我新购置的Windows 2008虚拟服务器现在在其安全日志中有3.500个条目（三天内），其中大部分是事件ID 4625：“帐户login失败”。
login尝试显得相当快 – 每秒大约10-20次尝试。 我想这是一个攻击 – 这是正确的？
它似乎不像攻击者（我只是使用这个名字）成功login，暴力破解密码不应该是容易的，因为它是漫长而复杂的…
但是，我想知道是否有系统的我可以做的事情？ 如何更改rdp的端口？ 硬件防火墙可能会有帮助？
此外，服务器现在只有一个网站，甚至没有公开，所以我没有期待这种types的交通这么快。 有点含糊不清：当网站上线时，这会变得更糟吗？
可能。 然后再次，它也可能是一个应用程序试图在密码已更改或过期的凭据下login。
您应该仔细观察事件并确定： – 发生了什么样的login？ 看看它是RDP还是其他types的访问 – 正在尝试哪些帐户名称（如果它是随机的帐户名称，您不能识别，或通过AZ名称运行，那么绝对是一个攻击）
除此之外，请validation您的服务器的RDP是公开访问的。 如果是这样，你真的需要吗？ 如果您的虚拟服务器位于您的组织内部，请locking您的公共防火墙以防止发生这种情况（或者要求pipe理员负责防火墙）。 如果它在云中，提供者应该提供用于控制networking访问的接口（虚拟防火墙）。
如果networking上有服务器没有位于适当的防火墙之后，那么您有一个非常严重的安全问题。 这些盒子只能在需要操作的端口上使用，所以基本的networking服务盒应该只有端口80和端口443的防火墙规则。
永远不要从另一个方向接近安全（开始全部宽容，然后只locking特定的项目）。 同样，移动到一个非标准的端口只能提高安全性。
机会是你的IP扫描和RDP被发现，有人决定尝试和暴力。 一旦您的网站上线，尝试的数量可能会增长，但是没有办法告诉未来。
您应该能够在PortNumber项下从HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp更改RDP端口。
安装防火墙时请注意不要将自己locking。 根据我所知，您可以通过configuration帐户locking策略来设置最大login尝试次数。
我的VPS也有同样的问题 – 与RDP一样，他们也试图远程攻击SQL Server。 结果，在几个月的时间里，他们正在逐渐填满我的磁盘空间，并不断扩大日志！
我的解决scheme是限制谁可以通过IP地址连接 – 这些请求现在是第一个障碍。
正如已经提到的那样，您也可以更改每个服务的端口 – 这可能值得与IP地址一起使用 – 您不能太安全！
我也是第二个克里斯对最低特权原则的认可……把所有东西都locking下来，然后逐渐开放 – 但尽可能less。