适用场景
RDP 远程桌面（3389 端口）是互联网上被扫描爆破频率最高的服务之一，攻击者利用字典爆破弱口令，一旦得手即可直接控制服务器，进而植入勒索软件或挖矿木马。本文适用于：对外暴露 3389 端口的 Windows Server 生产服务器、被爆破日志频繁告警需紧急加固的场景，以及需要满足等保对远程运维安全要求的团队。
前置条件
- Windows Server 2016/2019/2022 或 Windows 10/11 专业版
- 以管理员权限打开 PowerShell 或 CMD
- 确认当前远程桌面连接方式（公网直连 / 通过 VPN 或堡垒机接入）
- 加固前建议保留一条备用管理通道（如控制台或 IPMI），防止误锁导致无法登录
原理说明
RDP 爆破利用的是 3389 端口 + 弱口令的组合：攻击者用 Hydra、msf 等工具对 Administrator 等账号持续尝试密码。Windows 默认的 账户锁定阈值未启用，爆破可无限次尝试，这是服务器被攻陷的主因。加固思路围绕四层：
- 入口收敛：启用 NLA 网络级认证、修改默认端口、限制来源 IP
- 口令策略：启用账户锁定策略，阻止持续爆破
- 传输加密：使用 TLS 加密或强制更高安全级别
- 双因素：叠加 TOTP/短信验证，即使口令泄露也无法登录
操作步骤
步骤一：启用 NLA 网络级认证（必须）
NLA 要求先完成凭据验证再建立远程会话，可过滤掉绝大多数未认证爆破流量：
# PowerShell 管理员执行：开启 NLA
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name "UserAuthentication" -Value 1
# 重启远程桌面服务生效
Restart-Service TermService步骤二：配置账户锁定策略（防爆破核心）
设置5 次失败即锁定 30 分钟，可彻底阻断字典爆破（关键参数）：
# 使用 net accounts 设置锁定策略
net accounts /lockoutthreshold:5
net accounts /lockoutduration:30
net accounts /lockoutwindow:30
# 查看策略确认
net accounts | findstr /i "lockout"步骤三：修改默认端口并加防火墙白名单
# 1) 修改 RDP 端口为 53389（示例），避免默认 3389 被批量扫描
$port = 53389
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name "PortNumber" -Value $port
# 2) 防火墙只允许指定 IP 访问新端口（示例为你的办公出口 IP）
New-NetFirewallRule -DisplayName "RDP-Allow-Office" -Direction Inbound -Protocol TCP -LocalPort $port -RemoteAddress "203.0.113.10" -Action Allow
Remove-NetFirewallRule -DisplayName "RDP-Default" -ErrorAction SilentlyContinue
# 3) 重启服务并确认监听端口
Restart-Service TermService
netstat -an | findstr $port步骤四：限制账号并加固传输
# 1) 禁用空密码远程登录与来宾账户
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "LimitBlankPasswordUse" -Value 1
Disable-LocalUser -Name "Guest" -ErrorAction SilentlyContinue
# 2) 从远程桌面组移除不必要的账号，仅保留管理员
net localgroup "Remote Desktop Users" | findstr /v "command"配置验证
# 1) 确认新端口生效（应看到 0.0.0.0:53389）
netstat -an | findstr 53389
# 2) 模拟错误密码 6 次，验证账号被锁定
# 用 mstsc 连续输错 6 次后，系统应提示账号锁定
# 3) 确认防火墙规则（只允许白名单 IP）
Get-NetFirewallRule -DisplayName "RDP-Allow-Office" | Get-NetFirewallAddressFilter
# 4) 检查安全日志中 4625（登录失败）事件是否已不再持续增长
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 5 | Select TimeCreated,Message常见问题
FAQ 1：修改端口后无法远程连接了怎么办？
确认新端口在防火墙已放行且客户端连接时手动填写新端口（mstsc 中”计算机”填 IP:53389）。若仍无法连接，通过服务器控制台（云厂商 Web 终端）执行 netstat -an | findstr 53389 检查监听状态，并确认 TermService 服务已重启。建议先在测试机上演练完整流程。
FAQ 2：启用账户锁定策略会不会把正常运维也锁住？
会有轻微影响：若运维人员连续输错 5 次密码会被锁 30 分钟。缓解方案：给运维人员分配独立账号（避免共用 Administrator）、锁定阈值设为 5-10 次、锁定时长 15-30 分钟，同时结合 IP 白名单降低误锁概率。
FAQ 3：只改端口和启 NLA 就够了吗？
不够。端口隐藏只能降低被批量扫描的概率，定向攻击仍可通过端口扫描发现；NLA 能过滤未认证流量但无法防口令猜测。必须叠加账户锁定 + IP 白名单，高危环境建议再上 TOTP 双因素认证（如 Duo、FreeOTP 方案），形成纵深防御。
总结
RDP 安全加固的优先级是：先防爆破（账户锁定策略）、再收敛入口（NLA + 端口 + IP 白名单）、最后叠加双因素。对直接暴露公网的服务器，务必完成前三层；建议将 RDP 服务收敛到 VPN 或堡垒机后面，实现远程运维零公网暴露，这是当前最稳妥的架构方案。加固完成后持续监控安全日志 4625 事件，验证爆破流量是否归零。