Бесплатная защита терминального сервера от подбора пароля.

Самое верное решение — использовать виртуальную приватную сеть (VPN) на основе популярных протоколов как WireGuard или OpenVPN.

Но бывают условия, когда нет возможности применить VPN туннель и приходится открывать прямое подключение к терминальному серверу RDP.

Как узнать, что ваш RDP-сервер уже под атакой?

Ваш сервер сам расскажет об этом в своих логах. Для этого не нужны сложные программы — достаточно встроенных инструментов Windows.

Если Вы уверены в своих силах и не боитесь навредить серверу или просто хотите делать всё своими руками — Добро пожаловать в практическую часть.

Далее Я детально, по шагам, покажу:

• Короткий чек-лист перед настройкой.
• Как написать PowerShell-скрипт для автоматического бана IP.
• Как создать правило для отслеживания события 4625 через Планировщик задач.
• Как привязать это к брандмауэру Windows.

Короткий чек-лист перед настройкой.

1. Измените стандартный RDP-порт (3389 → другой)
   Большинство атак начинаются с автоматического сканирования интернета на открытый порт 3389. Если вы смените порт, например, на 33890 или 50001, часть старых ботов просто пройдут мимо, даже не попытавшись подключиться.
   Измените параметр PortNumber в реестре (HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp) и добавьте новое правило в брандмауэр.
2. Используйте сложные пароли для учётных записей пользователей. От 8 символов и более. Придумать пароль и запомнить его не сложно.
   Например : «КажетсяДождьСобирается!» будет хорошим паролем. @Rf;tnczLj;lmCj,bhftncz!@ Так он будет выглядеть в английской раскладке.
3. Не используйте стандартные имена учётных записей (например, admin, administrator, user1). И вообще отключите их! Это первое, что перебирает брутфорс-скрипт.
   Создайте учётные записи с уникальными, нестандартными именами, которые невозможно угадать (например, ivankrylov_adm или backup_operator_2025).

Пишем PowerShell-скрипт для автоматического бана IP.

Готовый скрипт который можно поправить под свой сервер.

$Last_n_Hours = [DateTime]::Now.AddHours(-5)
$log = «C:\PS\blocked_ip_rdp.txt«
$badRDPlogons = Get-EventLog -LogName ‘Security’ -after $Last_n_Hours -InstanceId 4625 | ?{$_.Message -match ‘Тип входа:\s+(3)\s’} | Select-Object @{n=’IpAddress’;e={$_.ReplacementStrings[-2]} }
$getip = $badRDPlogons | group-object -property IpAddress | where {$_.Count -gt 5} | Select -property Name
$current_ips = (Get-NetFirewallRule -DisplayName «BlockRDPBruteForce» | Get-NetFirewallAddressFilter ).RemoteAddress -split(«,»)
foreach ($ip in $getip)
{
if ($ip.name -and $ip.name -ne «-» -and !($current_ips -contains $ip.Name)) {
$current_ips += $ip.name
(Get-Date).ToString() + ‘ ‘ + $ip.name + ‘ IP заблокирован за ‘ + ($badRDPlogons | where {$_.IpAddress -eq $ip.name}).count + ‘ попыток за 5 часов’>> $log # запись события блокировки IP адреса в лог файл
}
}
Set-NetFirewallRule -DisplayName «BlockRDPBruteForce» -RemoteAddress $current_ips

Для его внедрения без редактирования, необходимо будет создать рабочую директорию «PS» на системном диске. Обычно это выглядит так C:/PS
Создайте текстовый документ и скопируйте в него полностью текс готового скрипта. Сохраните данный документ как «blockIP.ps1» в папку C:/PS
Готово! У Вас теперь есть скрипт который будет добавлять IP адрес в чёрный список брандмауэра Windows всех кто более 6 раз в течении 5 часов ввёл не верно комбинацию Логин\Пароль.
Так же, для удобства, извлечения IP адресов невнимательных пользователей из списка блокировок, предусмотрено логирование. Оно выполнено обычным текстовым документом в который записываются: Дата время IP адрес количество попыток за определённый период. Этот лог blocked_ip_rdp.txt будет записываться в той же рабочей директории где и скрипт.

Создаём правило для отслеживания события 4625 через Планировщик заданий.

PowerShell-скрипт сам по себе — только исполняемый код. Для его автоматического исполнения, необходимо создать в планировщике заданий Windows задачу на активацию скрипта при появлении в журнале Windows события 4625.
Запускаем планировщик заданий. Нажимаем «Создать простую задачу…». Называем «blockip» (описание по желанию) Далее. На вопрос «Когда вы хотите запускать задачу?» выбираем пункт «При занесении в журнал указанного события» Далее. Журнал: «Безопасность», Источник: «Microsoft Windows security auditing.», Код события: «4625» Далее.

Выбираем действие для задачи: «Запустить программу» Далее. Программа или сценарий, жмём кнопку Обзор… и выбираем созданный нами PowerShell-скрипт «blockIP.ps1» в папке C:/PS Открыть и Далее. В завершении жмём кнопку Готово.
В планировщике заданий Windows появится созданная задача. Необходимо зайти в неё для смены Параметра безопасности при выполнении задачи использовать следующую учётную запись пользователя и Изменить её на СИСТЕМА. Так же необходимо установить пункт Выполнять с наивысшими правами ОК.

На этом мы закончили создавать правило для отслеживания события 4625.

Сейчас будем привязывать это к брандмауэру Windows.

Мы создали PowerShell-скрипт и автоматизировали его срабатывание. Теперь мы создадим правило в брандмауэре Windows в которое будут добавляться блокировки выполняемые скриптом.
Заходим в Брандмауэр Windows. В нём выбираем «Дополнительные параметры». В «Правилах для входящий подключений» Создаём правило…

---