如何防范基于 RDP 的攻击

1.使用VPN
当RDP对Internet开放时会产生严重的安全风险。相反，组织应该使用VPN来允许远程用户安全地访问公司网络，而不将他们的系统暴露给整个Internet。
2.设置强密码
大多数基于RDP的攻击依赖于暴力破解。因此，必须在所有RDP客户端和服务器终端上强制使用强密码，密码长、唯一、随机。
3.使用多种认证
即使是最强大的密码也可能被泄露。这时，MFA（Multi-Factor Authentication）提供了另外一层保护。启用 MFA 后，用户登录RDP，系统要求输入用户名和密码，然后要求输入来自其 MFA 设备的动态验证码，MFA 设备可以基于硬件也可以基于软件。
4.使用防火墙来限制访问
可以使用防火墙来限制RDP对特定IP地址或IP地址范围的访问。
5.使用RD网关
Windows server 2008以后的版本，都可以使用RD网关服务器，它使用端口 443，可通过安全套接字层 (SSL) 隧道传输数据。
6.封IP
短时间内多次的登录尝试失败，通常表明正在进行暴力攻击。Windows帐户策略可用于定义和限制用户尝试登录到RDP的次数。
7.合理分配远程访问权限
虽然所有管理员在默认情况下都可以使用RDP，但许多用户不需要远程访问也能完成他们的工作。企业应该始终遵循“最小特权”的原则，将RDP访问权分配给真正需要的人。
8.更改RDP监听端口
攻击者通常通过扫描Internet以确定监听默认RDP端口(TCP 3389)的计算机来识别潜在目标。