RDP (Remote Desktop Protocol) — протокол Microsoft для подключения к графическому рабочему столу компьютера с Windows по сети, по умолчанию через TCP-порт 3389.
Как работает RDP
RDP позволяет администраторам и сотрудникам работать на удалённом компьютере так, будто они сидят за ним: сервер передаёт изображение экрана, клиент — нажатия клавиш и движения мыши. Протокол встроен в Windows и широко используется для администрирования серверов, удалённой работы и поддержки. Современные версии шифруют трафик с помощью TLS и поддерживают Network Level Authentication (NLA), требующую входа до создания полноценной сессии.
Почему RDP — главный вектор атак
Сотни тысяч RDP-серверов доступны прямо из интернета, и многие защищены только паролем. Поэтому RDP — один из самых частых векторов первоначального доступа для программ-вымогателей:
- Перебор и распыление паролей — боты постоянно пробуют популярные пароли к открытому RDP, см. брутфорс.
- Украденные учётные данные — брокеры первоначального доступа продают рабочие RDP-доступы на преступных форумах.
- Уязвимости — BlueKeep (CVE-2019-0708) была «червеобразной» уязвимостью удалённого выполнения кода без аутентификации в старых версиях Windows.
Внутри сети атакующие используют RDP и для горизонтального перемещения с украденными учётными данными администраторов, потому что RDP-сессии выглядят как обычное администрирование.
Как защитить RDP
- Никогда не открывать RDP напрямую в интернет; размещать его за VPN или шлюзом RD Gateway с MFA.
- Включить NLA, политики блокировки учётных записей и надёжные уникальные пароли.
- Ограничить круг пользователей и адресов, которым разрешено подключение, и отключить RDP там, где он не нужен.
- Своевременно обновлять Windows и отслеживать в журналах множество неудачных входов и необычные RDP-подключения.
