Proteksyon laban sa brute force ng RDP: paano harangan ang mga atake at panatilihing gumagana ang remote access

Ano ang hitsura ng isang RDP brute-force na pag-atake sa praktis

Karaniwan mong napapansin RDP brute force sa parehong paraan: paulit-ulit na nabigong pag-sign in laban sa isang Windows server na maaabot mula sa internet, kadalasang sinundan ng pag-lock ng account, maingay na mga log ng Seguridad, at nag-aalala na mga gumagamit na hindi makakonekta. Marami sa mga pag-atakeng ito ay hindi "targeted" sa makatawid na kahulugan. Ang RDP na nakalantad sa internet ay patuloy na sinusuri, at ang mga automated na tool ay patuloy na susubok ng mga username at password hanggang sa makahanap sila ng mahina na kredensyal o lumikha ng kaguluhan.

Sa MITRE ATT&CK, ito ay nagmamapa sa Teknik T1110 (Brute Force) , na kinabibilangan ng mga kaugnay na pattern tulad ng paghuhula ng password at pag-spray ng password. Sa mga praktikal na termino ng operasyon, ang mga pag-atake ng RDP brute force ay mga paulit-ulit na pagtatangkang mag-logon nang remote (madalas na awtomatiko) na sumusubok ng maraming password o maraming account laban sa isang nakalantad na serbisyo ng RDP hanggang sa matagpuan ang mga kredensyal o maabala ang mga account.

Karaniwang mga sintomas ay kinabibilangan ng:

• Biglang pagtaas ng mga nabigong pag-login sa mga log ng Seguridad ng Windows
• Maraming pagtatangkang laban sa mga karaniwang pangalan ng account (Administrator, admin, test, mga pangalan ng estilo ng serbisyo)
• Mga pagkabigo na nagmumula sa maraming panlabas na IP address, minsang madalas na nagpapalit.
• Mga reklamo ng gumagamit tungkol sa pag-lock ng account o mabagal na pag-login
• Mas mataas na CPU o load ng authentication sa panahon ng mga pagsabog (maaaring maapektuhan ang mga serbisyo na may kaugnayan sa LSASS at RDP)

Nakakatulong na pangalanan ang iyong nakikita. Ang "Brute force" ay karaniwang nangangahulugang maraming password laban sa isang account. Ang "Password spraying" ay nangangahulugang ilang karaniwang password laban sa maraming account upang maiwasan ang mga threshold ng lockout. Ang "Credential stuffing" ay nangangahulugang pagsubok ng mga pares ng username at password na ninakaw mula sa ibang lugar. Lahat ng tatlo ay lumalabas bilang paulit-ulit na pagkabigo sa remote logon at nararapat sa parehong unang tugon: bawasan ang exposure at pabagalin ang mga pagtatangkang ito.

Mabilis na diagnosis: tiyakin na ito ay RDP brute force (at hindi isang maling pagsasaayos)

Bago mo baguhin ang mga patakaran at panganib na ma-lock out ang mga lehitimong gumagamit, kumpirmahin kung ano ang bumabagsak, mula saan, at sa anong dami. Pagtuturo ng Microsoft para sa pag-aayos ng mga isyu sa Azure VMs na nasa ilalim ng brute-force na atake gumagamit ng parehong panimulang punto kahit sa labas ng Azure: hanapin ang mataas na dami ng nabigong pag-sign in at iugnay ang mga ito sa mga panlabas na source IP.

• Suriin ang mga log ng Windows Security para sa isang pagsabog ng mga nabigong pag-sign in sa panahon na nag-ulat ang mga gumagamit ng mga isyu. Ang Event ID 4625 ay isang karaniwang tagapagpahiwatig na dapat suriin.
• Maghanap ng mga pattern: paulit-ulit na mga pangalan ng account, maraming iba't ibang account, o ang parehong source IP na tumatama sa maraming gumagamit.
• Iugnay ang mga nabigong pag-sign in sa mga matagumpay na pag-logon sa lalong madaling panahon. Ang mga matagumpay na pag-logon ay kadalasang naitala bilang Event ID 4624, depende sa iyong patakaran sa pag-audit.
• Kumpirmahin ang pagkakalantad: naaabot ba ang TCP 3389 (o ang iyong pasadyang RDP port) mula sa internet sa pamamagitan ng isang patakaran sa firewall, NAT, port forward, o cloud security group?
• Tiyakin na hindi ka nakakakita ng "maling alarma" mula sa mga lehitimong pinagmulan (isang RDS gateway, isang VPN concentrator, isang remote management tool, o isang panloob na scanner) na lumilitaw bilang paulit-ulit na pagkabigo dahil sa isang na-save na maling password.

Kung makikita mo ang Event ID 4625 sa malaking dami, mula sa maraming panlabas na IP address sa maikling panahon, malamang na nakikitungo ka sa aktibong paghuhula o spraying sa halip na isang solong gumagamit na nagta-type ng maling password.

Itigil ang pagdurugo sa loob ng 15 hanggang 30 minuto (mga hakbang sa pagpigil na epektibo)

Kapag aktibo ang brute-force traffic, ang prayoridad ay ibalik ang kontrol at panatilihing magagamit ang isang ligtas na admin path. Ang pinakamabilis na paraan upang mabawasan ang panganib ng RDP brute-force ay ang itigil ang direktang pag-expose ng RDP sa internet at limitahan ang inbound access sa isang kilalang set ng mga pinagkakatiwalaang IP address o isang secure na access path (gateway, VPN, o bastion). Patnubay ng Microsoft Learn para sa mga insidente sa Azure pinatitibay ang parehong diskarte sa pagpigil na ito: limitahan ang papasok na pag-access muna, pagkatapos ay pagbutihin ang landas ng pag-access.

1. Mag-establish ng isang ligtas na paraan pabalik bago ka gumawa ng anumang pagbabago. Kung ikaw ay naka-lock out na, gamitin ang iyong out-of-band access (hypervisor console, iLO/iDRAC, cloud serial console, bastion, o VPN) upang maaari mo pa ring pamahalaan ang host pagkatapos ng mga pagbabago sa firewall.
2. Alisin ang direktang pagkakalantad ng internet ng RDP. I-disable ang pampublikong port forward o higpitan ang mga inbound na patakaran upang hindi bukas ang RDP sa "anumang pinagmulan." Kung hindi mo ito maalis kaagad, limitahan ang inbound na access sa isang maikling allowlist (mga IP ng iyong opisina, iyong network ng pamamahala, mga nakatakdang egress IP ng iyong MSP).
3. Sa Azure o katulad na mga cloud, agad na higpitan ang perimeter. Limitahan ang inbound rule sa iyong NSG o katumbas nito. Kung mayroon kang opsyon, lumipat sa mga pattern na inendorso ng Microsoft tulad ng Azure Bastion, VPN Gateway, o mga konsepto ng just-in-time access upang mabawasan ang mga exposure window.
4. Kumpirmahin Network Level Authentication (NLA) diaktifkan. NLA ay nag-uutos ng pagpapatunay bago maitatag ang isang buong remote desktop session, na nagpapababa ng panganib sa ilang pre-auth at nagpapabawas ng hindi kinakailangang paggamit ng mapagkukunan sa panahon ng paghuhula.
5. Suriin kung sino ang maaaring mag-log on sa pamamagitan ng RDP. I-validate ang pagiging miyembro ng mga lokal na Administrator at mga User ng Remote Desktop, at alisin ang anumang malawak na grupo na hindi nangangailangan ng interactive remote sign-in.
6. Protektahan ang mga pribilehiyadong account agad. Kung sa tingin mo ay mahina o na-leak ang isang password, i-rotate ang mga kredensyal para sa mga pribilehiyadong account sa isang kontroladong paraan, at suriin ang mga hindi inaasahang bagong lokal na admin o mga bagong na-enable na account.
7. I-stabilisa ang access para sa mga tunay na gumagamit. Kung ang mga gumagamit ay nalalock out, ang solusyon ay karaniwang pagbabawas ng exposure at mas mahusay na throttling, hindi pagbawas ng seguridad. Iwasan ang pagmamadali sa mga pagbabago sa lockout na maaaring lumikha ng mas malawak na outage.

Kapag naayos mo na ang trapiko, maaari kang gumawa ng mga pangmatagalang pagbabago nang ligtas. Kung nais mo ng tool-assisted na diskarte pagkatapos mong maibalik ang kontrol, TSplus Advanced Security maaaring makatulong sa pagpapatupad ng pagharang sa brute-force at mga paghihigpit sa pag-access sa mga Windows server, ngunit nagsisimula pa rin ang pagpigil sa pamamagitan ng pagbabawas ng exposure.

Bawasan ang ibabaw ng atake: ang mga arkitektura ng pag-access na nagpapababa ng panganib ng brute-force

Kung may isa ka lamang aral na makukuha mula sa paulit-ulit na pag-atake sa RDP, gawin itong ito: ang arkitektura ay mas mahusay kaysa sa pag-aayos. Ang paglalagay ng isang kontroladong punto ng pagpasok sa harap ng mga session host ay nagbabago sa kung ano ang maabot ng mga umaatake at kung ano ang maaari mong ipatupad. Patnubay ng Microsoft sa Security Blog para sa pag-aampon ng remote desktop binibigyang-diin ang pagbawas ng direktang pagkakalantad, at Dokumentasyon ng Microsoft Learn para sa RD Gateway bilang isang paraan upang magbigay ng secure na access sa pamamagitan ng TLS na may wastong configuration ng sertipiko.

Ang pinaka-maaasahang paraan upang mabawasan ang mga pagtatangkang brute-force sa RDP ay ang iwasan ang direktang pagkakalantad sa RDP at sa halip ay mangailangan ng access sa pamamagitan ng isang kontroladong entry point tulad ng RD Gateway VPN, o isang bastion, na may malakas na pagpapatunay.

Pattern ng access	Panganib ng pagkakalantad at brute-force	Kumplikadong operasyon	Kapag ito ay akma	Mga Tala
Direktang RDP mula sa internet	Pinakamataas na panganib at pinakamataas na ingay. Patuloy na pag-scan at paghuhula.	Mababa ang gastos sa pagsasaayos, mataas ang gastos sa depensa.	Tanging para sa pansamantalang emergency access na may mahigpit na mga paghihigpit.	Ang pagbabago ng port ay maaaring magpababa ng opportunistic scanning, ngunit hindi ito nagbibigay ng matibay na proteksyon sa sarili nito.
Direktang RDP na may IP allowlisting	Mas mababang exposure kung ang allowlist ay maliit at matatag.	Katamtaman. Nangangailangan ng pagpapanatili ng mga allowlist at paghawak ng mga pagbabago sa paglalakbay/ISP.	Maliit na mga koponan ng admin na may mga nakatakdang IP ng opisina o nakatakdang MSP egress.	Pinakamahusay na gumagana kapag pinagsama sa malalakas na kontrol sa pagpapatunay at pagmamanman.
RD Gateway sa harap ng RDS/RDP	Binabawasan ang direktang pagkakalantad ng mga session host at tunnels sa ibabaw ng TLS.	Katamtaman hanggang mataas. Mahalaga ang mga sertipiko, kakayahang magamit, at disenyo ng patakaran.	Mga kapaligiran na nakatuon sa Windows na gumagamit na ng mga pattern ng RDS.	Ang gabay sa pagpaplano ng RDS ng Microsoft Learn ay sumasaklaw sa mga kinakailangan sa gateway. Ang paglisensya ng Microsoft ay nananatiling iyong responsibilidad at dapat itong beripikahin sa Microsoft o sa isang kwalipikadong kasosyo sa paglisensya.
VPN para sa remote access	Inaalis ang RDP mula sa pampublikong pagkakalantad kapag ito ay ginawa nang tama.	Katamtaman. Ang pag-deploy ng kliyente, pag-routing, at integrasyon ng MFA ay nag-iiba.	Mga admin at tauhan na nangangailangan ng mas malawak na access sa network, hindi lamang isang app.	Limitahan ang mga gumagamit ng VPN sa kung ano ang kailangan nila, pagkatapos ay siguraduhing ligtas ang RDP sa loob ng network.
Bastion o jump host	Malakas na pagbawas ng exposure. Ang RDP ay maaabot lamang mula sa konteksto ng bastion.	Katamtaman. Nangangailangan ng matibay na kontrol sa mismong bastion.	Mga server na naka-host sa Cloud, mga reguladong kapaligiran, at access na para lamang sa admin.	Madalas itong magkasama sa mga bintana ng access na just-in-time at mga kondisyunal na kontrol depende sa platform.
I-publish ang mga aplikasyon/desktop sa pamamagitan ng isang web portal (HTTPS)	Maaaring bawasan o alisin ang pangangailangan na ilantad ang raw RDP sa publiko, depende sa disenyo.	Mababa hanggang katamtaman. Nakatuon sa pagbibigay ng kailangan ng mga gumagamit, hindi buong access sa network.	Ang mga SMB na nagbibigay ng hanay ng mga Windows app o remote desktop sa mga gumagamit at kasosyo.	Kung ang layunin mo ay bigyan ang mga gumagamit ng access sa mga Windows application nang hindi iniiwan ang raw RDP na nakabukas sa internet, ang TSplus Remote Access ay sulit suriin para sa pag-publish ng app at desktop sa pamamagitan ng isang secure na web portal.

Kung kailangan mong panatilihin ang ilang RDP access, ituring ito bilang isang protektadong admin interface, hindi isang pangkalahatang entry point para sa remote work. Kung ikaw ay lumilipat patungo sa aplikasyon at paglalathala ng desktop sa pamamagitan ng isang seguradong web portal , ang isang quickstart guide ay makakatulong sa iyo na makapagsimula. Ang iyong seguridad ay makabuluhang bumubuti kapag ang karamihan sa mga gumagamit ay hindi kailanman kumokonekta sa TCP 3389.

Palakasin ang pagpapatotoo para sa RDP nang hindi nagla-lock out ng mga tunay na gumagamit

Ang magandang resistensya sa brute-force ay isang balanse sa pagitan ng pagpapabagal sa mga umaatake at pagpapanatili ng maaasahang lehitimong pag-access. Ang epektibong resistensya sa brute-force ay pinagsasama ang NLA at malalakas na kredensyal kasama ang isang patakaran sa pag-limit ng rate o lockout na nagpapabagal sa mga paulit-ulit na pagkabigo habang naka-tune upang maiwasan ang denial of service na na-trigger ng umaatake. NIST SP 800-63B tinalakay ang throttling at paghawak ng paulit-ulit na nabigong mga pagtatangkang pagpapatotoo bilang isang pangunahing kontrol, dahil binabawasan nito ang posibilidad ng mabilis na paghuhula.

Simulan sa NLA at kalinisan ng account

NLA ay isang baseline para sa RDP dahil nangangailangan ito ng authentication bago ganap na maitatag ang session. Hindi nito mapipigilan ang password spraying sa sarili nito, ngunit binabawasan nito ang exposure at nasayang na mga mapagkukunan kumpara sa pagpapahintulot sa mga hindi authenticated na session na umusad pa.

Pagkatapos ay talakayin ang mga batayan ng pagkakakilanlan na pinagsasamantalahan ng brute force: alisin ang mga hindi kinakailangang karapatan ng admin, ipatupad ang pinakamababang pribilehiyo, at linisin ang mga luma o hindi na ginagamit na account. Kung mayroon kang mga halatang o ibinabahaging lokal na account ng admin, palitan ang mga ito, limitahan ang mga lugar kung saan sila maaaring mag-sign in, at isaalang-alang ang pagpapalit ng pangalan o pag-disable ng mga account na hindi nangangailangan ng interactive login. Panatilihing mahigpit ang mga Remote Desktop Users at lokal na Administrators, lalo na sa mga server na nagho-host ng sensitibong data.

Lockout at throttling: bakit mahalaga ang pag-tune

Ang mga setting ng Windows Account Lockout Policy ay karaniwang ginagamit upang bawasan ang tagumpay ng brute-force, at Nagtatala ang Microsoft Learn ng mga pangunahing termino : limitasyon ng lockout, tagal ng lockout, at reset counter. Ang kapalit ay availability. Maaaring sadyang i-trigger ng mga umaatake ang mga lockout para sa mga tunay na gumagamit (o iyong helpdesk at mga admin) kung ang iyong limitasyon ay masyadong mababa at ang iyong exposure ay malawak.

Gamitin ang mga salik sa desisyon na ito kapag nag-aayos ka ng lockout at throttling:

• Gaano ka-exposed ang serbisyo? Kung ang RDP ay maaabot mula sa buong internet, mas malamang na magamit ang mga lockout bilang armas. Bawasan ang pagkakalantad muna, pagkatapos ay ayusin ang lockout.
• Paano nag-aauthenticate ang mga gumagamit? Ang isang gateway, VPN, o bastion ay maaaring bawasan ang pangangailangan para sa agresibong pag-lockout sa session host dahil mas kaunting hindi kilalang mapagkukunan ang makararating dito.
• Gaano kamahal ang isang lockout? Kung ang lockout ay nagiging sanhi ng outage para sa isang production support team, maaaring mas gusto mo ang rate limiting at IP-based bans kaysa sa mahigpit na account lockouts.
• Paano kumikilos ang mga shared account? Ang mga ibinahaging kredensyal ay nagpaparami ng epekto ng mga lockout. Alisin ang mga ibinahaging account kung posible.

Espesyal na kaso: nakabuilt-in na lokal na Administrator

Maraming kapaligiran ang may nakabuilt-in na lokal na Administrator account sa mga server at workstation, at ang pag-uugali nito sa pag-lockout ay naging madalas na sanhi ng kalituhan. Microsoft Support KB5020282 nagbibigay ng konteksto sa pag-lock ng account para sa mga nakabuilt-in na lokal na administrador, kabilang ang kung paano maaaring mag-apply ang pag-lock sa mga network logon tulad ng RDP depende sa configuration at bersyon. Huwag ipagpalagay na ang nakabuilt-in na Administrator ay kikilos nang katulad ng isang normal na account ng gumagamit, at subukan sa isang kontroladong paraan bago ka umasa sa pag-uugali ng pag-lock bilang pangunahing kontrol.

Para sa mga koponan na nais ng isang praktikal na layer ng pagpapalakas, ang TSplus Advanced Security ay may kasamang proteksyon laban sa brute-force na dinisenyo upang pigilan ang paulit-ulit na hindi awtorisadong mga pagtatangkang gawin sa antas ng host. Dapat itong kumpletuhin, hindi palitan, ang mga malalakas na patakaran sa pagpapatotoo ng Windows at maingat na pag-tune ng lockout.

Mga kontrol sa network na tumutulong (at ang mga labis na pinahahalagahan ng mga tao)

Ang mga kontrol sa network ay kadalasang ang pinakamabilis na pagpapabuti na maaari mong gawin, ngunit mayroon silang iba't ibang halaga sa totoong mundo. Ang patnubay ng Microsoft para sa mga isyu ng RDP brute-force (kabilang ang mga senaryo sa Azure) ay patuloy na inuuna ang paghihigpit sa inbound connectivity kaysa sa mga kosmetikong pagbabago.

Mataas na halaga: IP allowlisting. Kung maaari mong limitahan ang RDP sa mga kilalang address (mga IP ng opisina, mga saklaw ng VPN, mga bastion subnet, mga nakatakdang IP ng MSP), agad mong aalisin ang karamihan sa brute-force traffic. Ginagawa rin nitong mas makabuluhan ang iyong pagsubaybay dahil ang anumang natitirang pagkabigo ay nagmumula sa mas maliit na hanay ng mga pinagmulan.

Makatutulong nang may pag-iingat: mga kontrol batay sa heograpiya at reputasyon. Ang geo blocking at reputasyon ng IP ay maaaring bawasan ang ingay, ngunit maaari rin nilang harangan ang mga lehitimong gumagamit na naglalakbay, kumokonekta mula sa mga roaming network, o dumadaan sa CGNAT. Maaaring gumamit din ang mga umaatake ng VPN at proxies, kaya't ituring ang mga geo control bilang isang paraan ng pagbabawas ng panganib, hindi bilang isang garantiya.

Sobrang pagtataya: pagbabago ng RDP port. Ang pagpayag ng IP ay makabuluhang nagpapababa ng pagkakalantad sa RDP brute-force, habang ang pagbabago ng RDP port ay pangunahing nagpapababa ng opportunistic scanning at hindi dapat asahan bilang pangunahing proteksyon. Ang pagbabago ng port ay maaaring makabili ng oras sa panahon ng isang insidente, ngunit hindi nito tinutugunan ang password spraying mula sa isang determinado na aktor na maaaring matuklasan ang port.

Sa mga kapaligiran kung saan nais ng mga koponan ang mas simpleng pagpapatupad kaysa sa manu-manong pagpapanatili ng kumplikadong mga hanay ng patakaran, nagdadagdag ang TSplus Advanced Security proteksyon sa heograpiya at mga kontrol na batay sa IP na maaaring ilapat nang pare-pareho sa mga server.

Pagsubaybay at pagtuklas: ano ang dapat i-log, i-alerto, at imbestigahan

Ang brute force ay isa sa mga problemang tila halata sa pagtanaw sa nakaraan at mahal kapag nahuli mo ito ng huli. Ang layunin ng pagmamanman ay hindi upang bilangin ang bawat nabigong pag-login magpakailanman. Ito ay upang matukoy ang mga abnormal na pattern nang maaga at upang imbestigahan kung ang mga pagtatangkang iyon ay naging matagumpay na pag-sign in.

Subaybayan ang mga abnormal na pagtaas sa nabigong pag-login (madalas na Event ID 4625) at magbigay ng alerto sa mga pattern na nagpapahiwatig ng password spraying o isang matagumpay na follow-on na pag-login pagkatapos ng paulit-ulit na mga pagkabigo. Itinatampok ng gabay sa pag-troubleshoot ng brute-force ng Microsoft ang parehong artifact (4625) dahil ito ay isang praktikal na panimulang punto kapag ang mga administrador ay sumusubok na makuha muli ang access at maunawaan ang saklaw.

Para sa pang-araw-araw na operasyon, tumuon sa tatlong katanungan sa imbestigasyon:

Ang trapiko ba ay panlabas o panloob? Ang mga panlabas na IP na tumama sa isang pampublikong interface ay nagpapahiwatig ng mga isyu sa pagkakalantad. Ang mga panloob na IP ay maaaring magpahiwatig ng isang nakompromisong endpoint o isang maling nakonfigurang service account.

Isa bang account o marami? Isang account ang nagmumungkahi ng brute force. Maraming account na may mababang pagtatangkang bawat isa ang nagmumungkahi ng password spraying.

Nagtagumpay ba ang anumang account pagkatapos ng pagsabog? Ang matagumpay na pag-log in kaagad pagkatapos ng paulit-ulit na mga pagkabigo ay isang mataas na priyoridad na ugnayan na dapat imbestigahan, lalo na para sa mga pribilehiyadong account.

Kung hindi mo pa naisasentralisa ang mga log ng Windows, isaalang-alang ang Windows Event Forwarding o ang iyong umiiral na SIEM upang makapagbigay ka ng alerto sa maraming server nang pare-pareho. Para sa mga koponan na nangangailangan ng simple mga alerto at makasaysayang visibility sa panahon ng pagtaas ng atake , TSplus Server Monitoring maaaring makatulong sa iyo na subaybayan ang kalusugan at kakayahang magamit ng server kasama ang iyong pag-log ng seguridad.

Mga awtomatikong pamamaraan ng pag-block (at kung paano maiwasan ang maling positibo)

Ang manu-manong tugon ay hindi umaabot sa sukat kapag ang iyong mga host ay nakaharap sa internet. Ang awtomasyon ang lugar kung saan maraming koponan ang nakakakuha muli ng kontrol, basta't ito ay dinisenyo upang maging maibabalik at upang protektahan ang lehitimong pag-access. Ang pinakaligtas na awtomasyon ay humaharang sa mga paulit-ulit na nabigong pag-logon gamit ang mga time-bound na pagbabawal at malinaw na allowlists, at dapat itong isaalang-alang ang mga shared IP address upang maiwasan ang pagharang sa mga lehitimong gumagamit.

Ano ang hitsura ng automation sa praktika

Karaniwang mga diskarte ang kinabibilangan ng mga module ng firewall ng host na tumutukoy sa paulit-ulit na pagkabigo at pansamantalang ipinagbabawal ang isang IP, mga tampok ng EDR na tumutukoy sa pag-uugali ng paghuhula ng password, at mga script na nag-uuri ng mga log ng Seguridad at nag-aaplay ng mga dynamic na patakaran ng firewall. Ang mga kontrol na nakatuon sa Gateway (RD Gateway, VPN, bastion) ay madalas na nagpapababa sa pangangailangan para sa agresibong pag-block sa antas ng host dahil mas kaunting hindi kilalang mga mapagkukunan ang umabot sa server.

Kung saan nasusunog ang mga koponan

Shared NAT at CGNAT. Kung maraming lehitimong gumagamit ang nagmumula sa isang pampublikong IP (isang sangay na opisina, isang hotel network, ilang ISP), ang pag-block sa IP na iyon ay maaaring humadlang sa mga mabuting gumagamit kasama ng mga umaatake. Ang mga time-bound na pagbabawal at mga kilalang mabuting allowlist ay nagpapababa sa saklaw ng pinsala.

Blocking your own management path. Palaging isama ang iyong mga saklaw ng VPN, bastion subnet, at mga egress IP ng pamamahala ng MSP bago mo paganahin ang agresibong pag-block. I-dokumento ang isang break-glass na daan na hindi umaasa sa parehong ruta ng network.

Mga pagka-abala na dulot ng lockout. Kung ang tanging kontrol mo ay ang pag-lock ng account, maaring gawing denial of service ito ng mga umaatake. Ipares ang mga patakaran sa pag-lock sa pagbawas ng exposure at IP-based throttling upang hindi maging choke point ang host.

TSplus Advanced Security ay nagdaragdag ng praktikal na proteksyon laban sa brute-force. , IP at mga kontrol sa heograpiya, at pagpapalakas na nakatuon sa ransomware para sa mga Windows server, na makakatulong sa iyo na bawasan ang paulit-ulit na mga pagtatangkang pag-login sa RDP nang hindi nag-de-deploy ng mabigat na security stack.

Isang praktikal na batayan para sa mga kapaligiran ng SMB at MSP

Kailangan ng mga SMB at MSP ng isang baseline na maaaring ulitin, masubukan, at malamang na hindi makasira sa pang-araw-araw na operasyon. Sinusuportahan ng mga patnubay sa seguridad ng remote desktop ng Microsoft ang parehong pangkalahatang prinsipyo: bawasan ang direktang pagkakalantad, pagkatapos ay patatagin ang access at aktibong subaybayan.

• Tanggalin ang direktang pagkakalantad ng internet ng RDP kung posible, at i-route ang access sa pamamagitan ng VPN, gateway, o bastion patterns.
• Kung kinakailangan na manatiling maaabot ang RDP, limitahan ang papasok na access sa isang maliit na IP allowlist at suriin ito nang regular.
• I-enable ang Network Level Authentication (NLA) at mangailangan ng malakas, natatanging kredensyal para sa lahat ng interactive na gumagamit.
• Pahigpitin ang pribilehiyadong pag-access: bawasan ang pagiging miyembro ng lokal na admin at suriin ang pagiging miyembro ng mga Remote Desktop Users.
• Itakda ang Patakaran sa Pag-lock ng Account nang sinasadya (threshold, tagal, i-reset ang counter) at subukan ito upang maiwasan ang mga pagka-abala na dulot ng pag-lock.
• Subaybayan ang mga nabigong pag-logon (halimbawa, Event ID 4625) at agad na imbestigahan ang mga pattern ng tagumpay pagkatapos ng pagkabigo.
• Panatilihing na-update ang Windows, mga kaugnay na bahagi ng RDP, at mga serbisyong nakaharap sa internet ayon sa isang itinakdang iskedyul.
• Pag-access ng break-glass ng dokumento, kasama ang kung paano mo maibabalik ang access sa console kung ang mga patakaran sa network ay humaharang sa remote na pagpasok.

Kung nais mo ng isang nakabalangkas na pagsusuri, gamitin ang aming RDP Security Audit: Isang 20-Puntong Checklist para sa 2026 .

Para sa mga MSP, i-standardize ang maaari mong gawin (mga template ng GPO, mga baseline ng firewall, mga pinapayagang imbentaryo ng IP para sa pamamahala) at panatilihing malinaw na nakadokumento ang mga allowlist at mga pagbubukod na tiyak sa customer. Kung kailangan mo ng praktikal na layer ng pagpapalakas sa maraming server ng customer, ang TSplus Advanced Security ay maaaring i-deploy bilang bahagi ng isang pamantayang package ng seguridad para sa remote access, at ang TSplus Remote Access ay maaaring suportahan ang isang postura ng “huwag ipakita ang raw RDP nang direkta” para sa mga na-publish na aplikasyon at desktop.

FAQ

Ang pagbabago ng default na RDP port ba ay humihinto sa mga brute-force na pag-atake?

Ang pagbabago ng RDP port ay maaaring magpababa ng opportunistic scanning noise, at ang sariling gabay ng insidente ng Microsoft ay binanggit ito bilang isang pansamantalang mitigasyon sa ilang mga senaryo, ngunit hindi nito pinipigilan ang nakatutok na paghuhula. Ituring ito bilang isang pangalawang taktika at ituon muna ang pansin sa pagbawas ng exposure (allowlisting, gateway, VPN, bastion) at pagpapalakas ng authentication.

Ano ang mga setting ng patakaran ng Windows na pinakamahalaga para sa proteksyon laban sa brute-force ng RDP?

Simulan sa pag-enable ng NLA para sa RDP, pagtitiyak kung sino ang may karapatang mag-log on sa pamamagitan ng Remote Desktop, at pag-configure ng Account Lockout Policy (threshold, tagal, reset counter) ayon sa dokumentasyon ng Microsoft Learn. Ang mga malalakas na patakaran sa password at mga karapatan ng admin na may pinakamababang pribilehiyo ay nagpapababa rin ng pagkakataon na ang paghuhula ay humantong sa isang makabuluhang kompromiso.

Maaari bang pahinain ng mga setting ng pag-lock ng account ang mga outage ng RDP sa panahon ng isang atake?

Oo. Kung ang RDP ay malawak na na-expose, ang mga umaatake ay maaaring sadyang mag-trigger ng lockout para sa mga tunay na gumagamit, na nagiging problema sa denial-of-service. Iyon ang dahilan kung bakit ang inirerekomendang pagkakasunod-sunod ay bawasan ang exposure muna, pagkatapos ay i-tune ang lockout at throttling sa paraang nagbabalanse ng seguridad at availability.

Sapat ba ang Network Level Authentication (NLA) upang maprotektahan ang RDP?

NLA ay isang mahalagang batayan, ngunit hindi nito pinipigilan ang password spraying o credential stuffing sa sarili nito. Kailangan mo pa rin ng pagbawas ng exposure, malakas na credential hygiene, makatuwirang throttling o lockout behavior, at pagmamanman para sa hindi pangkaraniwang mga pattern ng pag-sign in.

Ano ang dapat kong subaybayan upang maagang matukoy ang mga pagtatangkang brute-force sa RDP?

Maghanap ng mga abnormal na spike sa mga nabigong pag-logon, na karaniwang nakikita bilang Event ID 4625, lalo na kapag nagmumula ito sa maraming panlabas na IP o nagta-target ng maraming username sa maikling panahon. Suriin din ang anumang matagumpay na pag-logon na nagaganap kaagad pagkatapos ng paulit-ulit na mga pagkabigo, dahil maaari itong magpahiwatig ng isang nahulaan o muling ginamit na password.

Konklusyon: unahin ang pagbawas ng exposure, pagkatapos ay patatagin at i-automate

Ang proteksyon laban sa brute force ng RDP ay hindi isang setting. Ito ay isang layered approach na pinakamahusay na gumagana sa ganitong pagkakasunod-sunod: bawasan o alisin ang direktang exposure, patatagin ang authentication (NLA, malalakas na kredensyal, pinakamababang pribilehiyo, makatuwirang lockout o throttling), mag-apply ng mga kontrol sa network na talagang naglilimita sa maabot, subaybayan ang mga makabuluhang pattern, at awtomatikong harangan nang maingat upang maiwasan ang mga maling positibo.

I-document ang iyong mga pagbabago, subukan ang mga ito sa labas ng oras ng negosyo kung posible, at tiyakin na ang iyong break-glass path ay gumagana pa rin pagkatapos ng mga pagbabago sa firewall at lockout. Kung nais mong gawing operational ang mga proteksyong ito na may mas kaunting manu-manong pagsisikap, makakatulong ang TSplus Advanced Security sa proteksyon laban sa brute-force at mga paghihigpit sa pag-access, at makapagbibigay ang TSplus Remote Access ng mas ligtas na modelo ng paghahatid para sa mga nailathalang Windows application at desktop sa pamamagitan ng isang web portal. Upang suriin, maaari kang download pagsubok at pagsusuri pagpepresyo .