遠端桌面 (RDP) 是伺服器管理的生命線，也是攻擊者最愛的入口。Windows Server 2008 提供兩大原生硬化手段：強制網路層級驗證 (NLA) 與限定允許連線的使用者清單。本文以圖文並茂方式示範配置全流程，構建「零信任」遠端存取基線。

措施一：強制執行網路層級驗證 (NLA)

原理： 在建立完整圖形化會話前，要求用戶端透過 CredSSP 協定完成 TLS + SPNEGO (Kerberos/NTLM) 驗證。未通過驗證的連線不佔用會話資源，有效緩解暴力破解與 DoS 攻擊。

1. 開啟「伺服器管理員」→ 左側「伺服器管理」→ 右側「伺服器摘要」→「設定遠端桌面」。
2. 在「遠端桌面」區域選擇第三項：
   「僅允許執行支援網路層級驗證之遠端桌面的電腦連線 (較安全)」
3. 點選「確定」套用。

相容性提醒： Windows XP SP3 需安裝 KB951608/KB952155；Windows 2000/舊版 Linux rdesktop 無法連線。生產環境建議先在測試機驗證用戶端相容性。

措施二：僅允許特定使用者/群組透過遠端桌面登入

原理： 預設「Administrators」群組成員皆可遠端登入。遵循最小權限原則，僅授權真正需要遠端管理的人員。

1. 同樣開啟「系統內容」→「遠端」索引標籤 → 點選「選取使用者」。
2. 在「遠端桌面使用者」對話框：

• 移除所有現有帳戶 (選取 →「移除」)。
• 點選「新增」→ 輸入需授權的帳戶名 (如 DOMAIN\Admin_User、LocalAdmin) →「檢查名稱」→ 確定。
• 確定關閉所有對話框。

進階硬化建議 (群組原則 / 登錄)

設定項目	路徑 / 指令	建議值
限制每位使用者單一工作階段	gpedit.msc → 電腦設定 → 管理範本 → Windows 元件 → 遠端桌面服務 → 遠端桌面工作階段主機 → 連線 →「限制每位使用者只能使用單一工作階段」	已啟用
拒絕已登入主控台的管理員被登出	同路徑 →「拒絕將已登入主控台工作階段的管理員登出」	已啟用
設定閒置工作階段逾時	同路徑 →「工作階段時間限制」→「設定閒置工作階段的時間限制」	已啟用，15 分鐘
設定中斷連線工作階段逾時	同路徑 →「設定中斷連線工作階段的時間限制」	已啟用，60 分鐘
變更 RDP 埠 (參見 41431)	登錄 + 防火牆	高位隨機埠 (如 25608)
啟用 RD Gateway / RD Web Access	角色服務新增	公開存取必須，內部可選
限制 RDP 存取來源 IP	進階防火牆輸入規則「範圍」設定遠端 IP	僅允許管理網段/堡壘機 IP

驗證清單

• ✅ 非授權帳戶嘗試 RDP 連線 → 應顯示「為了安全考量，拒絕連線」或認證失敗。
• ✅ 授權帳戶從非 NLA 用戶端 (XP SP2) 連線 → 應被拒絕。
• ✅ 授權帳戶從 NLA 用戶端連線 → 先跳出 Windows 安全性認證對話框 → 成功進入桌面。
• ✅ 事件檢視器「安全性」記錄出現 4624 (登入類型 10) 且無異常 4625 爆增。

雙重防線 (NLA + 授權清單) 將遠端桌面攻擊面壓縮至最小，配合埠號修改、來源 IP 限制、RD Gateway 發布，可構建符合企業級合規要求的遠端管理通道。