「リモートワーク中にオフィスのPCを操作したい」「サーバーを遠隔から管理したい」「テレワーク環境のRDPがセキュリティ的に心配」——Windowsの遠隔操作に広く使われている技術が「RDP（Remote Desktop Protocol）」です。

RDP（Remote Desktop Protocol：リモートデスクトッププロトコル）とは、Microsoftが提供する、ネットワーク越しに別のコンピューターのデスクトップ画面を表示・操作するためのプロトコル（通信規格）です。Windows環境で広く使われており、画面、キーボード、マウス、クリップボード、印刷、音声などを転送できる利便性の高さから、企業のリモートワーク、サーバー管理、ITサポートで利用されています。

一方で、インターネットに直接公開されたRDPはランサムウェア攻撃で悪用されやすい侵入経路のひとつです。適切なセキュリティ対策なしに利用すると、不正ログイン、横展開、ランサムウェア感染など重大なリスクにつながる可能性があります。

RDP（Remote Desktop Protocol）とは？

RDP（Remote Desktop Protocol）とは、Microsoftが提供する、ネットワーク越しに別のコンピューターのデスクトップ環境を遠隔操作するためのプロトコルです。

WindowsにはRDPクライアントが標準搭載されており、Windows Pro、Enterprise、Education、Serverなどのエディションでは接続先（RDPホスト）として利用できます。一方、Windows Homeエディションは通常、RDPの接続先としては利用できません。

RDPの基本情報

RDPの主な用途

• リモートワーク：自宅から社内のWindowsデスクトップに接続して業務を行う
• サーバー管理：Windowsサーバーをリモートから設定・管理・メンテナンスする
• ITヘルプデスク・サポート：ユーザーのPCにリモート接続してトラブルシューティングを行う
• 仮想デスクトップ（VDI）：仮想デスクトップ環境のセッション接続プロトコルとして使用する

RDPの仕組み：どのように動作するか

RDPは、クライアント・サーバーモデルで動作します。

1. RDPクライアント（接続する側）が、RDPサーバー（接続される側）のポート3389などに接続する
2. 通信の保護：TLSなどにより通信を暗号化する
3. 認証：ユーザー名・パスワードなどで認証を行う。NLA有効時はデスクトップセッション開始前に認証する
4. セッション確立：サーバー側でリモートデスクトップセッションが開始する
5. 画面・入力の転送：サーバー側の画面がクライアントに送信され、クライアントのキーボード・マウス操作がサーバーに送信される

RDPが転送できるリソース

RDPは画面・キーボード・マウスだけでなく、以下のリソースも転送できます。

• クリップボード：ローカルとリモート間でテキスト・画像などのコピー&ペーストができる
• プリンター：リモートPC上でローカルのプリンターに印刷できる
• ドライブ：ローカルのドライブをリモートPCから参照できる。便利な一方で、情報持ち出しやマルウェア感染経路になり得る
• 音声：リモートPCの音声をローカルで聞いたり、ローカルのマイクをリモートPCで使ったりできる
• USBデバイス：設定次第でUSBデバイスをリモートPC経由で使用できる

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

RDPのセキュリティリスク

RDPは利便性の高い技術ですが、設定・運用を誤ると深刻なセキュリティリスクになります。

ブルートフォース攻撃・パスワードスプレー攻撃

インターネットに公開されたRDPは、攻撃者からのブルートフォース攻撃（総当たりパスワード試行）やパスワードスプレー攻撃（よく使われるパスワードを多数アカウントに試す攻撃）の標的になります。

弱いパスワードを使用している場合、アカウントロックアウトポリシーを設定していない場合、多要素認証を導入していない場合、攻撃者にRDP経由でログインされるリスクが高まります。

ランサムウェアの侵入経路

RDPへの不正アクセスは、ランサムウェア攻撃で悪用されやすい侵入経路のひとつです。特に、インターネットに直接公開されたRDP、弱いパスワード、MFA未導入、パッチ未適用が重なると、侵害リスクが高まります。

攻撃者はRDP経由で不正ログインした後、認証情報の窃取、権限昇格、社内ネットワークへの横展開、バックアップ削除、ランサムウェア展開へ進むことがあります。

参考：ランサムウェア感染時の対応｜サイバーセキュリティ.com

既知の脆弱性（BlueKeepなど）

RDPやRemote Desktop Servicesには、過去に深刻な脆弱性が発見されています。

• BlueKeep（CVE-2019-0708）：Remote Desktop Servicesに存在したリモートコード実行脆弱性。Windows 7、Windows Server 2008、Windows Server 2008 R2などに影響。ワーム化のリスクが懸念された
• DejaBlue（CVE-2019-1181/1182など）：BlueKeepに続いて公開されたRemote Desktop Services関連の脆弱性群。Windows 10やWindows Server 2012以降にも影響するものがあった
• 他の脆弱性との組み合わせ：RDPそのものだけでなく、認証情報窃取、権限昇格、Windowsの他の脆弱性と組み合わせて攻撃に使われることがある

中間者攻撃（MITM）

RDPは暗号化に対応していますが、証明書の検証、NLAの有効化、古い暗号設定の無効化などが不十分な場合、中間者攻撃や認証情報の窃取リスクが高まる可能性があります。

安全に利用するには、NLAを有効化し、信頼できない証明書の警告を安易に無視しないこと、古いOSや古いRDP設定を残さないことが重要です。

インターネット公開RDPの危険性

Shodanなどのインターネット接続機器検索エンジンでは、RDPポートを公開しているホストを検索できます。そのため、公開RDPは攻撃者の自動スキャン対象になりやすい状態です。

公開されたRDPは、ブルートフォース攻撃、パスワードスプレー攻撃、脆弱性探索、認証情報リストを使った不正ログインなどにさらされる可能性があります。原則として、RDPをインターネットに直接公開しない設計が望ましいです。

NLA（ネットワークレベル認証）とは

NLA（Network Level Authentication：ネットワークレベル認証）とは、RDP接続時にデスクトップセッションが開始される前の段階でユーザー認証を完了させるセキュリティ機能です。

NLAなし（従来の認証）

NLAがない場合、まずデスクトップセッションが確立され、その後にログイン画面が表示されます。認証前の段階でサーバーのリソースが消費されるため、大量の接続要求によって負荷が高まる可能性があります。

NLAあり（推奨）

NLAが有効な場合、デスクトップセッション確立前に認証を行います。認証が成功した場合のみ、リモートデスクトップセッションが開始されます。

• 未認証の接続要求によるサーバーリソース消費を抑えやすい
• 認証前にデスクトップセッションを開始しないため、一部の攻撃リスクを下げられる
• ただし、NLAだけで全てのRDP脆弱性や不正ログインを防げるわけではない

RDPを安全に使うための方法

VPNとの組み合わせ（基本的な対策）

RDPをインターネットに直接公開せず、VPN（仮想プライベートネットワーク）経由でのみ接続できるようにする方法です。VPN認証を通過した場合のみRDPに接続できるため、インターネットからの直接攻撃を受けにくくなります。

• メリット：実装が比較的シンプルで、既存のVPNインフラを活用できる
• 注意点：VPN自体の脆弱性、設定ミス、認証情報の盗用、MFA未導入には注意が必要

RDPゲートウェイの使用

RDPゲートウェイ（Remote Desktop Gateway：RD Gateway）は、RDPトラフィックをHTTPSで中継し、インターネットから内部のRDPホストへ直接接続させないためのMicrosoftの役割サービスです。

• RDP（ポート3389）を直接インターネットに公開しなくて済む
• HTTPS（443）で通信できるため、多くのネットワーク環境で利用しやすい
• 中央集権的なアクセス管理・ログ記録ができる
• MFAや条件付きアクセスと組み合わせることで、さらに安全性を高められる

多要素認証（MFA）の導入

RDPログイン時に、パスワードに加えてスマートフォンアプリ、ハードウェアトークン、証明書などの追加認証要素を要求します。パスワードが漏えいしても、第二の認証要素がなければログインを防ぎやすくなります。

デフォルトポートの変更

TCP 3389から別のポートに変更することで、自動スキャンによる検出を一定程度減らせる場合があります。ただし、ポートスキャンで発見されるリスクは残るため、これだけでは十分な対策ではありません。

ポート変更は、VPN、RD Gateway、MFA、IPアドレス制限、アカウントロックアウトなどと組み合わせる補助的な対策と考えるべきです。

アカウントロックアウトポリシーの設定

一定回数のログイン失敗でアカウントをロックするポリシーを設定し、ブルートフォース攻撃を困難にします。たとえば、5回連続でログインに失敗したら一定時間ロックする、といった設定が考えられます。

ただし、ロックアウト設定が厳しすぎると、正規ユーザーが利用できなくなるDoSのような状況が起きる可能性もあるため、業務影響を考慮して設定します。

IPアドレス制限（ファイアウォール）

RDPへの接続を、社内ネットワーク、VPN出口IP、管理者の固定IPアドレスなどに限定します。不要な送信元からのRDP接続はファイアウォールで遮断します。

ゼロトラストネットワークアクセス（ZTNA）

従来のVPNに代わり、ユーザー、端末状態、場所、接続コンテキストを継続的に評価してアクセスを制御する方式です。Cloudflare Access、Zscaler Private Access、Microsoft Entra Private Accessなどが代表的なZTNAソリューションです。

RDPを含む社内アプリケーションへのアクセスを、より細かく制御したい場合に有効です。

パッチ適用の徹底

BlueKeep、DejaBlueなどのRDP関連脆弱性へのパッチを迅速に適用します。Windows Updateの自動更新、WSUS、Microsoft Configuration Managerなどを使い、組織全体でパッチ適用状況を管理します。

古いOSやサポート切れOSでRDPを公開し続けることは非常に危険です。サポート対象のOSへ移行し、不要なRDPは無効化しましょう。

RDPの代替ツール・製品

RDPに関連する被害・注意事例2選

事例1：RDPの不正利用をきっかけにしたランサムウェア被害

RDPは、ランサムウェア攻撃で悪用されやすいリモートアクセス経路のひとつです。インターネットに直接公開されたRDP、弱いパスワード、MFA未導入、アカウントロックアウト未設定、パッチ未適用が重なると、攻撃者に侵入されるリスクが高まります。

攻撃者はRDP経由でログインした後、認証情報の窃取、権限昇格、横展開、バックアップ削除、ランサムウェア展開へ進むことがあります。CISAのランサムウェア対策ガイドでも、使用していないポートやプロトコルを無効化する例として、RDP（TCP 3389）が挙げられています。

このような攻撃を防ぐには、RDPをインターネットに直接公開しないこと、VPNやRD Gatewayを経由させること、MFA・強力なパスワード・アカウントロックアウトを組み合わせることが重要です。

参考：ランサムウェア感染時の対応｜サイバーセキュリティ.com

事例2：BlueKeep（CVE-2019-0708）によるRDP脆弱性の悪用リスク

BlueKeep（CVE-2019-0708）は、Remote Desktop Servicesに存在した深刻なリモートコード実行脆弱性です。Windows 7、Windows Server 2008、Windows Server 2008 R2などの古いOSに影響し、認証前に悪用される可能性があることから、ワーム化のリスクも懸念されました。

Microsoftは、BlueKeepについて、認証不要のリモートコード実行脆弱性であり、脆弱な端末間で自己増殖するワーム型攻撃につながる可能性があるとして、更新プログラムの適用を呼びかけました。また、悪用コード公開後には、RDPサービスのクラッシュやコインマイナーのインストールを伴う攻撃が観測されています。

この事例は、RDPを安全に使うには、インターネット公開の制限だけでなく、古いOSの廃止、セキュリティパッチの適用、NLAの有効化、不要なRDPの無効化が重要であることを示しています。

よくある質問（FAQ）

Q. RDPのデフォルトポート3389は必ず変更すべきですか？

ポート変更はセキュリティ対策の一つですが、それだけでは不十分です。攻撃者はポートスキャンやShodanなどを使ってRDPサービスを発見することがあります。

ポート変更より効果的な対策は、RDPをインターネットに直接公開しないことです。VPN、RD Gateway、MFA、パッチ適用、アカウントロックアウト、IPアドレス制限を組み合わせて対策することが重要です。

Q. RDPとVNCの違いは何ですか？

RDPはMicrosoftが提供するリモートデスクトップ用プロトコルで、Windows環境で広く使われています。ユーザーごとにセッションを作成できるため、サーバー管理やリモートワークで利用されます。

VNC（Virtual Network Computing）は、画面共有に近い仕組みで、Windows、macOS、Linuxなど複数の環境で利用できます。セキュリティ機能や認証方式は製品・実装によって異なるため、RDPかVNCかだけで安全性を判断せず、暗号化、MFA、アクセス制御、ログ管理の有無を確認する必要があります。

Q. MacやiPhoneからRDPでWindowsに接続できますか？

はい。MicrosoftはmacOS、iOS、Android向けにリモートデスクトップ用アプリを提供しています。Mac、iPhone、iPad、Android端末からWindows PCやWindows Serverへ接続できます。

ただし、接続先のWindowsがRDPホストとして利用可能なエディションである必要があります。一般的にWindows Pro、Enterprise、Education、Serverなどは接続先として利用できますが、Windows Homeエディションは通常、RDPの接続先としては利用できません。

Q. RDPのログはどこで確認できますか？

Windowsのイベントビューアーで確認できます。主なログの場所は「Windowsログ」→「セキュリティ」です。ログオン成功はイベントID 4624、ログオン失敗はイベントID 4625、ログオフはイベントID 4634として記録されます。

また、「アプリケーションとサービスログ」→「Microsoft」→「Windows」→「TerminalServices-LocalSessionManager」→「Operational」でも、RDPセッション関連のイベントを確認できます。大量のイベントID 4625は、ブルートフォース攻撃やパスワードスプレー攻撃の兆候である可能性があります。

Q. テレワークでRDPを安全に使うためのベストプラクティスは？

最低限実施すべき対策は、①RDPをインターネットに直接公開しない、②VPNまたはRD Gateway経由を必須にする、③NLAを有効にする、④強力なパスワードとMFAを設定する、⑤Windowsのセキュリティパッチを最新に保つ、⑥アカウントロックアウトポリシーを設定する、⑦RDPのアクセスログを定期的に確認する、という組み合わせです。

より強固な対策としては、ZTNAソリューション、条件付きアクセス、端末認証、EDR、SIEMによるログ監視の導入も検討できます。

まとめ

RDP（Remote Desktop Protocol）は、Microsoftが提供するWindowsの遠隔操作プロトコルで、デフォルトではTCP 3389を使用します。リモートワーク、サーバー管理、ITサポートで広く使われていますが、設定・運用を誤るとランサムウェア攻撃などの侵入経路になります。

主なセキュリティリスクは、ブルートフォース攻撃、パスワードスプレー攻撃、BlueKeepなどの既知脆弱性、中間者攻撃、インターネット直接公開による自動スキャンへの露出です。NLAを有効にすることで認証前のリソース消費や一部の攻撃リスクを下げられますが、NLAだけで全てのリスクを防げるわけではありません。

安全なRDP利用の基本は、RDPをインターネットに直接公開せず、VPNまたはRD Gatewayを経由させることです。さらに、MFA、強力なパスワード、アカウントロックアウト、IPアドレス制限、パッチの迅速適用、ログ監視を組み合わせることが重要です。

RDPは便利な技術ですが、管理者権限や社内ネットワークへの入口にもなり得ます。便利さだけでなく、公開範囲・認証・パッチ・監視・ログ管理まで含めて、安全に運用しましょう。