通过组策略禁用远程协助与远程桌面是最可靠方案：先在“计算机配置→管理模板→系统→远程协助”中禁用“请求/提供远程协助”，再在“远程桌面服务→连接”中启用“不允许用户远程连接”，并可选添加“拒绝通过远程桌面服务登录”权限限制。
通过组策略禁用windows的远程协助与远程控制，是最可靠、可集中管理且不易被普通用户绕过的做法，适用于专业版、企业版和教育版系统（家庭版不支持gpedit.msc）。关键在于关闭两个独立但常被混淆的功能：远程协助（remote assistance）和远程桌面（remote desktop），它们由不同策略控制，需分别处理。
禁用远程协助（请求/提供协助）
远程协助依赖“请求远程协助”和“提供远程协助”两项策略，两者都必须禁用才能彻底阻断MSRA或快速助手类连接：
- 打开组策略编辑器：Win + R → 输入 gpedit.msc → 回车
- 导航至：计算机配置 → 管理模板 → 系统 → 远程协助
- 双击右侧的“配置请求的远程协助” → 选择“已禁用” → 确定
- 再双击“配置提供远程协助” → 同样选择“已禁用” → 确定
这两项策略会强制将注册表中fAllowToGetHelp和fAllowFullControl设为0，并阻止相关服务响应协助请求。
禁用远程桌面（远程控制核心通道）
远程桌面是远程控制的主要入口，禁用它能切断RDP协议连接，同时影响部分远程协助的底层通信：
- 在同一个gpedit.msc中，导航至：计算机配置 → 管理模板 → Windows组件 → 远程桌面服务 → 远程桌面会话主机 → 连接
- 双击“不允许用户使用远程桌面服务进行远程连接” → 设为“已启用” → 确定
- （可选加固）返回上一级目录，进入“远程桌面服务 → 远程桌面连接经纪”，启用“禁止使用远程桌面连接经纪”
该设置等效于将注册表fDenyTSConnections置为1，并自动停用Terminal Services监听。
补充安全策略（防止绕过登录）
即使远程桌面已关，攻击者仍可能利用已有账户尝试远程交互式登录。建议同步限制权限：
- 导航至：计算机配置 → Windows设置 → 安全设置 → 本地策略 → 用户权限分配
- 双击“拒绝通过远程桌面服务登录”
- 点击“添加用户或组”，填入需要防护的账户（如标准用户、Guest）或直接添加
Everyone（谨慎操作）
此项策略优先级高于“允许远程桌面登录”，能从权限层拦截未授权的远程会话建立。
验证与生效
组策略更改无需重启，但需刷新策略或等待默认更新周期（约90分钟）：
- 立即生效命令：管理员终端中运行
gpupdate /force - 验证是否生效：
rsop.msc查看“结果集策略”，确认上述策略状态为“已启用”或“已禁用” - 手动测试：另一台电脑尝试用“快速助手”或mstsc连接，应提示“远程协助不可用”或“连接被拒绝”
