Почему RDP наружу — дыра №1 для шифровальщиков и чем его заменить
VPN и удалённый доступ · 20.05.2026 · обновлено 14.10.2026 · 12 мин чтения · Команда НПП РЕКОРД
Удалённый рабочий стол, проброшенный прямо в интернет, — самая частая входная дверь для шифровальщиков. Разбираем, почему RDP наружу так опасен, почему смена порта и сложный пароль не спасают, как за пять минут проверить, открыт ли он у вас, и чем безопасно заменить: VPN с двухфакторной аутентификацией, шлюз удалённых рабочих столов или Zero Trust.
Коротко. RDP (удалённый рабочий стол Windows), открытый в интернет, — одна из самых частых точек входа шифровальщиков: по расследованиям Sophos, RDP использовался примерно в 90% атак. Боты круглосуточно сканируют интернет и подбирают пароли, а уязвимости вроде BlueKeep позволяют войти вообще без пароля. Смена порта не помогает. Правильное решение — убрать RDP из интернета и оставить доступ только через VPN с двухфакторной аутентификацией или через шлюз удалённых рабочих столов с MFA.
RDP (Remote Desktop Protocol) — протокол удалённого рабочего стола Windows: с его помощью сотрудники подключаются к рабочему компьютеру или терминальному серверу с 1С из дома. Это удобно, и поэтому его часто «пробрасывают» прямо в интернет: открывают порт на роутере, и подключиться можно откуда угодно. Проблема в том, что подключиться может не только сотрудник.
- ≈90% — атак вымогателей использовали RDP (по расследованиям Sophos)
- 3389 — стандартный порт RDP (его сканируют боты по всему миру)
- 22% — взломов начинаются с украденных учётных данных
Источник: Sophos Active Adversary Report 2024; Verizon Data Breach Investigations Report 2025
Открытый в интернет RDP находят автоматические сканеры за часы
Почему RDP наружу так опасен
- Его видно всему интернету. Поисковые системы для устройств и автоматические сканеры круглосуточно ищут открытые порты RDP и составляют списки целей.
- Пароли подбирают автоматически. Боты перебирают популярные логины (Administrator, admin, buh, user) и пароли из утечек тысячами попыток.
- Пароли покупают. Учётные данные от RDP продаются на теневых площадках: злоумышленнику не нужно ничего подбирать.
- Уязвимости самого протокола. В 2019 году Microsoft закрыла уязвимость BlueKeep (CVE-2019-0708), которая позволяла захватить компьютер с открытым RDP без пароля и распространяться как червь. Необновлённые системы с такими уязвимостями в интернете встречаются годами.
- Вход по RDP — это сразу рабочий стол внутри сети. Дальше злоумышленник действует как сотрудник: ищет сервер, базы, резервные копии.
Важно. Типичная история атаки: RDP на сервер с 1С открыт «временно, на время карантина», пароль у бухгалтера простой. Через несколько недель ночью злоумышленник входит по RDP, отключает антивирус, удаляет резервные копии и запускает шифрование. Утром компания приходит к записке с выкупом.
Что не помогает
| Мера | Почему не спасает |
|---|---|
| Сменить порт с 3389 на другой | Сканеры проверяют все порты, нестандартный порт находят за минуты |
| Сложный пароль | Не спасает от покупки пароля в утечке, фишинга и уязвимостей протокола |
| «Нас никто не знает» | Атаки автоматические: боты ищут любые открытые RDP, а не конкретную компанию |
| Открыть «временно» | Временное становится постоянным, а боты находят порт за часы |
| Ограничение по стране | Злоумышленники используют серверы и прокси в той же стране |
Как проверить, открыт ли RDP у вас
- Спросите администратора или подрядчика прямо: «Есть ли у нас проброс порта RDP (3389 или другого) на роутере или межсетевом экране?»
- Посмотрите правила перенаправления портов (port forwarding) на роутере и межсетевом экране.
- Проверьте порт снаружи сканером портов с внешнего адреса — например, с телефона через мобильный интернет.
- Посмотрите журнал безопасности Windows на серверах: множество событий неудачного входа (код 4625) с внешних адресов — признак того, что RDP открыт и его уже подбирают.
Совет. Если в журнале видны тысячи неудачных попыток входа — RDP не просто открыт, его атакуют прямо сейчас. Закрывайте порт немедленно и проверьте, не было ли среди попыток успешных входов (событие 4624) в нерабочее время.
Чем заменить RDP наружу
| Вариант | Как работает | Кому подходит |
|---|---|---|
| VPN + двухфакторная аутентификация | Сначала защищённый туннель с паролем и вторым фактором, потом RDP внутри сети | Большинству компаний — стандартное решение |
| Шлюз удалённых рабочих столов (RD Gateway) + MFA | RDP передаётся через защищённое HTTPS-соединение со вторым фактором | Компаниям с терминальным сервером и большим числом удалённых сотрудников |
| Доступ по модели Zero Trust (ZTNA) | Каждое подключение проверяется отдельно, пользователь видит только свои приложения | Компаниям с подрядчиками и распределённой командой |
| Опубликованные приложения или веб-доступ к 1С | Пользователь получает только нужное приложение, а не весь рабочий стол | Когда сотрудникам нужна только 1С |
Если RDP нужен внутри сети: как его защитить
- Включите проверку подлинности на уровне сети (NLA): без неё экран входа доступен до проверки учётной записи.
- Ограничьте круг пользователей, которым разрешён вход по RDP, — не «все пользователи домена».
- Настройте блокировку учётной записи после нескольких неудачных попыток входа.
- Своевременно устанавливайте обновления Windows — уязвимости RDP закрываются именно ими.
- Разрешите RDP на серверы только из определённых сегментов сети, например из сети администраторов.
- Собирайте журналы входов и настройте оповещения о входах в нерабочее время и сериях неудачных попыток.
План перехода за неделю
- Составить список всех, кто подключается по RDP извне, и к каким компьютерам.
- Развернуть VPN или шлюз удалённых рабочих столов с двухфакторной аутентификацией.
- Подключить пользователей по инструкции и проверить, что всё работает.
- Закрыть проброс порта RDP на роутере и межсетевом экране.
- Проверить снаружи, что порт действительно закрыт, и просмотреть журналы входов за последние месяцы на предмет подозрительных успешных входов.
RDP в интернете — это не удалённая работа, а открытая дверь в офис с табличкой «звонить не нужно». Закройте её и пускайте сотрудников через VPN со вторым фактором: это неделя работы, которая убирает главный путь шифровальщиков.
Частые вопросы
Почему опасно открывать RDP в интернет?
Открытый RDP видят автоматические сканеры по всему интернету. Боты подбирают пароли, злоумышленники покупают учётные данные в утечках и используют уязвимости протокола. По расследованиям Sophos, RDP использовался примерно в 90% атак вымогателей.
Поможет ли смена порта RDP с 3389 на другой?
Нет. Сканеры проверяют все порты, и нестандартный порт находят за минуты. Смена порта лишь немного снижает шум в журналах, но не защищает от атаки.
Чем заменить RDP для удалённой работы?
VPN с двухфакторной аутентификацией, шлюзом удалённых рабочих столов (RD Gateway) с MFA, доступом по модели Zero Trust или опубликованными приложениями. RDP при этом работает только внутри защищённого соединения.
Как узнать, открыт ли RDP в интернет?
Проверить правила перенаправления портов на роутере и межсетевом экране, просканировать свой внешний адрес снаружи и посмотреть журнал безопасности Windows: множество неудачных входов (событие 4625) с внешних адресов означает, что RDP открыт и его подбирают.
Достаточно ли сложного пароля для RDP?
Нет. Сложный пароль не защищает от покупки учётных данных в утечках, фишинга и уязвимостей протокола. Нужна двухфакторная аутентификация и отсутствие прямого доступа из интернета.
Что такое BlueKeep?
Уязвимость в службе удалённых рабочих столов Windows (CVE-2019-0708), закрытая Microsoft в 2019 году. Она позволяла захватить компьютер с открытым RDP без пароля и распространяться автоматически, поэтому необновлённые системы с RDP в интернете особенно опасны.
Теги: RDP, удалённый рабочий стол, VPN, шифровальщик, 2FA, удалённый доступ