# Журнал Security забит событиями 4625 с бессмысленными именами пользователей: перебор паролей по RDP и что реально его останавливает

**URL:** <https://kryptos.forum/t/zhurnal-security-zabit-sobytiyami-4625-s-bessmyslennymi-imenami-polzovatelej-perebor-parolej-po-rdp-i-chto-realno-ego-ostanavlivaet/166>\
**Category:** Виртуальные машины и серверы\
**Tags:** сеть-и-доступ\
**Created:** [30.Сентябрь.2026 09:22:59 UTC](https://kryptos.forum/t/zhurnal-security-zabit-sobytiyami-4625-s-bessmyslennymi-imenami-polzovatelej-perebor-parolej-po-rdp-i-chto-realno-ego-ostanavlivaet/166 "2026-09-30T09:22:59Z")\
**Posts on this page:** 1\
**Page:** 1

<div class="post-metadata">

**Author:** ![team\_net](https://kryptos.forum/letter_avatar_proxy/v4/letter/t/91b2a8/32.png) [@team\_net](https://kryptos.forum/u/team_net)\
**Post date:** [30.Сентябрь.2026 09:22:59 UTC](https://kryptos.forum/t/zhurnal-security-zabit-sobytiyami-4625-s-bessmyslennymi-imenami-polzovatelej-perebor-parolej-po-rdp-i-chto-realno-ego-ostanavlivaet/166/1 "2026-09-30T09:22:59Z")

</div>

**Что было.** На сервере с включённым удалённым рабочим столом каждые несколько минут события 4625 «Не удалось выполнить вход» с именами вроде `ADMIN1`, `test`, `scan`, наборами случайных символов, тип входа 3 или 10. Автор беспокоился, что это признак взлома.

**Что это.** Автоматический перебор паролей: любой адрес с открытым портом RDP получает его через часы после появления в сети, десятки тысяч попыток в сутки норма, а не признак целевой атаки. Опасность не в записях журнала, а в том, что рано или поздно перебор угадает слабый пароль у забытой учётной записи.

**Что предложили в принятом ответе.** Ужесточить NTLM: «Уровень проверки подлинности LAN Manager» → «Отправлять только NTLMv2», и «Ограничения NTLM: входящий трафик NTLM» → «Запретить все учётные записи». Комментатор позже предупредил: полный запрет входящего NTLM на сервере вне домена ломает NLA для RDP (CredSSP опирается на NTLM), и нужно проверять в тестовой среде. Мы согласны: это мера для доменных серверов с Kerberos, а не универсальный рецепт.

**Что работает на любом сервере, по убыванию эффекта.**

1. **Не держать порт RDP открытым для всего интернета.** Ограничить входящие подключения списком адресов в брандмауэре Windows (область правила «Удалённый рабочий стол») или на уровне площадки. Если адреса пользователей меняются, вынести вход за шлюз удалённых рабочих столов (RD Gateway, HTTPS с проверкой сертификата) либо разрешить его только из внутренней сети площадки. После этого поток 4625 прекращается полностью.
2. **NLA включена** (по умолчанию так): перебор упирается в проверку до создания сессии, нагрузка на сервер минимальна.
3. **Политика блокировки учётных записей** : 10 неверных попыток → блокировка на 15 минут. Замедляет перебор в сотни раз. Для встроенного администратора блокировка работает только с Windows Server 2019+ при явной настройке; лучше переименовать его и завести именованные учётные записи.
4. **Длинные пароли или ключи/второй фактор** для всех, кто может входить по RDP; удалить неиспользуемые учётные записи, отключить гостевые.
5. **Автоблокировка адресов по журналу** : задача планировщика на событие 4625, добавляющая адрес источника в блокирующее правило брандмауэра после N попыток, либо готовые утилиты такого рода. Помогает, когда пункт 1 невозможен.
6. **Смена порта** снижает шум от самых примитивных сканеров, но не защищает; считать её косметикой.

**Как понять, что перебор уже успешен.** События 4624 (успешный вход) с типом 10 от незнакомых адресов, новые учётные записи (4720), добавления в администраторы (4732), задачи планировщика (4698). Их стоит проверить один раз при настройке оповещений и дальше отслеживать автоматически.

Рекомендации по защите RDP описаны в [документации Microsoft](https://learn.microsoft.com/en-us/windows-server/remote/remote-desktop-services/rds-plan-secure-rdp).