Остановите брутфорс RDP на ваших Windows-серверах

Free - навсегда и без карты: защита RDP от перебора на одном сервере, блокировка адреса атакующего, история атак за 24 часа и белый список до трёх адресов. Он не заканчивается и не является пробным периодом. Платные тарифы добавляют бан всей подсети атакующего вместо блокировки по одному адресу, защиту FTP и MS SQL, уведомления в Telegram, GeoIP-правила, более длинную историю и общую базу угроз.

Он даётся каждому аккаунту один раз, без карты и без необходимости что-либо отменять. На это время открывается полный набор возможностей Pro на ваших собственных серверах. Через 14 дней аккаунт сам вернётся на Free, а защита продолжит работать: бан подсетей сменится блокировкой по одному адресу, уведомления в Telegram отключатся, история сократится до 24 часов. Ничего автоматически не списывается.

Докупите серверы по одному - $3 за сервер в месяц, вместо перехода на старший тариф. Дополнительные серверы продлеваются в том же цикле, что и основной тариф.

Да. Агент только читает журнал безопасности своей же операционной системы и блокирует входящие подключения к защищаемым портам на этой же машине. Он выполняет только исходящие HTTPS-запросы и не открывает входящих портов.

Да. Решение о блокировке принимается локально на агенте, поэтому защита продолжает работать по последней применённой политике даже при недоступном облаке.

Агент определяет фактический порт RDP автоматически - по реестру и слушающим сокетам - и перестраивает правила при смене порта. Порт FTP определяется так же.

Нет. При установке ваш текущий IP-адрес добавляется в вайтлист, а источники из вайтлиста всегда имеют приоритет над любыми блокировками.

Windows Server с 2012 R2 по 2025 и Windows 8.1 / 10 / 11 на x64, x86 и ARM64. Один исполняемый файл без дополнительных зависимостей.

Оплата в России проходит через ЮKassa в рублях, международная - через PayPro Global, также доступна оплата криптовалютой. Тариф Free бессрочный и не требует карты.

RDP Protector - это альтернатива Fail2ban, изначально написанная под Windows Server. Fail2ban - это демон для Linux: он читает текстовые логи и вызывает iptables или nftables, которых в Windows нет. Переносы этой идеи обычно означают запуск под Cygwin или WSL и скрипт поверх netsh. RDP Protector делает ту же работу так, как это делается в Windows: подписывается на журнал безопасности Windows, локально решает, что источник атакует, и пишет блокировку в Windows Firewall одним сводным правилом вместо тысяч. Без Linux-рантайма, без разбора текстовых логов, без скриптов.

Первую задачу они решают ту же - смотреть неудачные входы и банить адрес, - и RDP Protector начинает с того же. Разница в том, что происходит после первого сервера. Те инструменты работают на одной машине: у каждой свои настройки, свой список банов и никакого представления о том, что уже видела соседняя. Здесь у агентов одна политика и одна межтенантная база репутации, поэтому адрес, атаковавший другой защищённый сервер, вашему уже известен; на платных тарифах банится вся подсеть /24, а не по одному адресу, и панель показывает сразу весь парк.

Потому что она блокирует учётную запись, а не атакующего. Политика блокировки останавливает подбор, отключая цель, - именно это и нужно боту, чтобы закрыть администратору доступ к серверу, в который он сам никогда бы не вошёл; поэтому блокировки учёток и превращаются в инструмент отказа в обслуживании. С трафиком она не делает ничего: попытки продолжают приходить, тратить процессор и заполнять журнал. Бан источника на фаерволе останавливает сами попытки, а не учётную запись.

Большинство шифровальщиков попадает на Windows-сервер не через эксплойт, а через обычный вход: пароль к RDP подбирают или покупают, заходят администратором, выключают антивирус, удаляют теневые копии и запускают шифрование руками. Поэтому защита RDP - та мера против ransomware, которая окупается первой: по возможности уберите Remote Desktop из открытого интернета, включите многофакторную аутентификацию на всех учётных записях, которые до него достают, и автоматически баньте адрес после нескольких неудачных входов, чтобы подбор просто не дошёл до конца. Последний пункт делает RDP Protector: читает журнал безопасности на самом сервере, банит подсеть атакующего на фаерволе до того, как сработает блокировка учётной записи, и хранит историю всех попыток. Дополните это офлайн-бэкапами, из которых вы действительно восстанавливались, - вместе они и решают, станет ли взлом инцидентом или катастрофой.

С RDP Protector я устанавливаю агент как службу Windows: он читает локальные события аутентификации, определяет фактический порт RDP и добавляет блокировку источника в Windows Firewall после порога попыток за окно времени. Я вношу свои административные адреса в белый список, проверяю атаку в панели и оставляю локальную политику работать даже при потере связи с облаком.

Бесплатно без RDP Protector я закрываю RDP от всего интернета и разрешаю TCP-порт только с VPN или фиксированных IP в Windows Defender Firewall. Я включаю NLA, MFA через RD Gateway, длинные уникальные пароли и аудит событий 4625/4624; если VPN невозможен, пишу PowerShell-задачу для разбора Event Log и временных firewall rules, самостоятельно контролируя очистку правил и исключения.

С RDP Protector я блокирую сеть источника на уровне фаервола раньше, чем она исчерпает лимит ошибок конкретной учётной записи. Я добавляю офисные/VPN-подсети в whitelist, настраиваю окно и порог по реальному фону, включаю уведомления и проверяю историю атак, не ослабляя доменную политику блокировки.

Бесплатно я публикую RDS только через RD Gateway или VPN, разрешаю соединения из доверенных подсетей и включаю NLA. Я настраиваю разумные lockout threshold/duration, отдельные административные аккаунты и алерт по событиям 4625 с Logon Type 10; ручная блокировка IP допустима как временная мера, но я документирую срок каждого правила, чтобы не накопить вечный blacklist.

С RDP Protector я ставлю один лёгкий агент, автоматически обнаруживающий порт RDP и применяющий локальные правила Windows Firewall. Я сначала добавляю текущий адрес в белый список, проверяю доступ с резервного канала и использую бесплатную защиту одного сервера; при разрыве интернета последняя политика остаётся на VPS.

Бесплатно я создаю отдельную VPN-сеть WireGuard/Tailscale и закрываю RDP для публичного интерфейса, оставляя аварийную консоль хостера. Я включаю NLA, обновления, уникальную учётную запись без стандартного имени Administrator, MFA где доступно и ежедневную внешнюю резервную копию с отдельными ключами; перенос порта использую только для уменьшения шума, не как защиту.

С RDP Protector я отсекаю повторяющиеся неудачные входы в Windows Firewall, поддерживаю whitelist доверенных источников и просматриваю адреса и время атак централизованно. Я рассматриваю агент как внешний слой до учётной записи, но отдельно сохраняю least privilege, обновления и резервные копии - блокировка брутфорса не заменяет защиту данных после входа.

Бесплатно я ставлю RD Gateway/VPN перед сервером, включаю NLA и MFA, разделяю пользовательские и административные аккаунты, запрещаю локальным пользователям доступ к резервным копиям и проверяю восстановление. Я собираю 4624/4625 и изменения групп администраторов в Windows Event Forwarding, а публичный 3389 закрываю правилами фаервола.

С RDP Protector я включаю сбор событий поддерживаемых служб, позволяю агенту определить фактические порты и применяю одно локальное firewall-решение к сети атакующего. Я проверяю, что нужные журналы аудита включены, добавляю доверенные интеграции в whitelist и вижу связанную историю источника в одной панели; расширенная защита FTP и MS SQL зависит от тарифа.

Бесплатно я закрываю MS SQL и административный FTP от интернета, разрешаю их только через VPN или список IP и по возможности заменяю FTP на SFTP. Я включаю login auditing SQL Server, расширенное логирование FTP и Windows Event Forwarding, затем запускаю PowerShell-задачу, которая нормализует источники и добавляет временные правила Windows Firewall с TTL.

С RDP Protector я блокирую источники по фактическому потоку неудачных входов, а не запрещаю все неизвестные адреса заранее. Я добавляю текущий административный IP при установке, поддерживаю whitelist для VPN и известных сетей, применяю GeoIP только как дополнительное правило и проверяю блокировки в облачной панели.

Бесплатно я выдаю сотрудникам доступ через WireGuard/Tailscale или RD Gateway с MFA и закрываю публичный RDP. Если это временно невозможно, я включаю NLA, сильные уникальные пароли, короткий session timeout и алерт по 4625/4624 из новой страны; общий NAT не блокирую навсегда, а использую временные firewall rules и аварийный канал доступа.

С RDP Protector я оставляю реакцию на массовые ошибки включённой для всех внешних сетей, добавляю в whitelist только контролируемый VPN, а не домашние адреса подрядчиков, и получаю историю источников и блокировок. Я совмещаю это с отдельной временной Windows-учётной записью: агент защищает периметр, а срок и права остаются в моей политике доступа.

Бесплатно я создаю каждому подрядчику персональный VPN-профиль и Windows-аккаунт с датой окончания, минимальными группами и запретом локального входа, если он не нужен. Я включаю MFA на шлюзе, журналирую 4624/4634/4672, удаляю профиль после работ и не использую общую учётную запись, иначе расследование и отзыв доступа становятся невозможны.

С RDP Protector я останавливаю источник по серии ошибок до того, как он исчерпает доменный lockout threshold или угадает пароль. Я задаю whitelist только для сетей, где реально работает интеграция, контролирую атаки в панели и оставляю локальную блокировку действовать офлайн; параллельно планирую вывод устаревшей учётной записи.

Бесплатно я запрещаю этой учётной записи RDP через User Rights Assignment, если интерактивный вход не обязателен, и ограничиваю сетевой вход нужными хостами. Я меняю пароль на длинный случайный секрет, помещаю его в хранилище, включаю аудит и firewall allowlist по VPN; если RDP всё же нужен, создаю отдельный шлюзовой доступ с MFA.

С RDP Protector я настраиваю порог сетевой блокировки ниже доменного порога и баню источник в Windows Firewall до очередной блокировки пользователя. Я использую бан подсети против ротации соседних адресов, исключаю доверенные сети и отслеживаю, какие источники целятся в учётную запись; доменную политику при этом не ослабляю.

Бесплатно я закрываю RDP за VPN/RD Gateway, меняю публично известное имя администратора и разделяю рабочую и аварийную учётные записи. Я настраиваю алерт по 4740 и 4625, проверяю Caller Computer Name/IP и временно блокирую источник PowerShell-скриптом; простое увеличение lockout threshold использую только после анализа риска, потому что оно облегчает реальный подбор.

С RDP Protector я сразу блокирую активные источники и подсети по локальной политике, проверяю историю атак и оставляю whitelist только для контролируемого канала. Затем я меняю пароль, завершаю активные сеансы и анализирую успешные 4624 Logon Type 10; продукт сокращает окно атаки, но не отменяет расследование уже состоявшегося входа.

Бесплатно я временно закрываю публичный RDP правилом Windows Firewall, сбрасываю пароль и связанные секреты, отзываю сеансы и включаю MFA через RD Gateway/VPN. Я проверяю 4624, 4672, новые службы 7045, задачи, пользователей и Defender alerts за период; после очистки разрешаю RDP только через защищённый канал и запрещаю повторно используемые пароли.

С RDP Protector я выгружаю историю обнаруженных атак и применённых блокировок, прикладываю параметры порога/окна, список защищаемых портов и утверждённые исключения. Я документирую локальную работу агента при потере облака, исходящее HTTPS-соединение и отсутствие входящего управляющего порта, затем провожу контролируемый тест и сохраняю событие, правило фаервола и уведомление.

Бесплатно я оформляю политику RDP через VPN/RD Gateway, экспортирую GPO, Windows Firewall rules и журнал 4625/4624 в защищённое хранилище. Я храню изменения в change log, ежемесячно тестирую блокировку и MFA, подписываю отчёт ответственным и сопоставляю выборку успешных входов со списком сотрудников; доказательство создаётся повторяемой процедурой.

С RDP Protector я позволяю агенту распознать серию неудачных входов и заблокировать источник Windows Firewall, после чего новые соединения не доходят до аутентификации и перестают генерировать тот же объём событий. Я проверяю размер журнала и retention отдельно, а историю атак использую как компактный индекс к исходным событиям.

Бесплатно я ограничиваю доступ к портам через VPN/allowlist, увеличиваю размер Security log и включаю архивирование вместо перезаписи. Я пересылаю 4625/4624 в Windows Event Collector или SIEM, фильтрую нужные Logon Type и запускаю временную блокировку по порогу; аудит не отключаю, потому что после успешного входа он остаётся главным источником фактов.

С RDP Protector я задаю локальный автоматический порог блокировки, поэтому агент применяет правило Windows Firewall без участия человека и без ожидания облачной команды. Я отправляю уведомления в нужный канал, утром проверяю историю и исключения, а для риска самоблокировки заранее сохраняю аварийную консоль и whitelist.

Бесплатно я ставлю RDP за постоянно работающим VPN, настраиваю Scheduled Task PowerShell по событиям 4625 и отправку почты/вебхука через собственный сервер. Я использую временные правила с датой истечения, проверяю задачу тестовой атакой и документирую аварийный доступ; скрипт, журналы и доставку уведомлений я обслуживаю самостоятельно.

С RDP Protector я подключаю каждый сервер агентом, вижу его фактические порты и состояние из одной панели, но сохраняю отдельные политики и whitelist там, где они отличаются. Я применяю базовый порог, документирую исключения, распределяю уведомления и использую историю по каждому хосту для отчёта заказчику.

Бесплатно я храню Windows Firewall/GPO-конфигурацию в отдельных inventory клиента Ansible/PowerShell DSC, разворачиваю базовый шаблон через CI и не смешиваю секреты и адресные списки арендаторов. Я централизую события через WEF/WEC или бесплатный Wazuh, задаю теги клиента и проверяю отклонения скриптом; инфраструктуру и обновления поддерживаю сам.

С RDP Protector я применяю политику непосредственно на агенте: он продолжает читать локальные события и менять Windows Firewall по последней конфигурации, даже когда панель недоступна. Я заранее синхронизирую whitelist и пороги, после восстановления связи проверяю отчёт и не завязываю решение о каждом входе на удалённый API.

Бесплатно я полностью локализую контроль: Windows Firewall разрешает RDP только из VPN/нужных подсетей, а Scheduled Task анализирует Event Log и создаёт временные правила без сети. Я храню конфигурацию и журналы на сервере, настраиваю очередь уведомлений после восстановления канала и проверяю, что сбой DNS или облака не удаляет уже применённые запреты.