RDP 安全策略不能只依赖单点防护，更可靠的方法是采用分层防御：强制启用 TLS 1.2 及以上加密并完成证书校验，开启 NLA 网络级身份验证，收紧登录权限与外部暴露面，禁用空密码和默认端口，同时合理管控重定向与凭据保存，并做好对 Credential Guard 以及 26Hx 证书检查策略的兼容适配。
远程桌面 RDP 安全策略的核心，不是把所有安全选项一股脑开启就结束了，而是要进行分层治理：对外要尽量拦截攻击入口，对内要降低误操作风险，同时还要兼顾日常运维效率。真正需要抓住的重点主要有几项：传输加密不能妥协，身份认证不能放松，远程访问必须设置边界，账号凭据绝不能处于“裸奔”状态。
强制启用 TLS 1.2+ 加密与证书验证
RDP 默认加密强度相对有限，中间人攻击往往会优先利用旧协议或弱加密链路切入。因此应关闭旧版协议，并绑定可信服务器证书：
- 组策略路径：计算机配置 → 管理模板 → Windows 组件 → 远程桌面服务 → 远程桌面会话主机 → 安全
- 启用“要求使用特定的安全层”，选择TLS 1.2（禁用 SSL 和旧版 RDP 加密方式）
- 启用“不允许 RDPLegacy 加密”，彻底阻断 RC4 等已知存在漏洞的加密通道
- 配置“为 RD 会话主机部署配置证书”，填写内网 CA 签发的服务器证书 Thumbprint，确保客户端仅信任这张服务器“身份证”
收紧身份验证与登录权限
即使密码复杂度足够高，如果账户权限过大，或者身份验证流于形式，远程桌面依然可能被攻破：
- 启用“要求使用网络级别身份验证（NLA）”，让认证在建立图形会话之前完成，显著降低暴力破解和未授权连接的成功率
- 在“用户权限分配”中，仅向明确需要远程登录的组（如 RD-Users）授予“允许通过远程桌面服务登录”权限，移除默认的 Everyone 或 Users
- 禁用空密码登录：组策略中找到“帐户：使用空密码的本地账户只允许进行控制台登录”，设为已禁用（测试环境可按需例外）
- 避免直接使用 Administrator 账户进行远程桌面连接，建议为远程运维单独创建低权限管理账号
限制暴露面与连接行为
少开放一个端口、少接受一次无效连接、少暴露一类设备，RDP 的整体安全风险就会更低：
- 修改默认端口：注册表改 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-TcpPortNumber 为非标准值（如 33890），并同步更新防火墙入站规则，禁用原有 3389 规则
- 防火墙仅放行必要 IP 段：在高级安全防火墙中，为新的 RDP 端口规则设置“作用域”，将源 IP 限定为运维网段（如 10.10.20.0/24）
- 禁用非必要重定向：组策略中关闭“允许驱动器重定向”“允许打印机重定向”，除非业务场景确有需求；剪贴板可保留，但需要评估数据泄露风险
- 关闭“允许保存凭据”策略（计算机配置 → 管理模板 → 系统 → 凭据分配），避免凭据被恶意导出或提取
应对 Credential Guard 与高版本拦截
在 Win10/11 企业版启用 Credential Guard 后，RDP 自动登录经常会被系统拦截。这通常不是故障，而是安全保护机制正常生效的表现：
- 如果业务上确实需要免密登录，应在充分评估风险后关闭虚拟化安全：注册表中将 HKEY_LOCAL_MACHINESystemCurrentControlSetControlLSALsaCfgFlags 设为 0，并重启系统
- 更推荐的替代方案是使用 Windows 凭据管理器手动添加 RDP 凭据（类型选择“通用凭据”，地址填写 server.fqdn:33890），相比自动保存方式更加可控
- 针对 26Hx 系统，可启用“服务器身份验证证书检查→不显示警告”，前提是内网 CA 已预先导入到所有客户端的受信任根证书存储中
