Защита от брутфорс за RDP: как да блокирате атаки и да поддържате работещ отдалечен достъп

Как изглежда атака с брутфорс на RDP в практика

Обикновено забелязвате RDP брутфорс по същия начин: повторни неуспешни входове срещу Windows сървър, който е достъпен от интернет, често последвани от заключвания на акаунти, шумни записи в защитата и притеснени потребители, които не могат да се свържат. Много от тези атаки не са "насочени" в човешкия смисъл. RDP, изложен на интернет, постоянно се сканира, а автоматизирани инструменти ще продължат да опитват потребителски имена и пароли, докато не намерят слаба идентификация или не създадат смущение.

В MITRE ATT&CK това съответства на Техника T1110 (Брутфорс) което включва свързани модели като познаване на пароли и разпръскване на пароли. В термини на практическите операции, атаките с брутфорс на RDP са повторни опити за отдалечен вход (често автоматизирани), които опитват много пароли или много акаунти срещу изложена RDP услуга, докато не бъдат намерени идентификационни данни или акаунтите не бъдат нарушени.

Типичните симптоми включват:

• Неочаквано увеличение на неуспешните влизания в журналите за сигурност на Windows
• Много опити срещу общи имена на акаунти (Администратор, админ, тест, имена в стил услуга)
• Неуспехи, идващи от много външни IP адреси, понякога често сменящи се.
• Потребителски оплаквания относно заключвания на акаунти или бавна производителност при влизане
• По-високо натоварване на CPU или удостоверяване по време на изблици (услугите, свързани с LSASS и RDP, могат да бъдат засегнати)

Помага да назовете това, което виждате. "Брутфорс" обикновено означава много пароли срещу една сметка. "Паролно пръскане" означава няколко общи пароли срещу много сметки, за да се избегнат праговете за заключване. "Напълване на удостоверения" означава тестване на имена на потребители и пароли, откраднати от друго място. Всички три се появяват като повторни неуспехи при отдалечен вход и заслужават същия първи отговор: намалете експозицията и забавете опитите.

Бърза диагностика: потвърдете, че е RDP брутфорс (а не неправилна конфигурация)

Преди да промените политиките и да рискувате да заключите легитимни потребители, потвърдете какво не работи, откъде и в какъв обем. Собственото ръководство за отстраняване на проблеми на Microsoft за Azure VMs под атака с груба сила използва същата отправна точка дори извън Azure: търсете високи обеми на неуспешни входове и ги свързвайте с външни IP адреси.

• Проверете журналите за сигурност на Windows за изблик на неуспешни входове по време, когато потребителите съобщават за проблеми. Идентификатор на събитие 4625 е често срещан индикатор за преглед.
• Търсете модели: повторени имена на акаунти, много различни акаунти или същият източник на IP, който удря множество потребители.
• Свържете неуспешните влизания с успешните логини скоро след това. Успешните логини често се записват като Събитие ID 4624, в зависимост от вашата политика за одит.
• Потвърдете експозицията: TCP 3389 (или вашият персонализиран RDP порт) достъпен ли е от интернет чрез правило на защитната стена, NAT, пренасочване на порт или облачна защитна група?
• Проверете дали не виждате "фалшиви аларми" от легитимни източници (RDS шлюз, VPN концентратор, инструмент за дистанционно управление или вътрешен скенер), които изглеждат като повторни неуспехи поради запазена грешна парола.

Ако видите Идентификатор на събитие 4625 в голям обем, от много външни IP адреси за кратки периоди, вероятно се сблъсквате с активно познаване или разпръскване, а не с един потребител, който въвежда грешна парола.

Спиране на кървенето за 15 до 30 минути (действия за ограничаване, които работят)

Когато трафикът с брутфорс е активен, приоритетът е да се възстанови контролът и да се запази безопасен администраторски път. Най-бързият начин за намаляване на риска от брутфорс на RDP е да се спре директното излагане на RDP в интернет и да се ограничи входящият достъп до известен набор от доверени IP адреси или защитен достъп (портал, VPN или бастион). Насоки на Microsoft Learn за инциденти в Azure подкрепя същия подход за ограничаване: първо ограничава входящия достъп, след това подобрява пътя за достъп.

1. Създайте безопасен начин за връщане, преди да промените нещо. Ако вече сте заключени, използвайте вашия извънканален достъп (конзола на хипервизора, iLO/iDRAC, облачна серийна конзола, бастион или VPN), за да можете все още да управлявате хоста след промените в защитната стена.
2. Премахнете директната интернет експозиция на RDP. Деактивирайте публичния пренос на порт или затегнете входящите правила, така че RDP да не е отворен за "всякакъв източник". Ако не можете да го премахнете веднага, ограничете входящия достъп до кратък списък с разрешени (вашите офис IP адреси, вашата управленска мрежа, вашите фиксирани изходящи IP адреси на MSP).
3. На Azure или подобни облаци, незабавно стегнете периметъра. Ограничете входящото правило във вашия NSG или еквивалент. Ако имате опция, преминете към одобрени от Microsoft модели като Azure Bastion, VPN Gateway или концепции за достъп в точното време, за да намалите времевите прозорци на експозиция.
4. Потвърдете Мрежова ниво аутентикация (NLA) е активиран. NLA изисква удостоверяване преди установяване на пълна сесия на отдалечен работен плот, което намалява излагането на някои рискове преди удостоверяване и намалява ненужната употреба на ресурси по време на опити за отгатване.
5. Прегледайте кой може да влезе чрез RDP. Проверете членството на местните администратори и потребителите на Remote Desktop и премахнете всички широки групи, които не се нуждаят от интерактивно дистанционно влизане.
6. Защитете привилегированите акаунти веднага. Ако подозирате, че паролата може да е слаба или изтекла, сменете удостоверенията за привилегировани акаунти по контролиран начин и проверете за неочаквани нови локални администратори или новоактивирани акаунти.
7. Стабилизирайте достъпа за реални потребители. Ако потребителите са блокирани, решението обикновено е намаляване на експозицията и по-добро регулиране, а не понижаване на сигурността. Избягвайте бързите промени в блокировките, които могат да създадат по-широко прекъсване.

След като сте ограничили трафика, можете безопасно да направите дългосрочни промени. Ако искате подход с помощта на инструмент след като възстановите контрола, TSplus Advanced Security може да помогне за оперативализиране на блокиране на брутфорс и ограничения на достъпа на Windows сървъри, но ограничаването все още започва с намаляване на експозицията.

Намалете атакуващата повърхност: архитектурите за достъп, които намаляват риска от брутова атака

Ако вземете само един урок от повторните атаки с RDP, нека бъде този: архитектурата побеждава настройките. Поставянето на контролирана входна точка пред хостовете на сесии променя какво могат да достигнат нападателите и какво можете да наложите. Ръководство на Microsoft за безопасност относно приемането на отдалечен работен плот подчертава намаляването на директното излагане, и Документи на Microsoft Learn за RD Gateway като начин за осигуряване на сигурен достъп чрез TLS с правилна конфигурация на сертификата.

Най-надеждният начин за намаляване на опитите за брутфорс атаки на RDP е да се избегне директното излагане на RDP и вместо това да се изисква достъп чрез контролирана входна точка, като RD Gateway VPN или бастион, идеално с силна автентикация.

Шаблон за достъп	Излагане и риск от брутфорс	Оперативна сложност	Когато е подходящо	Бележки
Директен RDP от интернетa	Най-висок риск и най-висок шум. Постоянно сканиране и предположение.	Нисък за настройка, висок за защита.	Само за краткосрочен достъп в извънредни ситуации с строги ограничения.	Промяната на порта може да намали опортюнистичното сканиране, но сама по себе си не осигурява силна защита.
Директен RDP с IP разрешаване	По-малко излагане, ако списъкът с разрешени е малък и стабилен.	Среден. Изисква поддържане на разрешителни списъци и обработка на промени в пътуванията/ISP.	Малки администраторски екипи с фиксирани офис IP адреси или фиксирани MSP изходи.	Най-добре работи, когато е в комбинация с надеждни контролни механизми за удостоверяване и мониторинг.
RD Gateway пред RDS/RDP	Намалява директната експозиция на хостове на сесии и тунели през TLS.	Среден до висок. Сертификати, наличност и проектиране на политики имат значение.	Windows-центрирани среди, които вече използват RDS модели.	Ръководството за планиране на RDS на Microsoft Learn обхваща изискванията за шлюз. Лицензирането на Microsoft остава ваша отговорност и трябва да бъде валидирано с Microsoft или квалифициран партньор по лицензиране.
VPN за дистанционен достъп	Премахва RDP от публично излагане, когато е направено правилно.	Среден. Разгръщането на клиента, маршрутизацията и интеграцията на MFA варират.	Администратори и служители, които се нуждаят от по-широк достъп до мрежата, а не само до едно приложение.	Ограничете VPN потребителите до това, от което се нуждаят, след което все пак осигурете RDP вътре в мрежата.
Бастион или скок хост	Силно намаляване на експозицията. RDP е достъпен само от контекста на бастиона.	Среден. Нуждае се от силен контрол на самия бастион.	Сървъри, хоствани в облака, регулирани среди и достъп само за администратори.	Често се съчетава добре с прозорци за достъп в точното време и условни контроли в зависимост от платформата.
Публикувайте приложения/настолни компютри чрез уеб портал (HTTPS)	Може да намали или елиминира нуждата от публично излагане на суров RDP, в зависимост от дизайна.	Нисък до среден. Фокусира се върху предоставянето на това, от което потребителите се нуждаят, а не на пълен достъп до мрежата.	МСП, предоставящи набор от приложения за Windows или отдалечени работни станции на потребители и партньори.	Ако целта ви е да предоставите на потребителите достъп до Windows приложения, без да оставяте необработен RDP изложен в интернет, TSplus Remote Access си заслужава да бъде оценен за публикуване на приложения и работен плот чрез защитен уеб портал.

Ако трябва да запазите достъп до RDP, третирайте го като защитен администраторски интерфейс, а не като обща точка за достъп до отдалечена работа. Ако се насочвате към приложение и настолна публикация чрез защитен уеб портал Бързо ръководство може да ви помогне да започнете. Вашата сигурност значително се подобрява, когато повечето потребители изобщо не се свързват с TCP 3389.

Укрепване на удостоверяването за RDP без блокиране на реални потребители

Добрата защита срещу брутфорс атаки е баланс между забавянето на нападателите и поддържането на надежден достъп за легитимни потребители. Ефективната защита срещу брутфорс атаки комбинира NLA и силни удостоверения с политика за ограничаване на скоростта или блокиране, която забавя повторните неуспехи, като същевременно е настроена да избягва отказ на услуга, предизвикан от нападатели. NIST SP 800-63B обсъжда ограничаването и обработването на повторни неуспешни опити за удостоверяване като основен контрол, тъй като намалява възможността за бързо познаване.

Започнете с NLA и хигиена на акаунта

NLA е основа за RDP, тъй като изисква удостоверяване преди сесията да бъде напълно установена. Той няма да спре атаките с пароли сам по себе си, но намалява излагането и загубените ресурси в сравнение с позволяването на неидентифицирани сесии да напредват по-нататък.

След това се заемете с основите на идентичността, от които се храни брутфорс: премахнете ненужните администраторски права, наложете принципа на най-малките права и почистете остарелите акаунти. Ако имате очевидни или споделени локални администраторски акаунти, сменяйте ги, ограничавайте къде могат да влизат и обмислете преименуването или деактивирането на акаунти, които не се нуждаят от интерактивно влизане. Дръжте потребителите на Remote Desktop и локалните администратори стегнати, особено на сървъри, които хостват чувствителни данни.

Заключване и ограничаване: защо настройването е важно

Настройките на политиката за заключване на акаунти в Windows обикновено се използват за намаляване на успеха на атаки с груба сила, и Microsoft Learn документира ключовите термини праг на заключване, продължителност на заключване и брояч за нулиране. Компромисът е наличността. Нападателите могат умишлено да задействат заключвания за реални потребители (или вашия помощен екип и администратори), ако прагът ви е твърде нисък и експозицията ви е широка.

Използвайте тези фактори за вземане на решения, когато настройвате заключване и ограничаване:

• Колко изложена е услугата? Ако RDP е достъпен от целия интернет, блокировките е по-вероятно да бъдат използвани за атаки. Първо намалете експозицията, след това настройте блокировката.
• Как потребителите се удостоверяват? Портал, VPN или бастион могат да намалят необходимостта от агресивни блокировки на хост сесията, тъй като по-малко неизвестни източници могат да достигнат до него.
• Колко скъпо е заключването? Ако заключването води до прекъсване за екипа за поддръжка на производството, може да предпочетете ограничаване на скоростта и забрани на базата на IP вместо строги заключвания на акаунти.
• Как се държат споделените акаунти? Споделените удостоверения умножават въздействието на блокировките. Премахнете споделените акаунти, където е възможно.

Специален случай: вграден локален администратор

Много среди все още имат вградена локална администраторска сметка на сървъри и работни станции, а поведението при заключване е често източник на объркване. Microsoft Support KB5020282 предоставя контекст относно заключването на акаунти за вградени локални администратори, включително как заключването може да се прилага за мрежови входове като RDP в зависимост от конфигурацията и версията. Не предполагайте, че вграденият администратор ще се държи по същия начин като нормален потребителски акаунт и тествайте по контролиран начин, преди да разчитате на поведението на заключване като основен контрол.

За екипи, които искат практичен слой за укрепване, TSplus Advanced Security включва защита от брутфорс, проектирана да спре повторни неразрешени опити на ниво хост. Тя трябва да допълва, а не да замества, силните политики за удостоверяване на Windows и внимателната настройка на заключването.

Контрол на мрежата, който помага (и тези, които хората надценяват)

Мрежовите контроли често са най-бързите подобрения, които можете да направите, но те имат различна реална стойност. Насоките на Microsoft за проблеми с брутфорс при RDP (включително в сценарии в Azure) последователно приоритизират ограничаването на входящата свързаност пред козметичните промени.

Висока стойност: IP разрешаване. Ако можете да ограничите RDP до известни адреси (IP адреси за изход от офиса, VPN диапазони, подсистеми на бастион, фиксирани IP адреси на MSP), вие незабавно премахвате повечето трафик от брутфорс. Това също прави вашето наблюдение по-смислено, тъй като всички останали неуспехи идват от по-малък набор източници.

Полезно с внимание: географски и основани на репутация контроли. Гео блокирането и репутацията на IP адресите могат да намалят шума, но те също така могат да блокират легитимни потребители, които пътуват, свързват се от роуминг мрежи или преминават през CGNAT. Нападателите също могат да използват VPN и проксита, така че третирайте гео контролите като средство за намаляване на риска, а не като гаранция.

Прекалено оценено: промяна на RDP порта. IP allowlisting значително намалява излагането на RDP на атаки с брутфорс, докато смяната на RDP порта основно намалява възможностите за опортюнистично сканиране и не трябва да се разчита като основна защита. Смяната на порта може да спечели време по време на инцидент, но не решава проблема с атаките с пароли от решителен актьор, който може да открие порта.

В среди, където екипите искат по-просто прилагане, отколкото поддържането на сложни набори от правила ръчно, TSplus Advanced Security добавя географска защита и контрол на базата на IP което може да се прилага последователно на сървъри.

Наблюдение и откриване: какво да записвате, на какво да алармирате и какво да разследвате

Брутфорсът е един от онези проблеми, които изглеждат очевидни в ретроспекция и скъпи, когато ги забележите късно. Целта на мониторинга не е да се броят всички неуспешни входове завинаги. Тя е да се открият аномални модели рано и да се проучи дали тези опити някога са се превърнали в успешен вход.

Наблюдавайте за аномални пикове в неуспешните влизания (често Събитие ID 4625) и сигнализирайте за модели, които показват опити за разпространение на пароли или успешно последващо влизане след повторни неуспехи. Ръководството на Microsoft за отстраняване на проблеми с брутфорс подчертава същия артефакт (4625), тъй като той е практическа отправна точка, когато администраторите се опитват да възстановят достъпа и да разберат обхвата.

За ежедневните операции се фокусирайте върху три въпроса за разследване:

Трафикът ли е външен или вътрешен? Външните IP адреси, които удрят публична интерфейсна точка, сочат към проблеми с експозицията. Вътрешните IP адреси могат да показват компрометирана крайна точка или неправилно конфигуриран акаунт за услуги.

Един акаунт ли е или много? Един акаунт предполагае брутална атака. Много акаунти с ниски опити всеки предполагаят разпръскване на пароли.

Успя ли някоя сметка след избухването? Успешно влизане малко след повторни неуспехи е корелация с висок приоритет за разследване, особено за привилегировани акаунти.

Ако все още не централизирате Windows журнали, обмислете Windows Event Forwarding или вашия съществуващ SIEM, за да можете да получавате известия на множество сървъри последователно. За екипи, които се нуждаят от простота известия и историческа видимост по време на пикове на атаки , TSplus Сървърно наблюдение може да ви помогне да проследите здравето и наличността на сървъра заедно с вашето регистриране на сигурността.

Автоматизирани подходи за блокиране (и как да се избегнат фалшиви положителни резултати)

Ръчният отговор не е мащабируем, когато вашите хостове са достъпни в интернет. Автоматизацията е там, където много екипи възстановяват контрола, стига да е проектирана да бъде обратима и да защитава легитимния достъп. Най-сигурната автоматизация блокира повторни неуспешни влизания с времеви забрани и ясни разрешителни списъци, и трябва да отчита споделени IP адреси, за да избегне блокирането на легитимни потребители.

Как изглежда автоматизацията в практиката

Общите подходи включват модули за защитна стена на хоста, които откриват повторни неуспехи и временно блокират IP, функции на EDR, които откриват поведение на познаване на пароли, и скриптове, които анализират журнали за сигурност и прилагат динамични правила за защитна стена. Контролите, ориентирани към шлюза (RD Gateway, VPN, бастион), често намаляват нуждата от агресивно блокиране на ниво хост, тъй като по-малко неизвестни източници достигат до сървъра.

Където екипите изгарят

Споделен NAT и CGNAT. Ако много легитимни потребители идват от един публичен IP (клонова офис, хотелска мрежа, някои интернет доставчици), блокирането на този IP може да прекъсне добрите потребители заедно с атакуващите. Ограничените във времето забрани и известните добри бели списъци намаляват радиуса на удара.

Блокиране на собствения ви управленски път. Винаги добавяйте вашите VPN диапазони, подсет на бастион и IP адреси за изход на управление на MSP в бял списък, преди да активирате агресивното блокиране. Документирайте път за извънредни ситуации, който не разчита на същия мрежов маршрут.

Извънредни ситуации, причинени от заключване. Ако единственият ви контрол е заключване на акаунта, атакуващите могат да го превърнат в отказ на услуга. Сдвоете политиките за заключване с намаляване на експозицията и ограничаване на базата на IP, така че хостът да не стане точка на задръстване.

TSplus Advanced Security добавя практическа защита срещу брутфорс атаки IP и географски контроли, и укрепване, насочено към ransomware, за Windows сървъри, което може да ви помогне да намалите повторните опити за вход в RDP, без да внедрявате тежък пакет за сигурност.

Практическа основа за SMB и MSP среди

Малките и средни предприятия (SMBs) и доставчиците на управляеми услуги (MSPs) се нуждаят от основа, която е повтаряема, тестируема и малко вероятно да наруши ежедневните операции. Насоките за сигурност на отдалечения работен плот на Microsoft подкрепят същия общ принцип: намаляване на директното излагане, след това укрепване на достъпа и активно наблюдение.

• Премахнете директното интернет излагане на RDP, където е възможно, и маршрутизирайте достъпа чрез VPN, шлюз или бастионни модели.
• Ако RDP трябва да остане достъпен, ограничете входящия достъп до малък списък с разрешени IP адреси и го преглеждайте редовно.
• Активирайте удостоверяване на ниво мрежа (NLA) и изисквайте силни, уникални идентификационни данни за всички интерактивни потребители.
• Затегнете привилегирования достъп: минимизирайте членството на локалните администратори и прегледайте членството на потребителите на Remote Desktop.
• Настройте политиката за заключване на акаунта умишлено (праг, продължителност, нулиране на брояча) и я тествайте, за да избегнете прекъсвания, причинени от заключване.
• Наблюдавайте неуспешни влизания (например, Идентификатор на събитие 4625) и бързо разследвайте модели на успех след неуспех.
• Поддържайте Windows, компоненти, свързани с RDP, и услуги, достъпни в интернет, актуализирани по определен график.
• Достъп до документ с разбиване на стъкло, включително как ще възстановите достъпа до конзолата, ако правилата на мрежата блокират отдалечен достъп.

Ако искате структурирано ревю, използвайте нашето Аудит на сигурността на RDP: Списък с 20 точки за 2026 година .

За MSP, стандартизирайте каквото можете (шаблони GPO, основи на защитната стена, разрешени инвентари на IP адреси за управление) и поддържайте специфични за клиента списъци с разрешения и изключения ясно документирани. Ако ви е необходим практичен слой за затягане на сигурността на много клиентски сървъри, TSplus Advanced Security може да бъде внедрен като част от стандартен пакет за сигурност на отдалечен достъп, а TSplus Remote Access може да поддържа позиция "не излагайте суров RDP директно" за публикувани приложения и работни станции.

FAQ

Спряга ли смяната на подразбирания RDP порт атаките с брутфорс?

Смяната на RDP порта може да намали шума от опортюнистично сканиране, а собствените указания на Microsoft за инциденти го споменават като временно решение в някои сценарии, но не спира целенасоченото познаване. Отнасяйте се към него като към вторична тактика и се фокусирайте първо върху намаляване на експозицията (разрешителни списъци, шлюз, VPN, бастион) и укрепване на удостоверяването.

Какви настройки на политиката на Windows са най-важни за защита от брутфорс атаки на RDP?

Започнете с активиране на NLA за RDP, стесняване на правото на влизане чрез Remote Desktop и конфигуриране на политиката за заключване на акаунти (праг, продължителност, нулиране на брояча), както е документирано от Microsoft Learn. Силните паролни политики и правата на администратор с минимални привилегии също намаляват шанса за успешен опит за компрометиране чрез познаване на паролата.

Могат ли настройките за заключване на акаунти да влошат прекъсванията на RDP по време на атака?

Да. Ако RDP е широко изложен, нападателите могат умишлено да предизвикат блокирания за реални потребители, което става проблем с отказ на услуга. Затова препоръчителната последователност е първо да се намали изложението, а след това да се настроят блокировките и ограничаването по начин, който балансира сигурността с наличността.

Достатъчно ли е удостоверяването на ниво мрежа (NLA), за да се осигури RDP?

NLA е важна основа, но сама по себе си не предотвратява атаките с пароли или натрупването на удостоверения. Все още е необходимо намаляване на експозицията, силна хигиена на удостоверенията, разумно ограничаване или поведение при заключване и наблюдение за необичайни модели на влизане.

Какво трябва да наблюдавам, за да открия опити за брутфорс на RDP рано?

Търсете аномални върхове в неуспешните влизания, които обикновено се виждат като Събитие ID 4625, особено когато идват от много външни IP адреси или целят много потребителски имена за кратък период. Също така проучете всяко успешно влизане, което се случва скоро след повторни неуспехи, тъй като това може да индикира позната или повторно използвана парола.

Заключение: приоритизирайте намаляване на експозицията, след това укрепвайте и автоматизирайте

Защита от брутфорс атаки на RDP не е една настройка. Това е многослойен подход, който работи най-добре в следния ред: намаляване или премахване на директната експозиция, укрепване на удостоверяването (NLA, силни идентификационни данни, минимални права, разумно блокиране или ограничаване), прилагане на мрежови контроли, които наистина ограничават достъпността, наблюдение за значими модели и автоматизиране на блокирането внимателно, за да се избегнат фалшиви положителни резултати.

Документирайте промените си, тествайте ги извън работното време, когато е възможно, и валидирайте, че вашият път за спешни случаи все още работи след корекции на защитната стена и блокировките. Ако искате да оперативизирате тези защити с по-малко ръчен труд, TSplus Advanced Security може да помогне с защита от брутфорс и ограничения за достъп, а TSplus Remote Access може да предостави по-безопасен модел за доставка на публикувани Windows приложения и работни станции чрез уеб портал. За оценка можете да изтегляне проба и преглед цени .