遠端桌面安全基礎：帳號鎖定原則防禦暴力破解

遠端桌面 (RDP) 直接暴露於網路，是暴力破解攻擊的首選目標。啟用帳號鎖定原則，可大幅增加攻擊者嘗試成本，是最低成本的第一道防線。

建議設定值（本地安全性原則 secpol.msc → 帳號原則 → 帳號鎖定原則）

進階防護建議（分層防禦）

1. 不使用預設 3389 埠：修改登錄 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber 為高位埠（如 5xxxx），減少自動掃描器發現。
2. 僅允許網路層級驗證 (NLA)：系統屬性 → 遠端 → 「僅允許執行網路層級驗證的遠端桌面連線」，強制驗證前置，降低資源消耗。
3. 防火牆限制來源 IP：Windows 防火牆/前端防火牆僅開放管理 IP 段存取 RDP 埠。
4. 強制複雜密碼 + 定期換密：群組原則 → 密碼原則 → 強制密碼複雜度、最長使用期限 90 天。
5. 啟用 RDP 登入稽核：群組原則 → 稽核登入事件（成功/失敗），配合 SIEM 或定期匯出分析異常登入。
6. 考慮 RD Gateway / VPN + MFA：生產環境建議不直接暴露 RDP，改用 RD Gateway 或 VPN 搭配多因子驗證 (MFA)。

帳號鎖定原則雖簡單，卻能有效延緩甚至阻擋自動化暴力破解腳本。請務必在所有開放 RDP 的 Windows 系統上套用，並納入基準映像與合規稽核清單。