Windows Server 管理
Windows 防暴力破解
暴露在互联网上的 RDP 几分钟内就会被全球僵尸网络探测，而仅靠账户锁定只会变成拒绝服务武器。我们即将推出的防护叠加 IP 自动封禁、地域封锁、RDP 网关规范与支持 MFA 的策略，参照我们在 Linux 上的 fail2ban 运营模式。
即将推出 该服务目前为私有预览；以下指南介绍我们的方法。 加入等候名单.
要点
- 达到调优后的失败阈值后自动封禁攻击 IP。
- 将 RDP 与管理端口地域限制在运营国家以内。
- 远程访问走 VPN 或 RD 网关，绝不直接暴露 RDP 到互联网。
- 调优锁定策略，惩罚攻击者而不锁住员工。
- 在每个 RDP 端点强制启用网络级身份验证（NLA）。
- 对来自新地点或非工作时间段的成功登录告警。
- 每季度审计本地管理员与 RDP 组成员资格。
- 为所有特权 Windows 访问准备 MFA 推广。
一线手记
先把 RDP 藏到 VPN 或网关后面，再调优其他任何东西。一旦端口不在互联网上，所有锁定策略争论都不再重要：先收暴露面，再定阈值。
常见问题
什么时候上线？
现已内测，RDP 已暴露的服务器优先。
锁定策略还不够吗？
不够，攻击者会把它武器化为锁定型 DoS。IP 封禁加网关规范才是正解。
RDP 应该直接面向互联网吗？
理想情况下绝不，先走 VPN 或网关，防护层无论如何都要叠加。
IIS 暴力破解呢？
同样覆盖，Web 登录端点采用同样的封禁与限速规范。
Kinetikatech 如何在windows server 管理方面为您提供帮助
您不必自己成为windows server 管理专家：即将推出：Windows Server 的监控、修补和强力保护、相同的 24/7 规则、本机工具。Windows Server 监控和服务器管理正是为此而设：配置、加固、监控，并有工程师日夜值守。