Что было. На сервере с включённым удалённым рабочим столом каждые несколько минут события 4625 «Не удалось выполнить вход» с именами вроде ADMIN1, test, scan, наборами случайных символов, тип входа 3 или 10. Автор беспокоился, что это признак взлома.
Что это. Автоматический перебор паролей: любой адрес с открытым портом RDP получает его через часы после появления в сети, десятки тысяч попыток в сутки норма, а не признак целевой атаки. Опасность не в записях журнала, а в том, что рано или поздно перебор угадает слабый пароль у забытой учётной записи.
Что предложили в принятом ответе. Ужесточить NTLM: «Уровень проверки подлинности LAN Manager» → «Отправлять только NTLMv2», и «Ограничения NTLM: входящий трафик NTLM» → «Запретить все учётные записи». Комментатор позже предупредил: полный запрет входящего NTLM на сервере вне домена ломает NLA для RDP (CredSSP опирается на NTLM), и нужно проверять в тестовой среде. Мы согласны: это мера для доменных серверов с Kerberos, а не универсальный рецепт.
Что работает на любом сервере, по убыванию эффекта.
- Не держать порт RDP открытым для всего интернета. Ограничить входящие подключения списком адресов в брандмауэре Windows (область правила «Удалённый рабочий стол») или на уровне площадки. Если адреса пользователей меняются, вынести вход за шлюз удалённых рабочих столов (RD Gateway, HTTPS с проверкой сертификата) либо разрешить его только из внутренней сети площадки. После этого поток 4625 прекращается полностью.
- NLA включена (по умолчанию так): перебор упирается в проверку до создания сессии, нагрузка на сервер минимальна.
- Политика блокировки учётных записей: 10 неверных попыток → блокировка на 15 минут. Замедляет перебор в сотни раз. Для встроенного администратора блокировка работает только с Windows Server 2019+ при явной настройке; лучше переименовать его и завести именованные учётные записи.
- Длинные пароли или ключи/второй фактор для всех, кто может входить по RDP; удалить неиспользуемые учётные записи, отключить гостевые.
- Автоблокировка адресов по журналу: задача планировщика на событие 4625, добавляющая адрес источника в блокирующее правило брандмауэра после N попыток, либо готовые утилиты такого рода. Помогает, когда пункт 1 невозможен.
- Смена порта снижает шум от самых примитивных сканеров, но не защищает; считать её косметикой.
Как понять, что перебор уже успешен. События 4624 (успешный вход) с типом 10 от незнакомых адресов, новые учётные записи (4720), добавления в администраторы (4732), задачи планировщика (4698). Их стоит проверить один раз при настройке оповещений и дальше отслеживать автоматически.
Рекомендации по защите RDP описаны в документации Microsoft.