查看: 2384|回复: 25

windows 2003 远程桌面安全策略

[复制链接]
发表于 2013-2-12 10:47:04 | 显示全部楼层 |阅读模式

windows的远程桌面虽然用起来比较方便,但其安全性和资源占用比起SSH还是有不少的差距。


想到的安全策略有一下几个:

1、更改默认端口号

终端服务默认使用知名端口号3389,很显然大家都知道这个端口是做什么的,所以改端口号可以躲过很多的机器扫描。可以从终端服务本机上修改默认端口号,如果有防火墙做NAT,那更简单了,NAT后的端口号别用3389就是了。

2、设置复杂密码

现在的GPU处理能力十分恐怖,所以密码位数少了就不安全了,大小写字母和数字组合的12位密码目前还基本够用。远程桌面竟然不支持CA证书验证登录,这点不如SSH了。SSH设置成2048位RSA证书登录,禁止口令登录,禁止root登录,就相当的安全了。

3、限制登录尝试次数

修改组策略,”计算机配置->windows设置->安全设置->账户策略->账户锁定策略”,”账户锁定阈值”设置为10,也就是10次无效登录后就封锁对方IP,禁止其在一段时间内继续尝试登录。”账户锁定时间”就是无效登录后多久才可以继续尝试登录。”复位账户锁定计数器”设置多长时间后复位”账户锁定阈值”,必须小于等于”账户锁定时间”。

4、禁止administrator用户远程桌面登录

administrator实在是太扎眼了,可以禁止其远程桌面登录,另设立一个管理员账户来执行远程登录任务,这样用户名和密码的组合就更复杂了,爆破的难度大大加大。
双击”计算机配置->Windows设置->安全设置->本地策略->用户权限分配->通过终端服务允许登录”,将Administrators账号删除掉,加入另设立的管理员账户即可。

5、加密远程桌面连接

默认情形下,远程桌面的数据链接是不加密的,十分危险有木有,容易被监听有木有。2003以后的windows版本可以使用SSL来加密远程桌面连接。


发表于 2013-2-15 01:40:18 | 显示全部楼层
这贴子你会收藏吗  
发表于 2013-2-17 04:38:56 | 显示全部楼层
活着,以死的姿态……  
259633 该用户已被删除
发表于 2013-2-22 00:08:53 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
发表于 2013-2-23 04:28:59 | 显示全部楼层
初来乍到,请多多关照。。。  
5566 该用户已被删除
发表于 2013-2-23 06:47:35 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
发表于 2013-2-26 10:04:07 | 显示全部楼层
我十目一行也还是看不懂啊  
发表于 2014-12-26 09:31:11 | 显示全部楼层
真是有你的!  
发表于 2015-1-26 13:01:53 | 显示全部楼层
楼主也是培训师吗  
发表于 2015-2-28 15:43:46 | 显示全部楼层
太棒了!  
高级模式
B Color Image Link Quote Code Smilies

本版积分规则