Windows XP 遠端桌面與遠端協助安全性完整設定指南

前言

遠端控制技術便利但風險並存。本文依微軟官方最佳實務，說明遠端協助 (RA) 與遠端桌面 (RD) 的安全強化設定。

一、遠端協助 (Remote Assistance)

運作機制

• 邀請者發出邀請 (郵件/ Messenger/ 檔案)，建立票證 (Ticket) 並開啟 3389 連接埠。
• 內建 HelpAssistant 帳號啟用，受邀者以此帳號 + 票證連線。
• 票證關閉/過期 → 帳號停用、3389 關閉。

請求式遠端協助風險

• 邀請以明文 XML 傳送 (Messenger/Email)，含 IP、連接埠、是否設密碼等敏感資訊。
• 密碼複雜度/鎖定原則**不適用**於票證密碼。
• 高安全環境**建議停用**請求式遠端協助。

提供式遠端協助 (較安全)

• 僅限同網域/受信任網域電腦。
• 專家需聲明並取得使用者同意才能控制。
• 透過群組原則限制：
  「電腦設定 → 系統管理範本 → 系統 → 遠端協助」
  → 啟用「提供遠端協助」→ 僅允許檢視、限定協助者清單 (Domain\User 或 Domain\Group)。

二、遠端桌面 (Remote Desktop)

預設行為

• XP Professional 預設停用。
• 啟用後 3389 持續開放，所有 Administrators 及「遠端桌面使用者」群組成員可連線。
• 連線成功 → 遠端電腦鎖定，本地使用者被登出。

安全強化設定

1. 停用預設 Administrator 遠端登入，建立專用低權限帳號加入「遠端桌面使用者」。
2. 群組原則 → 使用者權限指派：
   「允許透過終端服務登入」→ 僅授權必要帳號/群組。
   「拒絕透過終端服務登入」→ 保持空白或明確拒絕高風險帳號。
3. 終端服務原則 (電腦設定 → 系統管理範本 → Windows 元件 → 終端服務)：
   強制加密、限制重導向、設定閒置/中斷逾時。

三、網路層面防護 (必要)

• 防火牆/路由器**封鎖 3389 連接埠對外存取** (入站/出站皆阻擋)。
• 僅允許內部 LAN IP 或特定管理 IP 存取 3389。
• 更高安全需求：部署 VPN + 強式驗證 (憑證/雙因子)，僅允許 VPN 客戶端存取 3389。

總結檢查清單