# Bezpečná správa Windows RDP bez ztráty přístupu | SwissOctet Insights https://swissoctet.com/cs/insights/secure-windows-rdp-administration/ SwissOctet / Přehledy / Provoz druhého dne Provoz druhého dne Applied · 6 min čtení Bezpečná správa Windows RDP bez ztráty přístupu Oddělte síťovou dostupnost, autentizaci a oprávnění, poté před zpřísněním vzdáleného přístupu ověřte cestu obnovy. Od SwissOctet Editorial Uložit průvodce Kopírovat odkaz NA TÉTO STRÁNCE 01 Pracovní plochu berte jako hranici správy 02 Před spoléháním na ochranu přihlášením omezte dosažitelnost 03 Udržujte ověřování a důvěru výslovné 04 Omezte, co může relace přenášet 05 Udržujte stroj a potřebné důkazy 06 Bezpečná posloupnost první relace Váš praktický kontrolní seznam Zdroje a další čtení Zpět do knihovny PŘÍMÁ ODPOVĚĎ Omezte, kdo se může dostat k RDP, kde je to podporováno, ponechte zapnuté ověřování na úrovni sítě, používejte individuální silná pověření a minimalizujte administrativní oprávnění. Před ukončením aktuálního připojení otestujte druhou relaci a přístup pro obnovu. 01 Pracovní plochu berte jako hranici správy Relace RDP poskytuje interaktivní přístup ke vzdálenému systému, takže účet použitý pro ni se může stát cenným cílem. Začněte tím, že rozhodnete, kdo potřebuje přístup a jakou práci musí vykonávat. Sdílené přihlášení správce je pohodlné, dokud nepotřebujete odebrat přístup jedné osobě nebo porozumět změně konfigurace. Individuální účty tyto provozní úkoly zpřehledňují. Kde to software umožňuje, oddělte rutinní činnost od privilegovaných změn. Uživatel, který potřebuje obchodní aplikaci, nemusí nutně potřebovat neomezenou správu systému. Udržujte také koncový bod správce: zabezpečení vzdáleného stroje nechrání pověření zadaná z infikovaného nebo sdíleného místního zařízení. V návrhu přístupu zvažte oba konce relace. 02 Před spoléháním na ochranu přihlášením omezte dosažitelnost Rozhodněte, které sítě nebo autorizovaná zařízení by se měla moci dostat k hostiteli relace. Kde to vaše architektura podporuje, použijte řízenou bránu VPN nebo Remote Desktop Gateway, místo abyste správu široce vystavovali. Microsoft dokumentuje RD Gateway jako cestu k interním prostředkům pomocí zásad autorizace připojení a prostředků. Její vhodnost závisí na prostředí; nejde o zahrnutou funkci jen proto, že plán podporuje RDP. Omezte pravidla firewallu na zamýšlenou cestu a ověřte, jak bude nakládáno s dynamickými adresami klientů. Nevytvářejte restriktivní pravidlo, které okamžitě odpojí jediného správce bez možnosti obnovy. Ponechte stávající relaci otevřenou, otestujte novou cestu z jiné relace a před odstraněním starší přístupové cesty zdokumentujte autorizovaný mechanismus obnovy. 03 Udržujte ověřování a důvěru výslovné Microsoft doporučuje ověřování na úrovni sítě pro většinu podporovaných prostředí. NLA vyžaduje ověření před navázáním plné vzdálené relace, což v této fázi přidává ochranu. Nenahrazuje firewall, zásady účtů ani aktualizace systému. Zkontrolujte kompatibilitu klienta a řešte problémy s ověřováním, místo abyste jako první reakci trvale oslabili konfiguraci. Kde je to možné, používejte jedinečná pověření a druhý faktor prostřednictvím podporované architektury přístupu. Ověřte očekávané chování vzdálené identity a certifikátu, zejména po přestavbě nebo změně názvu hostitele. Upozornění na certifikát si zaslouží prošetření; opakované přijímání neočekávaných identit mění užitečnou kontrolu důvěry v ignorovaný dialog. Pověření pro obnovu uchovávejte ve schváleném soukromém úložišti. Vrstva Rozhodnutí Ověření Síť Kteří klienti se mohou dostat k hostiteli? Neočekávané zdroje se nemohou připojit Ověřování Který účet a faktory jsou vyžadovány? Povolená druhá relace uspěje Oprávnění Které úkoly vyžadují správu? Běžní uživatelé nemohou měnit systémová nastavení Obnovení Jak se přístup obnoví po chybě? Zdokumentovaná cesta obnovy je k dispozici 04 Omezte, co může relace přenášet Zkontrolujte funkce přesměrování schránky, jednotek, tiskárny a dalších podle skutečného pracovního postupu. Správce nemusí potřebovat, aby byl vzdálenému hostiteli vystaven každý místní prostředek. Naopak vypnutí požadované cesty pro přenos bez alternativy může podporovat nebezpečná obcházení. Zdokumentujte povolený způsob přesunu souborů a tajemství neukládejte do běžných poznámek na ploše ani do sdílených adresářů pro stahování. Pro vhodná doménová prostředí Microsoft poskytuje Remote Credential Guard, který snižuje vystavení pověření během připojení RDP. Vyžaduje kompatibilní klienty a ověřování Kerberos a podporuje přímá připojení k cílovému počítači; připojení přes Remote Desktop Gateway nebo Connection Broker nejsou podporována. Ověřte požadavky pro svou skutečnou přístupovou cestu, místo abyste to považovali za univerzální ochranu samostatných hostovaných počítačů Windows. 05 Udržujte stroj a potřebné důkazy Naplánujte aktualizace operačního systému a aplikací, včetně záměrného procesu restartu. Zkontrolujte, zda aktualizace vyžaduje restart, a poté službu ověřte. Nastavte rozumné zásady relací pro práci bez dozoru nebo odpojenou práci, ale zvažte aplikace, které musí pokračovat v běhu. Zásada časového limitu by měla odpovídat bezpečnostní nebo provozní potřebě, nikoli jen kopírovat libovolné číslo z jiného prostředí. Uchovávejte užitečné informace o přístupu a incidentech podle zdokumentovaných zásad. Sledujte opakovaná selhání ověřování a neočekávanou administrativní činnost, aniž byste shromažďovali zbytečný obsah. Omezte, kdo může číst diagnostické záznamy, a rozhodněte, jak dlouho jsou potřebné. Přesná zásada protokolování má větší smysl než buď uchovávání všeho na neurčito, nebo slib, že žádný provozní záznam nikdy nemůže existovat. 06 Bezpečná posloupnost první relace Při dodání ověřte očekávaný systém, změňte dočasná pověření schváleným postupem a zřiďte individuální přístup. Ověřte firewall a cestu obnovy a poté otestujte druhé připojení. Použijte aktualizace, zkontrolujte přesměrování a nainstalujte požadovanou aplikaci. Vytvořte zálohu a předtím, než budete na pracovní ploše záviset při každodenní práci, nacvičte obnovu důležitých nastavení. DeskLink RDP a vybrané dedikované konfigurace nabízejí volby související s Windows v katalogu SwissOctet. Pro svou objednávku ověřte operační systém, licencování, oprávnění účtu a odpovědnosti za správu. Podporované připojení k pracovní ploše je začátek plánu správy; o tom, jak se tento přístup používá, rozhodují opatření, která nakonfigurujete a ověříte. PŘEVEĎTE TO V AKCI Váš praktický kontrolní seznam. ✓ Používejte individuální účty a odpovídající oprávnění. ✓ Omezte zamýšlenou přístupovou cestu RDP. ✓ Na kompatibilních systémech ponechte NLA zapnuté. ✓ Před ukončením současného přístupu otestujte druhou relaci. ✓ Zkontrolujte přesměrování, aktualizace a zásady relací. ✓ Ověřte licencování a postup obnovy. Stáhnout kontrolní seznam ČASTÉ OTÁZKY Podrobnosti, na kterých záleží. Zajišťuje NLA, že vystavený hostitel RDP je zcela bezpečný? + Ne. NLA je jeden autentizační prvek. Dostupnost, přihlašovací údaje, aktualizace a oprávnění stále vyžadují pozornost. Mohu použít Remote Credential Guard na každém serveru Windows? + Ne. Klient, hostitel a autentizační prostředí musí splňovat požadavky Microsoftu, včetně příslušného uspořádání Kerberos. Co mám udělat před zpřísněním firewallu? + Ověřte cestu pro obnovení, zachovejte funkční relaci a otestujte novou povolenou cestu prostřednictvím druhého připojení. PRIMÁRNÍ ZDROJE Jděte ke zdroji. Tyto zdroje podporují technické koncepty v tomto průvodci. Před změnou produkčního systému se řiďte aktuální dokumentací. Microsoft: Povolení vzdálené plochy a ověřování na úrovni sítě learn.microsoft.com Microsoft: Přístup přes bránu vzdálené plochy learn.microsoft.com Microsoft: Remote Credential Guard learn.microsoft.com Redakční vedení od SwissOctet. Příklady jsou ilustrativní. Specifikace služeb, dostupné možnosti a smluvní podmínky je nutné ověřit samostatně. PROPOJTE ZNALOSTI Související infrastruktura. DeskLink RDP Švýcarsko Metal Atlas Švýcarsko Metal EPYC Švýcarsko UDRŽTE NIT Vaše další terénní poznámky. Prozkoumat všechny průvodce TERÉNNÍ POZNÁMKA / 01 + Provoz druhého dne Aplikované Vytvořte zálohu, kterou skutečně obnovíte Zvolte cíl obnovy, chraňte nezávislou kopii a procvičte obnovu dříve, než incident vynutí řešení. 4 min čtení Přečtěte si průvodce TERÉNNÍ POZNÁMKA / 02 + Provoz druhého dne Aplikované Praktický model hrozeb pro váš hostovaný projekt Zmapujte aktiva a hranice důvěry, zvolte několik realistických scénářů selhání a přeměňte je na opatření, která můžete testovat. 6 min čtení Přečtěte si průvodce TERÉNNÍ POZNÁMKA / 03 + Provoz druhého dne Aplikované Základ pro zpevnění Linux VPS, který můžete udržovat Zabezpečte správu, vystavte pouze nezbytné služby a zaveďte aktualizace a obnovu, aniž byste se uzamkli. 6 min čtení Přečtěte si průvodce