📌 本文概览：RDP是企业远程办公的命门，也是黑客最爱的突破口。5层防护方案，从端口到监控全锁死。

3389端口，全球被扫描次数排名前三。每天有数百万次暴力破解尝试，专门瞄准Windows远程桌面（RDP）。

2026年2月，微软披露了一个RDP远程代码执行漏洞（CVSS 9.8），攻击者无需认证就能远程执行任意代码。更可怕的是，这个漏洞的利用代码已经有人在暗网以22万美元出售。

如果你的RDP还在公网裸奔，这篇文章能帮你用5层防护把它锁死。

三个原因让RDP成为攻击Top 1目标：

① 暴露面大：Windows自带RDP，很多团队为了方便直接开3389端口映射到公网。据统计，全球约有350万台RDP端口直接暴露在互联网上。

② 暴力破解门槛低：RDP支持密码登录，攻击者用Hydra等工具每秒尝试上千个密码组合。弱密码（如Admin@123）几秒就能被破解。

③ 横向移动成本为零：一旦RDP登录成功，攻击者等于拿到了一台内网PC的完整控制权，可以随意访问内网资源、安装后门、窃取数据。

第1层：关掉公网暴露

防火墙上封死3389端口，不允许任何外部IP直接连接。用VPN或零信任方案替代直接暴露，这是最根本的一步。

第2层：改端口 + 开NLA

把RDP端口从3389改成随机高位端口（如48392），同时启用网络级别认证（NLA）——NLA要求用户在建立完整RDP连接前先通过身份验证，大幅减少暴力破解成功率。

第3层：强密码 + MFA

RDP账户必须用强密码（16位+大小写+符号），配合微软 Authenticator 或 Duo 等MFA方案。密码再强，没有MFA也是裸奔。

第4层：IP白名单 + 登录限制

在防火墙上配置IP白名单，只允许固定办公IP段访问RDP。设置账户锁定策略（如5次失败锁定30分钟），防止暴力破解。

第5层：日志监控 + 告警

开启Windows安全日志中的4625（登录失败）和4624（登录成功）事件，接入SIEM或日志分析平台。非工作时间的RDP登录立即告警。

RDP安全的核心逻辑：减少暴露面 → 增加认证强度 → 监控异常行为。5层防护不需要一次全做，优先做第1层（关公网暴露）和第2层（NLA），就能挡住80%的攻击。

远程办公是刚需，但安全不能让步。花30分钟做一次RDP安全加固，比事后花30天做应急响应划算得多。