TCP port 3389 är standardporten för Remote Desktop Protocol, som tillhandahåller en interaktiv fjärrsession till Windows-system.
En port är ett transportlagernummer som används tillsammans med en IP-adress och ett protokoll som TCP eller UDP för att dirigera trafik till rätt tjänst på en värd.
En serverprocess binder en socket till en port och lyssnar, medan en klient vanligtvis väljer en tillfällig källport för utgående anslutningar.
Kombinationen av käll- och destinations-IP-adresser, käll- och destinationsportar och transportprotokollet identifierar unikt ett flöde så att operativsystemet kan hålla många konversationer åtskilda.
Brandväggar, NAT och skannrar talar om portar eftersom destinationsporten är den stabila mötespunkten som exponerar en tjänst för nätverket.
En RDP-tjänst lyssnar på 3389 och en klient ansluter från en tillfällig källport för att starta en session.
Efter TCP-handskakningen förhandlar klienten och servern om säkerhet och sessionsparametrar, och med Network Level Authentication autentiseras användaren innan hela skrivbordssessionen skapas.
Sessionen innehåller sedan skärmuppdateringar, urklipp, filomdirigering och inmatningshändelser.
Eftersom RDP är fullständig fjärrkontroll, är det ett högvärdigt mål.
Exponerad 3389 är kraftigt skannad och är associerad med lösenordssprayning, brute force och utnyttjande av opatchade sårbarheter.
I praktiken placerar säkra konstruktioner RDP bakom VPN- eller hoppvärdar, upprätthåller MFA och övervakar efter misslyckade inloggningar och ovanligt skapande av sessioner.