RDP のブルートフォース対策を設定する

• RDP 保護について
• RDP 保護の有効化と設定
• RDP 検出の除外

RdpGuard はログイン失敗を検出し、設定したしきい値に達すると IP を自動ブロックしてリモートデスクトップを保護します。サーバーに合ったしきい値とブロック期間を設定してください。

RDP 設定で保護を有効にし、除外を設定します。ブロック通知を受け取るには、カスタムアクションを設定してください。

最初に推奨される監査設定を確認してください。RdpGuard は Windows の Security ログに記録された失敗を使用します。

1. RdpGuard ダッシュボードを開き、監視対象のプロトコルで RDP をクリックします。

   

2. RDP 設定で RDP 保護を有効にするをオンにし、保存をクリックします。

   

   RdpGuard は設定を保存し、サービスを再起動して適用します。

しきい値やブロック期間は、ツール, オプション, 全般で変更します。これらは RDP 専用ではなく、各モジュールで共通の設定です。

Windows Server 2012 以降では、送信元 IP が欠けている場合、リモートデスクトップサービスの RdpCoreTS ログも使用して取得します。以下のトラフィック設定は、Windows Server 2008 と 2008 R2 にだけ表示されます。

Windows Server 2008 / 2008 R2 のトラフィック監視

これらの旧 OS では、TLS による RDP の失敗に送信元 IP が含まれない場合があります。トラフィック監視を有効にすると、ネットワーク上でこれらの試行を検出できます。

• WinPcap/Npcap: 対応ドライバーが必要です。設定...をクリックし、RDP を受信するアダプターを選択します。WinPcap/Npcap のインストールと互換性、ネットワークアダプターの設定をご覧ください。
• Raw ソケット: キャプチャドライバーは不要です。設定...をクリックし、ローカルアドレスを選択します。Raw ソケットの設定と制限をご覧ください。
• RDP ポート: 空欄の場合は自動検出します。複数のポートは 3389, 3390 のようにコンマで区切って入力します。

保存をクリックして設定を適用します。

Windows イベント 4625 には、RDP 以外の失敗も含まれます。正当な操作がカウントされる場合は、フィールドを条件にイベントを除外します。RDP 設定から除外...を開いてください。構文と例は、セキュリティイベント 4625 の除外をご覧ください。

イベントの内容にかかわらず信頼できる IP を除外するには、許可リストに追加します。