RDP 暴露风险是什么
RDP（远程桌面协议）默认使用 3389 端口，是 Windows 服务器与办公主机的标准远程管理方式。它长期是攻击首要目标：一方面自动化工具会持续对公网可达的 3389 尝试常见口令，另一方面它也出现过多个可远程触发的严重漏洞，历史上多次被蠕虫类事件利用。风险主要来自三点同时成立——对公网开放、未启用网络级身份验证、口令策略薄弱；此外，成功登录后攻击者获得的是完整桌面会话，可读写文件、投递勒索软件。
基本信息
| 默认端口 | 3389（RDP 网关同为 443 或 3391 等自定义端口） |
|---|---|
| 适用平台 | Windows 服务器与客户端，Linux 侧使用 xrdp 等实现 |
| 主要风险 | 口令爆破与撞库、远程代码执行类漏洞、勒索软件投递 |
| 关键加固 | 不直接暴露公网、启用 NLA、强口令与锁定、限制来源 |
| 观测位置 | 安全事件日志中的登录失败与成功记录 |
| 集中方案 | RDP 网关或 VPN 统一接入，便于做多因素认证与审计 |
典型暴露场景
- 居家办公需要远程连接，直接把 3389 映射到公网
- 服务器未启用网络级身份验证，登录前即可交互
- 管理员账号使用与个人系统相同的口令，撞库命中
- 临时开通的映射未设到期时间，长期存在
- 多台主机共用同一个本地管理员口令，一处泄露全线可用
- 只在防火墙上改端口号，扫描识别后仍可尝试登录
加固要点
加固要点
1. 不直接暴露公网：经 VPN/堡垒机/网关访问
2. 启用 NLA（网络级身份验证）
3. 强口令 + 账户锁定策略 + 登录审计
4. 限制来源 IP，限制并发会话
5. 及时修补 RDP 相关安全更新
6. 禁用或重命名不必要的本地管理员账号，避免跨主机复用口令核查命令
核查命令
Get-ItemProperty 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' | Select UserAuthentication, PortNumber
# UserAuthentication=1 表示 NLA 已启用
Get-NetTCPConnection -LocalPort 3389 -State Listen # 确认监听地址与来源
# 账户锁定策略：net accounts 查看锁定阈值与锁定时间风险与控制对照
| 风险 | 说明 | 控制措施 |
|---|---|---|
| 公网暴露 | 自动化尝试持续不断 | 走 VPN 或网关，来源白名单 |
| 未启用 NLA | 登录前即可消耗资源与尝试 | 启用 NLA 并要求凭据预验证 |
| 口令薄弱 | 字典可命中 | 强口令策略与失败锁定 |
| 漏洞未修补 | 可被远程直接利用 | 纳入月度补丁流程并优先处理 |
| 会话无审计 | 操作无法追溯 | 开启登录与操作日志并集中收集 |
RDP 网关或 VPN 集中接入便于统一做 MFA 与审计，比逐台加固更可持续。