При грамотной настройке политики безопасности ОС и групповой политики в целом брут RDP делается просто "невозможным". В большинстве случаев эффективно применяется фильтрация пакетов на сетевом уровне с переносом стандартного номера порта. Также можно использовать whitelist с IP адресами на прикладном уровне. Максимально усложнить задачу можно при использовании локаута с настройкой на n-ное количество неудачных попыток через "Security Policy".
Привожу скрин с настройками блокировки аккуанта на один час после 1 неудачной попытки ввода пары: логин/пароль.