Konfiguration des RDP-Brute-Force-Schutzes

• Überblick über den RDP-Brute-Force-Schutz
• RDP-Brute-Force-Schutz aktivieren und konfigurieren
• Ausnahmen für die RDP-Erkennung

RdpGuard schützt Remotedesktopserver vor Brute-Force-Angriffen, indem fehlgeschlagene Anmeldeversuche erkannt und IP-Adressen beim Erreichen des konfigurierten Grenzwerts automatisch gesperrt werden. Sie können den Grenzwert und die Sperrdauer an Ihren Server anpassen.

Verwenden Sie die RDP-Einstellungen, um den Schutz zu aktivieren und Erkennungsausnahmen zu konfigurieren. Für Benachrichtigungen beim Sperren einer Adresse können Sie eine benutzerdefinierte Aktion konfigurieren.

Prüfen Sie vor dem Beginn die empfohlenen Überwachungsrichtlinien. RdpGuard erkennt Anmeldeversuche anhand fehlgeschlagener Anmeldungen im Windows-Sicherheitsprotokoll.

1. Öffnen Sie RdpGuard-Dashboard und klicken Sie auf RDP unter Überwachte Protokolle.

   

2. Im Dialogfeld RDP-Einstellungen wählen Sie RDP-Schutz aktivieren und klicken Sie auf Speichern.

   

   RdpGuard speichert Ihre Einstellungen und startet seinen Dienst neu, um sie anzuwenden.

Um den Grenzwert für fehlgeschlagene Versuche oder die Sperrdauer zu ändern, öffnen Sie Extras, Optionen, Allgemein. Diese Sperreinstellungen gelten gemeinsam und sind keine eigenen RDP-Grenzwerte.

Unter Windows Server 2012 und neuer verwendet RdpGuard zusätzlich das RdpCoreTS-Protokoll der Remotedesktopdienste, um die Quell-IP-Adresse zu ermitteln, wenn sie im fehlgeschlagenen Anmeldeereignis fehlt. Die folgenden Steuerelemente zur Datenverkehrsüberwachung erscheinen nur unter Windows Server 2008 und 2008 R2.

Datenverkehrsüberwachung unter Windows Server 2008 und 2008 R2

Auf diesen älteren Systemen kann bei fehlgeschlagenen RDP-Verbindungen über TLS die Quell-IP-Adresse im Sicherheitsprotokoll fehlen. Aktivieren Sie die Datenverkehrsüberwachung, um diese Versuche anhand des RDP-Netzwerkverkehrs zu erkennen.

• WinPcap/Npcap: Erfordert einen kompatiblen Treiber zur Paketerfassung. Klicken Sie auf Konfigurieren... , um den Netzwerkadapter auszuwählen, der RDP-Verbindungen empfängt. Siehe Installation und Kompatibilität von WinPcap/Npcap und Konfiguration des Netzwerkadapters.
• Raw Sockets: Erfordert keinen Treiber zur Paketerfassung. Klicken Sie auf Konfigurieren... , um die zu überwachenden lokalen Adressen auszuwählen. Siehe Konfiguration und Einschränkungen von Raw Sockets.
• RDP-Ports: Lassen Sie das Feld leer, um den RDP-Port automatisch zu erkennen, oder geben Sie mehrere durch Kommas getrennte Ports ein, zum Beispiel 3389, 3390.

Klicken Sie auf Speichern, um die Einstellungen anzuwenden.

Windows-Sicherheitsereignis 4625 kann fehlgeschlagene Anmeldungen über RDP und aus anderen Quellen beschreiben. Wenn berechtigte Aktivitäten als fehlgeschlagene Versuche gezählt werden, können Sie bestimmte Ereignisse anhand ihrer Felder ausschließen. Öffnen Sie RDP-Einstellungen und klicken Sie auf Ausschlüsse.... Siehe Sicherheitsereignisse ausschließen (Ereignis-ID 4625) mit Regelsyntax und Beispielen.

Um eine vertrauenswürdige IP-Adresse unabhängig von Ereignisdetails nicht zu sperren, fügen Sie sie der Whitelist hinzu.