Zaznava
RDP brute force: kako ga zaznati in preprečiti
RDP, izpostavljen internetu, je dolgo najpogostejša vstopna točka. Dobra novica je, da napad pusti sledi, ki jih SIEM zna zaznati.
Avtor: strokovna ekipa 4secnet · Pregled: 28. 10. 2026
Kako izgleda napad
Napadalec s skriptami poskuša veliko prijav na RDP, običajno z uporabniškimi imeni, kot so administrator ali admin, ali z gesli iz prejšnjih uhajanj. Na Windows strežniku se pojavi veliko neuspešnih prijav (dogodek 4625) iz istega ali več naslovov IP, ki jim lahko sledi uspešna prijava (4624).
Kaj zbirati
- Windows Security: 4625 (neuspešna prijava), 4624 (uspešna prijava), 4740 (zaklep računa)
- dnevnike požarnega zidu: dovoljene povezave na port 3389 iz tujine
- dnevnike VPN in jump hostov
- nove ali nepričakovane skupine in uporabniške račune (4720, 4728)
Opomba
Vklop revizijske politike za prijave je pogoj. Brez njega se dogodki ne zapišejo.
Kaj naredi SOC
Huntress navaja, da njegov SOC išče tehnike napadalcev, med njimi RDP brute force, in v enem primeru napad odkril manj kot 15 ur po uvedbi pri stranki. To je navedba proizvajalca, ne zagotovilo.
Preprečevanje
- RDP ne izpostavljajte internetu; uporabite VPN ali zaščiten dostop
- večfaktorska avtentikacija za oddaljeni dostop
- zaklep računov po nekaj neuspešnih poskusih
- omejitev naslovov IP, ki lahko dostopajo
- posodobitve in ločen dostop za vzdrževalce