elmondanak az általad szükséges kontrollról. Helyezze telepítsen az RD Gateway-n keresztül Network Policy Server integrációval az Azure AD-val, vagy használjon harmadik féltől származó megoldásokat, amelyek támogatják a TOTP-t és a hardvertoken-eket.
Hálózati szintű hitelesítés (NLA) megkövetelése
Az NLA a teljes asztal betöltése előtt kényszeríti a hitelesítést, csökkentve az erőforrás-veszteséget a sikertelen munkamenetekből és csökkentve a támadási felületet. Párosítsa az NLA-t a TLS-sel a titkosított hitelesítési adatok továbbításához. Ez a hitelesítést a kapcsolat folyamatának legkezdetéhez helyezi át a Credential Security Support Provider (CredSSP) használatával. A lektorált kutatások szerint az NLA az RDP-késleltetést aktív támadások során 48%-kal csökkentheti azáltal, hogy megakadályozza, hogy a hitelesítetlen munkamenetek felhasználják a kiszolgáló erőforrásait. Engedélyezze a Rendszer tulajdonságai között, a Távoli asztal lapon az "Allow connections only from computers running Network Level Authentication" (Csak olyan számítógépekről engedélyezze a kapcsolatokat, amelyek Network Level Authentication alkalmazást futtatnak) lehetőség kiválasztásával.
Fiók zároltság-házirendek alkalmazása
Állítson be ésszerű küszöbértékeket és lezárási ablakokat, hogy a botok ne tudjanak örökké találgatni. Ezek az RDP brute force támadások megelőzésének klasszikus módszerei, és továbbra is működnek, ha helyesen vannak konfigurálva. Konfigurálja a helyi biztonsági szabályzaton keresztül (secpol.msc) a fiók szabályzatok alatt ezekkel a paraméterekkel: 5-10 érvénytelen kísérlet küszöbértéke, 15-30 perces lezárási időtartam, és számlálóvisszaállítás 15 perc után. Ezek az értékek több 2025-ös biztonsági alapvonalból és az iparági keretekből származnak, beleértve az Windows biztonsági ajánlásokat. Egyensúlyozzon a biztonság és az ügyfélszolgálat terhe között, mert minden zárolat jegy egy támogatási jegyhez vezet.
Engedélyezési listák és geo-kerítés használata
Korlátozzuk, hogy ki is kopogtathat az ajtón. Az ország-blokkok, az ASN-blokkok és a rövid statikus engedélyezési listák a forgalmat szinte nullára csökkentik sok kis iroda beállításában. Konfigurálja ezeket a szabályokat a tűzfal szintjén, blokkolva az egész földrajzi régiókat, amelyekkel soha nem folytat üzletet, és korlátozva a hozzáférést a távoli munkavállalók számára meghatározott IP-tartományokra. Egyes környezetek ezt tovább viszik az idő-alapú hozzáférés kontroll alkalmazásával, amely csak az RDP-t engedélyezi munkaidőben.
Jelszavak erősítése és rotációja
Használjon hosszú passphrase-eket, egyedi titkokat rendszergazdánként, és jelszókezelőt. Ez az RDP brute force alapvető védelme, mégis túl sok sérülés még mindig itt kezdődik. Állítsa a minimális jelszó hosszát 14 karakterre összetettségi követelmények kikényszerítésével a csoportszabályzaton keresztül. Minél hosszabb a jelszó, annál nehezebb az automatizált eszközök számára brute force módszerekkel történő feltörésé. Kerülje a jelszó újrafelhasználását a különböző rendszergazdai fiókok között, mert egy kompromittált hitelesítőadat az egész infrastruktúrán átterjedhet.
Windows és RDP Stack rendszeres frissítése
Javítsa ki az ismert RDP hibákat és tekintse le a frissítéseket a szerverek és kliensek között. Régi sebezhetőségek még mindig megjelennek a gyakorlatban, és a támadók az éppen nem javított rendszereket támadják meg először, mert könnyebbek. Implementáljon egy közös javítási ütemtervet az Windows Update, a WSUS vagy az Intune alapvonalakkal, hogy az RDP infrastruktúra az ismert kihasználatok ellen naprakész maradjon.
Sikertelen bejelentkezések gyűjtése és riasztása
Továbbítsa az Windows biztonsági naplókat egy SIEM-nek, figyelje meg az Event ID-ket 4625 és 4624, és riasztson az abnormális mennyiségekről, a forrás földrajzáról és a szolgáltatási fiók találatairól. A brute force támadások megelőzésének megtanulása mindig magában foglalja a naplók szem előtt tartását, mivel a reaktív detektálás korlátozza a károkat, ha a megelőző kontrollok meghibásodnak. Konfigurálja a riasztásokat több mint 10 sikertelen kísérlet után egyetlen IP-ből egy órán belül, és figyelje meg a Type 10 (távoli interaktív) és Type 3 (hálózat) bejelentkezési mintákat, amelyek az RDP tevékenységet jelzik.
Ezek mindegyike csökkenti a kockázatot. Együtt az RDP brute force támadások megelőzésének módszereit alkotják, amelyek valós nyomás alatt megállnak.
| Módszer | Megvalósítási Bonyolultság | Hol lehet beállítani | Elsődleges Előny |
| VPN/RD Gateway | Közepes | Tűzfal vagy RD Gateway (443-as port) | Kiküszöböli a 3389-es port nyilvános kitettségét |
| Többfaktoros hitelesítés | Közepes | Átjáró, identitásszolgáltató vagy RDP bővítmény | Leállítja a csak jelszóval történő bejelentkezési kísérleteket |
| Hálózati szintű hitelesítés | Alacsony | Rendszertulajdonságok → Távoli → NLA jelölőnégyzet | Hitelesítés a munkamenet létrehozása előtt |
| Fiókzárolási Házirend | Alacsony | secpol.msc → Account Policies → Account Lockout | Korlátlan jelszóguessing megakadályozása |
| Eseménynapló Figyelés | Közepes | SIEM/EDR vagy Windows Event Viewer | Korai támadásminta-felismerés |
| IP engedélyezési lista/Geo-Fence | Alacsony | Tűzfal szabályok vagy IPS/Geo irányelvek | Korlátozza a kapcsolatforrás hozzáférését |
| Erős jelszóházirend | Alacsony | Tartomány GPO vagy helyi biztonsági házirend | Növeli a brute force nehézségét |
| Rendszeres Frissítés | Alacsony | Windows Update, WSUS vagy Intune | Bezárja az ismert RDP biztonsági réseket |
Az aktív RDP brute force támadások felismerése
A kontrollok előtt tartsa szemmel az alapokat. Figyelje meg az Event ID 4625-öt az Windows biztonsági naplóban a sikertelen bejelentkezési kísérletekről, mert a csúcsok aktív támadásokat jelzik. Amikor több tucatnyi vagy száz 4625 eseményt lát egy forráskódból percek alatt, egy valós idejű brute force próbálkozást nézel. A modern detektálás az olyan Type 3 bejelentkezéseket keresi (hálózati autentikáció az NLA-n keresztül), amelyet Type 10 bejelentkezések követnek (távoli interaktív), mivel a hitelesítési folyamat megváltozott a Network Level Authentication elfogadásával.
Ügyeljen a sikertelen bejelentkezési mintákra több felhasználónév között egyetlen IP-ből, amely jelszó-szóródást jelez, nem pedig célzott támadásokat. A földrajzi inkonzisztenciák is számítanak. Ha a felhasználók Észak-Amerikában dolgoznak, de bejelentkezési kísérleteket lát Kelet-Európából vagy Ázsiából, ez egy közvetlen vizsgálatot megérdemel. Egyes támadók lakóhelyű proxykat használnak az igazi helyük elrejtésére, de a volumen- és időzítési minták még mindig felfedik a jelenlétüket.
Továbbítsa ezeket az eseményeket egy központosított naplózási rendszerbe vagy SIEM-nek, amely korrelálhatja a tevékenységet több szerver között. Állítsa be a riasztási küszöbértékeket a környezet normális hitelesítési mintái alapján, mert az, ami egy nagy vállalat számára normálisnak tűnik, gyanúsnak lehet egy kis vállalkozás számára. A cél az, hogy megtanulja, hogyan lehet megállítani a brute force támadásokat és mintáikat, mielőtt sikerre jutnának, nem csak azután dokumentálja, hogy kár történt.
Az RDP erőszakos támadás leállítása folyamatban lévő támadás során
Ha a monitorozás riasztást vált ki ismételt sikertelen bejelentkezésekről vagy hitelesítési támadásokról, kövesd az alábbi lépéseket sorban. Elsőként zárd le a forrást az IP-cím vagy tartomány tűzfalon történő blokkolásával. Ha nagy a forgalom, alkalmaz ideiglenes sebességhatárokra a támadás lassítása közben nyomozol. Ne várd meg, hogy az automatizált eszközök utolérjenek, ha valós időben látod az támadást.
Másodszor, stabilizáld az identitást az érintett fiók jelszavának lejárása és más szolgáltatásokon történő újrahasználat ellenőrzésével. Tiltsd le a fiókot, ha gyanúsz az átalakítást, mert megelőzni könnyebb, mint a biztonsági rés utána takarítani. Tekintsd át az adott fiók legutóbbi sikeres bejelentkezéseit, hogy megállapítsd, az támadó már előbb bejutott-e, mielőtt észrevetted volna.
Harmadszor, ellenőrizd a hozzáférési útvonalakat azáltal, hogy megerősítész, az RD Gateway vagy VPN szükséges-e a hozzáféréshez, és távolítsd el az összes jogosulatlan port-forwarding-ot, amely újból felfedi a 3389-es portot az internetre. Néhány támadás azért sikeres, mert valaki hónapokkal ezelőtt megnyitott egy ideiglenes tűzfalszabályt, és elfelejtette bezárni. Negyedszer, keress mellékhatásokat az RDP munkamenet-naplók, új helyi adminisztrátorok, szolgáltatás-telepítések és ütemezett feladatok áttekintésével. Az EDR telemetria segít az olyan persistencia-lépések megragadásában, amelyeket az támadók a rövid hozzáférési ablakok alatt telepítenek.
Végül finomítsd az észleléseket azáltal, hogy szabályokat adsz hozzá a kiemelt jogokkal rendelkező fiókokra vonatkozó sikertelen bejelentkezési viharokhoz, és jegyindítást váltasz ki a követéshez, hogy a tanulságok alapértelmezetté váljanak. Ezek a lépések rövidek tartanak az incidenseket és pontosan megmutatják, hogyan lehet megelőzni, hogy a brute force támadások kárt okozzanak az észlelési riasztások kiváltása után.
Fejlett RDP Brute Force elleni védelmi stratégiák
Néhány további lépés megtérül, különösen az internetre néző munkaterhelések és út közben lévő adminisztrátorok számára. Állítson be fiók szerinti IP-küszöbértékeket az RD Gateway-en vagy tűzfalon, és hangoljon IPS-aláírásokat, amelyek megfelelnek az RDP sikertelen kézfogás-áradatoknak. Ez megakadályozza, hogy a botok gépsebesség mellett üss meg téged, és több kontextust ad az SOC riasztásoknak a szortírozáshoz. A hálózati peremhálózaton történő sebességhatárolás megakadályozza az egyes támadókat abban, hogy az összes hitelesítési erőforrásod felhasználják. A nagy ransomware-csoportok, köztük a Black Basta és a RansomHub, az RDP brute-forcing-ot elsődleges kezdeti hozzáférési módszerként fogadták el.
A modern EDR olyan munkamenet-metaadatokat ad hozzá, amely segít megkülönböztetni az admin munka és a nyilvántartott támadások közötti különbséget, támogatja a kapcsolódó gazdagépek közötti vadászatot. Ez a kontextus rövidítette az otthoni időt, amikor az támadók laterálisan mozognak a környezeteden keresztül. Az az különbség, hogy egy behatolást órák vagy napok alatt fog fel, gyakran attól függ, hogy megfelelő telemetria van-e a megfelelő helyeken.
Kapcsolj ki szükségtelen meghajtó-, vágólap- és nyomtató-átirányítást a nagy kockázatú gazdagépeken. A kényelmi funkciók letiltása megnehezíti az behatolók számára az adatok kiszöktetésére vagy az eszközök bevezetésére a környezetedbe. Párosítsd a legkisebb jogok elveivel és a helyi adminisztrátor elválasztásával, így egy fiók megsértése nem adja meg az egészet. A brute-force kísérleteket könnyebb megállítani, ha a laterális mozgás egy csigavonalra lassul.
A port-elhomályosítás az alapértelmezett 3389 módosításával nem állít meg elszánt vizsgálatokat, de csökkenti a zajt az alapértelmezett portokat csak találó botkokból. Ha módosítod, még akkor is párosítsd az VPN, engedélyezési listákkal és MFA-vel, mert az elhomályosítás egyedül megbukik a célzott támadások ellen. Az új Windows szervereken erősített végből a Remote Desktop beállításait, az NLA-t és a tűzfal szabályokat erősített PowerShell vagy CMD terminálból erősített PowerShell vagy CMD terminálból. Az olyan feladatok, mint az RDP parancssoron keresztüli engedélyezése marad tiszta és ismételhető parancsfájlok és felülvizsgálat keretében, összekapcsolva ezeket a lépéseket a módosítási folyamatra, így az eltérés korai megfogható.
Az RDP higiénia egy szélesebb távoli hozzáférési stratégia része. Ha böngészőkön vagy harmadik féltől származó alkalmazásokon keresztül kezel rendszereket, akkor ezeket is vizsgálja meg—Chrome Remote Desktop biztonsági kockázat, például ugyanolyan nagy naplózás zaja lehet, mint a kitett 3389. Az RDP brute force védelme az eszközök közötti higiéniájával erős marad az összes tábla között.
Következtetés
Most már világos, réteges válaszod van arra, hogyan lehet megelőzni az RDP brute force támadásokat. Tartsd az expozíciót alacsonynak az VPN vagy gateway-jével, emeld meg a sávot az MFA, NLA és lockout házirendre, és kövesd szorosan a hitelesítési naplókat. Ezek a lépések gyakorlati brute force támadás megelőzést alkotnak, amely valós környezetekben működik tényleges nyomás alatt, nem csak a dokumentációban.
Ha tiszta környezetre van szükséged ezeknek a vezérlőknek a teszteléséhez, vagy termelési támogató megfelelő biztonsággal, tudsz vásárolj RDP olyan szolgáltatóktól, amelyek gyors kapcsolatot, NVMe tárolót az I/O gyors feldolgozásához és megfelelő monitorozási infrastruktúrát biztosítanak. Válasszon az Ön csapata helyéhez közeli adatközpontokat, hogy az késleltetés alacsony maradjon, és ellenőrizze, hogy a szolgáltató támogatja a szükséges biztonsági vezérléseket.
Szükséged van egy a Remote Desktop szerverre?
Megbízható, nagy teljesítményű RDP szerverek 99,95%-os üzemidővel. Vidd magaddal az asztalod az Egyesült Államok, Európa és Ázsia nagyvárosainak mindegyikébe.
Szerezz egy RDP szerver
