直接禁用远程协助和远程桌面服务可从系统级封锁远程控制入口：通过组策略禁用远程协助、禁止RDP连接、限制用户登录权限，并辅以服务禁用、防火墙规则关闭及注册表验证。
直接禁用远程协助功能
组策略能从系统级锁定远程协助开关，避免用户误开或界面设置被绕过。
- 按 Win + R 输入
gpedit.msc，以管理员身份打开组策略编辑器 - 依次展开路径：计算机配置 → 管理模板 → Windows 组件 → 远程协助
- 双击右侧“禁止远程协助”，设为“已启用”
- 再找到“允许远程协助连接这台计算机”，也设为“已禁用”（若存在）
- 关闭窗口，运行
gpupdate /force刷新策略，立即生效
同步封锁远程桌面控制权限
远程控制常通过远程桌面协议（RDP）实现，仅关协助不够，必须切断RDP入口。
- 在组策略中导航至：计算机配置 → 管理模板 → Windows 组件 → 远程桌面服务 → 远程桌面会话主机 → 连接
- 启用“禁止使用远程桌面服务连接”策略
- 同时检查“允许用户使用远程桌面服务远程连接”，设为“已禁用”
- 该设置会覆盖本地开关，即使用户在设置里打开远程桌面也无效
限制特定用户的远程登录权限
即使服务开启，也可通过安全策略阻止具体账户远程接入，适合多用户环境。
- 路径：计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 用户权限分配
- 双击“拒绝通过远程桌面服务登录”
- 点击“添加用户或组”，填入需限制的账户（如标准用户、来宾账户）
- 确认后，这些用户将无法建立任何远程桌面或远程协助会话
补充建议：配合服务与防火墙加固
组策略是逻辑层控制，建议叠加物理层防护，防止策略未覆盖的绕过方式。
- 打开
services.msc，将 Remote Desktop Services 和 SessionEnv 服务设为“禁用” - 进入“Windows Defender 防火墙高级设置”，在“入站规则”中禁用所有含 RemoteDesktop 或 TermService 的规则
- 注册表层面可额外验证：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Remote Assistance\fAllowToGetHelp值应为 0；Terminal Server\fDenyTSConnections应为 1
