Oçiq RDP’li Windows-serverni yaratilgandan keyingi birinçi soatlardayoq parol böyiça tanlay boşlaşadi — bu istalgan yangi serverning hodisalar jurnalida körinadi. Quyidagi yettita sozlama taxminan 30 daqiqa oladi va deyarli barça avtomatik hujumlarni kesib taşlaydi.
1. Standart 3389 portni özgartiring
Botlar internetni aynan 3389 port böyiça skanerlaydi. RDP’ni nostandart portga (masalan, 53389) köçiriş serverni daxlsiz qilmaydi, lekin şovqinning 90 % ini olib taşlaydi. Reestrda özgartiriladi: HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp, PortNumber parametri. Windows brandmauerida yangi portni oçib, eskisini yopişni unutmang.
2. Muvaffaqiyatsiz urinişlardan keyin bloklaşni yoqing
Mahalliy xavfsizlik siyosati → Hisob yozuvlari siyosati → Bloklaş siyosati: 5 uriniş çegarasi, 30 daqiqaga bloklaş. Soatiga minglab uriniş tezligidagi parol tanlaş soatiga 10 urinişga aylanadi.
3. IP böyiça kirişni çeklang
Eng samarali çora. RDP uçun brandmauer qoidasida «Masofaviy IP-manzillar»ni körsating — faqat ofisingiz va haqiqatda ulanadiganlarning manzillari. Xodimlarning manzillari dinamik bölsa, provayder diapazonini qoldiring yoki servergaça VPN işlating — şunda RDP umuman internetga qaramaydi.
4. Administrator’ni öçiring yoki nomini özgartiring
Barça luğat hujumlari Administrator loginiga boradi. Boşqa nomli va administrator huquqli foydalanuvçi yarating, standart hisob yozuvini esa öçiring. Xodimlar uçun administrator huquqisiz alohida foydalanuvçilar oçing — 1C yoki Excel’da işlaş uçun ular kerak emas.
5. Murakkab parollar — istisnosiz
12 va undan köp belgi, turli registrdagi harflar, raqamlar, maxsus belgilar. Qwerty123 va Server2024! kabi parollar har bir luğatda bor. Foydalanuvçilar oddiy parol qöya olmasligi uçun parol siyosatida murakkablik talabini yoqing.
6. NLA’ni yoqing
Network Level Authentication RDP sessiyasi örnatilişidan oldin parol kiritişni talab qiladi — server avtorizatsiyasiz ulanişlarga resurs sarflamaydi va kiriş ekranini har kimga körsatmaydi. Tizim xususiyatlari → Masofaviy kiriş → «Faqat tarmoq darajasida haqiqiylikni tekşiriş bilan ulanişlarga ruxsat beriş». Yangi versiyalarda sukut böyiça yoqilgan — heç kim öçirmaganini tekşiring.
7. Yangilanişlar va zaxira nusxalar
RDP’ning kritik zaifliklari (BlueKeep va şunga öxşaş) Windows yangilanişlari bilan yopiladi. Heç bölmaganda xavfsizlik yangilanişlarini avtomatik örnatişni yoqing. Va har qanday özgarişdan oldin server snapşotini oling — bizda snapşotlar pullik opsiya sifatida ulanadi, orqaga qaytariş bir daqiqa oladi.
Yana nima qiliş mumkin
- RDP şlyuzi yoki VPN — server internetdan töğridan-töğri oçiq emas, xodimlar avval VPN’ga ulanadi. Nozik ma’lumotli kompaniyalar uçun tavsiya qilamiz.
- Ikki faktorli autentifikatsiya — Duo kabi bepul yeçimlar yoki Windows Hello for Business örnatilgan vositalari.
- Kirişlar auditi — Security jurnalidagi 4624/4625 hodisalarini haftada bir köriş kim va qayerdan kirişga urinayotganini körsatadi.
Özingizni tekşiring
Security jurnalini oçing va bir kunlik 4625 (muvaffaqiyatsiz kiriş) hodisalarini filtrlang. Ular yuzlab bölsa — port standart va IP çeklanmagan. 1 va 3-qadamlardan keyin ular nol bölişi kerak.
Windows-serverni endigina rejalaştirayotgan bölsangiz — RDP’li Windows VPS sahifasida konfiguratsiyalar va litsenziyalar haqidagi savollarga javoblar bor. Brandmauer va portni sozlaş böyiça savollar bölsa — qöllab-quvvatlaşga yozing, maslahat beramiz.
Maqoladagi vazifada yordam kerakmi?
Konfiguratsiyani tanlaymiz, narxini hisoblaymiz va köçişda yordam beramiz.