如果你的Windows服务器RDP（远程桌面协议）端口暴露在公网，那么几乎每分钟都在遭受密码爆破攻击。防御的关键不在于隐藏，而在于构建层层设防的认证与监控体系。核心策略是：立即修改默认3389端口、部署网络级防火墙（如Windows Defender防火墙）进行IP白名单限制、强制使用网络级身份验证（NLA）、并启用账户锁定策略。更进阶的做法是部署RD Gateway（远程桌面网关），或直接采用零信任的VPN进行接入。下面，我们将从攻击原理到具体配置，为你拆解每一步防御措施。
一、 RDP爆破攻击：原理与严峻现状
RDP爆破是一种自动化、高频率的密码尝试攻击。攻击者利用工具扫描公网开放3389端口的服务器，然后使用庞大的用户名-密码字典进行轮番登录尝试。由于RDP协议本身没有内置的、强制的失败延迟机制，攻击软件可以以每秒数十次的速度发起连接，直到猜中密码为止。更危险的是，攻击源IP往往来自被入侵的“肉鸡”或云主机，分布在全球，单纯封禁几个IP效果甚微。因此，被动防御完全无效，必须主动构建防御纵深。
二、 第一道防线：修改默认RDP端口
修改默认的3389端口是最简单、最直接的“隐身”方法，可以过滤掉绝大部分自动化扫描流量。操作通过修改注册表实现。请注意，修改后远程连接时需要在IP地址后加上冒号和新端口号，例如：192.168.1.100:53389。
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp] "PortNumber"=dword:0000d055 ; 53389的十六进制为D055
修改步骤：
1. 运行"regedit"打开注册表编辑器；
2. 导航到上述路径；
3. 找到"PortNumber"键，将其十进制值从3389修改为一个不常见的大端口（如53389）；
4. 重启服务器生效。同时，务必在Windows防火墙和任何外部硬件/云防火墙中，同步更新规则，放行新端口，并禁止旧端口。
三、 第二道防线：配置Windows防火墙IP白名单
对于绝大多数业务，固定管理员的办公网络IP是有限的。通过配置防火墙，仅允许来自可信IP地址范围的RDP连接，能从网络层彻底隔绝绝大部分攻击。这是最有效的防御手段之一。
操作步骤（PowerShell命令方式）：
# 首先，创建一个新的防火墙规则，仅允许特定IP访问RDP端口（假设新端口为53389） New-NetFirewallRule -DisplayName "RDP Restricted" -Direction Inbound -LocalPort 53389 -Protocol TCP -Action Allow -RemoteAddress 203.0.113.0/24, 198.51.100.50 # 然后，确保默认的"远程桌面"规则（可能针对3389）被禁用，或将其作用域（Scope）也修改为相同IP Set-NetFirewallRule -DisplayName "Remote Desktop - User Mode (TCP-In)" -Enabled False
在图形界面中，你可以在“高级安全Windows Defender防火墙”中，找到对应的入站规则，在“作用域”选项卡的“远程IP地址”部分进行设置。将管理员办公室的IP段、公司VPN的IP段添加进去。
四、 第三道防线：强化账户与认证策略
这是防御的核心，旨在让密码猜测变得极其困难甚至不可能。
1. 启用网络级身份验证（NLA）
NLA要求在建立完整的RDP会话之前就进行用户身份验证，这不仅能减轻服务器负载，还能防止一些低级别的攻击。在“系统属性”->“远程”设置中，确保选中“仅允许运行使用网络级身份验证的远程桌面的计算机连接”。
2. 配置账户锁定策略
这是对抗爆破的“杀手锏”。通过组策略，你可以设定在短时间内密码错误尝试达到一定次数后，临时锁定该账户。
# 通过本地组策略编辑器 (gpedit.msc) 配置路径： # 计算机配置 -> Windows 设置 -> 安全设置 -> 账户策略 -> 账户锁定策略 # - 账户锁定阈值：5次无效登录 # - 账户锁定时间：30分钟 # - 重置账户锁定计数器：30分钟之后
配置后，攻击者在5次尝试失败后，该账户将被锁定30分钟，从而有效遏制自动化爆破。注意：需警惕对管理员账户的针对性DoS攻击（通过故意输错密码锁定账户），因此建议为关键管理账户设置一个备用管理账户，或通过其他管理通道（如带外管理）解锁。
3. 禁用或重命名默认管理员账户
攻击者首先尝试的用户名就是"Administrator"。重命名此账户可以增加攻击难度。在“本地用户和组”或通过命令"net user Administrator /active:no"（禁用）或重命名。
4. 强制使用高强度密码与多因素认证（MFA）
在组策略的“密码策略”中，启用密码复杂性要求，设置最小密码长度为12位以上。这是基础。更高级的安全是启用RDP的多因素认证，这需要额外工具如Windows Hello for Business、第三方RDP MFA软件或通过RD Gateway集成。
五、 第四道防线：部署远程桌面网关（RD Gateway）
RD Gateway允许用户通过HTTPS（443端口）安全地连接到内部网络的RDP服务器。它就像一个安全的代理和堡垒机：外部只暴露443端口的RD Gateway服务器，内部RDP服务器无需暴露给公网。RD Gateway支持更精细的授权策略（如设备、用户组、时间限制）并能集成网络策略服务器（NPS）实现MFA。这是企业环境中替代直接暴露RDP端口的最佳实践。
六、 第五道防线：监控、审计与告警
防御体系必须包含监控。你需要知道谁在尝试登录，何时失败，以及攻击来源。
1. 启用并分析安全日志
在“事件查看器”中，关注以下事件ID：
- 4625：登录失败。这是记录RDP爆破尝试的最关键日志。详细信息包含用户名、源IP地址（Security ID）。 - 4768：Kerberos身份验证票证（TGT）请求失败（如果使用域）。 - 4776：NTLM身份验证失败。
你可以定期手动筛选日志，或使用Windows内置的“订阅”功能集中日志，更推荐使用SIEM（安全信息和事件管理）工具进行自动化分析，并设置告警规则，例如“同一源IP在5分钟内出现10次4625事件”。
2. 使用PowerShell脚本进行自动化IP封禁
一个常见的进阶方案是编写脚本，自动分析失败日志，并将恶意IP添加到Windows防火墙的拦截列表中。
# 示例脚本框架（需根据实际情况调整和测试）：
$FailedLogs = Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625} -MaxEvents 100 | Where-Object {$_.Properties[19].Value -eq 3} # 登录类型3为网络登录
$AttackIPs = $FailedLogs | Group-Object -Property {$_.Properties[19].Value} | Where-Object {$_.Count -gt 5} | Select-Object -ExpandProperty Name
foreach ($IP in $AttackIPs) {
# 检查规则是否已存在
$RuleExists = Get-NetFirewallRule -DisplayName "Block RDP Attack $IP" -ErrorAction SilentlyContinue
if (-not $RuleExists) {
New-NetFirewallRule -DisplayName "Block RDP Attack $IP" -Direction Inbound -RemoteAddress $IP -Action Block -Protocol TCP -LocalPort 53389
Write-Host "已封锁攻击IP: $IP"
}
}此脚本可设置为计划任务定期运行，实现动态防御。
七、 终极建议：架构层面的安全重构
对于全新的或可重构的架构，我们强烈建议彻底放弃将RDP服务直接暴露在公网：
方案A：使用虚拟专用网络接入：所有管理员首先通过虚拟专用网络连接到公司内网或服务器所在的虚拟私有云，然后再通过内网IP进行RDP管理。这是最安全、最标准的做法。
方案B：采用堡垒机/跳板机：部署一台经过高强度安全加固的堡垒机（唯一暴露于公网的管理入口），所有管理员先登录堡垒机，再通过堡垒机跳转到后台服务器。堡垒机需配备全面的会话审计和录像功能。
方案C：云服务商的安全组/NSG：如果你使用的是云服务器（如AWS、Azure、阿里云等），务必利用其云防火墙（安全组、网络安全组）功能。除了设置IP白名单，还可以结合云服务商的威胁情报，自动拦截已知的恶意IP段。
总结来说，Windows服务器RDP安全绝非一劳永逸。它是一个从“修改默认设置”到“强化认证”，再到“网络隔离”和“主动监控”的深度防御工程。最危险的误区就是认为“我的密码很复杂，所以很安全”。请立即检查你的服务器，至少完成前三道防线的配置，将你的管理入口从“门户大开”变为“铜墙铁壁”。
