远程协助的风险
Windows 远程协助允许用户主动邀请他人接管自己的桌面，本意是方便支持人员排障。历史上它多次被当作入侵通道：攻击者诱导用户发起协助请求，随后反向连接并接管会话。服务器上没有任何场景需要这个功能，应当从策略层彻底关闭；确有远程支持需求时，走堡垒机或受控的远程桌面通道。
基本信息
| 加固项 | 远程协助关闭 |
|---|---|
| 适用平台 | Windows Server 与 Windows 10 及以上 |
| 关键取值 | Remote Assistance\fAllowToGetHelp = 0 |
| 关联取值 | fAllowFullControl = 0 |
| 域环境 | GPO：计算机配置 → 管理模板 → 系统 → 远程协助 |
| 风险等级 | 中 |
典型使用场景
- 服务器基线：作为默认关闭项，不设例外
- 办公终端：除非存在经过审批的远程支持流程
- 事件处置：日志中出现远程协助相关行为时先关功能再排查
- 合规检查：确认远程协助处于未开放状态
- 新机交付：写入装机基线，避免新机器保持默认开启
核查与关闭
核查与关闭
# 核查两个开关的当前值
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Remote Assistance' -Name fAllowToGetHelp
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Remote Assistance' -Name fAllowFullControl
# 关闭被邀请能力
Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Remote Assistance' -Name fAllowToGetHelp -Value 0 -Type DWord
# 域环境用 GPO 下发，避免逐台修改被覆盖两个开关的含义
| 设置项 | 含义 | 建议值 |
|---|---|---|
| fAllowToGetHelp | 是否允许本机发起远程协助请求 | 0 |
| fAllowFullControl | 是否允许协助者完全控制桌面 | 0 |
| 域策略 | 统一下发并覆盖本地设置 | 纳入基线报表核查 |
| 相关服务 | 协助请求依赖的组件 | 一并确认未开放 |
两个开关要一起核查：只关其中一个时，仍可能被请求完整控制权限。
需要远程支持时走受控通道，例如堡垒机或经审批的远程桌面，不要让临时开启变成长期敞口。
域环境里本地注册表值可能被组策略覆盖，验收要以实际生效值为准。
落地检查点
- 确认两个开关均为 0，并记录实际生效值
- 域环境统一用 GPO 下发，报表里核对配置一致性
- 确需远程支持时走受控通道，临时开启要有工单与关闭时间
- 把该项纳入新机装机基线，避免默认开启