Windows XP 遠端桌面/遠端協助安全強化指南：票證機制、密碼保護、通道加密、端口管理

遠端控制便利但風險極高，嚴格環境建議禁用。必須啟用時，落實以下強化措施：

遠端協助架構與風險點

• 邀請者發起請求 → 建立票證、開啟 3389 連接埠、啟用 HelpAssistant 帳號（安裝時建立、隨機密碼、預設停用）。
• 受邀者使用票證+HelpAssistant 登入控制。
• 票證關閉/過期 → HelpAssistant 自動停用、3389 關閉。
• 風險：遠端桌面同用 3389 且長期開啟；郵件/Messenger 傳送邀請為明文 XML，含 IP/連接埠/是否設密碼，易被竊聽；密碼複雜度/鎖定策略不適用於票證密碼。

強化措施

1. 強制票證密碼：建立邀請時設定高強度密碼，透過外帶管道（電話/簡訊）傳遞給受邀者，勿夾帶在邀請檔中。
2. 限制邀請存活時間：設定最短有效期（如 30 分鐘），過期自動失效。
3. 防火牆限制 3389 來源 IP：僅允許受信任 IP/網段連入。
4. 使用 VPN/SSH 隧道：將 3389 綁定本地回環，透過加密隧道轉發，避免直接暴露公網。
5. 停用遠端桌面：若無需全桌面控制，僅啟用遠端協助（按需開啟 3389）。
6. 審計日誌：啟用終端服務稽核，記錄登入/登出/失敗嘗試。

最高安全等級環境應完全禁用遠端控制功能。業務必須時，最小權限、最短時間、加密通道、嚴格審計，纵深防禦。