临时暴露的加固组合（示例）
临时暴露的加固组合（示例）
1. 来源白名单：仅办公出口 IP 可访问
2. MFA：RDP 网关或 SSH 第二因素
3. 失败锁定：多次失败后锁定并告警
4. 端口：不改端口迷信；改动仅降低噪声不提升安全
5. 到期：临时暴露设置有效期，到期自动回收Windows 侧核查
Windows 侧核查
netsh advfirewall firewall show rule name=all | findstr /i "3389"
# 或 PowerShell：Get-NetTCPConnection -LocalPort 3389 -State Listen暴露治理要与办公网络结合：远程办公需求真实存在，给一个合规通道才能减少私开映射。