Zdalny pulpit (RDP) wystawiony wprost do internetu to jedna z najczęściej atakowanych usług — automaty znajdują go w kilkanaście minut od udostępnienia i zaczynają zgadywać hasła. Zabezpieczenie RDP to kilka warstw, ale kolejność ma znaczenie: jedna zmiana realnie ratuje sytuację, reszta ją tylko wzmacnia.
1. Nie wystawiaj RDP do sieci — postaw VPN
To jedyny punkt, który zmienia grę. Pulpit powinien być dostępny dopiero po zestawieniu VPN, a port 3389 nie może być przepuszczony z internetu na serwer. VPN daje szyfrowany kanał i uwierzytelnienie, zanim ktokolwiek zobaczy ekran logowania Windows. Taki dostęp konfigurujemy w ramach sieci firmowych i VPN. Alternatywą jest brama RD Gateway z drugim składnikiem logowania. Gołe RDP na publicznym adresie nie da się obronić żadną inną zmianą z tej listy.
2. Wymuś NLA i porządne hasła
Network Level Authentication wymaga uwierzytelnienia, zanim powstanie sesja — odcina całą klasę ataków na sam ekran logowania. Do tego długie, unikalne hasła, brak kont współdzielonych i ograniczenie grupy „Użytkownicy pulpitu zdalnego" wyłącznie do osób, które faktycznie potrzebują dostępu. Wbudowanego administratora najlepiej wyłączyć z logowania zdalnego.
3. Ogranicz próby logowania
Najczęstszy atak na RDP to zgadywanie haseł. Ustaw blokadę konta po kilku nieudanych próbach, a na serwerze dołóż mechanizm, który po serii błędnych logowań (zdarzenie 4625) dodaje adres źródłowy do reguły blokującej w zaporze.
Uwaga na popularną poradę: CurrPorts od NirSoft bywa polecany jako narzędzie do „blokowania adresów IP" — to nieporozumienie. CurrPorts tylko pokazuje otwarte połączenia; nie czyta dziennika zdarzeń i niczego nie blokuje. Do blokowania służy zapora, do reakcji na zdarzenia — mechanizm po stronie serwera.
4. Zawęź regułę zapory
Nawet przy VPN warto ustawić zaporę tak, żeby RDP przyjmował połączenia tylko z podsieci VPN lub zaufanych adresów. Prosta zmiana, która ogranicza skutki ewentualnego błędu w konfiguracji sieci.
5. Aktualizuj system
Część najpoważniejszych luk w RDP dało się w ostatnich latach wykorzystać bez logowania — do czasu instalacji łatki. Aktualny system to warunek, nie dodatek.
6. Zmiana portu — tylko kosmetyka
Przeniesienie RDP z portu 3389 na inny bywa reklamowane jako „zabezpieczenie". To nie zabezpieczenie, tylko ograniczenie hałasu w logach — nie zatrzyma nikogo, kto przeskanuje serwer. Rób to najwyżej jako dodatek do punktów 1–5, nigdy zamiast nich.
Krótko
Najpierw schowaj RDP za VPN, potem wymuś NLA i mocne hasła, dalej ogranicz próby logowania i regułę zapory, a zmianę portu zostaw na koniec. Każda warstwa zmniejsza ryzyko, ale żadna nie zastąpi pierwszej. Całość poukładamy w ramach bezpieczeństwa IT.