远程桌面被爆破：日志查看与自动封禁

服务器日志里每小时冒出几十条 4625 失败登录，说明已经有人在拿字典试你的远程桌面。爆破不一定马上得手，但放任不管总有对上的一天。这篇讲怎么看日志、怎么自动封禁来源，以及为什么改端口应该排在最前面。 ## 先看攻击有多大 事件 ID 4625 是 Windows 安全日志里的登录失败记录。管理员 PowerShell 执行： ``` Get-WinEvent -FilterHashtable @{LogName='Security';Id=4625} -MaxEvents 20 | Format-List TimeCreated,Message ``` 消息里能看到来源 IP 和目标账号。想知道量级，把输出换成 Group-Object 按来源 IP 统计，重点盯一小时几十次以上的地址，那些就是爆破脚本的节奏。 ## 自动封禁的做法 思路是监听 4625 事件，触发脚本把来源 IP 写进防火墙阻止规则。Windows 任务计划程序自带事件触发器：新建任务，触发器选"当事件发生时"，日志设 Security，事件 ID 填 4625；操作指向一个 PowerShell 脚本，从事件内容里提取 IP 后执行： ``` New-NetFirewallRule -DisplayName "Ban-$ip" -Direction Inbound -RemoteAddress $ip -Action Block ``` 再加一条定时任务，清理封禁超过七天的规则，避免规则表无限膨胀。不想自己写脚本的话，也有现成的第三方封禁工具，原理相同，挑选时认准两点：能设白名单、规则有自动过期。 ## 白名单是更省事的方案 运维出口 IP 相对固定的话，直接在防火墙对远程桌面端口的入站规则里设作用域，只允许自己的出口地址连接。这一招不依赖脚本不出错，也不产生规则垃圾，比封禁省心得多。 ## 为什么说先改端口再说 封禁是被动挨打之后的反击，改端口是让大部分扫描根本找不到门。实务上的顺序是：先改掉 3389，等日志安静下来，再决定要不要上封禁脚本。很多服务器改完端口，4625 记录从每天几百条降到几乎为零——不是攻击者收手了，是没人扫那个端口了。 配套再确认两件事：管理员密码足够长且不复用，账户锁定阈值已经设置。日志干净、密码够硬、端口冷门，爆破就失去了立足点。