RDP Guard

RDP Guard überwacht fehlgeschlagene RDP-Anmeldeversuche im Windows-Sicherheitsprotokoll und blockiert missbräuchliche Remote-IP-Adressen über die Windows-Firewall.

Standardwerte

• Ereignis-ID: 4625
• LogonType: 3 oder 10
• Schwellenwert: 3 oder mehr Audit-Fehler
• Prüfintervall: 15 Minuten
• Firewall-Regelname: RDP_GUARD_yyyyMMdd_HHmmss_fff
• Wenn eine Prüfung zu blockierende IPs findet, werden alle in eine einzige eingehende Firewall-Regel mit dem Regelbereich remoteip geschrieben.
• Wenn eine IP bereits von einer aktiven, breit gefassten eingehenden Blockregel abgedeckt ist, wird sie keiner neuen RDP_GUARD_...-Regel hinzugefügt.
• Whitelist-Standardwerte: 127.0.0.1, ::1
• Die App startet minimiert in die Systemablage. Ein Linksklick öffnet das Fenster; ein Rechtsklick zeigt Aktionen zum Öffnen/Prüfen/Start-Stopp/Beenden.
• Standardsprache: Englisch. Die ausgewählte Sprache wird in der Konfiguration gespeichert. Unterstützte Sprachen: Englisch, Türkisch, Deutsch, Russisch, Französisch, Spanisch, Chinesisch.

Build

.\build.ps1

Ausgabe:

bin\Release\RDPGuard.exe

Die ausführbare Datei erfordert über das Manifest Administratorrechte. Die Option „Mit Windows starten“ erstellt einen Task-Scheduler-Eintrag namens RDP Guard mit RunLevel=Highest.

RDP Guard analysiert oder blockiert keine erfolgreichen RDP-Anmeldungen. Es zählt nur 4625-Fehlerereignisse im Sicherheitsprotokoll, die eine Remote-IP enthalten und mit RDP/NLA-bezogenen Anmeldetypen übereinstimmen.

Beim Schließen des Fensters bietet die App zwei Optionen: In die Ablage minimieren oder Programm beenden.

Stabilitätshinweise

• netsh-, PowerShell- und schtasks-Aufrufe verwenden Timeout-Behandlung und asynchrones Auslesen der Ausgabe, sodass ein hängender Systembefehl die App nicht dauerhaft einfriert.
• RDP Guard aktualisiert oder löscht nur seine eigenen sicher benannten RDP_GUARD_...-Regeln.
• Wenn Konfigurationszustand und tatsächlicher Firewall-Zustand voneinander abweichen, validiert die nächste Prüfung den Datensatz erneut.
• Protokolle werden unter C:\ProgramData\RDPGuard\rdpguard.log geschrieben und über 2 MB rotiert.
• Die Sprachauswahl betrifft nur den UI-Text. Ereignisprüfung, IP-Verarbeitung, Firewall-Logik, Zähler und Zeitintervalle sind sprachunabhängig.
• Beim Start versucht RDP Guard, seine Prozesspriorität auf High zu erhöhen, protokolliert unbehandelte Ausnahmen und registriert sich für den Windows-Anwendungsneustart, um die Hintergrundstabilität zu verbessern.
• Die Debug-Protokollierung ist stets begrenzt: rdpguard.log ist auf 2 MB begrenzt und es werden bis zu 4 rotierte Dateien aufbewahrt. Zeilen enthalten Zeitstempel, Ebene, PID, Thread-ID, Betriebszeit, Start-Snapshot, Prüf-IDs, Scan-/Firewall-Zeiten, Prozess-Exit-Codes und Ausnahme-Stacktraces.