Windows Server 2008 遠端桌面安全強化三大絕招：強制 NLA、限定使用者、封鎖 Administrator

Windows Server 2008 內建遠端桌面功能強大，但若未妥善設定，等於為伺服器打開一扇後門。本文提供三層次的安全強化策略，大幅降低非法入侵風險。

策略一：強制執行網路層級驗證 (NLA)

NLA 要求用戶在建立完整遠端桌面會話前完成驗證，有效阻擋暴力破解與未授權連線。

1. 以系統管理員登入 → 「伺服器管理員」
2. 左側「伺服器管理」→ 右側「伺服器摘要」區點擊「設定遠端桌面」
3. 選擇「僅允許執行網路層級驗證的遠端桌面用戶端連線」
4. 確定儲存

效果：不支援 NLA 的舊版遠端桌面用戶端（如 XP SP2 以前）將無法連線，換取更高安全性。

策略二：僅允許特定使用者使用遠端桌面

預設所有管理員群組成員皆可遠端登入，應縮減至最小必要權限集合。

1. 開啟「遠端桌面」設定對話框（同上路徑）
2. 點擊「選取使用者」按鈕
3. 移除現有所有使用者帳號
4. 點擊「新增」→ 瀏覽並加入真正需要遠端管理權限的特定帳號
5. 確定完成

原則：最小權限原則，僅授予確實需要遠端存取的人員。

策略三：禁止 Administrator 帳號遠端登入

Administrator 是駭客暴力破解的首選目標，應徹底封鎖其遠端存取。

方法 A：停用 Administrator 帳號（最徹底但可能影響管理）

1. 以管理員身分開啟命令提示字元
2. 執行：net user administrator /active:no

方法 B：重新命名 Administrator 帳號（推薦，平衡安全與管理）

1. Win + R 輸入 gpedit.msc 開啟群組原則編輯器
2. 依序展開：
   電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 安全性選項
3. 雙擊「帳戶：重新命名系統管理員帳戶」
4. 輸入難以猜測的新名稱（如 SysAdmin_2024）→ 確定

方法 C：移除 Administrator 的終端機登入權限

1. 群組原則編輯器 → 電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 使用者權限指派
2. 雙擊「允許透過終端機服務登入」
3. 移除 Administrators 群組 → 確定

建議組合：方法 B + 方法 C 雙重保護，並配合強式密碼原則與帳號鎖定閾值設定，構建纏深防禦。