远程桌面协议 (RDP) 连接面临来自网络犯罪分子的持续攻击，他们利用弱密码、暴露的端口和缺失的安全控制。了解如何保护 RDP 至关重要，因为攻击者在数小时内成功入侵了 90% 的暴露 RDP 服务器。
直接风险包括： 暴力密码攻击、凭证盗窃、勒索软件部署和横向网络移动。 经过验证的解决方案是： 仅 VPN 访问、多重身份验证、网络级身份验证、强密码策略，并且绝不将 RDP 直接暴露到互联网。
本指南准确向您展示如何使用经过测试的安全措施来保护远程桌面连接，从而在攻击成功之前阻止攻击。
什么是 RDP？
远程桌面协议 (RDP) 是 Microsoft 用于通过网络控制另一台计算机的技术。它在设备之间传输屏幕数据、键盘输入和鼠标移动，允许远程控制，就像您坐在目标机器前一样。
RDP 默认使用端口 3389 并包含基本加密，但这些默认设置会造成攻击者主动利用的重大安全漏洞。
RDP 安全吗？
不可以。默认设置下的 RDP 并不安全。
事实： 默认情况下，RDP 仅提供 128 位加密。网络犯罪分子在 90% 的成功攻击中都以 RDP 为目标。暴露在互联网上的 RDP 服务器每天面临数千次攻击尝试。
为什么 RDP 失败： 弱默认身份验证允许暴力攻击。缺少网络级身份验证会将登录屏幕暴露给攻击者。默认端口 3389 会不断被自动化工具扫描。没有内置的多重身份验证将密码作为唯一的保护。
解决办法： 仅当您实施多个安全层（包括 VPN 访问、强身份验证、适当的网络控制和持续监控）时，RDP 才会变得安全。最近的分析表明 人为错误仍然是主要原因 的安全漏洞，其中 68% 涉及非恶意人为因素，例如陷入社会工程或犯下配置错误。
这些安全故障的财务影响是巨大的。 数据泄露成本再创新高 到 2024 年，全球每次事件的平均成本将达到 488 万美元，比上一年增加 10%，这主要是由业务中断和恢复费用推动的。
常见的远程桌面连接安全问题
造成成功攻击媒介的主要远程桌面连接安全问题包括：
| 漏洞类别 | 常见问题 | 攻击方式 |
| 身份验证的弱点 | 弱密码、缺少 MFA | 暴力攻击 |
| 网络曝光 | 直接访问互联网 | 自动扫描 |
| 配置问题 | 禁用 NLA、未打补丁的系统 | 利用已知漏洞 |
| 访问控制问题 | 过多的特权 | 横向运动 |
BlueKeep 漏洞 (CVE-2019-0708) 展示了这些问题升级的速度有多快。这种远程代码执行缺陷使攻击者无需身份验证即可获得完整的系统控制权，从而影响数百万未修补的 Windows 系统。
如何保护 RDP：基本安全实践
这些远程访问安全最佳实践一起实施时可提供经过验证的保护。
切勿将 RDP 直接暴露于 Internet
在学习如何有效保护 RDP 时，这条规则是不可协商的。端口 3389 的直接互联网暴露会立即创建一个攻击面，自动化工具将在数小时内找到并利用该攻击面。
我亲眼目睹服务器在互联网暴露的第一天内收到超过 10,000 次失败的登录尝试。攻击者使用专门的僵尸网络持续扫描 RDP 服务并对已发现的服务器发起撞库攻击。
执行： 通过防火墙规则阻止对 RDP 端口的所有直接互联网访问，并实施仅限 VPN 的访问策略。
使用强而独特的密码
密码安全构成了 Windows 远程桌面安全的基础，必须满足当前的威胁标准以抵御现代攻击方法。
有效的 CISA 要求：
- 至少 16 个字符且完全复杂
- 唯一的密码永远不会跨系统重复使用
- 特权帐户定期轮换
- 没有字典单词或个人信息
配置： 通过组策略在计算机配置 > 策略 > Windows 设置 > 安全设置 > 帐户策略 > 密码策略中设置密码策略。这确保了域范围内的执行。
启用网络级身份验证 (NLA)
网络级身份验证需要在建立 RDP 会话之前进行身份验证，为确保远程连接协议的安全提供必要的保护。
NLA 可防止攻击者到达 Windows 登录屏幕、阻止资源密集型连接尝试，并减少因身份验证尝试失败而造成的服务器负载。
配置步骤：
- 打开目标服务器上的系统属性
- 导航到“远程”选项卡
- 启用“仅允许来自运行具有网络级身份验证的远程桌面的计算机的连接”
实施多重身份验证 (MFA)
多重身份验证通过要求密码以外的额外验证来阻止基于凭据的攻击。这代表了 Windows 远程桌面安全连接安全性最有效的单一改进。
| 多因素分析法 | 安全等级 | 实施时间 | 最适合 |
| 微软身份验证器 | 高的 | 2-4小时 | 大多数环境 |
| 短信验证 | 中等的 | 1小时 | 快速部署 |
| 硬件令牌 | 非常高 | 1-2天 | 高安全区 |
| 智能卡 | 非常高 | 2-3天 | 企业环境 |
Microsoft Authenticator 在大多数部署中提供了安全性和可用性的最佳平衡。一旦用户了解了保护的好处，他们就会很快适应。
需要 VPN 访问
VPN 连接创建加密隧道，保护所有网络流量，包括 RDP 会话。这种方法为安全远程访问最佳实践提供了最可靠的保护。
VPN 安全优势：
- 所有通信通道加密
- 集中身份验证和访问日志记录
- 网络级访问控制
- 需要时的地理限制
当用户首先通过 VPN 连接时，他们会进行两次身份验证：一次对 VPN 服务进行身份验证，另一次对 RDP 会话进行身份验证。这种双重身份验证始终阻止未经授权的访问 这 最佳 RDP 提供商 实施。
设置跳转主机
跳转主机充当内部 RDP 访问的受控入口点，提供集中监控和安全控制，从而增强远程桌面部署的安全性。
跳转主机架构：
- 专用服务器只能通过 VPN 访问
- 完整的会话记录和记录
- 每个用户的精细访问控制
- 自动化安全监控
跳转主机与连接管理器工具结合使用时效果最佳，这些工具可以自动执行多跳过程，同时维护完整的审核跟踪。
使用 SSL 证书保护 RDP 安全
SSL/TLS 证书提供超越默认 RDP 安全性的增强加密，并防止可拦截凭据和会话数据的中间人攻击。
证书实施：
- 为所有 RDP 服务器生成证书
- 配置 RDP 服务以要求证书身份验证
- 将证书颁发机构信息部署到客户端系统
- 监控证书过期和续订
来自受信任机构的专业证书比自签名证书提供更好的安全性，并简化企业环境中的客户端配置。
使用 PAM 解决方案限制访问
特权访问管理 (PAM) 解决方案提供对 RDP 访问的全面控制，实施即时权限和自动凭据管理以保护远程连接协议。
PAM 功能：
- 根据批准的请求提供临时访问权限
- 自动密码轮换和注入
- 实时会话监控和记录
- 使用行为分析进行基于风险的访问决策
Delinea Secret Server 与 Active Directory 集成，同时提供企业 Windows 远程桌面安全实施所需的高级控制。
高级安全配置
这些配置补充了基本的安全实践并提供深度防御保护。
更改默认 RDP 端口
从端口更改 RDP 3389 阻止专门针对默认端口的自动扫描工具。根据日志分析，端口更改虽然不是全面的保护，但可以减少大约 80% 的攻击尝试。
执行： 修改注册表设置或使用组策略分配自定义端口，然后更新防火墙规则以允许新端口，同时阻止 3389。
配置帐户锁定策略
账户锁定策略会在多次验证失败后自动禁用账户，有效防范暴力攻击。
组策略配置：
- 导航到计算机配置 > 策略 > Windows 设置 > 安全设置 > 帐户策略 > 帐户锁定策略
- 设置锁定阈值：3-5 次失败尝试
- 配置锁定时间：15-30 分钟
- 平衡安全要求与用户生产力
监控 RDP 活动
SIEM（安全信息和事件管理）系统提供集中监控，将 RDP 事件与其他安全数据关联起来，以识别威胁和攻击模式。
监控要求：
- 所有 RDP 服务器的 Windows 事件日志收集
- 身份验证失败自动发出警报
- 连接源的地理异常检测
- 与威胁情报源集成
连接管理器平台可以提供对会话行为的额外可见性，并帮助识别需要调查的异常访问模式。
统一会话管理
现代平台支持通过统一接口管理 RDP 和 SSH 的多个远程会话，从而在不同的访问方法中提供一致的安全策略。
统一管理的好处：
- 所有远程访问的单一身份验证点
- 跨协议一致的安全策略
- 集中会话记录和审计跟踪
- 简化用户体验并保持安全性
Delinea 秘密服务器实施
Delinea Secret Server 等企业解决方案提供全面的特权远程访问管理和集成凭证存储，可消除密码泄露，同时维护完整的审计跟踪。
PRA 工作流程：
- 用户通过中心化平台请求访问
- 系统根据定义的策略验证身份和权限
- 自动检索凭据并将其注入会话中
- 所有会话活动均实时记录
- 访问会按照预定的时间间隔自动终止
这种方法可以防止凭证被盗，同时提供符合安全框架所需的详细审计跟踪。
额外的安全措施
这些附加措施补充了核心安全实践，并为全面的 RDP 安全提供深度防御保护。虽然基本实践构成了您的主要防御，但实施这些补充控制措施可进一步减少攻击面并增强您的整体安全态势。
保持软件更新
定期安全更新可解决攻击者主动利用的新发现的漏洞。 BlueKeep (CVE-2019-0708) 和 DejaBlue 等关键 RDP 漏洞证明了及时修补的重要性以及延迟更新的严重风险。
修补时间表创建了一个危险的漏洞窗口。研究表明 组织需要更长的时间 应用安全修复程序比攻击者利用它们所需的时间要多——平均需要 55 天才能修复 50% 的关键漏洞，而大规模利用通常在公开披露后的短短五天内就开始了。
更新管理：
- 为所有支持 RDP 的系统自动部署补丁
- 订阅 Microsoft 安全公告
- 生产前在临时环境中测试更新
- 关键漏洞的紧急修补程序
会话管理
正确的会话配置可以防止非活动连接继续被利用。
| 环境 | 价值 | 安全效益 |
| 空闲超时 | 30分钟 | 自动断开 |
| 会话限制 | 8小时 | 强制重新认证 |
| 连接限制 | 每个用户 2 个 | 防止劫持 |
禁用有风险的功能
RDP 重定向功能可以创建数据泄露路径，除非特别需要，否则应禁用。
| 特征 | 风险 | 禁用方法 |
| 剪贴板 | 数据盗窃 | 组策略 |
| 打印机 | 恶意软件注入 | 管理模板 |
| 驾驶 | 文件访问 | 注册表设置 |
结论
了解如何保护 RDP 需要实施多个安全层，而不是依赖单一保护方法。最有效的方法结合了 VPN 访问、强身份验证、适当的监控和定期更新。
无论采取其他安全措施，切勿将 RDP 直接暴露到互联网。相反，实施 VPN 优先策略或 RDP 网关解决方案，提供具有完整审核功能的受控访问通道。
有效的 RDP 安全需要持续关注新出现的威胁并定期进行安全评估，以保持保护有效性。对于专业管理的解决方案，请考虑 RDP 服务器托管 默认情况下实施全面安全措施的提供商。
