遠端協助
運作機制
- 邀請者（需協助者）透過 Email/Windows Messenger/檔案發送邀請
- 受邀者（支援者）接受後可檢視螢幕、傳送訊息、經授權後控制桌面
- HelpAssistant 帳號自動啟用/停用，3389 連接埠動態開放
請求式遠端協助風險
- 邀請以明文 XML 格式傳輸（IP、連接埠、是否設密碼皆可見）
- 無法限制邀請者，任何能物理存取電腦者皆可發送邀請
- 密碼保護非強制，且不受密碼原則約束
- 高安全環境建議停用
提供式遠端協助（較安全）
- 僅限同網域/信任網域電腦
- 專家需聲明並取得使用者同意才能連線/控制
- 使用者可隨時拒絕/收回控制權
群組原則強化設定
路徑：電腦設定 → 系統管理範本 → 系統 → 遠端協助
- 啟用「請求遠端協助」→ 僅允許檢視 → 票證最長 0 分鐘（實際停用請求式）
- 啟用「提供遠端協助」→ 僅允許檢視 → 新增受信任支援人員帳號/群組
- 嚴禁允許使用者授與遠端控制權限，幾秒鐘即可破壞系統
遠端桌面
預設行為
- XP Professional 預設停用
- 啟用後 3389 持續開放
- 所有管理員 +「遠端桌面使用者」群組成員可連線
- 連線時自動鎖定本機會話，可選擇登出本機使用者
- 套用標準 Windows 驗證（密碼原則、帳號鎖定生效）
安全建議
- 停用預設 Administrator 遠端登入，建立專用低權限帳號
- 群組原則：
電腦設定 → 系統管理範本 → Windows 元件 → 終端機服務 進行精細管控
- 防火牆/路由器封鎖 3389 對外連線，僅允許內網或特定 IP/VPN 存取
網路架構建議
- 嚴格限制 3389 僅限內網存取，雙向封鎖對外連線
- 跨網際網路需求：VPN + 強式驗證 + 限定來源 IP
結語
遠端控制雖便利，風險並存。企業環境務必採用「提供式遠端協助」+ 群組原則鎖死權限 + 網路層級存取控制；個人用戶若非必要請保持停用，臨時需求可配合 VPN 使用。
