RDP 暴露面核查查什么
远程桌面是典型的「高权限入口直接对公网开放」：端口一旦暴露，无论是口令爆破、已知漏洞还是凭据泄露，后果都直接落到系统控制权。核查因此不只问「端口开不开」，而是四件事一起看：暴露范围、是否启用网络级认证（NLA）、账户锁定与失败登录告警是否覆盖、是否只能经堡垒机或网关接入。对暴露在公网的系统，多因素认证与网络层收敛的优先级高于任何单点加固。
基本信息
| 默认端口 | TCP 3389（可改端口但不改变风险性质） |
|---|---|
| 核查项 | 暴露范围、NLA、账户策略、来源限制、登录审计 |
| 加固组合 | 网关或跳板接入 + NLA + 账户锁定 + 失败告警 |
| 检测手段 | 日志核查登录失败与来源分布，配合告警联动 |
| 平台 | Windows Server 与 Windows 客户端；Linux 侧为 xrdp 等实现 |
典型使用场景
- 外部暴露面梳理时确认哪些主机对公网开放了远程桌面
- 评估跳板与 VPN 策略：是否存在绕过网关的备用入口
- 核查账号安全：本地管理员是否共用账号、是否定期改密
- 验证告警覆盖：失败登录是否被记录并触发告警
- 为客户提供收敛建议：优先改成经网关访问，再谈其他加固
检查要点
检查要点
1. 在资产台账中标记 RDP 端口对外的可达范围（公网/办公网/仅内网）
2. 核查 NLA 是否启用（未启用时认证前即可建立连接，风险更高）
3. 核对账户锁定策略与失败登录次数阈值
4. 确认失败登录是否被记录并接入告警（含来源 IP 分布）
5. 敏感系统建议仅经堡垒机或 VPN 接入，关闭直接映射加固项与效果
| 加固项 | 作用 | 注意点 |
|---|---|---|
| 经网关或跳板接入 | 收敛暴露面，统一审计 | 需确认网关自身的高可用与账号管理 |
| 启用 NLA | 认证后才建立会话，降低资源消耗与风险暴露 | 旧客户端可能不兼容，需要评估 |
| 账户锁定与强口令 | 提高爆破成本 | 注意锁定策略本身可能被用来做拒绝服务 |
| 多因素认证 | 凭据泄露后仍拦住登录 | 优先覆盖管理员与远程接入账号 |
改端口不是加固：端口可被扫描发现，风险性质不变；真正有效的是网络层收敛加认证强度。
不要对暴露的远程桌面做口令尝试：这类动作会触发账户锁定与应急响应，且极易被认定为真实攻击。