Windows服务器暴露在公网时，远程桌面（RDP，默认端口3389）往往是攻击者爆破和漏洞利用的第一目标。很多运维把远程桌面一开、端口一映射就完事，等于把服务器大门直接留给全网扫描器。安全加固不是装个杀毒软件或者改个端口就结束，而是一套围绕“谁能连、从哪连、连上能做什么、连的过程是否可审计”的组合措施。

先确认远程桌面是不是必须对公网开放

最有效的加固手段其实是让RDP根本不直接暴露在公网。如果业务场景允许，优先考虑通过堡垒机、VPN网关或专线访问，远程桌面只监听内网地址。对于必须直接对外的场景，再逐层做限制。很多中小型服务器没有条件部署独立堡垒机，那么至少要在系统防火墙和云安全组两层同时收紧来源IP。

修改默认端口并配合防火墙规则

把3389改成高位端口能过滤掉大部分无差别扫描，但这只是降低噪音，不能作为唯一防线。修改注册表位置：

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
PortNumber

改成十进制的高位端口，例如33901，然后重启Remote Desktop Services服务。注意修改后要在Windows防火墙入站规则中同步放行新端口，并删除或禁用原有的“远程桌面”默认规则。云服务器还需要在安全组中放行对应端口，同时将来源IP设置为办公网出口IP段，而不是0.0.0.0/0。

用组策略强制网络级身份验证和加密级别

打开本地组策略编辑器，进入计算机配置-管理模板-Windows组件-远程桌面服务-远程桌面会话主机-安全，至少启用以下设置：

要求使用网络级别的身份验证对远程连接进行用户身份验证：已启用
设置客户端连接加密级别：高级别
要求安全的RPC通信：已启用

网络级身份验证（NLA）要求客户端在建立完整RDP会话前先完成身份验证，能显著降低漏洞利用面和资源消耗型攻击。加密级别设为“高级别”可以避免旧版客户端协商到弱加密算法。

账户策略是爆破攻击的核心防线

RDP爆破本质上是针对账户密码的在线猜解。管理员账户名称越常见，被爆破的成功率越高。建议重命名内置Administrator账户，并创建一个低权限的日常运维账户，需要提权时再使用管理员账户。组策略中“账户锁定策略”必须配置：

账户锁定阈值：5次无效登录
账户锁定时间：30分钟
重置账户锁定计数器：30分钟

这样连续输错5次密码后账户自动锁定，能有效打断自动化爆破。注意锁定策略对域账户和本地账户都生效，但需要确认不会因为运维人员误输密码导致大面积锁定。

限制登录用户和来源IP

默认情况下，Administrators组和Remote Desktop Users组成员都可以通过RDP登录。应明确只允许指定的运维账户登录。在“系统属性-远程”中点击“选择用户”，移除不必要的组，只添加具体账户。同时通过Windows防火墙的入站规则，在“作用域”选项卡中限制远程IP地址。云服务器安全组再做一层来源IP限制，形成纵深防御。

开启登录审计和日志收集

很多服务器被爆破很久运维都不知道，因为根本没开审核策略。在本地安全策略中启用：

审核登录事件：成功和失败
审核账户登录事件：成功和失败
审核账户管理：成功和失败

事件查看器中重点监控安全日志的事件ID 4625（登录失败）和4624（登录成功）。如果短时间内出现大量4625，说明正在被爆破。可以将Windows事件日志接入SIEM或集中日志平台，设置告警规则，例如5分钟内同一来源IP失败超过10次即触发告警。

使用更安全的认证方式替代纯密码

纯密码认证无论多复杂都存在被爆破、被键盘记录、被钓鱼的风险。Windows Server支持通过配置强制使用智能卡登录或Windows Hello for Business，但中小企业落地成本较高。更实际的做法是启用多因素认证（MFA），在RDP网关上集成第三方MFA，或者使用支持MFA的远程访问工具作为前置。如果条件有限，至少确保密码策略足够严格：长度不低于14位，包含大小写字母、数字和特殊字符，且定期更换。

限制会话超时和并发连接

运维人员连上服务器后如果直接关掉窗口而不注销，会话会一直挂在服务器上，留下未授权访问的窗口。通过组策略设置：

计算机配置-管理模板-Windows组件-远程桌面服务-远程桌面会话主机-会话时间限制
设置已中断会话的时间限制：5分钟
活动但空闲的远程桌面服务会话的时间限制：15分钟
达到时间限制时结束会话：已启用

同时限制每个用户只能有一个活动会话，避免同一账户被多人同时使用而无法追溯操作主体。

及时更新补丁和禁用不必要的远程服务

RDP历史上出现过多个高危漏洞，例如BlueKeep（CVE-2019-0708）允许攻击者在未认证情况下执行任意代码。这类漏洞的修复只能靠及时安装安全更新。运维流程中应建立每月补丁日制度，并重点关注远程桌面相关组件。另外，如果服务器不需要使用Remote Desktop Gateway、Remote Desktop Web Access等角色，不要安装。服务越多，攻击面越大。

针对云服务器的额外加固建议

云环境中的Windows服务器除了系统层加固，还要充分利用云平台的安全能力。安全组规则应遵循最小化原则，只放行必要的业务端口和运维端口。优先使用云厂商提供的会话管理或运维审计功能，而不是直接开放RDP端口。开启云平台的流量日志和操作审计，便于事后追溯异常登录行为。

定期做配置核查和渗透测试

安全配置会随着人员变动、业务调整而漂移。建议每季度做一次远程桌面相关配置核查，检查项包括：防火墙规则是否仍然合理、账户锁定策略是否生效、日志是否正常记录、是否有新增的本地账户。有条件的企业可以定期对公网IP做端口扫描和弱口令测试，验证加固措施是否真正落地。

远程桌面安全加固的核心逻辑是：减少暴露面、增强认证强度、限制登录来源、记录所有行为。任何单一措施都可以被绕过，但多层控制叠加后，攻击者的成本会大幅上升。对于运维人员来说，这些配置大多是一次性投入，却能持续降低服务器被入侵的概率。