divitКоротко: RDP не должен быть открыт в интернет. Уберите проброс порта 3389 на роутере и пускайте сотрудников через VPN, включите проверку подлинности на уровне сети (NLA), настройте блокировку учётной записи после неудачных попыток и следите за событием 4625 в журнале безопасности.
Если сервер или компьютер с удалённым рабочим столом (RDP, порт 3389) доступен из интернета, его пароли подбирают круглосуточно — автоматически, со всего мира. Именно так шифровальщики чаще всего попадают в небольшие компании. Смена порта на «нестандартный» не помогает: сканеры находят RDP на любом порту.
Шаг 1. Проверьте, открыт ли RDP наружу
Зайдите на нашу проверку портов из офиса. Если в результатах есть 3389 или любой другой порт с удалённым рабочим столом — продолжайте по инструкции.
Шаг 2. Уберите проброс порта и дайте доступ через VPN
Правильная схема: на роутере нет правила, которое пробрасывает RDP из интернета, а сотрудники сначала подключаются к VPN и только потом — к удалённому рабочему столу. Для MikroTik есть наша инструкция по настройке WireGuard. Если VPN сейчас невозможен — хотя бы разрешите подключение только с известных IP-адресов.
Шаг 3. Включите проверку подлинности на уровне сети (NLA)
Свойства системы → вкладка «Удалённый доступ» → отметьте «Разрешить подключения только с компьютеров, на которых работает удалённый рабочий стол с проверкой подлинности на уровне сети». NLA проверяет пароль до создания сеанса и закрывает целый класс уязвимостей.
Шаг 4. Настройте блокировку учётной записи
Локальная политика безопасности (secpol.msc) или групповая политика домена → Политики учётных записей → Политика блокировки учётной записи:
- Пороговое значение блокировки — 10 неудачных попыток;
- Продолжительность блокировки — 15 минут;
- Сброс счётчика блокировки — через 15 минут.
Шаг 5. Наведите порядок в учётных записях
- Длинные пароли (от 12 символов) у всех, кто может входить по RDP.
- Встроенную учётную запись «Администратор» переименуйте или отключите — её подбирают первой.
- В группе «Пользователи удалённого рабочего стола» — только те, кому это действительно нужно. Уволенные сотрудники — отключены.
Шаг 6. Посмотрите журналы
Журнал Windows «Безопасность», событие 4625 — неудачный вход. Сотни таких событий в час с незнакомых адресов означают, что подбор уже идёт. Событие 4624 с типом входа 10 — успешный вход по RDP: проверьте, нет ли среди них подозрительных.
Если подозреваете, что вход уже был
Не перезагружайте сервер и не удаляйте файлы — отключите его от сети и позовите специалиста. Сначала нужно понять, что произошло, и проверить резервные копии.
Если некому заниматься защитой удалённого доступа постоянно, эту работу можно передать инженерам: так устроен ИТ-аутсорсинг в Москве, где настройка RDP, VPN и мониторинг входят в обслуживание.
Частые вопросы
Поможет ли смена порта RDP? Нет. Сканеры находят удалённый рабочий стол на любом порту, поэтому защищает не смена порта, а закрытие доступа из интернета и VPN.
Как понять, что пароль уже подбирают? В журнале Windows «Безопасность» сотни событий 4625 (неудачный вход) в час с незнакомых адресов означают, что подбор идёт.
Что делать, если подозреваете успешный вход? Не перезагружайте сервер и не удаляйте файлы: отключите его от сети и позовите специалиста, а затем проверьте резервные копии.