公网服务器远程桌面连接攻击而频繁关机的解决案例

近来发现置于公网的一台服务器频繁自动重启，几乎每次远程登录均会看到系统意外关机的提示并要求选择原因，打开事件查看器，发现有大量的同一类异常事件发生，如下图：

 

发生的频繁为15-17秒一次，再看该类事件的属性如下图：

 

提示：“来自客户端名 a 的远程会话超出了所允许的失败登录最大次数。强行终止了会话”。

可知有人试图通过程序强登服务器，服务器疲于应付而关机。进行如下处理：

1、打开注册表编辑器。找到[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]，找到右边的 PortNumber ，在十进制状态下改成新的端口号。

2、同样是在注册表编辑器中，找到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp，找到右边的 PortNumber，修改成与上方一致的端口号。

3、防火墙增加上述端口号的入站规则，重启电脑。

第二天再远程登录，登录时除用“IP：端口号”，发现没有再提示意外关机了，查看事件，天清地宁。