Azure：RDP 和暴力攻击

Question

我在 Azure（Windows 10 专业版）上有一个小型服务器。该服务器上只有一项服务（Web 服务 REST），这并不重要：如果服务关闭几个小时甚至几天，或者如果有人窃取了数据，也没什么大不了的。

我是唯一有权访问该服务器的人，我有一个非常强的密码和自定义管理员用户名，所以我只使用“RDP”来管理没有 VPN 的服务器。几天前，我发现我的 Azure 账单比平时要高（或多或少 +10 美元）。我发现这是因为“数据传出”较高。所以我试图理解原因。

我看到了：

• 在我的 Web 服务器访问和错误日志 (Apache) 中，大约有 80 个连接被阻止（http 代码 400/403）。
• 在我的 Web 服务日志（自定义日志）中，我没有任何请求（被 Apache 阻止，需要有效的用户和密码）
• 在我的 Windows 安全事件日志中，情况更加复杂：我有大约 31'000 个“审核失败”。我发现这是一种可能通过 rdp 端口（具有不同帐户名称的登录事件）的暴力攻击。我还没有看到任何成功的尝试。所以在我看来，正是因为这种暴力攻击，我的账单更高了。

所以我的问题是：您能否帮我评估一下通过 RDP 的 31'000 个连接可以代表多少数据传输？我还应该考虑其他因素吗？

为了避免这种情况，我会尝试安装VPN。目前，我仅在 Azure 门户中通过 RDP 允许我的 IP 地址。

感谢您的帮助 卢伊克

Answer 1

为此，您可以阻止除 RDP 端口（即 3389）之外的所有端口传入端口。（您也可以限制您的公共 IP 使用它们。

阻止未使用的端口始终是最好的选择。

尝试wail2ban使用长背来保护暴力攻击。

Answer 2

我建议激活 Azure 中的即时访问功能。 此功能可以保护您的管理端口免受攻击，如果您不想在 Azure 应用程序网关或 Azure Bastion 上花费更多资金，那么这是一个不错的选择。

https://learn.microsoft.com/en-us/azure/defender-for-cloud/just-in-time-access-usage?tabs=jit-config-asc%2Cjit-request-asc

Answer 3

我想介绍一项名为“Protect Remote”的服务。它有助于保护您的服务器免受暴力攻击，例如针对 RDP 和 SSH 的攻击。借助 ProtectRemote，您可以轻松限制对 3389 或 22 等端口的互联网访问，仅允许访问您指定的计算机。最重要的是，它可以免费使用。