پورت 3389 چیست و باز کردن RDP چه خطراتی دارد؟
زمان تقریبی مطالعه: ۳ دقیقه
پورت 3389 مسیر پیش‌فرض پروتکل Remote Desktop یا RDP است. بازکردن مستقیم آن برای همه آدرس‌های اینترنتی، یک سرویس ورود را در معرض اسکن، حدس رمز، استفاده از اطلاعات ورود افشاشده و سوءاستفاده از ضعف‌های احتمالی قرار می‌دهد. مسئله فقط شماره پورت نیست؛ مسئله، در معرض اینترنت بودن سرویس است.
پورت 3389 دقیقاً چه کاری انجام می‌دهد؟
مایکروسافت TCP و UDP پورت 3389 را به‌عنوان پورت استاندارد RDP معرفی می‌کند. در شبکه داخلی، این سرویس می‌تواند برای مدیریت یا دسترسی کاربران به رایانه‌های مجاز استفاده شود. خطر زمانی افزایش می‌یابد که در روتر یا فایروال، ترافیک اینترنت مستقیماً به یک رایانه یا سرور ویندوزی هدایت شود؛ به‌خصوص اگر مبدأ اتصال به چند IP مشخص محدود نشده باشد.
مهم‌ترین ریسک‌های RDP مستقیم روی اینترنت
تلاش خودکار برای ورود
سرویس‌های عمومی به‌طور مداوم اسکن می‌شوند. مهاجم می‌تواند نام‌های کاربری رایج، رمزهای ضعیف یا ترکیب‌هایی را که در رخدادهای دیگر افشا شده‌اند آزمایش کند. سیاست قفل حساب، رمز قوی و پایش تلاش‌های ناموفق مهم‌اند، اما جایگزین کاهش سطح مواجهه نیستند.
گسترش دامنه حمله
هر سرویس در دسترس اینترنت به نگهداری دقیق، وصله‌های به‌روز و پیکربندی امن نیاز دارد. CISA توصیه می‌کند سرویس‌هایی مانند RDP مستقیماً در وب منتشر نشوند؛ اگر ضرورت کسب‌وکار وجود دارد، باید کنترل‌های جبرانی مناسب اعمال شود.
نبود دید مدیریتی
Port Forwarding جداگانه برای چند سیستم، مدیریت را پراکنده می‌کند. تیم فناوری اطلاعات باید بداند چه کسی، چه زمانی و به کدام دستگاه دسترسی داشته است. حساب مشترک یا نبود ثبت رویداد، بررسی حادثه و لغو دسترسی را دشوار می‌کند.
چگونه پورت RDP را تغییر دهیم و آیا این کار امنیت را افزایش می‌دهد؟
خیر. تغییر پورت ممکن است بخشی از اسکن‌های بسیار ساده را کم کند، اما سرویس همچنان قابل شناسایی است. خود مایکروسافت نیز تغییر پورت را راه‌حل بلندمدت نمی‌داند و برای سناریوهای ابری، گزینه‌هایی مانند Bastion، VPN Gateway، دسترسی Just-in-Time یا محدودسازی مبدأ را پیشنهاد می‌کند. تغییر شماره پورت را نباید با معماری امنیتی اشتباه گرفت.
NLA و MFA چه نقشی دارند؟
Network Level Authentication یا NLA باعث می‌شود احراز هویت پیش از ایجاد نشست کامل انجام شود و خاموش‌کردن آن از سوی مایکروسافت توصیه نمی‌شود. احراز هویت چندمرحله‌ای (MFA) نیز اثر سرقت یا حدس رمز را کاهش می‌دهد. با این حال، NLA و MFA به‌تنهایی مجوزی برای انتشار بدون محدودیت RDP روی اینترنت نیستند.
چک‌لیست کاهش ریسک
- پورت‌های RDP غیرضروری را از اینترنت ببندید.
- در صورت نیاز واقعی، دسترسی را پشت یک درگاه کنترل‌شده، VPN یا راهکار مدیریت‌شده قرار دهید.
- MFA، NLA و سیاست قفل حساب را متناسب با محیط فعال کنید.
- دسترسی را فقط به کاربران و دستگاه‌های لازم بدهید و حساب مشترک نسازید.
- سیستم‌عامل و اجزای درگاه دسترسی را به‌روز نگه دارید.
- ورودهای موفق و ناموفق را ثبت و الگوهای غیرعادی را بررسی کنید.
- در صورت اجبار به دسترسی عمومی، مبدأ را تا حد ممکن به IPهای شناخته‌شده محدود کنید.
چگونه بدون باز کردن پورت 3389 از راه دور متصل شویم؟
یک پاسخ واحد برای همه سازمان‌ها وجود ندارد. بسته به شبکه و نیاز، می‌توان از RD Gateway، VPN با MFA، Bastion یا یک پلتفرم دسترسی از راه دور با مدیریت هویت و دستگاه استفاده کرد. راهنمای دورکاری بدون RDP مستقیم معماری جایگزین را مرحله‌به‌مرحله توضیح می‌دهد. اگر هدف اتصال کارمند به رایانه محل کار است، راهنمای مدیریت دسترسی کارکنان دورکار را بخوانید. برای محیط‌های بزرگ‌تر نیز مدیریت ۱۰۰ کامپیوتر از یک پنل مفید است.
دسترسی‌ها را مرکزی مدیریت کنید
برای بررسی سناریوی سازمانی، تعداد کاربران، دستگاه‌ها و اتصال‌های هم‌زمان را مشخص کنید و با تیم ریموتو در میان بگذارید.