Защита от брутфорса RDP: как заблокировать атаки и сохранить работу удаленного доступа

Как выглядит атака грубой силы RDP на практике

Вы обычно замечаете RDP атака грубой силы таким же образом: повторяющиеся неудачные попытки входа в систему на сервер Windows, который доступен из интернета, часто сопровождающиеся блокировками учетных записей, шумными журналами безопасности и обеспокоенными пользователями, которые не могут подключиться. Многие из этих атак не являются "направленными" в человеческом смысле. RDP, доступный через интернет, постоянно сканируется, и автоматизированные инструменты будут продолжать пытаться использовать имена пользователей и пароли, пока не найдут слабую учетную запись или не создадут сбой.

В MITRE ATT&CK это соответствует Техника T1110 (Brute Force) , который включает в себя связанные схемы, такие как подбор паролей и распыление паролей. В практических операционных терминах атаки грубой силы RDP представляют собой повторяющиеся попытки удаленного входа (часто автоматизированные), которые пробуют множество паролей или множество учетных записей против открытой службы RDP, пока не будут найдены учетные данные или не будут нарушены учетные записи.

Типичные симптомы включают:

• Внезапный всплеск неудачных входов в систему в журналах безопасности Windows
• Много попыток против общих имен учетных записей (Администратор, админ, тест, имена в стиле службы)
• Сбои, происходящие от многих внешних IP-адресов, иногда часто меняющихся.
• Жалобы пользователей на блокировку учетных записей или медленную производительность входа в систему
• Более высокая нагрузка на ЦП или аутентификацию во время всплесков (услуги, связанные с LSASS и RDP, могут быть затронуты)

Это помогает назвать то, что вы видите. "Брутфорс" обычно означает множество паролей против одной учетной записи. "Парольная распыленность" означает несколько распространенных паролей против многих учетных записей, чтобы избежать порогов блокировки. "Заполнение учетных данных" означает проверку пар паролей и имен пользователей, украденных в другом месте. Все три проявляются как повторяющиеся неудачные попытки удаленного входа и требуют одинаковой первой реакции: уменьшить подверженность и замедлить попытки.

Быстрая диагностика: подтвердите, что это атака грубой силы RDP (а не неправильная конфигурация)

Прежде чем изменять политики и рисковать блокировкой законных пользователей, подтвердите, что именно не работает, откуда и в каком объеме. Руководство по устранению неполадок от Microsoft для виртуальных машин Azure под атакой грубой силы использует ту же отправную точку даже вне Azure: ищите большое количество неудачных входов в систему и сопоставляйте их с внешними IP-адресами.

• Проверьте журналы безопасности Windows на наличие всплеска неудачных входов в систему в то время, когда пользователи сообщали о проблемах. Идентификатор события 4625 является общим индикатором для проверки.
• Ищите закономерности: повторяющиеся имена учетных записей, множество различных учетных записей или один и тот же исходный IP, обращающийся к нескольким пользователям.
• Сопоставьте неудачные входы с успешными входами сразу после этого. Успешные входы часто фиксируются как Событие ID 4624, в зависимости от вашей политики аудита.
• Подтвердите доступ: доступен ли TCP 3389 (или ваш пользовательский RDP-порт) из интернета через правило брандмауэра, NAT, переадресацию порта или группу безопасности облака?
• Проверьте, не видите ли вы «ложные срабатывания» от законных источников (шлюз RDS, концентратор VPN, инструмент удаленного управления или внутренний сканер), которые выглядят как повторяющиеся сбои из-за сохраненного неправильного пароля.

Если вы видите идентификатор события 4625 в большом объеме, от многих внешних IP-адресов за короткие промежутки времени, скорее всего, вы имеете дело с активным угадыванием или спреем, а не с одним пользователем, вводящим неправильный пароль.

Остановите кровотечение за 15-30 минут (меры по сдерживанию, которые работают)

Когда активен трафик грубой силы, приоритетом является восстановление контроля и обеспечение безопасного пути для администратора. Самый быстрый способ снизить риск грубой силы RDP — это прекратить прямое выставление RDP в интернет и ограничить входящий доступ до известного набора доверенных IP-адресов или защищенного пути доступа (шлюз, VPN или бастион). Руководство Microsoft Learn по инцидентам Azure укрепляет этот же подход к сдерживанию: сначала ограничьте входящий доступ, затем улучшите путь доступа.

1. Установите безопасный способ возврата, прежде чем что-либо изменять. Если вы уже заблокированы, используйте свой внеполосный доступ (консоль гипервизора, iLO/iDRAC, облачная консоль, бастион или VPN), чтобы вы все еще могли управлять хостом после изменений в брандмауэре.
2. Удалите прямое интернет-выставление RDP. Отключите публичный порт или ужесточите входящие правила, чтобы RDP не был открыт для "любого источника". Если вы не можете удалить его немедленно, ограничьте входящий доступ до короткого белого списка (ваши офисные IP-адреса, ваша управленческая сеть, ваши фиксированные выходные IP-адреса MSP).
3. На Azure или аналогичных облаках немедленно ужесточите периметр. Ограничьте входящее правило в вашем NSG или эквиваленте. Если у вас есть возможность, переходите на поддерживаемые Microsoft шаблоны, такие как Azure Bastion, VPN Gateway или концепции доступа по запросу, чтобы сократить окна уязвимости.
4. Подтвердить Аутентификация на уровне сети (NLA) включено. NLA требует аутентификации перед установлением полной сессии удаленного рабочего стола, что снижает подверженность некоторым рискам до аутентификации и уменьшает ненужное использование ресурсов во время подбора.
5. Просмотрите, кто может войти через RDP. Проверьте членство локальных администраторов и пользователей удаленного рабочего стола и удалите любые широкие группы, которым не требуется интерактивный удаленный вход.
6. Защитите привилегированные учетные записи немедленно. Если вы подозреваете, что пароль может быть слабым или утекшим, измените учетные данные для привилегированных аккаунтов контролируемым образом и проверьте наличие неожиданных новых локальных администраторов или вновь активированных аккаунтов.
7. Стабилизируйте доступ для реальных пользователей. Если пользователей блокируют, решение обычно заключается в снижении воздействия и лучшем ограничении, а не в снижении безопасности. Избегайте спешки с изменениями блокировки, которые могут привести к более широким сбоям.

Как только вы ограничите трафик, вы сможете безопасно внести долгосрочные изменения. Если вы хотите использовать инструмент для помощи после того, как восстановите контроль, TSplus Advanced Security может помочь в реализации блокировки грубой силы и ограничений доступа на серверах Windows, но сдерживание все еще начинается с уменьшения воздействия.

Сократите поверхность атаки: архитектуры доступа, которые снижают риск грубой силы

Если вы извлечете только один урок из повторяющихся атак RDP, сделайте это: архитектура важнее настроек. Установка контролируемой точки входа перед хостами сеансов изменяет то, к чему могут получить доступ злоумышленники, и что вы можете обеспечить. Руководство блога безопасности Microsoft по внедрению удаленного рабочего стола подчеркивает снижение прямого воздействия, и Документы Microsoft Learn RD Gateway как способ обеспечить безопасный доступ через TLS с правильной конфигурацией сертификата.

Самый надежный способ уменьшить попытки грубой силы RDP - избежать прямого воздействия RDP и вместо этого требовать доступ через контролируемую точку входа, такую как RD Gateway VPN или бастион, желательно с сильной аутентификацией.

Шаблон доступа	Уязвимость и риск грубой силы	Операционная сложность	Когда это подходит	Заметки
Прямой RDP из интернета	Наивысший риск и наивысший шум. Постоянное сканирование и угадывание.	Низкие затраты на настройку, высокие затраты на защиту.	Только для краткосрочного экстренного доступа с жесткими ограничениями.	Изменение порта может уменьшить оппортунистическое сканирование, но само по себе оно не обеспечивает надежную защиту.
Прямой RDP с разрешением IP	Низкий уровень воздействия, если белый список небольшой и стабильный.	Средний. Требует поддержания белых списков и обработки изменений провайдеров/путешествий.	Небольшие администраторские команды с фиксированными офисными IP-адресами или фиксированным выходом MSP.	Лучше всего работает в сочетании с надежными средствами аутентификации и мониторинга.
RD Gateway перед RDS/RDP	Снижает прямое воздействие хостов сеансов и туннелей через TLS.	Средний до высокого. Сертификаты, доступность и проектирование политики имеют значение.	Уже использующие шаблоны RDS среды, ориентированные на Windows.	Руководство по планированию RDS от Microsoft Learn охватывает требования к шлюзам. Лицензирование Microsoft остается вашей ответственностью и должно быть подтверждено с Microsoft или квалифицированным партнером по лицензированию.
VPN для удаленного доступа	Удаляет RDP из публичного доступа, когда это сделано правильно.	Средний. Развертывание клиента, маршрутизация и интеграция MFA различаются.	Администраторы и сотрудники, которым нужен более широкий доступ к сети, а не только к одному приложению.	Ограничьте пользователей VPN тем, что им нужно, а затем все равно обеспечьте безопасность RDP внутри сети.
Бастион или переходный хост	Сильное снижение воздействия. RDP доступен только из контекста бастиона.	Средний. Нужен строгий контроль самого бастиона.	Облачные серверы, регулируемые среды и доступ только для администраторов.	Часто хорошо сочетается с окнами доступа по мере необходимости и условными контролями в зависимости от платформы.
Публикация приложений/рабочих столов через веб-портал (HTTPS)	Можно сократить или устранить необходимость в публичном раскрытии сырого RDP, в зависимости от дизайна.	Низкий до среднего. Сосредоточен на предоставлении того, что нужно пользователям, а не на полном доступе к сети.	Малые и средние предприятия, предоставляющие набор приложений Windows или удаленных рабочих столов пользователям и партнерам.	Если ваша цель состоит в том, чтобы предоставить пользователям доступ к приложениям Windows, не оставляя открытым сырой RDP в интернете, стоит рассмотреть TSplus Remote Access для публикации приложений и рабочего стола через защищенный веб-портал.

Если вам необходимо сохранить доступ к RDP, рассматривайте его как защищенный административный интерфейс, а не как общий вход для удаленной работы. Если вы переходите к приложение и настольная публикация через защищенный веб-портал Быстрый стартовый гид может помочь вам начать. Ваша безопасность значительно улучшается, когда большинство пользователей вообще не подключаются к TCP 3389.

Укрепите аутентификацию для RDP, не блокируя реальных пользователей

Хорошая защита от грубой силы — это баланс между замедлением атакующих и обеспечением надежного доступа для легитимных пользователей. Эффективная защита от грубой силы сочетает в себе NLA и надежные учетные данные с политикой ограничения скорости или блокировки, которая замедляет повторные неудачи, при этом настраиваясь так, чтобы избежать отказа в обслуживании, вызванного атакующими. NIST SP 800-63B обсуждает ограничение и обработку повторяющихся неудачных попыток аутентификации как основное средство контроля, поскольку это снижает возможность быстрого угадывания.

Начните с NLA и гигиены учетной записи

NLA является базовым уровнем для RDP, поскольку требует аутентификации перед полным установлением сеанса. Он не остановит атаки с использованием подбора паролей самостоятельно, но снижает уязвимость и потери ресурсов по сравнению с тем, если позволить неаутентифицированным сеансам продвигаться дальше.

Затем рассмотрите основные аспекты идентификации, на которых основаны атаки методом перебора: удалите ненужные права администратора, применяйте принцип наименьших привилегий и очистите устаревшие учетные записи. Если у вас есть очевидные или общие локальные учетные записи администратора, измените их, ограничьте места, где они могут входить в систему, и подумайте о переименовании или отключении учетных записей, которые не требуют интерактивного входа. Держите пользователей удаленного рабочего стола и локальных администраторов в строгих рамках, особенно на серверах, которые хранят конфиденциальные данные.

Блокировка и ограничение: почему настройка имеет значение

Настройки политики блокировки учетной записи Windows обычно используются для снижения успеха атак методом перебора, и Документы Microsoft Learn описывают ключевые термины порог блокировки, продолжительность блокировки и счетчик сброса. Компромисс заключается в доступности. Злоумышленники могут намеренно вызывать блокировки для реальных пользователей (или вашей службы поддержки и администраторов), если ваш порог слишком низок, а ваше воздействие слишком велико.

Используйте эти факторы принятия решений, когда настраиваете блокировку и ограничение:

• Насколько уязвима служба? Если RDP доступен из всего интернета, блокировки с большей вероятностью будут использованы в качестве оружия. Сначала уменьшите подверженность, затем настройте блокировку.
• Как пользователи аутентифицируются? Шлюз, VPN или бастион могут снизить необходимость в агрессивных блокировках на хосте сеанса, поскольку меньшее количество неизвестных источников может к нему добраться.
• Насколько дорого стоит блокировка? Если блокировка приводит к сбою для команды поддержки производства, вы можете предпочесть ограничение скорости и блокировки на основе IP вместо жестких блокировок учетных записей.
• Как ведут себя общие учетные записи? Общие учетные данные увеличивают влияние блокировок. Устраните общие учетные записи, где это возможно.

Специальный случай: встроенный локальный администратор

Многие среды все еще имеют встроенную локальную учетную запись администратора на серверах и рабочих станциях, и ее поведение при блокировке часто вызывает путаницу. Microsoft Support KB5020282 предоставляет контекст по блокировке учетных записей для встроенных локальных администраторов, включая то, как блокировка может применяться к сетевым входам, таким как RDP, в зависимости от конфигурации и версии. Не предполагайте, что встроенный администратор будет вести себя так же, как обычная учетная запись пользователя, и тестируйте в контролируемом режиме, прежде чем полагаться на поведение блокировки как на основной контроль.

Для команд, которые хотят практический уровень защиты, TSplus Advanced Security включает защиту от грубой силы, предназначенную для остановки повторных несанкционированных попыток на уровне хоста. Это должно дополнять, а не заменять, строгие политики аутентификации Windows и тщательную настройку блокировок.

Сетевые средства управления, которые помогают (и те, которые люди переоценивают)

Сетевые настройки часто являются самыми быстрыми улучшениями, которые вы можете сделать, но они имеют разную реальную ценность. Рекомендации Microsoft по проблемам с брутфорсом RDP (включая сценарии в Azure) последовательно отдают приоритет ограничению входящей связи над косметическими изменениями.

Высокая ценность: разрешение IP. Если вы можете ограничить RDP известными адресами (IP-адресами выхода из офиса, диапазонами VPN, подсетями бастионов, фиксированными IP-адресами MSP), вы немедленно устраняете большую часть трафика грубой силы. Это также делает ваш мониторинг более значимым, поскольку любые оставшиеся сбои происходят из меньшего набора источников.

Полезно с осторожностью: географические и основанные на репутации ограничения. Гео-блокировка и репутация IP могут снизить шум, но они также могут заблокировать законных пользователей, которые путешествуют, подключаются из роуминговых сетей или проходят через CGNAT. Злоумышленники также могут использовать VPN и прокси, поэтому рассматривайте гео-контроль как средство снижения рисков, а не как гарантию.

Переоценено: изменение порта RDP. IP-адреса, разрешенные в белом списке, значительно снижают уязвимость RDP к атакам методом подбора паролей, в то время как изменение порта RDP в основном снижает возможность случайного сканирования и не должно рассматриваться как основная защита. Изменение порта может выиграть время во время инцидента, но не решает проблему с атакой методом подбора паролей со стороны настойчивого злоумышленника, который может обнаружить порт.

В средах, где командам требуется более простое применение, чем поддержание сложных наборов правил вручную, TSplus Advanced Security добавляет географическая защита и IP-управляемые средства контроля который можно применять последовательно на всех серверах.

Мониторинг и обнаружение: что регистрировать, на что обращать внимание и что расследовать

Брутфорс — это одна из тех проблем, которая кажется очевидной в ретроспективе и дорогостоящей, когда вы замечаете ее слишком поздно. Цель мониторинга не в том, чтобы считать каждую неудачную попытку входа в систему бесконечно. Она заключается в том, чтобы рано обнаруживать аномальные паттерны и исследовать, превратились ли эти попытки когда-либо в успешный вход.

Мониторинг аномальных всплесков неудачных входов в систему (часто идентификатор события 4625) и оповещение о паттернах, которые указывают на распыление паролей или успешный последующий вход после повторных неудач. Рекомендации Microsoft по устранению неполадок при атаках грубой силой подчеркивают тот же артефакт (4625), поскольку это практическая отправная точка, когда администраторы пытаются восстановить доступ и понять масштаб.

Для повседневной работы сосредоточьтесь на трех вопросах расследования:

Трафик внешний или внутренний? Внешние IP-адреса, обращающиеся к публичному интерфейсу, указывают на проблемы с уязвимостью. Внутренние IP-адреса могут указывать на скомпрометированную конечную точку или неправильно настроенную учетную запись службы.

Это одна учетная запись или несколько? Одна учетная запись предполагает грубую силу. Многие учетные записи с низким количеством попыток каждая предполагают распыление паролей.

Успел ли какой-либо аккаунт после всплеска? Успешный вход в систему вскоре после повторяющихся неудач является корреляцией высокого приоритета для расследования, особенно для привилегированных учетных записей.

Если вы еще не централизовали журналы Windows, рассмотрите возможность использования пересылки событий Windows или вашего существующего SIEM, чтобы вы могли последовательно отправлять уведомления на несколько серверов. Для команд, которым нужно простое уведомления и историческая видимость во время всплесков атак , Мониторинг сервера TSplus может помочь вам отслеживать состояние сервера и доступность вместе с вашим журналом безопасности.

Автоматизированные методы блокировки (и как избежать ложных срабатываний)

Ручной ответ не масштабируется, когда ваши хосты находятся в интернете. Автоматизация — это то, где многие команды восстанавливают контроль, если она разработана так, чтобы быть обратимой и защищать законный доступ. Самая безопасная автоматизация блокирует повторные неудачные входы с временными запретами и четкими белыми списками, и она должна учитывать общие IP-адреса, чтобы избежать блокировки законных пользователей.

Как автоматизация выглядит на практике

Общие подходы включают модули брандмауэра хоста, которые обнаруживают повторяющиеся сбои и временно блокируют IP, функции EDR, которые выявляют поведение, связанное с угадыванием паролей, и скрипты, которые анализируют журналы безопасности и применяют динамические правила брандмауэра. Контроли, ориентированные на шлюз (RD Gateway, VPN, бастион), часто уменьшают необходимость в агрессивной блокировке на уровне хоста, поскольку меньшее количество неизвестных источников достигает сервера.

Где команды терпят неудачу

Общий NAT и CGNAT. Если много законных пользователей приходит с одного публичного IP (филиал, сеть отеля, некоторые интернет-провайдеры), блокировка этого IP может отключить хороших пользователей вместе с атакующими. Временные запреты и известные хорошие белые списки уменьшают радиус поражения.

Блокировка собственного пути управления. Всегда добавляйте в белый список диапазоны вашего VPN, подсеть бастиона и IP-адреса выхода управления MSP, прежде чем включить агрессивную блокировку. Задокументируйте путь "разбить стекло", который не зависит от того же сетевого маршрута.

Сбои, вызванные блокировкой. Если вашим единственным контролем является блокировка учетной записи, злоумышленники могут превратить это в отказ в обслуживании. Сочетайте политики блокировки с уменьшением уязвимости и ограничением по IP, чтобы хост не стал узким местом.

TSplus Advanced Security добавляет практическую защиту от грубой силы , IP и географические ограничения, а также усиление защиты от программ-вымогателей для серверов Windows, что может помочь вам сократить повторные попытки входа через RDP без развертывания громоздкого стека безопасности.

Практическая основа для SMB и MSP сред

Малые и средние предприятия, а также управляющие сервисами нуждаются в базовом уровне, который можно повторять, тестировать и который вряд ли нарушит повседневные операции. Рекомендации Microsoft по безопасности удаленного рабочего стола поддерживают тот же общий принцип: уменьшить прямое воздействие, затем укрепить доступ и активно мониторить.

• Удалите прямое интернет-выставление RDP, где это возможно, и направьте доступ через VPN, шлюз или паттерны бастиона.
• Если RDP должен оставаться доступным, ограничьте входящий доступ до небольшого списка разрешенных IP и регулярно его проверяйте.
• Включите аутентификацию на уровне сети (NLA) и требуйте сильные, уникальные учетные данные для всех интерактивных пользователей.
• Ужесточите привилегированный доступ: минимизируйте членство в локальных администраторах и проверьте членство пользователей удаленного рабочего стола.
• Установите политику блокировки учетной записи намеренно (порог, продолжительность, сброс счетчика) и протестируйте ее, чтобы избежать сбоев, вызванных блокировкой.
• Мониторьте неудачные входы (например, идентификатор события 4625) и быстро исследуйте паттерны успеха после неудачи.
• Держите компоненты Windows, связанные с RDP, и службы, доступные в интернете, обновленными по установленному графику.
• Доступ к документу через аварийный доступ, включая то, как вы восстановите доступ к консоли, если сетевые правила блокируют удаленный вход.

Если вы хотите структурированный обзор, используйте наш Аудит безопасности RDP: контрольный список из 20 пунктов на 2026 год .

Для MSP стандартизируйте то, что можете (шаблоны GPO, базовые настройки брандмауэра, списки разрешенных IP для управления) и четко документируйте специфические для клиентов списки разрешений и исключения. Если вам нужен практический уровень защиты на многих серверах клиентов, TSplus Advanced Security можно развернуть как часть стандартного пакета безопасности удаленного доступа, а TSplus Remote Access может поддерживать позицию "не выставлять сырой RDP напрямую" для опубликованных приложений и рабочих столов.

FAQ

Изменение порта RDP по умолчанию останавливает атаки методом перебора?

Изменение порта RDP может снизить шум от оппортунистического сканирования, и собственные рекомендации Microsoft по инцидентам упоминают это как временную меру в некоторых сценариях, но это не останавливает целенаправленное угадывание. Рассматривайте это как вторичную тактику и сначала сосредоточьтесь на снижении экспозиции (разрешение, шлюз, VPN, бастион) и усилении аутентификации.

Какие настройки политики Windows имеют наибольшее значение для защиты от брутфорса RDP?

Начните с включения NLA для RDP, ужесточения прав на вход через Remote Desktop и настройки политики блокировки учетной записи (порог, продолжительность, сброс счетчика), как это задокументировано в Microsoft Learn. Сильные политики паролей и минимальные права администратора также снижают вероятность того, что угадывание приведет к значительному компромиссу.

Могут ли настройки блокировки учетной записи усугубить сбои RDP во время атаки?

Да. Если RDP широко открыт, злоумышленники могут намеренно вызывать блокировки для реальных пользователей, что становится проблемой отказа в обслуживании. Вот почему рекомендуемый порядок действий заключается в том, чтобы сначала уменьшить открытость, а затем настроить блокировки и ограничение таким образом, чтобы сбалансировать безопасность и доступность.

Достаточно ли аутентификации на уровне сети (NLA) для защиты RDP?

NLA является важной основой, но сама по себе она не предотвращает атаки с использованием распыления паролей или заполнения учетных данных. Вам все еще необходимо снижение воздействия, надежная гигиена учетных данных, разумное ограничение или поведение блокировки, а также мониторинг необычных шаблонов входа.

Что я должен отслеживать, чтобы рано обнаружить попытки брутфорса RDP?

Ищите аномальные всплески в неудачных входах, которые обычно видны как событие ID 4625, особенно когда они происходят от многих внешних IP или нацелены на множество имен пользователей за короткий период. Также исследуйте любые успешные входы, которые происходят вскоре после повторяющихся неудач, так как это может указывать на угаданное или повторно использованное пароль.

Заключение: приоритизируйте снижение воздействия, затем укрепите и автоматизируйте

Защита от грубой силы RDP — это не одна настройка. Это многоуровневый подход, который работает лучше всего в следующем порядке: уменьшить или устранить прямое воздействие, усилить аутентификацию (NLA, надежные учетные данные, минимальные привилегии, разумная блокировка или ограничение), применить сетевые меры контроля, которые действительно ограничивают доступность, следить за значительными паттернами и аккуратно автоматизировать блокировку, чтобы избежать ложных срабатываний.

Документируйте свои изменения, тестируйте их вне рабочего времени, когда это возможно, и убедитесь, что ваш путь экстренного доступа по-прежнему работает после корректировок брандмауэра и блокировок. Если вы хотите реализовать эти меры защиты с меньшими затратами времени, TSplus Advanced Security может помочь с защитой от грубой силы и ограничениями доступа, а TSplus Remote Access может предоставить более безопасную модель доставки для опубликованных приложений Windows и рабочих столов через веб-портал. Для оценки вы можете скачать пробная версия и обзор цены .