Windows 遠端桌面 (RDP) 雖方便，但預設設定存在暴力破解、中間人攔截、掃描攻擊等風險。本文針對 Windows Server 2003 提出五項安全強化策略，原則亦適用於更新版本的 Windows Server。

策略一：修改預設連接埠 (3389)

• 風險： 3389 為眾所周知的 RDP 埠，自動化掃描工具優先攻擊。
• 做法： 修改登錄檔 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber（十進位），改為非常用埠（如 3390、53389、60000+）。
• 進階： 若前端有防火牆/NAT，直接在防火牆做 Port Forwarding（對外隨機埠 → 內部 3389），伺服器端可保持 3389 不變，管理較簡單。

策略二：強制複雜密碼與帳戶鎖定

• 密碼策略： 透過群組原則 (gpedit.msc 或域 GPO) 設定：
  電腦設定 → Windows 設定 → 安全性設定 → 帳戶原則 → 密碼原則
  最小長度 ≥ 12、啟用複雜性需求、最大存齡 90 天、記住歷史 24 代。
• 帳戶鎖定： 同路徑下 帳戶鎖定原則：
  鎖定臨界值：10 次失敗 → 鎖定時間：30 分鐘 → 重設計數器：30 分鐘。
• 補充： RDP 不支援憑證登入（SSH 可用金鑰對），密碼強度為第一道防線。

策略三：限制登入嘗試次數（帳戶鎖定原則）

同上策略二，重點在於「鎖定臨界值」與「鎖定時間」平衡：過低易誤鎖合法使用者，過高則防禦力不足。建議 10 次 / 30 分鐘，並啟用稽核失敗登入事件（事件 ID 4625）配合 SIEM 告警。

策略四：禁止 Administrator 遠端登入

1. 建立專用管理帳戶（如 svc_admin），加入 Administrators 群組，設定強密碼。
2. 開啟 gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 使用者權限指派 → 允許透過終端機服務登入。
3. 移除 Administrators 群組，新增 專用管理帳戶或管理群組（如 G_RDP_Admins）。
4. 同步設定 拒絕透過終端機服務登入 加入 Administrator 內建帳戶（SID 結尾 -500）。