RDP Guard

RDP Guard 监视 Windows 安全日志中失败的 RDP 登录尝试，并通过 Windows 防火墙阻止滥用远程 IP 地址。

默认设置

• 事件 ID：4625
• 登录类型：3 或 10
• 阈值：3 次或更多审核失败
• 检查间隔：15 分钟
• 防火墙规则名称：RDP_GUARD_yyyyMMdd_HHmmss_fff
• 如果一次检查发现需要阻止的 IP，则所有 IP 都会写入单个入站防火墙规则中，使用规则的 remoteip 范围。
• 如果某个 IP 已被现有的广泛入站阻止规则覆盖，则不会将其添加到新的 RDP_GUARD_... 规则中。
• 白名单默认值：127.0.0.1、::1
• 应用启动时最小化到系统托盘。左键单击打开窗口；右键单击显示打开/检查/启动-停止/退出操作。
• 默认语言：English。所选语言保存在配置中。支持的语言：英语、土耳其语、德语、俄语、法语、西班牙语、中文。

构建

.\build.ps1

输出：

bin\Release\RDPGuard.exe

可执行文件通过清单要求管理员权限。“随 Windows 启动”选项会在任务计划程序中创建名为 RDP Guard 的计划任务，RunLevel=Highest。

RDP Guard 不会分析或阻止成功的 RDP 登录。它只统计安全日志中包含远程 IP 且符合 RDP/NLA 相关登录类型的 4625 失败事件。

关闭窗口时，应用提供两个选项：最小化到托盘 或 关闭程序。

稳定性说明

• netsh、PowerShell 和 schtasks 调用使用超时处理和异步输出读取，因此卡住的系统命令不会无限期冻结应用。
• RDP Guard 仅更新或删除其自身安全命名的 RDP_GUARD_... 规则。
• 如果配置状态与实际防火墙状态不一致，下次检查时会重新验证记录。
• 日志写入 C:\ProgramData\RDPGuard\rdpguard.log，超过 2 MB 时进行轮转。
• 语言选择仅影响界面文本。事件扫描、IP 处理、防火墙逻辑、计数器和时间间隔与语言无关。
• 启动时，RDP Guard 会尝试将进程优先级提升为 High，记录未处理的异常，并注册 Windows 应用程序重启，以提高后台稳定性。
• 调试日志始终有界：rdpguard.log 上限为 2 MB，最多保留 4 个轮转文件。行内容包含时间戳、级别、PID、线程 ID、运行时间、启动快照、检查 ID、扫描/防火墙耗时、进程退出代码和异常堆栈跟踪。