在IDC运维中，Windows服务器的远程桌面（RDP）是管理的重要入口，同时也是黑客攻击的重点目标。仅靠密码保护远远不够，做好这5项加固措施，能阻挡99%的暴力破解尝试。

1. 修改默认端口

3389是全世界都知道的RDP默认端口，不修改它相当于把家门钥匙放在门口脚垫下。修改方法：注册表定位到 HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp，修改PortNumber值。别忘了在防火墙里放行新端口，重启远程桌面服务生效。

2. 启用网络级别身份验证（NLA）

NLA要求用户在建立会话前先完成身份验证，能有效拦截各种RDP爆破工具。在系统属性→远程设置中勾选"仅允许运行使用网络级别身份验证的远程桌面的计算机连接"。现在Windows Server 2012及以上都支持，一定要开。

3. 配置账户锁定策略

黑客的暴力破解工具每分钟能试上百次密码。配置账户锁定策略，连续5次登录失败就锁定账户30分钟，能有效降低被猜中的概率。在组策略gpedit.msc→计算机配置→Windows设置→安全设置→账户策略→账户锁定策略中设置。

4. 限制允许登录的用户

不要让所有用户都能远程登录。只把Administrators组或专门的RDP Users组加入允许列表。在"选择用户"中严格控制，普通用户不需要远程桌面权限。

5. 配合防火墙做IP白名单

如果是固定IP运维，直接在防火墙里只允许公司IP段访问3389端口，这是最彻底的防护。即便没有固定IP，也可以用Windows防火墙的作用域功能，限制只允许国内IP段访问，屏蔽境外扫描。

最后提醒

定期查看事件查看器→安全日志，关注事件ID 4625（登录失败），如果发现大量失败记录，说明已经被盯上了。安全不是一劳永逸，而是持续的攻防博弈。