English version: Remote Desktop Security: A Practical Best-Practices Guide
这是可执行的基线，不是合规手册。读完你的远程桌面配置能挡住真实在跑的攻击，而不是教科书上的假设场景。
威胁模型（简版）
三类需要规划应对的真实对手：
- 机会型攻击者：扫公网找暴露服务和弱密码。靠量。
- 内部滥用 —— 没及时撤销访问的外包、或被入侵的员工电脑。
- 账号接管：钓鱼或密码复用导致。2024-2025 年最常见。
不需要对抗国家级 APT 才算安全。对住上面这三类就够了。
防住 95% 事件的五个设置
1. 端到端加密
确认你的工具用的是真正的 E2EE —— 厂商服务器解不开你的会话。否则你信任的是厂商的整套基础设施、员工、所在司法管辖区。详见《远程桌面的端到端加密原理》。
2. 任何地方都开两步验证
至少 TOTP；工具支持就上硬件 key（FIDO2/WebAuthn）。要覆盖：
- 账号登录
- 每台设备的无人值守访问
- 管理 / 后台门户
2023-2024 大多数远程桌面被攻破事件，根源都是单因素登录。
3. 每台设备一个强独立密码
5 台机器共享同一个无人值守密码 —— 一台被攻破就是 5 台。每台设备一个独立密码，存密码管理器。每年轮换一次。
4. 断开后自动锁屏
这一条设置就能挡住大多数"路过远端机器偷看屏幕"的事件。会话结束时 OS 应立即锁屏。每次工具更新后都验一下 —— 它会被意外关掉。
5. 真的会去看的审计日志
启用日志记录：
- 每一次连接（谁、什么时候、从哪、到哪台机器）
- 每一次文件传输
- 每一次管理动作
然后把日志送到外部地方（SIEM、S3，任何不在被影响机器上的地方）。攻击者第一件事就是擦本机日志。
网络层控制
过了基础阶段：
- 高价值机器源 IP 白名单。生产服务器只接受 VPN 或办公室 IP 的连接。
- 支持类会话默认禁文件传输，单次显式开启。
- 外包访问设有效期，合同到期自动撤销。
- 任何场景下都不要做端口转发。原因见《不用端口转发也能跨 NAT / 防火墙远程》。
合规相关
如果你处理受监管数据（医疗、金融、欧盟个人数据）：
- 数据驻留：确认工具的信令和中转服务器所在的司法管辖区你能交代得了。
- BAA / DPA：跟厂商签 HIPAA 或 GDPR 的书面协议。
- 会话录制：某些标准要求。确保工具支持录制且不破坏 E2EE。
详见《你的远程桌面符合 HIPAA / SOC 2 合规吗？》。
事件响应准备
出事前先把这两个问题答了：
- 5 分钟内怎么撤销一台被攻破设备的访问？ 演练一次。答不出来就是没准备好。
- 日志在哪？ 如果只在被攻破那台机器上，就等于没了。
常见错误
我看到组织反复犯的错：
- "临时"给外包关掉 2FA。 没有什么是临时的。
- 团队共享一个无人值守密码。 用每用户独立账号。
- 远端机器开机自动登录。 这样你的无人值守访问其实没有任何门槛。
- 离职时忘了撤访问。 准备一份离职 checklist。
10 分钟季度审计
每季度跑一遍：
- 列出所有开了无人值守访问的机器。每台还在用吗？
- 列出所有管理员账号。还需要吗？
- 拉过去 30 天的会话日志。有异常吗（非工作时间、奇怪的源 IP）？
- 验证每个账号还启用着 2FA。
- 测试 5 分钟内能撤销一台设备访问。
接下来读什么
- 加密原理：《远程桌面的端到端加密原理》
- 合规视角：《你的远程桌面符合 HIPAA / SOC 2 合规吗？》
- 端口转发为什么危险：《不用端口转发也能跨 NAT / 防火墙远程》
- 第一天就配对：《给团队搭建远程桌面访问》