Как защитить RDP от перебора

Remote Desktop Protocol (RDP) остается одним из самых популярных векторов атак злоумышленников. По данным экспертов, более 30% успешных атак шифровальщиков начинаются именно с компрометации RDP-соединений. Кибер Медиа вместе с экспертами разбираются, как правильно защитить удаленный доступ и какие меры действительно эффективны против современных угроз.

Почему открытый RDP — это приговор: статистика атак шифровальщиков через 3389

Протокол удаленного рабочего стола (RDP) изначально создавался для внутрикорпоративного использования, но массовый переход на удаленную работу превратил его в один из самых атакуемых сервисов в Интернете. Порт 3389 стал настоящей «мишенью номер один» для киберпреступников всех мастей — от начинающих скрипт-кидди до профессиональных групп вымогателей.

Ситуация усугубляется тем, что многие администраторы до сих пор считают RDP «безопасным по умолчанию» и не предпринимают адекватных мер защиты. Результат предсказуем: миллионы сканирований ежедневно, десятки тысяч успешных взломов и многомиллиардный ущерб от атак шифровальщиков. Открытый в интернет порт 3389 в 2026 году фактически представляет собой «пригласительный билет» для злоумышленников в вашу инфраструктуру.

Максим Федосенко

Ведущий инженер-аналитик аналитического центра кибербезопасности компании «Газинформсервис»

Более 30% успешных атак шифровальщиков начинаются именно с компрометации протокола удаленного управления RDP. Порт 3389 является самой «обстреливаемой» точкой в сети Интернета — хакеры проходятся сканерами портов по типу Nmap и «дергают ручку от двери» удаленного доступа к вашей системе. Статистика по атакам Ransomware на 2026 год стабильно держит RDP в топ-3 векторов проникновения злоумышленников.

Особую опасность представляет то, что RDP имеет уязвимости на уровне процесса аутентификации NLA (Network Level Authentication) и возможность эксплуатации критических уязвимостей типа BlueKeep., что RDP имеет уязвимости на уровне процесса аутентификации NLA (Network Level Authentication) и возможность эксплуатации критических уязвимостей типа BlueKeep. Успешная компрометация RDP гарантированно дает прямой интерактивный доступ в систему, что делает его особенно привлекательным для атакующих. Популярность RDP среди злоумышленников объясняется массовой автоматизацией сканирования, возможностью brute-force атак, прямым доступом к рабочему столу после входа и простотой закрепления в инфраструктуре для развертывания шифровальщика.

Смена порта: мифы и реальность Security through obscurity

Концепция «безопасности через неизвестность» (Security through obscurity) давно считается дурным тоном в информационной безопасности, но до сих пор остается популярной среди системных администраторов. Смена стандартного порта RDP с 3389 на произвольный — классический пример такого подхода.

На первый взгляд, логика понятна: если злоумышленники сканируют стандартный порт, то нестандартный должен быть в безопасности. Однако это работало разве что в 90-х годах, когда вычислительные мощности и автоматизация были на порядки слабее. Сегодня полное TCP-сканирование всех 65535 портов на одном хосте занимает считанные минуты, а современные сканеры умеют определять протоколы по их сигнатурам независимо от номера порта.

Смена стандартного порта выигрывает всего пару минут времени и защищает только от самых примитивных ботов и начинающих взломщиков. Целенаправленное сканирование легко обнаружит RDP на любом порту.

Кирилл Лёвкин

Проджект-менеджер MD Audit (SL Soft FabricaONE.AI)

Смена порта с 3389 на нестандартный не является мерой безопасности в полном смысле слова. Это лишь снижение «шума» — сервис выпадает из самых примитивных массовых сканирований. Целенаправленные атаки и современные сканеры все равно находят RDP по сигнатурам.

Единственный реальный эффект от смены порта — снижение объема «мусорного» трафика в логах и временная защита от самых примитивных ботов. При этом полное сканирование занимает минуты, а целевые атаки используют комплексную разведку, из-за чего подобный подход создает лишь ложное ощущение безопасности.

Вывод: смена порта допустима как временная вспомогательная мера, но полагаться на нее как на основную защиту бесполезно и опасно.

Активная защита: установка IPban и EvlWatcher для автоматической блокировки

В отличие от пассивных мер вроде смены порта, активная защита RDP подразумевает реальное противодействие атакующим в режиме реального времени. Системы автоматической блокировки IP-адресов после неудачных попыток входа стали стандартом де-факто для защиты любых сервисов аутентификации.

Принцип работы таких систем основан на анализе системных журналов Windows (в частности, Security Log) и автоматическом создании блокирующих правил в Windows Firewall или на уровне сетевого оборудования. Это позволяет остановить brute-force атаки на самой ранней стадии, до того как злоумышленник успеет перебрать критическое количество паролей.

Максим Федосенко

Ведущий инженер-аналитик аналитического центра кибербезопасности компании «Газинформсервис»

Решения типа IPban и EvlWatcher мониторят Windows Event Logs (например, событие ID 4625) и при достижении лимита неудачных попыток скрипт динамически создает запрещающее правило в Windows Firewall или на внешнем роутере. Если кто-то трижды ошибся с паролем — его IP улетает в «черный список» на уровне брандмауэра. Это единственный способ остановить бесконечный перебор, который может длиться неделями, пока пароль не окажется подобранным из очередной слитой базы паролей.

Оптимальные настройки предполагают порог в 3-5 неудачных попыток за 5-10 минут, время блокировки от 1 часа до нескольких дней с экспоненциальным увеличением при повторных нарушениях, мониторинг события ID 4625 и автоматические уведомления администратора. Критически важна настройка белых списков для IP-адресов и сетей администраторов, чтобы исключить самоблокировку — особенно после смены паролей в Active Directory.

GeoIP-фильтрация: преимущества и ограничения блокировки целых стран

Географическая фильтрация трафика по IP-адресам представляет собой одну из наиболее спорных технологий сетевой безопасности. С одной стороны, статистика показывает, что значительная часть атак на RDP исходит из определенных географических регионов, где сосредоточены киберпреступные группы или слабо развито правоприменение в сфере киберпреступности. С другой стороны, современная инфраструктура интернета делает географическую привязку IP-адресов все менее надежной: VPN-сервисы, прокси-серверы и облачная инфраструктура размывают цифровые границы между странами.

Максим Федосенко

Ведущий инженер-аналитик аналитического центра кибербезопасности компании «Газинформсервис»

Прежде всего, это резкое снижение количества атак из-за рубежа и снижение нагрузки на CPU и сеть за счет отсечения пакетов на уровне ACL. Фильтрация на уровне пограничного шлюза (L7-фильтрация) эффективно отсекает ботнеты, распределенные по конкретным регионам. Но это не панацея от целевых атак, использующих резидентские прокси-серверы внутри РФ, или VPN-серверы, расположенные в России. Использование GeoIP имеет риск, связанный с неточностью баз и простотой обхода через локальные ботнеты.

Кирилл Лёвкин

Проджект-менеджер MD Audit (SL Soft FabricaONE.AI)

GeoIP-фильтрация позволяет резко сократить поверхность атаки, если доступ к RDP нужен только из определенных стран. Это эффективно против массовых атак и легко реализуется на сетевом уровне. Недостатки — ложное чувство безопасности и обход через VPN или прокси.

GeoIP-фильтрация способна снизить объем брутфорса на 60-80% и уменьшить нагрузку на сетевые ресурсы, однако легко обходится через VPN, а неточность геобаз создает риски блокировки легитимных пользователей — например, сотрудников в командировках. Применять ее следует как дополнительную меру, регулярно обновляя геобазы и предусматривая процедуры для легитимного доступа из заблокированных регионов.

Дополнительные меры защиты RDP-сервисов

Даже самая совершенная сетевая защита становится бесполезной, если уязвим сам защищаемый сервис. RDP имеет множество настроек безопасности, которые часто игнорируются администраторами, а правильная конфигурация протокола может стать решающим фактором в противостоянии атакующим. Современные реалии диктуют необходимость применения принципа глубокой обороны (defense in depth), когда каждый уровень инфраструктуры вносит свой вклад в общую безопасность.

Максим Федосенко

Ведущий инженер-аналитик аналитического центра кибербезопасности компании «Газинформсервис»

Один пароль и одно сетевое ограничение не способны обеспечить должный уровень защиты для RDP-сервиса. В современных реалиях использование многофакторной аутентификации является обязательным элементом даже для доступа к мессенджерам, не говоря уже о серверах. Важно также использовать принцип «минимальных прав» — когда бухгалтер не должен иметь прав доступа админа на сервере.

Кирилл Лёвкин

Проджект-менеджер MD Audit (SL Soft FabricaONE.AI)

Критически важно использовать сложные уникальные пароли, многофакторную аутентификацию, ограничение числа одновременных сессий и Network Level Authentication. Желательно отключать вход под локальными администраторами и вести детальный аудит событий входа. Отдельное внимание необходимо уделить своевременным обновлениям Windows и отключению RDP там, где он не нужен постоянно.

На уровне аутентификации необходимы MFA для всех пользователей, пароли длиной от 12 символов, принцип минимальных привилегий и отключение локальных административных аккаунтов. Сетевая защита строится на Network Level Authentication, RDP Gateway для инкапсуляции трафика в HTTPS и изоляции серверов в выделенном VLAN. Мониторинг должен включать аудит входов через SIEM, отслеживание аномальной активности и автоматические уведомления о входах с новых устройств. На уровне настроек Windows рекомендуется ограничить число одновременных сессий до 2-3, настроить автозавершение неактивных сессий через 15-30 минут и обеспечить регулярную установку обновлений безопасности.

Комплексная защита: как избежать типичных ошибок

Опыт расследования инцидентов показывает, что большинство успешных атак на RDP происходит не из-за отсутствия технических решений, а из-за системных ошибок в их применении. Организации нередко тратят значительные ресурсы на покупку дорогих средств защиты, но при этом допускают элементарные ошибки в настройке и эксплуатации. Человеческий фактор остается слабым звеном: администраторы под давлением бизнес-требований «временно» открывают порты, оставляют слабые пароли или игнорируют алерты мониторинга.

Максим Федосенко

Ведущий инженер-аналитик аналитического центра кибербезопасности компании «Газинформсервис»

Главные ошибки — это использование слабых или типовых паролей, отсутствие мониторинга попыток входа в систему по RDP, открытый и доступный из интернета 3389 порт, использование устаревших версий протокола RDP, игнорирование принципа «наименьших привилегий». Администраторов зачастую подводит «вера в волшебную таблетку» и позиция «у нас нечего воровать».

Кирилл Лёвкин

Проджект-менеджер MD Audit (SL Soft FabricaONE.AI)

Эффективная защита RDP строится на принципе слоев: VPN или jump-host вместо прямого доступа, фильтрация по IP или GeoIP, автоматическая блокировка перебора, усиленная аутентификация и мониторинг. Типичные ошибки: ставка на одну меру (например, смену порта), отсутствие журналирования, игнорирование алертов о переборе и оставленный «временно» открытый RDP.

«Золотой стандарт» защиты RDP — связка GeoIP + VPN + MFA + IPban, способная защитить от 70% типовых атак. Многослойная архитектура строится на четырёх уровнях: сетевая изоляция через VPN и jump-серверы с GeoIP-фильтрацией, активная блокировка brute force через IPban с мониторингом аномалий, усиленная аутентификация через MFA и сертификаты устройств, и наконец, полноценный аудит через SIEM с корреляцией событий.

Критические ошибки, которых следует избегать: полагаться только на смену порта, отсутствие мониторинга попыток входа, слабые или повторно используемые пароли, игнорирование обновлений безопасности, избыточные привилегии у пользователей RDP и «временные» решения, которые становятся постоянными.

Чек-лист защиты RDP

Обязательный минимум

• Включить многофакторную аутентификацию
• Установить автоблокировку после 3-5 неудачных попыток
• Настроить доступ только через VPN
• Включить детальное логирование

Дополнительные меры

• GeoIP-фильтрация нежелательных стран
• Сложные уникальные пароли (12+ символов)
• Регулярные обновления безопасности
• Мониторинг подозрительной активности

Чего избегать: не полагаться только на смену порта, не игнорировать алерты, не использовать слабые пароли

Заключение

Защита RDP в 2026 году — это уже не вопрос выбора, а необходимость. Статистика неумолима: каждый третий случай заражения шифровальщиками связан с компрометацией удаленного доступа. При этом эффективная защита не требует астрономических бюджетов или сложнейших технологий — она требует системного подхода и понимания реальных угроз.

Ключевой вывод прост: не существует единственного универсального решения. Смена порта без дополнительных мер — это самообман, одна только GeoIP-фильтрация легко обходится через VPN, а даже самая совершенная система блокировки бессильна против украденных учетных данных. Настоящая безопасность строится на сочетании технических решений, грамотных настроек и постоянного мониторинга. Инвестиции в безопасность RDP сегодня — это страховка от потери данных, простоя бизнеса и репутационного ущерба завтра.