امنیت RDP؛ محافظت از سرور ویندوز در برابر حملات حدس رمز

پورت ۳۳۸۹ یکی از پرهدف‌ترین پورت‌های اینترنت است. چند دقیقه پس از راه‌اندازی هر سرور ویندوزی، ربات‌ها شروع به حدس زدن رمز Administrator می‌کنند و RDP باز با رمز ضعیف، یکی از مسیرهای اصلی نفوذ باج‌افزارهاست. در این راهنما امنیت RDP را لایه‌به‌لایه بالا می‌بریم: از رمز و قفل حساب تا محدود کردن IP، NLA، VPN و پایش ورودها.

چرا RDP هدف حمله است؟

RDP دسترسی کامل به دسکتاپ سرور می‌دهد. مهاجمی که وارد شود، می‌تواند داده‌ها را سرقت کند، باج‌افزار اجرا کند یا از سرور برای حمله به دیگران استفاده کند. حملات رایج: حدس رمز (Brute Force)، استفاده از رمزهای نشت‌یافته و سوءاستفاده از آسیب‌پذیری‌های وصله‌نشده. نشانه حمله در Event Viewer، صدها یا هزاران رویداد ورود ناموفق است.

رمز قوی و حساب‌ها

• رمز طولانی (دست‌کم ۱۴ کاراکتر) و یکتا که در هیچ سرویس دیگری استفاده نشده؛ یک مدیر رمز این کار را ساده می‌کند.
• برای کار روزمره یک کاربر جداگانه بسازید و فقط کاربرانی را که لازم است در گروه «Remote Desktop Users» قرار دهید.
• حساب‌های بلااستفاده و حساب Guest را غیرفعال کنید.
• تغییر نام Administrator ربات‌هایی را که فقط همین نام را امتحان می‌کنند ناکام می‌گذارد، اما جایگزین رمز قوی نیست.

قفل حساب پس از تلاش ناموفق

در secpol.msc › Account Policies › Account Lockout Policy:

• Account lockout threshold: مثلاً ۵ تلاش ناموفق.
• Account lockout duration: مثلاً ۱۵ دقیقه.
• Reset account lockout counter after: ۱۵ دقیقه.

نسخه‌های جدید ویندوز سرور این سیاست را برای Administrator محلی هم اعمال می‌کنند. توجه کنید که حمله گسترده ممکن است حساب شما را هم قفل کند؛ به همین دلیل محدود کردن IP (بخش بعد) مهم‌تر است.

فعال بودن NLA

Network Level Authentication کاربر را پیش از ساخت نشست کامل احراز می‌کند؛ بار سرور در حملات کمتر و سطح حمله محدودتر می‌شود. در System Properties › Remote، گزینه «Allow connections only from computers running Remote Desktop with Network Level Authentication» باید فعال باشد. همه کلاینت‌های به‌روز از آن پشتیبانی می‌کنند.

محدود کردن دسترسی با فایروال

مؤثرترین اقدام: RDP فقط از IPهای مشخص در دسترس باشد. اگر IP ثابت دارید، در PowerShell (با دسترسی Administrator):

New-NetFirewallRule -DisplayName "RDP from office" -Direction Inbound -Protocol TCP -LocalPort 3389 -RemoteAddress 198.51.100.25 -Action Allow
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Disable-NetFirewallRule

ترتیب مهم است: ابتدا قانون جدید را بسازید و اتصال را از IP مجاز تست کنید، سپس قوانین عمومی را غیرفعال کنید. همیشه کنسول پنل سرور را به‌عنوان راه ورود اضطراری در نظر داشته باشید. فایروال شبکه یا ارائه‌دهنده هم لایه دیگری است؛ توضیح در امنیت شبکه.

RDP پشت VPN یا Gateway

اگر IP ثابت ندارید یا کاربران زیادی دارید، RDP را اصلاً به اینترنت باز نگذارید:

• VPN: مثلاً WireGuard روی سرور یا یک سرور جداگانه؛ RDP فقط از شبکه VPN در دسترس است.
• شبکه خصوصی: اگر چند سرور دارید، اتصال از طریق شبکه خصوصی؛ توضیح در شبکه خصوصی VPS.
• RD Gateway: اتصال RDP از طریق HTTPS با امکان احراز دومرحله‌ای؛ برای سازمان‌ها.

تغییر پورت: کمک می‌کند؟

تغییر پورت ۳۳۸۹ تعداد تلاش‌های ربات‌های ساده را به‌شدت کم می‌کند و لاگ‌ها را تمیزتر می‌کند، اما اسکنرهای جدی پورت جدید را پیدا می‌کنند. آن را در کنار اقدامات دیگر انجام دهید، نه به‌جای آن‌ها. برای تغییر، مقدار PortNumber در مسیر رجیستری HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp را تغییر دهید، پیش از ری‌استارت قانون فایروال پورت جدید را بسازید و سپس سرویس را ری‌استارت کنید.

پایش ورودها

• Event Viewer › Windows Logs › Security: رویداد ۴۶۲۵ ورود ناموفق و ۴۶۲۴ ورود موفق است؛ Logon Type ۱۰ یعنی ورود از RDP.
• ورود موفق از IP ناشناس را جدی بگیرید: فوراً رمزها را تغییر دهید و سرور را بررسی کنید.
• ابزارهایی وجود دارند که مثل Fail2ban در لینوکس، IPهای مهاجم را خودکار در فایروال مسدود می‌کنند؛ فقط از منابع معتبر نصب کنید.
• هشدار مصرف غیرعادی CPU و ترافیک خروجی می‌تواند نشانه سوءاستفاده باشد؛ مانیتورینگ سرور را فعال کنید.

به‌روزرسانی و بکاپ

• Windows Update را فعال نگه دارید؛ چند آسیب‌پذیری جدی RDP در گذشته فقط با وصله رفع شده‌اند.
• Microsoft Defender را فعال نگه دارید.
• بکاپ منظم و جدا از سرور داشته باشید؛ در برابر باج‌افزار، بکاپ خارج از دسترس سرور آخرین خط دفاع است. توضیح در بکاپ سرور.

سوالات متداول