リモートデスクトップ（RDP）がインターネットに公開されていないか確認する方法　3389番ポート・ルーターの転送設定・ログの見方

リモートデスクトップ（RDP）は、VPN機器と並んでランサムウェアの侵入経路として多く報告されている入口です。とくに、インターネットから直接つながる状態のRDPは、パスワードを総当たりで試され続けます。ここでは、自社のPC・サーバーがその状態になっていないかを、順に確かめる方法をまとめます。

確認の順番

1
RDPが有効か
PC・サーバー側の設定
2
待ち受けポート
既定は3389番
3
ルーターの転送設定
ポート転送・静的NAT
4
社外から接続テスト
自社のIPアドレスに限る
5
ログで外部からの失敗
イベントID 4625

① PC・サーバーでリモートデスクトップが有効か確認する

まず、受け付ける側の設定です。設定 → システム → リモートデスクトップが「オン」なら、そのPCはRDPで接続を受け付けます。Windows Serverでは、サーバーマネージャーの「ローカルサーバー」にある「リモートデスクトップ」の表示で確認できます。

台数が多い場合は、PowerShellで値を読みます（0なら有効、1なら無効）。

Get-ItemProperty 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name fDenyTSConnections

このあとの⑤のように1台ずつログを数えなくても、全PC・サーバーへのログインの失敗と接続元を1画面で見られます。連続失敗があるときだけLINEに届き、相手のIPは自動で遮断されるので、何もない日は見に行かなくて済みます（アプリップリキー）。さらに、リモートデスクトップのログインそのものを本人のスマホを鍵にしたワンタッチログインにもできます（PC版・サーバー版とも対応）。

価格と初月無料を見る資料を見る（PDF）

PC版月1,800円／台（初期費用0円）・サーバー版月20,000円／台。初月無料ではじめられます（税別・目安）

② 待ち受けているポート番号を確認する

RDPの既定のポートは3389番（TCP）です。変更されていることもあるので、実際の値を確認します。

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber

実際に待ち受けているかは、次のコマンドで分かります。「LISTENING」の行があれば受け付けています。

netstat -an | findstr ":3389"

ポート番号を変えても「閉じた」ことにはならない

3389番以外に変えると、届く試行の数は減ることがあります。しかし、インターネット全体を調べて回るツールは、番号に関係なくRDPの応答を見つけます。番号の変更は目隠し程度で、公開をやめる代わりにはなりません。

③ ルーター・ファイアウォールの転送設定を確認する

PC・サーバーでRDPが有効でも、ふつうは社内のネットワークの中からしか届きません。インターネットから届くのは、ルーターやファイアウォールが外からの通信を社内の機器へ転送している場合です。ルーターの管理画面で、次の名前の設定を探してください。

設定の名前（機器によって違う）	見るところ
ポート転送・ポートフォワーディング	3389番（または②で確認した番号）が社内のIPアドレスへ向いていないか
ポートマッピング・静的IPマスカレード	同上。TCPで、宛先が社内のPC・サーバーになっていないか
静的NAT・DMZ（公開ホスト）	特定の機器へ「すべてのポート」を転送していないか。DMZに置いた機器はRDPも外から届く
UPnP	有効だと、機器やソフトが自動で転送を追加することがある。使っていなければ無効にする

「保守業者が遠隔で作業するために開けた」「コロナ禍の在宅勤務のときに一時的に開けた」まま残っている例が少なくありません。設定した人が分からない転送は、まず理由を確認します。保守業者の接続の扱いは保守業者のリモート接続の管理にまとめています。

④ 社外から実際につながるか試す

設定を見ても判断がつかない場合は、外から試します。試してよいのは自社のIPアドレスだけです。他社のアドレスに対して行わないでください。

社外からの接続テスト

1
自社のグローバルIPを調べる
ルーターの管理画面のWAN側アドレス
2
社外の回線につなぐ
スマホのテザリングなど
3
Test-NetConnection を実行
下のコマンド
4
結果を読む
TcpTestSucceeded が True なら外から届く

Test-NetConnection <自社のグローバルIPアドレス> -Port 3389

社内のネットワークから自社のアドレスに向けて試すと、結果が正しく出ないことがあります。必ず社外の回線から実行してください。拠点が複数ある、固定IPを複数持っている場合は、そのすべてで確かめます。

⑤ ログで「外から試されているか」を確認する

すでに外から届いている場合、その痕跡はログオンの失敗に残ります。受け付ける側のPC・サーバーで、セキュリティログのイベントID 4625を接続元ごとに数えます（管理者のPowerShellで実行）。

Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625; StartTime=(Get-Date).AddDays(-7)} | ForEach-Object { [pscustomobject]@{ ユーザー=$_.Properties[5].Value; 接続元=$_.Properties[19].Value } } | Group-Object 接続元 | Sort-Object Count -Descending | Select-Object -First 20

見つかったもの	読み方
社外のIPアドレスから数百〜数千回の失敗	RDPの入口がインターネットから見えている。③の転送を確認して閉じる
administrator・admin・test などの名前での失敗	よくある名前を順に試されている。既定のAdministratorの扱いは既定のAdministrator・Guestを無効にする手順へ
失敗の連続のあと、同じ接続元から成功（4624）	パスワードが当てられた可能性。不正アクセスされたか調べる方法で、ほかの痕跡も確認する

成功したログオンの一覧や、誰がいつまで使っていたかはリモートデスクトップの接続履歴を確認する方法で扱っています。

公開されていたときの閉じ方

順番	やること
1. 転送を止める	ルーターのポート転送・DMZ・UPnPを外す。使っている人がいれば、先に代わりの方法を伝える
2. 外からはVPN経由に限る	在宅勤務や保守で必要なら、VPNで社内に入ってからRDPを使う形にする
3. 接続できる人を絞る	接続できるユーザーを制限する手順で、Remote Desktop Usersと管理者を見直す
4. 総当たりへの足止め	ネットワークレベル認証（NLA）を有効にし、アカウントロックアウトのしきい値を設定する
5. 公開中に入られていないか	⑤の成功ログオンを、公開されていた期間までさかのぼって確認する

入口を閉じても残ること

RDPを外から閉じたあとに残る入られ方

閉じても残る

VPN機器の脆弱性や、盗まれたVPNのIDから社内に入られる
社内Wi-Fiのパスワードが知られていて、そこから社内に入られる
社内に入られたあと、パスワードだけのRDPでPC・サーバーを渡り歩かれる

閉じれば減る

インターネットからRDPへの直接の総当たり
公開されたRDPの脆弱性を直接突かれること

報道されるランサムウェアの事案では、VPNや社内Wi-Fiなどから入られたあと、社内のPC・サーバーにリモートデスクトップで次々にログインされて被害が広がった例が多くあります。外からの入口を閉じることと、社内のPC・サーバーのログインをパスワードだけにしないことは、分けて考える必要があります。侵入経路の統計はランサムウェアの侵入経路（2026年）で整理しています。

VPNだけでなく、社内のWi-Fiも同じ「入口」です

社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。

機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。

VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。

社内Wi-Fiから入られる形と確認リストを見る

普段の管理が楽になると何が変わるか

この記事の⑤の確認は、PC・サーバーの台数分だけ繰り返す作業です。全PC・サーバーのログインの失敗と接続元のIPアドレスが1画面にまとまっていれば、1台ずつログを開かずに、外から試されていないかをその場で確かめられます。連続失敗があるときだけ担当者のLINEに届き、相手のIPは自動で遮断されます。何もない日は見に行かなくてよいので、夜間や休日も安心して休めます（アプリップリキー）。保守業者がいつどのPCにリモートデスクトップで入ったかも記録に残るので、聞かれたときにすぐ出せます。さらに、社内のPC・サーバーのリモートデスクトップのログインを本人のスマホを鍵にしたワンタッチログインにできます（PC版・サーバー版）。

全PC・サーバーを1か所で管理して1台ずつ見て回る手間をなくす方法はADなしで社内のPC・サーバーをまとめて管理する方法にまとめています。さらに、社内のPC・サーバーのログインを2要素認証にする考え方はOSログイン・PCログインの二要素認証、リモートデスクトップに絞った方法はリモートデスクトップの多要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。

無料の点検スクリプト：このPCに「パスワードだけで入れる入口」を一覧にする

PowerShellで1回実行するだけで、次の項目をまとめて確認できます。読み取りのみで、設定は変更しません。外部への送信もしません。

スクリプトをダウンロード（無料・登録不要）Windows 10 / 11・Windows Server 2016 以降

実行のしかた

ダウンロードしたフォルダでPowerShellを開き、次を実行します（管理者として開くとログオン失敗の集計まで行います）。

powershell -ExecutionPolicy Bypass -File .\Check-WindowsLogin.ps1

中身はテキストファイル1つです。実行する前にメモ帳で開いて、何をしているか確かめられます。

よくある質問

リモートデスクトップがインターネットに公開されているか、どう確認しますか

ルーターやファイアウォールに、3389番（またはRDPのポート）を社内の機器へ転送する設定がないかを確認します。判断がつかない場合は、社外の回線から自社のグローバルIPアドレスに対して Test-NetConnection -Port 3389 を実行し、つながるかを確かめます。

RDPのポート番号を変えれば安全ですか

届く試行の数が減ることはありますが、インターネット全体を調べるツールは番号に関係なくRDPを見つけます。ポート番号の変更は、公開をやめる代わりにはなりません。外からはVPN経由に限り、その先のログインも2要素認証にします。

外から大量のログオン失敗があった場合は、何から確認しますか

まずルーターの転送設定を止めて入口を閉じます。そのうえで、失敗が続いたあとに同じ接続元から成功したログオン（イベントID 4624）がないかを、公開されていた期間までさかのぼって確認します。

いまの運用を棚卸ししてみる

外からの入口を確認したら、次は社内のPC・サーバーのログインです。applippliの無料チェックでは、10問・約3分で、リモート接続を含むPCログインまわりの対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。個人情報の入力は不要で、会員登録もありません。

参考・出典

※ 本記事は2026年11月時点の一般的な解説です。ルーターの設定画面の名称は機種によって異なります。PowerShellの例で使っている項目の番号（Properties[n]）が環境によって合わない場合は、イベントの詳細（XML表示）で位置を確認してください。