RDPという「開かれたパンドラの箱」をどう閉ざすか —— ゼロトラスト時代の境界防御最前線
インターネットに直結された 3389/TCP。このポートを不用意に公開することは、現代のサイバーセキュリティにおいて「鍵のかかっていない玄関を大通りに面して放置する」に等しい。ランサムウェアグループにとって、RDPのブルートフォース攻撃は今なお最も効率的な「初期侵入の足がかり」だ。
今日は、教科書的な「RDPを閉じろ」という月並みな警告を一歩進め、インフラアーキテクトが知るべきパケットレベルの挙動と、パフォーマンスを犠牲にしない防御策の深淵に潜る。
—
1. パケットの深層：RDPハンドシェイクとNLAの「壁」
RDPの接続プロセスは、単なるTCPコネクションの確立ではない。Client Hello から始まる TPKT (ISO 8047) 上の X.224 コネクション要求、そしてそれに続く MCS (Multipoint Communication Service) のネゴシエーション。攻撃者が狙うのは、認証が完了する前のこの「隙」だ。
ここで必ず強制すべきが NLA（ネットワークレベル認証） である。NLAを有効にすると、ユーザーがデスクトップ画面の描画を要求する前に、CredSSP (Credential Security Support Provider) を通じて認証が完結する。
- NLAなし: RDPサービスが全認証プロセスを処理するため、リソースを食い尽くすDoS攻撃や、認証プロトコルの脆弱性を突くエクスプロイトに晒される。
- NLAあり: 認証プロセスが
TLSハンドシェイクの直後に隔離されるため、未認証のパケットはOSのカーネルレベルで効率的に破棄される。
パフォーマンスへの影響とチューニング
NLAは TLS を利用するため、オーバーヘッドが発生する。RTT（往復遅延時間）がシビアな環境では、ハンドシェイクの最適化が鍵となる。
# Windows ServerにおけるNLA強制のPowerShell設定
# セキュリティと認証効率を最大化する
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name "UserAuthentication" -Value 1—
2. ネットワークレベルの防壁：TCPバッファとRTTの最適化
大規模なエンタープライズ環境でRDPを利用する場合、パケットロスが致命的なユーザー体験の低下を招く。特に RDP over UDP を利用している場合、TCP のバッファサイズ調整は不可欠だ。
カーネルパラメータをチューニングし、輻輳制御アルゴリズムを bbr に切り替えることで、長距離・高遅延な回線でもRDPのレスポンスを維持できる。
# LinuxゲートウェイにおけるTCPチューニング例 (sysctl.conf)
# RTT削減とスループット向上のための設定
net.core.rmem_max = 16777216
net.core.wmem_max = 16777216
net.ipv4.tcp_rmem = 4096 87380 16777216
net.ipv4.tcp_wmem = 4096 65536 16777216
net.ipv4.tcp_congestion_control = bbr # BBRアルゴリズムでパケットロス耐性を強化—
3. 「見えない」境界防御：ゼロトラストへの転換
どれほどチューニングしても、3389/TCP をインターネットに晒すこと自体がリスクであるという事実は変わらない。ここで提案したいのが、RD Gateway または クライアントレスVPN（ZTNA） を経由したアクセスだ。
特に、HTTPS (443) 上にRDPをカプセル化する「RDP over HTTPS」は、ゲートウェイ側でTLS終端を行うため、パケットインスペクション（DPI）を通しやすく、WAFによるブルートフォース保護が非常に容易になる。
Fail2Banによる動的IPブロッキングの限界と超越
小規模環境で Fail2Ban を用いる場合、iptables や nftables でのレート制限は必須だが、現代の攻撃者は分散型ボットネットを利用する。
# nftablesによるレートリミット設定の断片
# 1分間に3回以上の接続試行があるIPをドロップする
table ip filter {
chain input {
type filter hook input priority 0;
tcp dport 3389 ct state new limit rate 3/minute accept;
tcp dport 3389 drop;
}
}—
結論：セキュリティは「多層」であるべきだ
RDPを保護する最善の策は、以下の3層の多重防御に集約される。
1. トランスポート層の遮断: 3389 をインターネットから直接公開せず、VPNやZTNAプロキシを挟む。
2. 認証層の強化: NLAの強制は絶対条件。可能であればMFA（多要素認証）をゲートウェイレベルで要求する。
3. パケットレベルの可視化: TLS のハンドシェイクや TCP フローを監視し、異常な接続パターンを機械学習ベースのIDSで検知する。
ネットワークは生き物だ。静的な設定に甘んじず、攻撃者の手法の変化に合わせて、パケットの挙動を観察し続ける。それが、我々エンジニアに課せられた矜持である。
次回の記事では、WireGuard を用いた透過的なトンネリングによる、RDPのパフォーマンスを一切損なわない「ステルス境界」の構築手法について掘り下げる予定だ。乞うご期待。
コメント