RDP 为什么是重点对象
远程桌面是攻击者最喜欢的入口之一：端口开放即可被全网扫描，认证失败记录会持续堆积，一旦口令被猜中就能拿到交互式会话。勒索事件里有相当一部分是从暴露的远程桌面开始的。核查要看三件事：网络层是否直接暴露、认证层是否启用网络级身份验证、会话层是否使用 TLS 加密。
基本信息
| 加固项 | 远程桌面安全配置 |
|---|---|
| 适用平台 | Windows 10/11 与 Windows Server 2016+ |
| 风险等级 | 高 |
| 关键判读 | 网络级身份验证开启，安全层为 TLS |
| 端口 | 3389（默认，可更改但不构成安全措施） |
典型使用场景
- 暴露面核查：确认 3389 是否对全网开放，是否有来源限制
- 勒索事件排查：RDP 相关的失败登录记录是常见起点
- 加固整改：启用网络级身份验证并统一安全层设置
- 域内运维核查：确认远程桌面是否限制了授权用户组
- 合规测评：远程管理条款要求加密与更强的身份鉴别
核查命令
核查命令
Get-ItemProperty 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' | Select-Object UserAuthentication,SecurityLayer,PortNumber
Get-NetTCPConnection -LocalPort 3389 -State Listen -ErrorAction SilentlyContinue
Get-NetFirewallRule -DisplayGroup 'Remote Desktop' | Select-Object Name,Enabled,Profile,Action
Get-LocalGroupMember -Group 'Remote Desktop Users' | Select-Object Name,PrincipalSource关键项读法
| 配置项 | 取值与含义 | 判读要点 |
|---|---|---|
| UserAuthentication | 1 表示启用网络级身份验证 | 为 0 时会在建立会话后才认证，暴露面更大 |
| SecurityLayer | 2 表示使用 TLS，1 表示协商，0 表示不加密 | 应为 2，避免回落到弱加密 |
| PortNumber | 监听端口号 | 改端口只是换门牌，不减少暴露 |
| 防火墙规则 | 远程桌面规则是否启用及适用档案 | 放行范围应限制到管理网段 |
| 授权用户组 | 允许远程登录的成员 | 成员清单需与授权名单一致 |
远程桌面直连公网属于高危配置：至少要叠加网络级身份验证、强口令、失败锁定与来源限制，并优先通过 VPN 或堡垒机收敛入口。加固时注意顺序——先确认来源限制与授权用户组已就位，再收紧防火墙，否则会直接断开正在使用的远程会话。
把端口改成非 3389 不是安全措施：扫描器会在全端口范围内发现服务，判定时不能靠改端口充数。另外被暴露的远程桌面主机通常伴随大量失败登录记录，核查时联动登录事件一起看，能同时确认暴露情况与是否已被尝试爆破。
加固组合怎么写进报告
建议按四层记录：网络层（是否公网可达、来源限制与入口收敛方式）、认证层（网络级身份验证与锁定策略）、加密层（安全层与证书）、人员层（授权用户组成员清单）。四层逐项给出当前值与结论，比单一开关的核查更能反映真实防护水平，也便于在复评时逐条核对。