RDP合规检查需闭环执行“部署—验证—扫描—反馈”，聚焦密码、认证、加密、审计、会话控制五维度，通过注册表/命令行核配置、日志与行为验证、高风险残留扫描及强认证通道检查确保真实生效。
一、确认基础策略是否按合规基线配置
不能只看组策略界面勾选了没，得查注册表或命令行输出的实际值：
- 密码策略：运行 Get-ADDefaultDomainPasswordPolicy（域环境）或 net accounts（本地），确认最短长度≥12、最长使用期≤90天、历史记录≥5次、复杂性已启用
- 账户锁定：查 net accounts /domain 或 reg query "HKLM\SECURITY\Policies\Accounts"，确保阈值≤5次、锁定时间≥30分钟、计数器重置时间等于锁定时间
- RDP安全层：进 gpedit.msc → 计算机配置 → 管理模板 → Windows组件 → 远程桌面服务 → 远程桌面会话主机 → 安全，确认“设置安全层”为“协商”，“加密级别”为“客户端兼容”或“高”
- NLA强制启用：查注册表 HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\SecurityLayer 值应为 2（表示启用NLA）
二、验证终端实际行为是否达标
日志写了≠策略起效，必须触发动作验证结果：
宝塔Linux面板11.3.0
下载
宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。
- 模拟5次错误登录，立即查事件查看器ID 4740（账户锁定事件），确认是否真被锁且解锁时间匹配设定
- 启用“审核登录事件（成功+失败）”后，正常登录一次，查ID 4624和4625是否生成，且来源IP、账号、工作站字段完整
- 开启RDP空闲超时（如10分钟），手动闲置等待，确认会话是否自动断开并生成ID 4778（会话断开）或4779（会话注销）
三、扫描高风险残留配置
旧策略可能被覆盖但未清理干净，需主动排查：
- 用 Get-GPPPassword 脚本扫描SYSVOL，防止组策略偏好（GPP）中明文存储密码
- 查Kerberos配置：gpresult /h report.html 中确认“网络安全性：LAN Manager身份验证级别”设为“发送NTLMv2响应，拒绝LM & NTLM”
- 验证LDAP签名：dsquery server -o rdn 找域控制器，再查其“域控制器：LDAP服务器签名要求”是否为“要求签名”
- 检查RDP证书状态：运行 certutil -viewstore -user my，筛选“远程桌面”证书，确认未过期、密钥可用、颁发者可信
四、检查远程访问通道是否满足强认证要求
仅靠密码不合规，必须叠加其他因子：
- 确认所有RDP接入点已集成多因素认证（MFA），如Azure AD MFA、硬件令牌或生物识别网关
- 禁用CredSSP直连（除非明确强管控），组策略路径：计算机配置 → 管理模板 → 系统 → 凭据分配 → 加密 Oracle 修正，设为“已启用”且保护级别为“强制更新”
- 若使用跳板机或代理网关，确认其自身日志完整、会话录像可追溯、操作指令可审计
