قم بتعطيل رسالة "فشلت محاولة تسجيل الدخول" في بروتوكول سطح المكتب البعيد (RDP) على نظام التشغيل Windows Server

لماذا تظهر رسالة "فشلت محاولة تسجيل الدخول" عند الاتصال عبر بروتوكول سطح المكتب البعيد (RDP)؟

رسالة “"فشلت محاولة تسجيل الدخول"” عند الاتصال بخادم ويندوز عبر بروتوكول سطح المكتب البعيد (RDP)، قد يشير هذا الخطأ إلى عدة مشاكل مختلفة. قد يكون سبب هذا الخطأ *مصادقة غير صحيحة (اسم المستخدم/كلمة المرور)*، أو *مشاكل في مصادقة مستوى الشبكة (NLA)*، أو قيود سياسة الحساب، أو حتى هجمات تخمين كلمات المرور المتكررة.

قبل محاولة تعطيل أو تغيير إعدادات التسجيل، من المهم تحديد السبب الحقيقي للخطأ لتجنب خلق مخاطر أمنية غير ضرورية.

تعطيل إعدادات بروتوكول سطح المكتب البعيد (RDP) لمحاولة تسجيل الدخول الفاشلة في نظام التشغيل Windows Server - ما هو هذا الإعداد ولماذا؟

تشير هذه الرسالة عادةً إلى أحد الأمور التالية:

• اسم المستخدم أو كلمة المرور غير صحيحة.
• أن تكون نشطًا الرابطة الوطنية للتحرير وعدم تطابق إعدادات العميل.
• قيود السياسة مثل ساعات تسجيل الدخول المسموح بها.
• هجمات القوة الغاشمة التي تولد سجلات متعددة برقم تعريف الحدث 4625.
• إعدادات المصادقة على جهاز العميل التي تتسبب في ظهور نافذة الخطأ بشكل متكرر.

ملاحظة هامة: سيؤدي حذف سجلات محاولات تسجيل الدخول الفاشلة أو تعطيلها إلى فقدان معلومات التحليل الجنائي وكشف الهجمات. من الأفضل استخدام حلول بديلة بدلاً من حذف السجلات نهائياً.

طرق عملية لتعطيل أو إدارة رسالة/سجل "فشلت محاولة تسجيل الدخول"“

1) إزالة عرض الرسائل على جهاز العميل (حل موجه للمستخدم، دون حذف سجل الخادم)

إذا كان الهدف هو منع ظهور نافذة الخطأ بشكل متكرر على جهاز العميل، فيمكنك استخدام الخيارات التالية:

• استخدم الخيار حفظ بيانات الاعتماد في اتصال سطح المكتب البعيد أو إنشاء ملف .rdp مع ضبط الإعدادات المناسبة لإزالة طلب بيانات الاعتماد في كل مرة.
• بالنسبة لعملاء المؤسسات، استخدم GPO لإعداد التفويض أو تفويض بيانات الاعتماد (تكوين الكمبيوتر → القوالب الإدارية → النظام → تفويض بيانات الاعتماد).

نموذج لمحتوى ملف .rdp مفيد لتخزين بيانات الاعتماد:

enablecredsspsupport:i:1
prompt for credentials:i:0
username:s:DOMAIN\username

2) تعطيل تسجيل حالات فشل تسجيل الدخول على الخادم (مع تحذير)

تعطيل تسجيل حالات فشل تسجيل الدخول باستخدام سياسة التدقيق المتقدمة قد يمنع ذلك إنشاء معرف الحدث 4625، ولكنه يقلل من أمان الخادم.

الخطوات (مكتب البريد الحكومي أو المحلي):

• افتح محرر سياسات المجموعة المحلية أو إدارة سياسات المجموعة: إعدادات الكمبيوتر ← إعدادات ويندوز ← إعدادات الأمان ← إعدادات سياسة التدقيق المتقدمة ← سياسات التدقيق ← تسجيل الدخول/تسجيل الخروج ← تدقيق تسجيل الدخول
• لمنع تسجيل حالات الفشل، الخيار فشل إبطال.

أوامر لعرض وتعديل الأدوات التدقيق:

auditpol /get /category:*
auditpol /set /subcategory:"Logon" /success:disable /failure:disable
# or to disable only failure
auditpol /set /subcategory:"Logon" /failure:disable

3) إدارة هجمات القوة الغاشمة وتقليل إنشاء السجلات غير ذات الصلة

من الأفضل استخدام حلول للحد من الهجمات وتوليد السجلات قبل تعطيل السجلات:

• فعل سياسة قفل الحساب (مثال: العتبة = 5، إعادة الضبط = 30 دقيقة).
• فعل مصادقة مستوى الشبكة (NLA) لبروتوكول سطح المكتب البعيد (RDP).
• قم بتقييد الوصول إلى بروتوكول سطح المكتب البعيد (RDP) باستخدام جدار حماية يعتمد على عناوين IP الصالحة.
• استخدم بوابة سطح المكتب البعيد أو الشبكة الافتراضية الخاصة لمنع فتح منافذ بروتوكول سطح المكتب البعيد على الإنترنت العام.
• قم بتثبيت أدوات الحماية مثل RdpGuard أو IPBan لحظر عناوين IP الضارة تلقائيًا.

مثال على أمر جدار الحماية للسماح باستخدام بروتوكول سطح المكتب البعيد (RDP) فقط من عنوان IP محدد:

netsh advfirewall firewall add rule name="Allow RDP from Office" dir=in action=allow protocol=TCP localport=3389 remoteip=203.0.113.45/32

مثال على تغيير منفذ RDP باستخدام PowerShell (مع توخي الحذر الشديد):

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value 3390
Restart-Service TermService -Force

4) تصفية أو إدارة عرض السجلات في عارض الأحداث

إذا كان الهدف هو قراءة سجل الأحداث فقط، فلا داعي لحذف السجل. خيارات أفضل:

• قم ببناء واحد عرض مخصص في عارض الأحداث، قم بتصفية معرف الحدث 4625.
• قم بإعادة توجيه السجلات إلى SIEM أو ELK/Graylog وقم بإجراء التصفية هناك.

مثال على استخدام PowerShell لاستخراج أحدث أحداث تسجيل الدخول الفاشلة:

Get-WinEvent -FilterHashtable @{LogName='Security';Id=4625} -MaxEvents 50 | Format-List TimeCreated, Message

أمثلة عملية وأوامر سريعة

فيما يلي مجموعة من أوامر المرجعية للإجراءات الشائعة:

• اطلع على سياسات التدقيق الحالية:

  auditpol /get /category:*

• تعطيل فشل تسجيل الدخول:

  auditpol /set /subcategory:"Logon" /failure:disable

• أضف قاعدة جدار الحماية للسماح باستخدام بروتوكول سطح المكتب البعيد (RDP) فقط من عناوين IP محددة:

  netsh advfirewall firewall add rule name="Allow RDP from Office" dir=in action=allow protocol=TCP localport=3389 remoteip=203.0.113.45/32

• تغيير منفذ RDP (محفوف بالمخاطر - توخ الحذر):

  Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value 3390
  Restart-Service TermService -Force

• استخراج السجلات 4625:

  Get-WinEvent -FilterHashtable @{LogName='Security';Id=4625} -MaxEvents 100

أفضل الممارسات لاستضافة بروتوكول سطح المكتب البعيد (RDP) على البنية التحتية السحابية

استخدم الحلول التالية لاستضافة بروتوكول سطح المكتب البعيد (RDP) بشكل آمن في بيئات الحوسبة السحابية:

• استخدام خادم افتراضي خاص (VPS) للتداول أو الألعاب بفضل الموقع القريب لتقليل زمن الاستجابة (ping) والقدرة على ربط بروتوكول سطح المكتب البعيد (RDP) بعنوان IP مخصص.
• خادم مضاد لهجمات DDoS وجدار حماية الشبكة لمنع الهجمات عالية التردد على بروتوكول سطح المكتب البعيد (RDP).
• فعل الرابطة الوطنية للتحرير و استخدم بوابة RD جنبا إلى جنب مع ماجستير الفنون الجميلة / 2FA لمزيد من مستويات المصادقة.
• استخدام شبكة خاصة / شبكة افتراضية خاصة وقم بتقييد الوصول إلى بروتوكول سطح المكتب البعيد (RDP) فقط من خلال شبكة VPN أو جهاز Jump Box.
• استخدم خادم رسومات (GPU Cloud) لأحمال العمل الثقيلة واجعل الوصول الإداري محدودًا.
• مراقبة السجلات وإرسالها إلى خدمة مراقبة (SIEM) بدلاً من تعطيل التسجيل المحلي.

نصائح خاصة لمديري مواقع الويب/مطوري العمليات، والمتداولين، واللاعبين

توصيات مصممة خصيصاً لتلبية الاحتياجات المختلفة:

• مسؤولو ووردبريس ومهندسو DevOps: عند تمكين RDP، استخدم نفق SSH أو VPN للوصول إلى لوحات الإدارة للحفاظ على منفذ RDP مخفيًا عن الإنترنت العام.
• التجار: خادم في أحد أكثر من 85 موقعًا احصل على خادم افتراضي خاص (VPS) بالقرب من منصة التداول المستهدفة واستخدمه للتداول مع زمن استجابة منخفض وإمكانية قفل عنوان IP.
• للاعبين: للحصول على أقل زمن استجابة (ping) واستقرار، استخدم خادم VPS للألعاب أو خادم سحابي مزود بشبكة BGP في مواقع مناسبة.

خاتمة

تعطيل تسجيل الرسائل أو عرضها بشكل كامل “"فشلت محاولة تسجيل الدخول"” الحل ليس خالياً من المخاطر. المسار الأكثر أماناً هو التحقق أولاً من سبب الخطأ ثم استخدام حلول مثل تقييد الوصول إلى بروتوكول سطح المكتب البعيد (جدار الحماية، الشبكة الافتراضية الخاصة، بوابة سطح المكتب البعيد)، وتفعيل قفل الحساب، واستخدام أدوات الحماية.

إذا كنت بحاجة إلى استضافة آمنة مع مواقع وميزات متنوعة مثل خادم VPS للتداول، أو خادم مضاد لهجمات DDoS، أو خادم رسومات، فمن المستحسن مراجعة إعدادات الأمان مع فريق الدعم ذي الصلة لضمان تكوين يناسب احتياجاتك.

الأسئلة الشائعة