Windows RDP 服务器是一个强大的工具，同时也是诱人的攻击目标。机器人全天候扫描互联网上开放的远程桌面端口。以下步骤大约需要十分钟，却能消除大部分风险。
1. 更改 Administrator 账户设置
- 设置一个长且唯一的密码（16 个字符或更多）。
- 为日常工作创建一个普通的具名用户，并在可能的情况下重命名或禁用内置的 Administrator 账户。
- 使用密码管理器。绝不要重复使用其他网站的密码。
2. 启用网络级别身份验证
打开系统属性，远程，确保勾选了“仅允许运行使用网络级别身份验证的远程桌面的计算机连接”。NLA 会让客户端在创建完整会话之前先进行身份验证，从而阻止一大类攻击。
3. 限制谁可以连接
最有效的单项措施是设置防火墙规则，只允许你自己的 IP 地址访问 3389 端口。
New-NetFirewallRule -DisplayName "RDP from my IP" -Direction Inbound `
-Protocol TCP -LocalPort 3389 -RemoteAddress 203.0.113.10 -Action Allow请把示例地址替换为你的地址，并禁用“Remote Desktop - User Mode (TCP-In)”这条默认的宽泛规则。如果你的 IP 经常变化，请使用固定地址的 VPN，并只允许该地址。
4. 阻止密码猜测
设置账户锁定策略：本地安全策略，账户策略，账户锁定策略。在 5 次失败尝试后锁定账户 15 分钟，会让暴力破解变得不切实际。
5. 保持 Windows 更新
及时安装更新，尤其是远程桌面服务的更新。最严重的几个 RDP 漏洞，在攻击者大规模利用之前很久就已在月度更新中修复。
6. 可选：更改端口
把 RDP 从 3389 移走可以减少普通机器人带来的日志噪音，但无法阻止有决心的扫描器。把它当作一个次要的附加措施，绝不能替代上述步骤。如果你更改了端口，请记得在防火墙中开放新端口。
7. 检查你的日志
打开事件查看器，Windows 日志，安全，查找事件 ID 4625（登录失败）。同一地址出现数百次失败，说明有人在猜密码。封禁该地址并复查第 3 步。
良好习惯
- 不要在你依赖的服务器上浏览网页或打开电子邮件附件。
- 保持 Defender 启用并更新。
- 使用完毕后请断开连接（而不只是关闭窗口），并注销未使用的会话。
- 把重要文件备份到服务器之外。