BlueKeep 是什么
BlueKeep（CVE-2019-0708）是微软在 2019 年 5 月修复的远程桌面服务（RDP）远程代码执行漏洞，影响 Windows 7、Windows Server 2008 与 2008 R2，以及当时已停止支持的 Windows XP 与 Server 2003。它属于预认证漏洞：攻击者无需登录、也无需用户交互即可通过网络触发，具备蠕虫化传播的形态，因此公布后各方的处置优先级都放在了最高档。
基本信息
| 漏洞编号 | CVE-2019-0708 |
|---|---|
| 漏洞类型 | RDP 预认证远程代码执行 |
| 影响系统 | Windows 7 / Server 2008 / 2008 R2，XP / Server 2003 |
| 暴露端口 | TCP 3389 |
| 补丁时间 | 2019 年 5 月安全更新，含对已停止支持系统的特别补丁 |
典型使用场景
- 梳理仍有老系统在用的机房，确认 3389 是否对办公网或公网开放
- 给无法立即升级的 Windows 7 终端补装 2019 年 5 月及之后的累积更新
- 在远程桌面入口前增加网关或堡垒机，把 3389 从终端直连改为经认证跳转
- 对老系统的替代排期做专项立项：补丁只是止血，长期仍需迁移
- 核查云主机安全组与边界映射，确认没有把 3389 直接暴露给互联网
启用 NLA 加固（需重启）
启用 NLA 加固（需重启）
# 要求远程桌面连接先完成网络级身份验证，可挡掉大部分匿名触发路径
$RDP = Get-WmiObject -Class Win32_TSGeneralSetting `
-Namespace root\cimv2\terminalservices -Filter "TerminalName='RDP-tcp'"
$RDP.SetUserAuthenticationRequired(1)
# 查看当前值：1 表示已要求 NLA
Get-WmiObject -Class Win32_TSGeneralSetting `
-Namespace root\cimv2\terminalservices -Filter "TerminalName='RDP-tcp'" |
Select-Object UserAuthenticationRequired暴露面核查
暴露面核查
nmap -Pn -p3389 192.0.2.10 # 确认 3389 是否对非必要网段开放
# 边界与安全组侧同步核对：是否存在 0.0.0.0/0 到 3389 的放行
# 还原近期登录来源分布：出现异常来源立即收紧策略加固措施与作用
| 措施 | 作用 | 注意 |
|---|---|---|
| 安装补丁 | 关闭漏洞根因 | 已停止支持系统也需手动装特别补丁 |
| 启用 NLA | 要求先完成身份验证 | 不支持 NLA 的老客户端会连不上 |
| 网络限制 | 只放行运维网段或经网关 | 需同步更新运维与外包人员的接入方式 |
| 系统升级 / 替换 | 结构性解决老系统风险 | 需按业务系统分批评估，工期较长 |
启用 NLA 可能让不支持该机制的老客户端（旧版 RDP 客户端、部分第三方终端、瘦客户机）直接无法连接，变更前先抽一台终端验证兼容性。
微软为已停止支持的 XP 与 2003 也发布了该漏洞补丁，说明其严重程度；但补丁不能替代升级计划，老系统的支持状态要一并列入台账。