如何防止 RDP（遠端桌面通訊協定）攻擊？

RDP 是以 T-120 通訊協定系列標準為基礎，並在 Microsoft 允許使用者透過網路遠端連線及控制其他電腦時首次受到重視。它可保護網路通訊，並讓使用者從遠端操作桌面。

然而，RDP 並非毫無風險。它可能遭到利用以取得對裝置的未經授權存取。自其首次推出以來，Windows 已有 16 次重大版本發行，這意味著威脅行為者有大量機會劫持它，並取得對 Windows 伺服器與裝置的遠端存取權。本指南將帶您了解如何防止 RDP 攻擊並維持防護。

什麼是 RDP（遠端桌面通訊協定）攻擊？

RDP 是由 Microsoft 開發的通訊連線通訊協定，可讓使用者遠端控制桌面裝置（或任何搭載 Microsoft OS 的裝置）。遠端桌面連線使用 TCP（傳輸控制通訊協定）連接埠 3389，這是遠端連線的主要樞紐。當威脅行為者入侵其加密通道並加以接管時，這就是我們所稱的遠端桌面通訊協定攻擊。

以下簡要說明 RDP 攻擊的運作方式：

• 攻擊者首先會掃描您的 RDP 連接埠。如果有任何作用中的裝置連線到該連接埠，它們就會成為進入您網路的入口點。威脅行為者可能會透過此連接埠以暴力破解方式進入網路，並利用大量的 RDP 連線。
• 在成功完成初始入侵後，攻擊者會掃描包含子網路的整個網路，並擴大其滲透範圍。他們可能會利用 Windows Management Instrumentation™ 連線，在分散式運算環境中的多個端點上執行操作，或使用遠端程序呼叫並觸發各種攻擊。
• 當裝置遭到入侵後，攻擊者將接管控制權。透過命令與控制介面，他們會向基礎架構中的其他端點與網路傳送命令。他們可以利用遭入侵的機器建立通往非標準連接埠的新 RDP 連線。
• 當攻擊者進展到這個階段時，他們就能在網路中橫向移動，並更深入滲透您的企業環境。他們可以取得更高權限、擷取敏感資料，並掌控高價值資源。當他們到達這一步時，也能規避組織最新安全堆疊的偵測。

網路犯罪分子如何利用 RDP？

RDP 攻擊特別針對分散式工作團隊與第三方承包商。劫持高運算需求資源具有很高價值，而 RDP 能讓攻擊者更清楚掌握對 Windows 伺服器與工作階段的存取。

傳統的 RDP 並未具備我們今日所知的安全與隱私保護措施。使用者驗證只需要使用者名稱與密碼的組合。RDP 預設缺乏內建的 多重要素驗證。

如何偵測未經授權的 RDP 存取？

以下是您可採取的步驟，用來偵測未經授權的 RDP 存取：

• 檢查您的 RDP 記錄，尋找異常行為或惡意活動的跡象。留意登入失敗嘗試、頻繁登入，以及來自無法辨識 IP 位址的登入。這些嘗試顯示駭客曾試圖存取系統。
• 您可以使用 SentinelOne 等網路監控工具來檢查與分析網路流量。請嘗試尋找網路異常、異常流量模式，並查看是否有大量資料正傳送至特定 IP 位址或自其傳出。
• 如果發生異常情況，連接埠 3389 的活動會出現尖峰。請記錄並監控您的網路流量，並加以掃描以識別不必要的存取嘗試。

防止 RDP 攻擊的最佳實務（涵蓋 10 項以上）

以下是一些應依序遵循的實務。當您實作這些措施後，就能掌握如何防止 RDP 攻擊：

• 建立超強密碼，混合使用特殊字元、數字、字母與符號。我們建議長度至少為 15 個字元。您也應讓密碼具備足夠隨機性，不要在所有帳戶重複使用相同密碼。如果您難以記住並追蹤所有密碼，請使用密碼保管庫。
• 為所有用戶端與伺服器軟體版本自動套用 Microsoft 更新。請確認此設定已啟用，且更新會在背景中安裝而無需手動要求。您也應優先修補已知存在公開利用程式的 RDP 漏洞。
• 實作多重要素驗證，並使用最新的帳戶鎖定原則來對抗暴力破解攻擊。您也應將預設的 RDP 連接埠從 3389 變更為其他值，以提高安全性。
• 對您的連線使用允許清單，並將其限制為特定受信任主機。我們建議僅允許選定且已驗證的 IP 位址存取遠端桌面連接埠。如果您修改伺服器設定，它將避免接受任何來自允許清單範圍外 IP 位址的連線嘗試。它會自動封鎖惡意嘗試與程序。
• 建立零信任網路安全架構（ZTNA），並在所有帳戶中強制執行最小權限存取原則。定期檢查並確保所有 RDP 連接埠維持安全至關重要。
• 透過安裝防火牆來限制對 RDP 連線的存取。您也應將公司的虛擬私人網路位址集區加入 RDP 防火牆例外規則。在建立新的 RDP 連線之前，請啟用網路層級驗證。
• 如果您在不支援的平台上使用遠端桌面用戶端，也可以將遠端桌面伺服器設定為在沒有 NLA 的情況下接受連線。檢查您的群組原則設定，並讓所有遠端連線都必須進行使用者驗證。
• 您也可以設定帳戶鎖定原則。當錯誤猜測達到指定次數時，這將防止駭客使用自動化密碼猜測工具取得未經授權的存取。您可以設定最多三次無效嘗試，每次鎖定時間為三分鐘。
• 使用進階 AI 威脅偵測與反惡意軟體解決方案。設定背景掃描程序與端點安全監控，讓您的裝置、網路與使用者持續受到監控。這將有助於防止內部人員與影子 IT 攻擊，並增加額外一層防護。
• 教育您的員工如何辨識失敗的 RDP 連線與存取嘗試。鼓勵他們在需要時匿名回報其發現，並在工作場所推動透明文化。如果您的員工變得積極且投入，整個團隊就能保持一致。您的所有部門都應了解如何防範 RDP 攻擊，並知悉攻擊者為提升控制權與權限所採取的步驟。安全始於先保護使用這些技術的使用者，之後再運用自動化工具與工作流程進行防禦。

如何回應 RDP 攻擊？

使用 SentinelOne Singularity XDR Platform 來自動化事件調查，並套用最佳 RDP 劇本實務。您可以協助 SOC 團隊加快回應速度。以下是當您遭受 RDP 感染時需要採取的步驟：

• 一旦發現遭入侵的使用者與攻擊者 IP 位址，請立即封鎖。這將有助於控制並隔離威脅。開始進行 ASN 調查並檢視使用者活動。使用 SentinelOne 的 XSOAR 模組來偵測與 RDP 相關的攻擊活動。
• Singularity Threat Intelligence 和 Purple AI 可讓您更深入了解攻擊者的 IP 位址。隔離遭入侵的端點，並依據不同 MITRE 階段擷取活動。  SentinelOne 將從擴充情資、調查到回應，全程為您提供指引。您可以關閉事件、更新並同步至 XDR。您將能從統一儀表板與主控台檢視內部與外部使用者管理生態系統的所有資訊。
• 如果您想進行深入調查，可以考慮試用 SentinelOne 的威脅狩獵服務。它將揭露與攻擊者 IP 或攻擊活動相關的其他 IoC（入侵指標）。
• 持續使用 SentinelOne 的平台來防禦 RDP 暴力破解攻擊，並保護您組織的關鍵資產。實作最佳資安措施，並強化您的雲端防禦以因應新興威脅。

以 RDP 為基礎的網路攻擊真實案例

RDP 的預設連接埠 3389 可用於發動路徑中攻擊。BlueKeep 是最嚴重的 RDP 漏洞之一，並被正式標記為 CVE-2019-0708。它是一種無需驗證的遠端程式碼執行（RCE）漏洞，並遵循特定格式。它可被利用，最終擴散到網路中的其他機器。使用者無能為力，而威脅行為者則透過取得未經授權的存取權限入侵系統，並在整個過程中於網路內橫向移動。他們提升了權限並安裝惡意軟體，甚至部署勒索軟體。

攻擊者可以使用 Shodan 等網路爬蟲快速識別設定錯誤的 RDP 連接埠並發動攻擊。他們可以自動發起暴力破解攻擊並取得未經授權的存取，甚至開始中間人（MitM）攻擊。Sodinokibi、GandCrab 和 Ryuk 等惡意軟體模組也可能涉及 RDP 攻擊，Baltimore 市遭遇的 RobinHood 勒索軟體攻擊就是一例。

使用 SentinelOne 緩解 RDP 攻擊

SentinelOne 可以封鎖遠端桌面通訊協定連線，包括可疑的 P2P 遠端桌面攻擊。它可以利用其 端點安全 功能，為完整遠端 shell 提供安全的遠端存取。您可以部署 SentinelOne 的代理程式，並監控所有應用程式與檔案，包括與 RDP 相關的程序與連線。

SentinelOne 可以自動將遠端存取部署到所有裝置，包括與 RDP 相關的裝置。

您也可以使用 SentinelOne 採取動作，例如隔離檔案和回復未經授權的變更。它可以偵測並封鎖使用 TeamViewer 或 VMC 等商用現成工具進行遠端控制的 P2P RDP 攻擊。

您也可以偵測並防護最新漏洞，例如以鎖定並利用 RDP 連線而聞名的 BlueKey 漏洞。SentinelOne 提供額外的安全措施，例如實作以原則為基礎的存取控制。它使用專用密碼加密每個工作階段，並且也實作多重要素驗證。

它可以在允許存取之前套用雙重要素驗證，並具有詳細的稽核資料。

SentinelOne 也可用於將遠端存取部署到所有裝置，包括與 RDP 相關的程序和連線。

SentinelOne 的代理程式和命令列工具可以管理其代理程式。它可以檢查其狀態、執行診斷，以及監控和保護端點。SentinelOne 也透過其專用應用程式與 SonicWall 和 NinjaOne 等其他平台整合。它可確保跨多個平台的無縫 RDP 連線，並提供最佳的 AI 驅動整合式安全防護。

預約免費即時示範.

結論與 CTA

RDP 攻擊對任何規模的組織而言仍然是一項威脅。您可以遵循本指南中的做法來防禦此類攻擊。您需要使用高強度密碼、多重要素驗證，以及定期更新，才能維持安全。您可以透過監控網路流量和 RDP 記錄，及早發現可疑活動。您必須在不使用 RDP 時將其停用，並透過防火牆和允許清單限制存取。但若要建立良好的防禦態勢，您仍需要進階工具和員工訓練。SentinelOne 提供 AI 驅動的防護，可自動偵測並封鎖以 RDP 為基礎的威脅，讓您對遠端桌面環境擁有完整的可視性與控制能力。

立即使用 SentinelOne 保護您的企業。