Windows 遠端桌面埠 3389 安全防護與監控指南

前言

遠端桌面協定 (RDP) 埠 3389 是 Windows 遠端管理的預設入口，亦是駭客嘗試暴力破解、植入後門的首選目標。本文從防禦角度出發，說明如何安全設定與監控 3389 埠，降低被入侵風險。

3389 埠常見攻擊手法與防範

1. 暴力破解與字典攻擊

駭客使用自動化工具嘗試常見帳號密碼組合。防範措施：

• 強制複雜密碼原則（長度≥12、大小寫、數字、特殊字元）。
• 啟用帳號鎖定原則（如 5 次失敗鎖定 30 分鐘）。
• 限制 3389 僅允許特定 IP 或 VPN 存取（防火牆規則）。
• 啟用網路層級驗證 (NLA)，要求驗證後才建立完整 RDP 會話。

2. 弱點掃描與漏洞利用

駭客掃描開放 3389 的主機，嘗試利用已知漏洞（如 CVE-2019-0708 "BlueKeep"）遠端執行程式碼。防範措施：

• 及時套用微軟安全性更新（特別是關鍵等級的 RDP 相關補丁）。
• 若無法立即修補，暫時封鎖 3389 或僅允許受信任 IP 存取。
• 部署入侵偵測系統 (IDS/IPS) 監控異常 3389 流量。

3. 暴力破解後植入後門/修改埠號

駭客取得存取權後，常修改 3389 埠號（修改註冊表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber）或植入後門程式。防範措施：

• 啟用「Windows 稽核原則」稽核登入事件（成功/失敗）與登錄修改事件。
• 定期檢查 3389 埠號註冊表值是否被竄改。
• 部署檔案完整性監控 (FIM) 監控關鍵系統檔案與註冊表鍵值。

3389 埠安全強化檢查清單

1. 僅在必要時開啟 3389，平時於防火牆關閉。
2. 僅允許管理群組帳號透過 RDP 登入（本機安全性原則 → 使用者權利指派 → 允許透過遠端桌面服務登入）。
3. 強制 NLA（網路層級驗證）。
4. 設定帳號鎖定原則：閾值 5、鎖定 30 分鐘、重設計數器 30 分鐘。
5. 限制來源 IP：防火牆僅允許管理 IP 或 VPN 子網存取 3389。
6. 啟用 RDP 稽核：成功/失敗登入、帳號鎖定、登錄修改皆記錄。
7. 定期掃描 3389 弱點（Nessus、OpenVAS 等）。
8. 考慮部署 RD Gateway 或 VPN，避免直接暴露 3389 於公網。

結語

3389 埠是高風險服務埠，務必採取「最小權限、最小暴露、持續監控」原則，結合強健密碼、帳號鎖定、來源 IP 限制、NLA、及時修補與持續稽核，才能有效降低被入侵風險。