Rajoita, kuka voi tavoittaa RDP, pidä Network Level Authentication käytössä tuettuna ollessa, käytä yksilöllisiä vahvoja tunnistetietoja ja minimoi hallinnolliset oikeudet. Testaa toinen istunto ja palautuskäyttöoikeus ennen nykyisen yhteyden sulkemista.
Käsittele työpöytää hallinnan rajana
RDP-istunto tarjoaa interaktiivisen pääsyn etäjärjestelmään, joten siihen käytetystä tilistä voi tulla arvokas kohde. Aloita päättämällä, kuka tarvitsee pääsyä ja mitä työtä heidän on tehtävä. Jaettu järjestelmänvalvojan kirjautuminen on kätevää, kunnes sinun on poistettava yhden henkilön pääsy tai ymmärrettävä kokoonpanomuutos. Yksilölliset tilit tekevät näistä operatiivisista tehtävistä selkeämpiä.
Erota rutiinitoiminta etuoikeutetuista muutoksista, kun ohjelmisto sallii sen. Käyttäjä, joka tarvitsee liiketoimintasovellusta, ei välttämättä tarvitse rajoittamatonta järjestelmänhallintaa. Pidä myös järjestelmänvalvojan päätelaite ylläpidettynä: etäkoneen suojaaminen ei suojaa tunnistetietoja, jotka syötetään saastuneelta tai jaetulta paikalliselta laitteelta. Harkitse istunnon molempia päitä käyttöoikeussuunnittelussa.
Rajoita tavoitettavuutta ennen kuin luotat kirjautumissuojaan
Päätä, mitkä verkot tai valtuutetut laitteet voivat tavoittaa istuntoisännän. Jos arkkitehtuurisi tukee sitä, käytä valvottua VPN- tai Remote Desktop Gateway -yhdyskäytävää sen sijaan, että altistaisit hallinnan laajasti. Microsoft dokumentoi RD Gatewayn reitiksi sisäisiin resursseihin yhteys- ja resurssivaltuutuskäytännöillä. Sen soveltuvuus riippuu ympäristöstä; se ei ole mukana oleva ominaisuus pelkästään siksi, että jokin palvelupaketti tukee RDP-palvelua.
Rajoita palomuurisäännöt aiottuun polkuun ja varmista, miten dynaamiset asiakasosoitteet käsitellään. Älä tee rajoittavaa sääntöä, joka katkaisee välittömästi ainoan järjestelmänvalvojan yhteyden ilman palautusvaihtoehtoa. Pidä nykyinen istunto avoinna, testaa uusi polku toisesta istunnosta ja dokumentoi valtuutettu palautusmekanismi ennen vanhemman käyttöpolun poistamista.
Pidä todennus ja luottamus nimenomaisina
Microsoft suosittelee Network Level Authenticationia useimpiin tuettuihin ympäristöihin. NLA vaatii todennuksen ennen täyden etäistunnon muodostamista, mikä lisää suojausta siinä vaiheessa. Se ei korvaa palomuuria, tiliperiaatetta tai järjestelmäpäivityksiä. Tarkista asiakasohjelman yhteensopivuus ja selvitä todennusongelmat sen sijaan, että heikentäisit kokoonpanoa pysyvästi ensimmäisenä vastauksena.
Käytä yksilöllisiä tunnistetietoja ja toista tekijää tuetun käyttöoikeusarkkitehtuurin kautta, kun mahdollista. Varmista odotettu etäidentiteetti ja varmenteen käyttäytyminen, erityisesti uudelleenrakennuksen tai isäntänimen muutoksen jälkeen. Varmennevaroitus ansaitsee tutkimisen; odottamattomien identiteettien toistuva hyväksyminen muuttaa hyödyllisen luottamustarkistuksen huomiotta jätettäväksi valintaikkunaksi. Pidä palautustunnistetiedot hyväksytyssä yksityisessä säilytyspaikassa.
| Kerros | Päätös | Varmennus |
|---|---|---|
| Verkko | Mitkä asiakasohjelmat voivat tavoittaa isännän? | Odottamattomat lähteet eivät voi yhdistää |
| Todennus | Mikä tili ja mitkä tekijät vaaditaan? | Sallittu toinen istunto onnistuu |
| Etuoikeus | Mitkä tehtävät vaativat järjestelmänhallintaa? | Rutiinikäyttäjät eivät voi muuttaa järjestelmäasetuksia |
| Palautuminen | Miten pääsy palautetaan virheen jälkeen? | Dokumentoitu palautuspolku on käytettävissä |
Vähennä sitä, mitä istunto voi kuljettaa
Tarkista leikepöydän, aseman, tulostimen ja muiden uudelleenohjausominaisuuksien toimivuus todellista työnkulkua vasten. Järjestelmänvalvoja ei välttämättä tarvitse kaikkia paikallisia resursseja näkyviin etäisäntään. Toisaalta vaaditun siirtopolun poistaminen käytöstä ilman vaihtoehtoa voi kannustaa turvattomiin kiertoteihin. Dokumentoi sallittu menetelmä tiedostojen siirtämiseen ja pidä salaisuudet poissa tavallisista työpöytämuistiinpanoista tai jaetuista lataushakemistoista.
Sopivissa toimialuepohjaisissa ympäristöissä Microsoft tarjoaa Remote Credential Guardin vähentämään tunnistetietojen paljastumista RDP-yhteyksien aikana. Se edellyttää yhteensopivia asiakkaita ja Kerberos-todennusta sekä tukee suoria yhteyksiä kohdekoneeseen; yhteyksiä Remote Desktop Gatewayn tai Connection Brokerin kautta ei tueta. Tarkista vaatimukset todellista käyttöpolkuasi varten sen sijaan, että pitäisit sitä yleisenä suojana erillisille isännöidyille Windows-koneille.
Ylläpidä konetta ja tarvitsemiasi todisteita
Ajoita käyttöjärjestelmän ja sovellusten päivitykset, mukaan lukien harkittu uudelleenkäynnistysprosessi. Tarkista, vaatiiko päivitys uudelleenkäynnistyksen, ja varmista palvelu sen jälkeen. Aseta järkevät istuntokäytännöt valvomattomaan tai katkaistuun työhön, mutta ota huomioon sovellukset, joiden on jatkettava toimintaansa. Aikakatkaisukäytännön tulisi vastata turvallisuus- tai toiminnalliseen tarpeeseen sen sijaan, että kopioitaisiin mielivaltainen luku toisesta ympäristöstä.
Säilytä hyödylliset käyttö- ja tapahtumatiedot dokumentoidun käytännön mukaisesti. Seuraa toistuvia todennusvirheitä ja odottamatonta ylläpitotoimintaa keräämättä tarpeetonta sisältöä. Rajoita, kuka voi lukea diagnostiikkatietueita, ja päätä, kuinka kauan niitä tarvitaan. Tarkka lokituskäytäntö on merkityksellisempi kuin joko kaiken säilyttäminen loputtomiin tai lupaus siitä, ettei toiminnallisia tietueita voi koskaan syntyä.
Turvallinen ensimmäisen istunnon järjestys
Tarkista toimituksen yhteydessä odotettu järjestelmä, vaihda väliaikaiset tunnistetiedot hyväksytyn prosessin kautta ja perusta henkilökohtainen käyttöoikeus. Vahvista palomuuri ja palautumisreitti ja testaa sitten toinen yhteys. Asenna päivitykset, tarkista uudelleenohjaus ja asenna tarvittava sovellus. Luo varmuuskopio ja harjoittele tärkeiden asetusten palauttamista ennen kuin alat käyttää työpöytää päivittäisessä työssä.
DeskLink RDP ja valitut erilliset kokoonpanot tarjoavat Windows-aiheisia valintoja SwissOctet-luettelossa. Vahvista käyttöjärjestelmä, lisensointi, tilin käyttöoikeudet ja hallintavastuut tilauksesi osalta. Tuettu työpöytäyhteys on hallintasuunnitelman alku; määrittämäsi ja vahvistamasi hallintakeinot määräävät, miten kyseistä käyttöoikeutta käytetään.
Käytännön tarkistuslistasi.
- Käytä henkilökohtaisia tilejä ja asianmukaisia käyttöoikeuksia.
- Rajoita aiottua RDP-käyttöpolkua.
- Pidä NLA käytössä yhteensopivissa järjestelmissä.
- Testaa toinen istunto ennen nykyisen käyttöoikeuden sulkemista.
- Tarkista uudelleenohjaus, päivitykset ja istuntokäytäntö.
- Vahvista lisensointi ja palautusmenettely.
Olennaiset yksityiskohdat.
Tekeekö NLA altistetusta RDP-isännästä täysin turvallisen?+
Ei. NLA on yksi todennuksen hallintakeino. Tavoitettavuus, tunnistetiedot, päivitykset ja käyttöoikeudet vaativat edelleen huomiota.
Voinko käyttää Remote Credential Guardia kaikilla Windows-palvelimilla?+
Et. Asiakasohjelman, isännän ja todennusympäristön on täytettävä Microsoftin vaatimukset, mukaan lukien soveltuva Kerberos-järjestely.
Mitä minun pitäisi tehdä ennen palomuurin kiristämistä?+
Vahvista palautumisreitti, säilytä toimiva istunto ja testaa uusi sallittu polku toisen yhteyden kautta.
Mene lähteelle.
Nämä lähteet tukevat tämän oppaan teknisiä käsitteitä. Noudata ajantasaisia dokumentaatioita ennen tuotantojärjestelmän muuttamista.
- Microsoft: Ota käyttöön Etätyöpöytä ja verkkotason todennus learn.microsoft.com
- Microsoft: Remote Desktop Gateway -käyttö learn.microsoft.com
- Microsoft: Remote Credential Guard learn.microsoft.com
Toimituksellinen ohjaus: SwissOctet. Esimerkit ovat havainnollistavia. Palvelumääritykset, saatavilla olevat vaihtoehdot ja sopimusehdot on tarkistettava erikseen.