遠端桌面開在外網，到底有多危險

1. 你可能已經開著而不知道

遠端桌面很少是有人刻意開在外網的，多半是需求推出來的。需要在家上班、廠商說這樣比較好維護、或是會計偶爾要回來抓一份報表。設定的人通常是善意的，而且當下確實解決了問題。

問題在於那個設定沒有期限。需求過去了，設定還在。三年後那台電腦的作業系統已經停止更新，密碼還是當年那一組，而它每天二十四小時都在接受來自世界各地的登入嘗試。沒有人會收到通知，因為那本來就是它該做的事。

確認的方法有兩個。第一個是看分享器或防火牆上有沒有一條把外部連線導到某台電腦的規則，遠端桌面預設用的是 3389 這個連接埠。第二個更直覺：問問看有沒有人可以在公司以外的地方，不先連任何東西就直接開遠端桌面連上公司電腦。如果答案是可以，那就是開著的。

2. 開在外網之後，實際上發生什麼事

不會有人專程挑上你。這件事完全是自動化的，程式整天在網際網路上一段一段地掃，找哪些位址的 3389 有回應。找到之後就開始試帳號密碼，一台機器同時對很多目標試，也不趕時間。公司規模與行業別在這個階段完全不影響。

試的內容也不是隨機亂猜。最先試的是 administrator、admin、user 這類預設名稱，接著是從各種外洩事件流出的帳密清單。如果你的管理員帳號叫 admin，密碼是公司名稱加上年份，那撐不了幾天。

更麻煩的是被試中之後。對方拿到的不是一個網頁後台，是一台完整的電腦，而且通常帶著管理員權限。他看得到共用資料夾、可以安裝東西、可以從那台機器往公司內部其他電腦連過去。這就是為什麼這條路徑在勒索病毒的案例裡出現得那麼頻繁。

3. 先連 VPN 再用遠端桌面，差在哪

不少人以為 VPN 只是多繞一圈，其實差別很根本。VPN 是先在你的電腦和公司網路之間建立一條加密通道，連上之後你的電腦在網路上就像坐在辦公室裡一樣。遠端桌面則是在那條通道裡面跑，不再需要對外開任何入口。

微軟自己的說明文件在講「從外部連回你的電腦」時就寫得很直接：把連接埠對外開放等於把這台電腦公開在網際網路上，並不建議這樣做，同一頁建議改用 VPN。這不是資安顧問的立場，是原廠自己的說法。

誠實講，VPN 不是萬靈丹。VPN 設備本身也會有漏洞，需要跟著更新。如果全公司共用同一組 VPN 帳號，那只是把同一個問題往前挪了一格。它真正的價值在於把「全世界都能敲門」變成「只有拿到鑰匙的人能敲門」，並且把需要維護的對外入口從每台電腦收斂成一個。

4. 今天就能做、不用換架構的幾件事

如果現在還沒有條件導入 VPN，下面這幾件事在現有環境裡就做得完，而且做完之後風險會明顯下降。順序是照投報率排的。

5. 真的要換架構，有哪些選項

遠端存取的需求如果是真的，就該用適合的做法，而不是把整台電腦掛在外面。目前中小企業實際會用到的有三種，成本與門檻都不一樣。

第一種是在公司架 VPN。多數商用等級的分享器與防火牆內建這個功能，成本最低。缺點是設備本身要記得更新，而且帳號要一人一組，共用一組等於白做。

第二種是用雲端的遠端連線服務。這類服務由廠商維護連線通道，你的電腦不需要對外開任何入口，設定也簡單。代價是每個月要付費，而且你等於把一條進到公司的路交給第三方。選的時候要看它自己的安全紀錄，以及支不支援兩步驟驗證。

第三種是遠端桌面閘道，適合已經有 Windows 伺服器環境的公司。所有連線集中從一個受控的入口進來，政策統一，紀錄也集中。它的設定門檻比另外兩種高，通常需要有人維護。

6. 已經開了一陣子，怎麼確認有沒有出事

先看紀錄。Windows 的事件檢視器裡有登入成功與失敗的紀錄，重點不是失敗有幾千次，那是常態。重點是有沒有成功的那幾筆，以及成功的時間點合不合理。半夜三點成功登入而當時公司沒人上班，那就要往下查。

接著看那台機器上有沒有多出來的帳號、多出來的排程工作、或是被關掉的防毒。這幾項是有人成功登入之後最常見的痕跡。至於怎麼有系統地查一台被入侵的公司電腦，那是另一個題目，這篇不展開。

如果確定有人成功登入過，處理順序不是先重灌。先把那台機器從外網斷開、保留現況、確認它碰得到哪些共用資料夾與哪些其他機器。急著重灌會把線索一起洗掉，而那些線索是你之後回答「對方碰過什麼」的唯一依據。