要加固 Windows VPS 而不把它变成一项科研工程，先打补丁，用 NLA 和 IP 白名单强化 RDP，启用账户锁定，收紧入站防火墙规则，保持 Defender 实时保护开启，并测试备份。无论用于远程办公、网站还是应用，目标都很简单：缩小攻击面、保护身份、盯住日志。
第一步：补丁、驱动程序和角色
首先要做的就是打补丁。暴露在公网的未打补丁服务器是最容易被攻击的，大多数入侵从这里开始。持续推送安全更新，移除不需要的 Windows 角色，按照团队可以接受的计划表重启。这是看似无聊但能预防麻烦的工作。
- 设置 Windows 更新为定期安装安全补丁，将维护窗口与你团队可用的业务时间协调一致。
- 删除不需要的角色和功能，比如旧版 IIS 模块或 SMB 1.0 组件。
- 按计划应用驱动程序、固件和应用更新，然后定期重启，而不是两个月后才重启。
- 如果 VPS 配置了公网 IP，在云门户中检查暴露的部分并关闭不需要的端口。
从这里开始，每月记一份简单的变更日志，这样你才能说清什么时候改了什么。这也为下一步的身份安全工作打好基础，而那里的收益最大。
身份验证基础：强密码和 MFA 路径
身份验证是你的第一道防线。长密码短语和二次验证可以阻止大多数常见攻击，即使在小型 Windows 服务器上也很容易部署。
- 使用至少 14 个字符的口令短语。如果服务器已加入域，可通过身份体系添加弱口令黑名单过滤。
- 通过 RD Gateway、VPN 或第三方凭据提供程序为 Remote Desktop 添加 MFA。
- 使用独立的命名管理员账户，日常工作在标准用户下进行。
- 审计谁可以通过 RDP 登录，精简该列表，遵循最小权限原则。
这里没有什么诀窍，靠的是坚持，而坚持会直接把你带到账户管理这一步。如果你是替客户做的，把这些检查项写进交接文档，下一个管理员才会照着同一套方案执行。
停用默认的 'Administrator' 账户并启用账户锁定
攻击者会频繁尝试默认的 Administrator 账户名。禁用它，创建一个具有特定名称的管理员账户，并设置账户锁定策略，让暴力破解的尝试效率大大降低。
- 先创建并测试一个单独命名的管理员账户，然后停用内置的 Administrator 账户。如果必须保留，就改名并把它当作应急账户来保护。
- 将账户锁定策略设为 10 次尝试失败后锁定，锁定时长 15 分钟，重置时长 15 分钟，这是实用性和安全性的平衡。
- 记录一个快速解锁流程，这样当有人输错密码时，支持团队不会被卡住。
关于基线设置及其取舍，请参阅 Microsoft 的 账户锁定阈值参考文档.
这类小改动在公网虚拟机上很快就能见效。默认的那扇门关上、锁定策略到位之后，下一层就是 RDP 这个攻击面。
RDP 安全加固：网络级身份验证、端口隐蔽性和 IP 白名单
远程桌面是常见的攻击目标，必须加强防护。启用网络级身份验证，通过白名单降低暴露，减少 3389 端口上的自动化扫描噪音。改变端口只是降低扫描器噪音，不能算作真正的安全控制。
- 在服务器上强制启用网络级身份验证，不支持该功能的旧客户端应被禁止连接。
- 只允许特定来源 IP 访问 TCP 3389 或改动后的端口；更好的做法是把 RDP 放到 VPN 或 RD Gateway 后面。
- 更改默认的 RDP 端口以减少扫描器噪音，但不要将此作为安全手段本身。
- 如果不需要，禁用驱动器和剪贴板重定向；设置空闲超时并强制重新认证。
锁紧 RDP 能挡掉大部分自动化攻击，而其中大部分功劳来自白名单。收窄来源地址范围，或者 使用 RDP 白名单和地理围栏 在用户都集中在同一地区时，可以让顺手扫描的流量根本到不了登录界面。这也与合理的防火墙规则相得益彰。
真正有效的防火墙规则
主机防火墙规则应当简单：默认拒绝，然后只放行你真正用到的。把 RDP 规则绑定到已知来源 IP，记录被丢弃的流量，并把老旧协议挡在外面。
- 从默认拒绝入站开始，然后仅允许需要的端口和协议。
- 将 RDP 规则范围限制在已知的 IP，而不是 0.0.0.0/0，并记录被阻止的流量以便审查。
- 保持使用 TLS 1.2 或更新版本，全面禁用 SMBv1。
- 除非你有一套受管控的出站策略，否则出站流量保持默认放行；只在确有明确需要的地方添加针对性的出站拦截。
真正值回票价的规则，往往覆盖的是没人特意打开的端口。运行在 TCP 135 上的 Windows RPC 就是典型例子，在主机防火墙上把它限制为可信来源，正是同一条默认拒绝原则，只不过是一个端口一个端口地落实。这些端口背后，就是服务本身。
服务卫生：移除你不需要的内容
额外的服务会增加攻击面。关闭你不需要的内容，一个月后再检查一遍看有什么悄悄回来了。
- 如果服务器不是打印主机，停止并禁用打印后台处理程序。
- 禁用远程注册表和你不使用的旧版协议。
- 卸载不属于你工作负载的 Web、文件或 FTP 角色。
- 检查启动项和计划任务，遇到不认识的先查清楚再禁用。
屋子收拾干净之后，再用 Defender 和轻量的 EDR 设置补上基础防护。花不了多少力气，却是日常里能看出效果的那种。
Defender、EDR 和计划扫描
在当前的 Windows Server 版本上，Microsoft Defender Antivirus 提供了扎实的内置基线。保持实时保护和云端保护开启，常规计划任务用快速扫描即可。
- 如果服务器已接入 Defender for Endpoint，请在那里启用防篡改保护（Tamper Protection）。
- 保持实时和云交付保护开启；在低峰时段安排每周快速扫描。
- 只有在做具体排查，或安全工具明确要求时，才运行全盘扫描。
这些设置能覆盖日常场景，属于基线水平，而不是托管式检测与响应服务。它们与真正能还原的备份配合时效果最好。
备份、快照和恢复测试
一个无法恢复的 Windows VPS 是单点故障。每天拍快照，保存场外备份，并测试恢复以验证计划可行。
- 每日自动快照，保留期 7 到 14 天，合规工作需要更长期限。
- 备份到使用不同凭证的其他提供商、区域或存储桶。
- 每月进行测试恢复，记录步骤，并准备联系清单以便掌握恢复时间。
快照和还原的行为既取决于平台，也取决于你的策略，值得在真正需要它的那天之前先确认清楚。如果你要部署一台全新的服务器，我们的 Windows VPS offers one-click images for Server 2022, 2019, 2016, and 2012 R2.
这里有一条提醒，比这一整段的其他内容都更重要。Server 2012 之所以还留在镜像列表里，是为了兼容老应用，它并不适合作为加固部署的基础镜像。Microsoft 的 Server 2012 生命周期公告 把支持终止日期定在 2023 年 10 月 10 日，付费的扩展安全更新也会在 2026 年 10 月 13 日彻底到期。Server 2016 同样临近 2027 年 1 月的支持终止，所以如果你要新建系统并放到公网 IP 上，直接从 Server 2019 或 2022 起步。
监控和日志：RDP、安全、PowerShell
想从 Windows 日志里拿到价值，并不需要上 SIEM。先从登录失败、成功的 RDP 会话和 PowerShell 记录这三样入手。仅这三个信号，就能在小型服务器上撑起一条实用的监控基线。
- 启用失败登录审计并监控 Event ID 4625 尖刺。
- 用 Event ID 4624 并按 Logon Type 10（RemoteInteractive）过滤，来跟踪成功的 RDP 登录；会话终止看 4634，用户主动注销看 4647。
- 通过策略启用 PowerShell 记录，让 PowerShell 的输入和输出都留下痕迹。
可观测性到位之后，把那页加固速查表打印出来放在手边。日常运维就是从这里开始的，因为推动下一轮打补丁和清理的，正是这些告警。
Windows VPS 加固表
快速总结，便于在维护窗口前或重建后快速查阅。
| 控制 | 设置 | 为什么它很重要 |
|---|---|---|
| Windows 更新 | 自动安装安全更新 | 快速关闭公开漏洞 |
| 管理员账户 | 禁用内置账户，使用命名管理员账户 | 消除已知攻击目标 |
| 账户锁定 | 10 次尝试，15 分钟锁定 | 减缓暴力破解 |
| NLA | 已启用 | 阻止未认证的 RDP |
| RDP 端口 | 非默认 | 减少扫描器噪音 |
| IP 允许列表 | 限制 RDP 范围 | 降低风险 |
| 防火墙 | 默认拒绝入站连接 | 仅开放必要端口 |
| SMBv1 | 禁用 | 消除遗留风险 |
| Defender | 实时保护；配合 MDE 启用防篡改 | 基础恶意软件防御 |
| 备份 | 每日 + 测试恢复 | 恢复安全网 |
这份快照是你的一目了然视图；下一部分在 Linux 上比较相同概念，帮助团队交叉培训。
额外功能：与 Linux 加固对比
有些团队混合使用多个平台。相同的关键收益在两边都有体现：定期补丁、命名管理员账户、强 SSH 或 RDP，以及默认拒绝防火墙。如果你的系统包含 Linux 主机，这份 Windows 计划与 安全的 Linux VPS 基线一致，所以你的剧本在整个系统中看起来都很熟悉。
这种跨平台的视角，能帮你按使用场景做出务实的选择，也让你有东西可以递给那位整天摆弄 SSH 密钥和 iptables、却从没打开过组策略的同事。
按使用场景快速选择
你的方案应该与你的工作负载相匹配。这是一个简洁的对照表，用来映射控制措施与常见配置。
- 个人开发机：强制启用 NLA，把你当前的 IP 段加入白名单，愿意的话再改一下 RDP 端口以减少扫描噪音，并每周做一次快速扫描。保留每日快照，每月验证一次还原。
- 中小企业跑 ERP 或财务的应用服务器：把 RDP 放到 VPN 或 RD Gateway 后面，收紧管理员权限，关掉老旧协议，并对 4625 事件激增配置告警。
- 小团队的远程桌面集群：通过网关统一收口访问入口，加上 MFA，使用各不相同的口令短语并在怀疑失陷时更换，同时把出入站的防火墙规则都收紧。
即时配置并获得完整管理员 RDP，部署 Windows VPS。
购买 Windows VPS常见问题
仅改变 RDP 端口够吗？
不够。改端口只能减少顺手扫描，你仍然需要 NLA、账户锁定和 IP 白名单，或者干脆上 VPN 加网关。把改端口当作降噪手段，而不是防护盾。
RDP 需要 VPN 吗？
如果 RDP 直接暴露在公网上，就用 VPN 或 RD Gateway 把暴露面收起来。再配上 MFA 和防火墙白名单，就是一套简单又扎实的方案，大多数小团队都跑得起来。
应该多久为 Windows VPS 打一次补丁？
如果服务商有维护窗口，就按窗口来，然后在系统和应用的安全更新发布后尽快装上。攻击路径往往起于公网暴露和已知漏洞，所以打补丁别拖。如果服务器上有客户数据，就把补丁节奏写进成文的制度里，这样才能坚持下去。
什么是 NLA，为什么要启用它？
Network Level Authentication 要求在 RDP 会话真正建立之前先完成登录，从而挡住未经身份验证的代码路径，也省下资源。Microsoft 建议大多数环境都启用 NLA；确认它是开着的，然后别去关它。
小型服务器应该监控什么？
先盯这几样：4625 登录失败、带 Logon Type 10 的 4624 表示 RDP 登录成功、4634 会话终止、4647 用户主动注销，再加上 PowerShell 记录。然后配一个每周复核和一条针对激增的简单告警规则。对小机器来说，这样的可观测性已经够用，不必去买整套平台。
