Windows Serverの管理やリモート作業で利用されるRDP（Remote Desktop Protocol）は、離れた場所からサーバーを操作できる便利な機能です。一方、インターネットから誰でも接続できる状態で公開すると、パスワードスプレーや総当たり攻撃、漏えい済み認証情報の悪用など、不正アクセスの入口になり得ます。

特にTCP/3389をそのまま外部公開し、パスワードだけでログインできる構成では、攻撃者から継続的に認証試行を受ける可能性があります。侵入されると、管理者権限の取得、内部ネットワークへの横展開、情報窃取、バックアップ破壊などを経てランサムウェア被害へ発展することもあります。

また、RDPは外部からの初期侵入だけに使われるとは限りません。Webサーバーや端末への侵害後、攻撃者が正規の遠隔操作機能としてRDPを内部横展開に悪用する場合もあります。そのため、公開範囲の制限だけでなく、認証、権限、ログ監視、EDRまで組み合わせた対策が重要です。

そこで本記事では、RDPをインターネットへ公開する危険性、代表的な侵入経路、VPN・ZTNAやMFAなどの対策、Windowsで確認したいRDPログ、不正アクセスが疑われる場合の初動対応、フォレンジック調査で侵入経路と被害範囲を確認する方法までを解説します。

RDPをインターネットへ直接公開する危険性

RDPは管理用途として広く利用されていますが、TCP/3389をインターネットから直接到達できる状態にすると、不正アクセスを受けるリスクが高まります。

パスワードスプレー・総当たり攻撃を受ける

RDPのログイン画面が外部から到達できると、攻撃者は多数のユーザー名とパスワードを自動的に試すことができます。

短いパスワード、推測されやすい管理者名、使い回しパスワードなどが残っていると、不正ログインにつながる可能性があります。

漏えい済み認証情報を悪用される

フィッシング、インフォスティーラー、過去の情報漏えいなどで取得されたID・パスワードが、公開RDPへ試されることがあります。

パスワードが十分複雑でも、すでに外部へ流出していれば防御にはなりません。

未修正のRDP・OS脆弱性を悪用される

OSやRemote Desktop Services関連コンポーネントに脆弱性があり、修正プログラムが適用されていない場合は、認証以外の経路から攻撃される可能性があります。

サポートが終了したOSをそのままインターネット公開する運用は特に避ける必要があります。

侵入後の横展開にRDPを悪用される

攻撃者が別のサーバーや端末へ侵入した後、取得した認証情報を使ってRDP接続し、内部ネットワークを移動する場合があります。

そのため「3389を外部公開していないから安全」とは限りません。内部でのRDP利用も監視対象にする必要があります。

ランサムウェアや情報窃取へ発展する

RDP経由で管理者権限を取得されると、ファイルサーバー、Active Directory、バックアップ基盤などへアクセスされる可能性があります。

結果として、情報窃取・バックアップ破壊・ランサムウェア展開へ発展するおそれがあります。

RDPを狙う主な不正アクセスの手口

RDPへの攻撃は、単純な総当たりだけではありません。認証情報窃取や脆弱性、設定不備など複数の経路が利用されます。

パスワードスプレー・ブルートフォース

多数のアカウントへ少数の一般的なパスワードを試すパスワードスプレーや、一つのアカウントへ大量の候補を試すブルートフォースがあります。

4625などの失敗ログが短時間に大量発生している場合は、攻撃を受けている可能性があります。

漏えい済みID・パスワードの悪用

別サービスから漏えいした認証情報や、マルウェアで盗まれたVPN・WindowsアカウントをそのままRDPへ利用する手口です。

この攻撃ではログイン自体が正規認証として成功するため、パスワードのみの認証では見分けにくい場合があります。

RDP・Windowsの脆弱性悪用

パッチが適用されていないWindowsやRDS関連機能に脆弱性が残っている場合、攻撃者に悪用される可能性があります。

設定不備を狙った侵入

TCP/3389の全世界公開、NLA無効、共有Administratorアカウント、過剰なRemote Desktop Users登録などは、RDPのリスクを高めます。

侵害後のRDP横展開

攻撃者がすでに取得したドメインアカウントや管理者権限を使い、内部サーバーへRDPで移動する場合があります。

正規機能を使うため、単純なマルウェア検知だけでは把握しにくいケースがあります。

RDPのセキュリティ対策

RDP対策では、単一の設定に依存せず、「直接公開しない」「強い認証を使う」「接続元と権限を絞る」「ログを監視する」を組み合わせます。

TCP/3389のインターネット公開を停止する

まず確認したいのが、RDPポートがインターネットから直接到達できる状態になっていないかです。

境界Firewall、クラウドのSecurity Group、ルーターのポートフォワード、Windows Defender Firewallなどを確認し、不要な公開を停止します。

ポート番号を3389から別番号へ変更するだけでは、本質的な対策にはなりません。

VPN・ZTNA経由に限定する

RDPは社内ネットワーク、管理用VPN、ZTNAなどを通過した利用者だけが到達できるようにします。

可能であれば、接続元IPや管理端末も制限してください。

VPNを導入していても、VPN認証がパスワードだけでは侵害される可能性があります。VPN自体にもMFAを設定することが重要です。

MFAを必須化する

パスワードのみでRDPへ到達できる構成は避けます。

RD Gateway、VPN、ZTNA、IDプロバイダなどを利用し、多要素認証を組み合わせます。

利用可能な環境では、FIDO2セキュリティキーやパスキーなど、フィッシング耐性の高い方式を優先します。

NLAを有効化する

Network Level Authentication（NLA）を有効にし、RDPセッションを確立する前に認証を要求します。

NLAだけですべての攻撃を防げるわけではありませんが、RDPの基本的な保護設定として有効です。

RDP利用ユーザーを最小化する

Remote Desktop UsersやAdministratorsへ所属するアカウントを棚卸しし、業務上必要な利用者だけに限定します。

Domain Adminsを日常的なRDP接続に使ったり、複数人で共有Administratorアカウントを利用したりする運用は避けてください。

失敗認証・異常ログインを監視する

短時間の大量失敗、複数アカウントへの試行、通常利用しない時間帯・地域からの成功ログインなどを監視します。

「失敗ログが多い」だけでなく、失敗の直後に成功していないかも確認することが重要です。

EDR・パッチ管理を徹底する

Windows、RDS関連コンポーネント、VPN機器、RD Gatewayなどを最新状態に維持します。

EDRでは、RDP接続後のPowerShell実行、新規サービス作成、管理者追加、認証情報窃取、大量ファイル操作などを相関監視します。

RDP対策では「ポートを隠す」より、そもそもインターネットからログイン画面へ到達させない構成にすることが重要です。

RDPの不正アクセスを確認するWindowsログ

RDP侵害が疑われる場合は、Windows Securityログだけではなく、Terminal Services関連のOperationalログも組み合わせて確認します。

4624：ログオン成功

Securityログの4624ではログオン成功を確認します。

RDPの場合はLogon Type 10（RemoteInteractive）を確認し、アカウント、接続元IP、時刻などを調べます。

4625：ログオン失敗

4625が短時間に大量発生している場合は、ブルートフォースやパスワードスプレーの可能性があります。

複数ユーザーへ同一送信元から試行していないか、成功ログインへつながっていないかも確認します。

4672：特権ログオン

4672は特別な権限が割り当てられたログオンを確認する際に利用できます。

通常使用しない管理者アカウントや不自然な時間帯での特権ログオンに注意します。

4720・4728・4732：アカウント・グループ変更

侵入後に攻撃者が新しいユーザーを作成したり、管理者グループへ追加したりする場合があります。

RDPログイン後の時間帯にアカウントやグループ変更が行われていないか確認します。

1149：RDP認証成功

RemoteConnectionManagerの1149は、RDP認証の成功を確認する際の重要なログです。

4624と送信元IPや時刻を突き合わせ、同一セッションか確認します。

21・22・24・25：RDPセッション履歴

LocalSessionManagerのOperationalログでは、セッションのログオン、接続、切断、再接続などを時系列で確認できます。

成功ログだけで侵害を判断しない

4624や1149で成功ログが確認できても、それだけで正規利用か不正アクセスかは判断できません。

接続元IP、アカウント、時間帯、端末、MFA、接続後の操作、EDRなどを同一タイムライン上で確認することが重要です。

PowerShellでRDPのログオン履歴を確認する方法

Windows Serverでは、PowerShellを利用してSecurityログからRDP接続に該当するログオンを抽出できます。

Get-WinEvent -FilterHashtable @{ LogName = 'Security' Id = 4624 StartTime = (Get-Date).AddDays(-7) } | ForEach-Object { $x = [xml]$_.ToXml() $d = @{} foreach ($item in $x.Event.EventData.Data) { $d[$item.Name] = $item.'#text' } if ($d.LogonType -eq '10') { [PSCustomObject]@{ TimeCreated = $_.TimeCreated User = "$($d.TargetDomainName)\$($d.TargetUserName)" SourceIP = $d.IpAddress Workstation = $d.WorkstationName Process = $d.ProcessName } } } | Sort-Object TimeCreated -Descending | Format-Table -AutoSize

このような確認は、不審なRDP成功ログインを探す際の一つの方法です。

ただし、攻撃者がログを削除している場合や、ログ保持期間を過ぎている場合もあります。Windowsログだけで「侵害なし」と断定せず、Firewall、VPN、EDR、Active Directoryなどのログも確認してください。

RDP経由の不正アクセスが疑われる場合の対処法

不審なRDPログインが確認された場合は、被害拡大を止めながら証拠を保全します。

対象サーバーをネットワークから隔離する

不正アクセスが継続している疑いがある場合は、EDRの隔離機能やネットワーク制御を利用して対象サーバーを切り離します。

緊急の暗号化進行などを除き、電源断するとメモリ上の重要な痕跡を失う可能性があるため注意が必要です。

RDP・VPNなどの外部公開を停止する

RDPだけでなく、VPN、RD Gateway、踏み台サーバーなど、外部から管理環境へ到達できる経路を確認します。

不要な公開は速やかに停止してください。

ログ・EDR・設定を保全する

Windows Event Log、Terminal Servicesログ、EDR、Firewall、VPN、Proxy、Active Directoryログなどを保存します。

設定変更や復旧作業を始める前に原本ログを確保することが重要です。

管理者・RDPアカウントの認証情報を変更する

管理者、RDP許可ユーザー、サービスアカウント、VPNアカウントなどを対象に認証情報を変更します。

侵害端末からではなく、クリーンと判断できる管理端末から実施してください。

永続化・横展開の痕跡を確認する

新規ユーザー、Administratorsへの追加、タスクスケジューラ、サービス、WMI、Runキー、Webシェル、RMMツールなどを確認します。

攻撃者が別の端末やサーバーへ移動していないかも確認が必要です。

バックアップ基盤を確認する

RDP侵害で管理者権限が取得されている場合、オンラインバックアップへもアクセスされている可能性があります。

バックアップの世代、削除、設定変更、暗号化、イミュータブル領域への影響などを確認してください。

不審なRDP接続を見つけた場合、単に3389番ポートを閉じるだけでは対応完了とはいえません。すでに攻撃者が別のアカウントや永続化手段を作っている可能性があるため、侵入後の操作まで確認することが重要です。

RDPの不正アクセスを防ぐための再発防止策

インシデント対応後は、同じ侵入経路を再利用されないようにRDPの設計自体を見直します。

RDPを直接公開しない

RDPの接続先をVPN・ZTNA配下へ移し、インターネット上にログイン画面を直接公開しない構成にします。

管理経路を分離する

一般ユーザー端末から重要サーバーへ直接RDPできないよう、管理用ネットワークや踏み台を分離します。

可能であれば管理専用端末（PAW）を利用します。

管理者アカウントを分離する

日常利用アカウントと管理アカウントを分け、特権アカウントをWeb閲覧やメール利用に使わないようにします。

RDP接続を継続監視する

ログイン成功・失敗だけでなく、RDP接続後の管理操作、PowerShell、アカウント追加、新規サービスなども監視します。

バックアップを侵害経路から分離する

RDPで侵害された管理者アカウントから、バックアップを削除・暗号化できない設計にします。

オフラインまたはイミュータブルなバックアップを用意し、復元テストも定期的に行います。

RDP経由の不正アクセスをフォレンジック調査で確認する方法

RDPログに見覚えのない成功接続があった場合、「ログインされた」という事実だけでなく、その後に何をされたのかを確認する必要があります。

不正RDP接続の日時・接続元

4624、4625、1149、Terminal Services関連ログ、Firewall・VPNログなどを相関し、接続元IPや時刻を整理します。

利用されたアカウント・権限

どのアカウントでログインし、その後どの権限を使用したのかを確認します。

特権グループへの追加や新規アカウント作成も調査対象になります。

接続後に実行された操作

EDR、PowerShell、プロセス実行、ファイル操作などから、侵入後に何を行ったのかを時系列化します。

他端末・サーバーへの横展開

侵害されたRDPサーバーを起点に、SMB、RDP、WinRM、WMIなどを使って他端末へ移動していないか確認します。

情報漏えい・ランサムウェア準備の痕跡

大量ファイルアクセス、アーカイブ作成、不審な外部通信、EDR停止、バックアップ削除などがないかを確認します。

RDPの不正アクセスをフォレンジック調査会社に相談する

RDPに見覚えのない成功ログインがある場合は、単純なパスワード変更やポート閉鎖だけで対応を終わらせないことが重要です。

攻撃者がログイン後に、新しい管理者アカウント、タスク、サービス、RMMツールなどを追加している場合や、別サーバーへ横展開している場合があります。また、暗号化が始まっていなくても、すでに機密データを持ち出している可能性があります。

侵害が疑われるサーバーを初期化したり、Windowsログを削除したりすると、RDPの侵入経路や攻撃者の操作を確認する証拠が失われる恐れがあります。不審なRDP成功ログイン、管理者追加、EDR異常などが確認されている場合は、証拠を保全した状態でフォレンジック調査会社へ相談することをおすすめします。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 その中でも【

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

「パソコンが遠隔操作され、詐欺にあったかもしれない…」 「会社のパソコンのログを確認したら、未知のIPアドレスから不正アクセスを受けた痕跡を見

まとめ

RDPをインターネットへ直接公開すると、パスワードスプレー、漏えい済み認証情報、脆弱性悪用などを起点に不正アクセスを受ける可能性があります。安全な運用では、TCP/3389を直接公開せず、VPNまたはZTNAとMFAを組み合わせ、NLA、最小権限、接続元制限を適用することが重要です。

また、RDPの監視では4624・4625だけでなく、1149やTerminal ServicesのOperationalログ、EDR、Firewall、VPN、Active Directoryなどを同一タイムラインで確認します。不審な成功ログインがあった場合は、ログイン後の管理者追加、サービス作成、横展開、情報持ち出しまで調べる必要があります。

すでに侵害が疑われる場合は、対象サーバーをネットワークから隔離し、ログやEDR情報を保全したうえで認証情報の変更と影響範囲調査を進めてください。端末初期化やログ削除を先に行わず、必要に応じてフォレンジック調査でRDPの侵入経路と被害範囲を確認することが重要です。