Windows Server 2008 終端服務安全加固全指南：雙因子驗證、NLA、RDP 埠修改、Easy Print、帳號最小權限與群組策略鎖死

終端服務 (Remote Desktop Services) 是伺服器遠端管理首選通道，亦是暴力破解、勒索軟體側向移動的高危入口。Windows Server 2008 大幅強化終端服務安全性，本文系統梳理六大防禦層面，提供可落地的配置清單。

一、強制雙因子驗證：智慧卡登入

1. GPO：電腦配置 → Windows 設定 → 安全性設定 → 本地原則 → 安全性選項 → 「互動式登入：需要智慧卡」 → 啟用。
2. 用戶端遠端桌面連線 → 「本地資源」→ 勾選「智慧卡」重導向。

效果：即使密碼洩露，無實體智慧卡無法登入。

二、全面啟用網路層級驗證 (NLA)

NLA 在建立 Session 前完成驗證，阻擋匿名連線佔用資源、洩露網域資訊。

三種啟用途徑

• 安裝角色時：選「僅允許執行支援 NLA 的遠端桌面連線的電腦連線」。
• 終端服務配置 (tsconfig.msc) → 連線屬性 → 勾選相同選項。
• GPO：電腦配置 → 管理範本 → Windows 元件 → 終端服務 → 終端伺服器 → 安全性 → 「要求使用網路層級驗證進行遠端連線的使用者驗證」 → 啟用。

客戶端需求：Windows XP SP3 / Vista / Win7+、RDC 6.0+、CredSSP 支援。

三、修改預設 RDP 埠 (3389) 降低掃描噪音

1. regedit 修改兩處 PortNumber (十六進位)：
   HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp
2. 防火牆新增入站規則：TCP 新埠號 → 允許 → 設定檔「網域/專用」 → 命名「RDP-New」。
3. 刪除原「遠端桌面 (TCP-In)」規則，重啟伺服器。

連線時輸入 IP:NewPort (例 192.168.1.10:8888)。

四、啟用 Easy Print 並限制印表機重導向

• Easy Print 為無驅動列印代理，客戶端需 RDC 6.1+、.NET 3.5 SP1 (XP SP3/Vista/Win7 支援)。
• GPO：電腦配置 → 管理範本 → Windows 元件 → 終端服務 → 終端伺服器 → 印表機重導向 → 「僅重導向預設用戶端印表機」 → 啟用。

效果：伺服器無需安裝任何印表機驅動，僅允許用戶預設印表機重導向，大幅縮小驅動攻擊面。

五、帳號最小權限原則

六、群組策略深度鎖死終端會話環境

1. 限制單一會話：電腦配置 → 管理範本 → Windows 元件 → 終端服務 → 終端伺服器 → 連線 → 「限制使用者只能有一個會話」 → 啟用。
2. 禁止磁碟機重導向：同路徑 → 裝置與資源重導向 → 「不允許磁碟機重導向」 → 啟用，阻斷惡意程式上傳/資料外洩通道。
3. 斷開會話逾時強制登出：同路徑 → 工作階段時間限制 → 「設定中斷會話的時間限制」 → 啟用 (例 15 分鐘)。
4. 停用 Windows Installer (非管理員)：電腦配置 → 管理範本 → Windows 元件 → Windows Installer → 「關閉 Windows Installer」 → 啟用 (非「一律允許」)，保留透過 GPO 發佈軟體能力。
5. 資料夾重導向 (桌面/文件/應用程式資料)：使用者配置 → Windows 設定 → 資料夾重導向 → 導向檔案伺服器，防止敏感資料留存本地桌面。
6. 禁止存取控制台：使用者配置 → 管理範本 → 控制台 → 「禁止存取控制台」 → 啟用。

套用上述 GPO 並連結至含終端伺服器的 OU，即可構建「零信任」等級的終端服務存取平面。