如何阻止对终端服务器 (Win2008R2) 的蛮力攻击？

Question

我更熟悉阻止蛮力攻击的 Linux 工具，所以我很难找到适合 Windows 的工具。我正在运行带有终端服务器的 Windows Server 2008 R2，我想在反复尝试通过 RDP 登录后阻止 IP。任何提示？

Answer 1

如果仅使用速率限制，您确实应该在边缘防火墙上阻止这些尝试。如果你没有能力做到这一点，请继续阅读。

如果您无法阻止边缘防火墙并且需要仅对 Internet 的一个子集开放 RDP，请使用内置的 Windows 防火墙功能来锁定传入连接。

最后，如果你真的必须让 RDP 对整个互联网开放，你可以看看我在github 存储库中的Windows SSH 蛮力阻止程序的修改版本。此脚本 ts_block 可阻止 Windows Server 2003、2008 和 2008 R2 上的蛮力终端服务登录尝试。不幸的是，由于对 RDP 使用 TLS/SSL 安全层时 Windows 记录的事件发生了变化，此脚本变得越来越无效。（为什么 Microsoft 选择省略尝试进行身份验证的主机的 IP 地址超出我的范围。似乎这将是一个非常重要的记录，是吗？）

Answer 2

如前所述，要停止 rdp 登录尝试，您需要控制防火墙以隔离特定 ip。您可以在管理工具 -> 终端服务管理器中进行一些设置，但无法以这种方式停止一个 ip。也许您必须考虑使用批处理脚本来侦听 rdp 端口​​并控制登录失败，因此，如果同一 ip 进行了多次尝试（您选择了数字...），那么在已知时间跨度内没有其他尝试可以是。我不确定这是否可能，但可能是一种方式......