Современная практика удалённого администрирования серверов и рабочих станций (что в народе иронично называют «отворот на расстоянии») требует многоуровневой защиты. В статье собраны актуальные на методы и приёмы, которые помогут закрыть «окна» в RDP, VNC, SSH и других протоколах удалённого доступа.
Почему «отворот» так привлекателен для злоумышленников
- Прямой доступ к рабочему столу = полный контроль над ПК или сервером.
- Часто используются стандартные порты (TCP 3389, 5900, 22).
- Множество устаревших или «забытых» систем с неактуальными патчами.
- Возможность поднять программу-вымогатель или выкачать данные «одним кликом».
Топ-6 типов атак на удалённые протоколы в 2026 году
- Brute-force RDP — подбор логинов/паролей через автоматизированные боты.
- Pass-the-Hash & Pass-the-Ticket — повторное использование украденных хэшей Kerberos или NT-hash.
- VNC-взлом через уязвимость «RFB handshake downgrade» (CVE-2023-6983 и др.).
- Shadow RDP, подмена встроенного механизма «удалённой помощи» Windows.
- USB-redirection атаки — запуск вредоноса через «перенаправленную» флешку.
- Вымогатели типа BlackCat 3.6 и LockBit NG, которые специализируются на RDP-векторах.
Три уровня защиты «отворота»
Уровень 1. Сетевая периметральная оборона
3.1 Закройте RDP/SSH/VNC от прямого доступа из Интернета
- Перенесите сервисы за VPN, Zero-Trust Gateway или SASE-туннель.
- Если нужен «чистый» RDP — GeoIP-фильтр и IP-листы доверенных сетей.
- Используйте RD-Gateway (Windows) или Guacamole (web-бастион) с MFA.
Уровень 2. Конфигурация хоста и политики
3.2 Включите Network Level Authentication (NLA)
- Требует аутентификацию до полной инициализации RDP-сессии.
- Закрывает окно атаки «RDP pre-auth handshake».
3.3 Ограничьте время жизни сессий
Путь в GPO:
Computer Configuration → Administrative Templates → Windows Components → Remote Desktop Services → Remote Desktop Session Host → Session Time Limits
- Set time limit for disconnected sessions: 30 минут
- Set time limit for active but idle sessions: 2 часа
3.4 Локальный firewall + IPsec
- Для Windows:
wf.msc→ правило «RemoteDesktop-In-TCP» → ограничить только по IP подсетей. - Для Linux:
iptables -A INPUT -p tcp --dport 22 -s 10.0.0.0/24 -j ACCEPT
Уровень 3. Конечные устройства и пользователи
3.5 MFA и «чистые» устройства
- Windows Hello for Business / FIDO2-ключи.
- VNC — только через TLS-врезку и пароль + one-time token (TOTP).
- Выделенные «шлюзовые» ноутбуки с изолированной ОС на Live-USB (без постоянных данных).
3.6 Постоянное обучение
- Каждый квартал — микро-курсы по фишингу и «социальной инженерии».
- Тестовые рассылки KnowBe4 или Cofense.
Чек-лист быстрой проверки «отворота» за 15 минут
- Проверить открытые порты:
nmap -p 22,3389,5900 ваш_ip - Отключить стандартные учётки: Administrator / root / guest.
- Установить MFA для всех привилегированных аккаунтов.
- Обновить патчи: Windows KB 5035858, Linux openssh-9.9p2, VNC-server 7.6.0.
- Включить аудит:
auditpol /set /subcategory:"Logon" /success:enable /failure:enable
Пример бюджета защиты малой компании (10 удалённых сотрудников)
| Решение | Цена (USD/год) |
|---|---|
| VPN-доступ (WireGuard + pfSense) | 0 |
| RD-Gateway + RDS-CAL | 1 200 |
| YubiKey 5 NFC × 10 | 500 |
| Экранированный ноутбук Live-USB × 3 | 900 |
| Курс «Кибергигиена» | 300 |
Главное: «дистанционный» принцип безопасности
Не доверяй, проверяй, ограничивай, обучай.
- Не доверяй — подключения из неизвестных сетей блокируются по умолчанию.
- Проверяй, каждая сессия логируется и анализируется SIEM.
- Ограничивай — принцип минимальных привилегий + «zero-trust».
- Обучай — сотрудник — первый и последний рубеж обороны.
Если у вас остались вопросы по конкретному протоколу или нужно протестировать вашу инфраструктуру на устойчивость — напишите в комментарии, подготовим персональный план «закрытия отворота».