# Suojaa Windows RDP -hallinta menettämättä pääsyä | SwissOctet Insights https://swissoctet.com/fi/insights/secure-windows-rdp-administration/ SwissOctet / Näkemykset / Toisen päivän toiminnot Toisen päivän toiminnot Sovellettu · 6 min lukuaika Turvallinen Windows RDP -ylläpito menettämättä pääsyä Erota verkon tavoitettavuus, todennus ja käyttöoikeudet ja varmista sitten palautusreitti ennen etäkäytön kiristämistä. Kirjoittaja SwissOctet Editorial Tallenna opas Kopioi linkki TÄLLÄ SIVULLA 01 Käsittele työpöytää hallinnan rajana 02 Rajoita tavoitettavuutta ennen kuin luotat kirjautumissuojaan 03 Pidä todennus ja luottamus nimenomaisina 04 Vähennä sitä, mitä istunto voi kuljettaa 05 Ylläpidä konetta ja tarvitsemiasi todisteita 06 Turvallinen ensimmäisen istunnon järjestys Käytännön tarkistuslistasi Lähteet ja lisälukemisto Takaisin kirjastoon SUORA VASTAUS Rajoita, kuka voi tavoittaa RDP, pidä Network Level Authentication käytössä tuettuna ollessa, käytä yksilöllisiä vahvoja tunnistetietoja ja minimoi hallinnolliset oikeudet. Testaa toinen istunto ja palautuskäyttöoikeus ennen nykyisen yhteyden sulkemista. 01 Käsittele työpöytää hallinnan rajana RDP-istunto tarjoaa interaktiivisen pääsyn etäjärjestelmään, joten siihen käytetystä tilistä voi tulla arvokas kohde. Aloita päättämällä, kuka tarvitsee pääsyä ja mitä työtä heidän on tehtävä. Jaettu järjestelmänvalvojan kirjautuminen on kätevää, kunnes sinun on poistettava yhden henkilön pääsy tai ymmärrettävä kokoonpanomuutos. Yksilölliset tilit tekevät näistä operatiivisista tehtävistä selkeämpiä. Erota rutiinitoiminta etuoikeutetuista muutoksista, kun ohjelmisto sallii sen. Käyttäjä, joka tarvitsee liiketoimintasovellusta, ei välttämättä tarvitse rajoittamatonta järjestelmänhallintaa. Pidä myös järjestelmänvalvojan päätelaite ylläpidettynä: etäkoneen suojaaminen ei suojaa tunnistetietoja, jotka syötetään saastuneelta tai jaetulta paikalliselta laitteelta. Harkitse istunnon molempia päitä käyttöoikeussuunnittelussa. 02 Rajoita tavoitettavuutta ennen kuin luotat kirjautumissuojaan Päätä, mitkä verkot tai valtuutetut laitteet voivat tavoittaa istuntoisännän. Jos arkkitehtuurisi tukee sitä, käytä valvottua VPN- tai Remote Desktop Gateway -yhdyskäytävää sen sijaan, että altistaisit hallinnan laajasti. Microsoft dokumentoi RD Gatewayn reitiksi sisäisiin resursseihin yhteys- ja resurssivaltuutuskäytännöillä. Sen soveltuvuus riippuu ympäristöstä; se ei ole mukana oleva ominaisuus pelkästään siksi, että jokin palvelupaketti tukee RDP-palvelua. Rajoita palomuurisäännöt aiottuun polkuun ja varmista, miten dynaamiset asiakasosoitteet käsitellään. Älä tee rajoittavaa sääntöä, joka katkaisee välittömästi ainoan järjestelmänvalvojan yhteyden ilman palautusvaihtoehtoa. Pidä nykyinen istunto avoinna, testaa uusi polku toisesta istunnosta ja dokumentoi valtuutettu palautusmekanismi ennen vanhemman käyttöpolun poistamista. 03 Pidä todennus ja luottamus nimenomaisina Microsoft suosittelee Network Level Authenticationia useimpiin tuettuihin ympäristöihin. NLA vaatii todennuksen ennen täyden etäistunnon muodostamista, mikä lisää suojausta siinä vaiheessa. Se ei korvaa palomuuria, tiliperiaatetta tai järjestelmäpäivityksiä. Tarkista asiakasohjelman yhteensopivuus ja selvitä todennusongelmat sen sijaan, että heikentäisit kokoonpanoa pysyvästi ensimmäisenä vastauksena. Käytä yksilöllisiä tunnistetietoja ja toista tekijää tuetun käyttöoikeusarkkitehtuurin kautta, kun mahdollista. Varmista odotettu etäidentiteetti ja varmenteen käyttäytyminen, erityisesti uudelleenrakennuksen tai isäntänimen muutoksen jälkeen. Varmennevaroitus ansaitsee tutkimisen; odottamattomien identiteettien toistuva hyväksyminen muuttaa hyödyllisen luottamustarkistuksen huomiotta jätettäväksi valintaikkunaksi. Pidä palautustunnistetiedot hyväksytyssä yksityisessä säilytyspaikassa. Kerros Päätös Varmennus Verkko Mitkä asiakasohjelmat voivat tavoittaa isännän? Odottamattomat lähteet eivät voi yhdistää Todennus Mikä tili ja mitkä tekijät vaaditaan? Sallittu toinen istunto onnistuu Etuoikeus Mitkä tehtävät vaativat järjestelmänhallintaa? Rutiinikäyttäjät eivät voi muuttaa järjestelmäasetuksia Palautuminen Miten pääsy palautetaan virheen jälkeen? Dokumentoitu palautuspolku on käytettävissä 04 Vähennä sitä, mitä istunto voi kuljettaa Tarkista leikepöydän, aseman, tulostimen ja muiden uudelleenohjausominaisuuksien toimivuus todellista työnkulkua vasten. Järjestelmänvalvoja ei välttämättä tarvitse kaikkia paikallisia resursseja näkyviin etäisäntään. Toisaalta vaaditun siirtopolun poistaminen käytöstä ilman vaihtoehtoa voi kannustaa turvattomiin kiertoteihin. Dokumentoi sallittu menetelmä tiedostojen siirtämiseen ja pidä salaisuudet poissa tavallisista työpöytämuistiinpanoista tai jaetuista lataushakemistoista. Sopivissa toimialuepohjaisissa ympäristöissä Microsoft tarjoaa Remote Credential Guardin vähentämään tunnistetietojen paljastumista RDP-yhteyksien aikana. Se edellyttää yhteensopivia asiakkaita ja Kerberos-todennusta sekä tukee suoria yhteyksiä kohdekoneeseen; yhteyksiä Remote Desktop Gatewayn tai Connection Brokerin kautta ei tueta. Tarkista vaatimukset todellista käyttöpolkuasi varten sen sijaan, että pitäisit sitä yleisenä suojana erillisille isännöidyille Windows-koneille. 05 Ylläpidä konetta ja tarvitsemiasi todisteita Ajoita käyttöjärjestelmän ja sovellusten päivitykset, mukaan lukien harkittu uudelleenkäynnistysprosessi. Tarkista, vaatiiko päivitys uudelleenkäynnistyksen, ja varmista palvelu sen jälkeen. Aseta järkevät istuntokäytännöt valvomattomaan tai katkaistuun työhön, mutta ota huomioon sovellukset, joiden on jatkettava toimintaansa. Aikakatkaisukäytännön tulisi vastata turvallisuus- tai toiminnalliseen tarpeeseen sen sijaan, että kopioitaisiin mielivaltainen luku toisesta ympäristöstä. Säilytä hyödylliset käyttö- ja tapahtumatiedot dokumentoidun käytännön mukaisesti. Seuraa toistuvia todennusvirheitä ja odottamatonta ylläpitotoimintaa keräämättä tarpeetonta sisältöä. Rajoita, kuka voi lukea diagnostiikkatietueita, ja päätä, kuinka kauan niitä tarvitaan. Tarkka lokituskäytäntö on merkityksellisempi kuin joko kaiken säilyttäminen loputtomiin tai lupaus siitä, ettei toiminnallisia tietueita voi koskaan syntyä. 06 Turvallinen ensimmäisen istunnon järjestys Tarkista toimituksen yhteydessä odotettu järjestelmä, vaihda väliaikaiset tunnistetiedot hyväksytyn prosessin kautta ja perusta henkilökohtainen käyttöoikeus. Vahvista palomuuri ja palautumisreitti ja testaa sitten toinen yhteys. Asenna päivitykset, tarkista uudelleenohjaus ja asenna tarvittava sovellus. Luo varmuuskopio ja harjoittele tärkeiden asetusten palauttamista ennen kuin alat käyttää työpöytää päivittäisessä työssä. DeskLink RDP ja valitut erilliset kokoonpanot tarjoavat Windows-aiheisia valintoja SwissOctet-luettelossa. Vahvista käyttöjärjestelmä, lisensointi, tilin käyttöoikeudet ja hallintavastuut tilauksesi osalta. Tuettu työpöytäyhteys on hallintasuunnitelman alku; määrittämäsi ja vahvistamasi hallintakeinot määräävät, miten kyseistä käyttöoikeutta käytetään. MUUNNA SE TOIMINNAKSI Käytännön tarkistuslistasi. ✓ Käytä henkilökohtaisia tilejä ja asianmukaisia käyttöoikeuksia. ✓ Rajoita aiottua RDP-käyttöpolkua. ✓ Pidä NLA käytössä yhteensopivissa järjestelmissä. ✓ Testaa toinen istunto ennen nykyisen käyttöoikeuden sulkemista. ✓ Tarkista uudelleenohjaus, päivitykset ja istuntokäytäntö. ✓ Vahvista lisensointi ja palautusmenettely. Lataa tarkistuslista YLEISET KYSYMYKSET Olennaiset yksityiskohdat. Tekeekö NLA altistetusta RDP-isännästä täysin turvallisen? + Ei. NLA on yksi todennuksen hallintakeino. Tavoitettavuus, tunnistetiedot, päivitykset ja käyttöoikeudet vaativat edelleen huomiota. Voinko käyttää Remote Credential Guardia kaikilla Windows-palvelimilla? + Et. Asiakasohjelman, isännän ja todennusympäristön on täytettävä Microsoftin vaatimukset, mukaan lukien soveltuva Kerberos-järjestely. Mitä minun pitäisi tehdä ennen palomuurin kiristämistä? + Vahvista palautumisreitti, säilytä toimiva istunto ja testaa uusi sallittu polku toisen yhteyden kautta. ENSISIJAISET LÄHTEET Mene lähteelle. Nämä lähteet tukevat tämän oppaan teknisiä käsitteitä. Noudata ajantasaisia dokumentaatioita ennen tuotantojärjestelmän muuttamista. Microsoft: Ota käyttöön Etätyöpöytä ja verkkotason todennus learn.microsoft.com Microsoft: Remote Desktop Gateway -käyttö learn.microsoft.com Microsoft: Remote Credential Guard learn.microsoft.com Toimituksellinen ohjaus: SwissOctet. Esimerkit ovat havainnollistavia. Palvelumääritykset, saatavilla olevat vaihtoehdot ja sopimusehdot on tarkistettava erikseen. YHDISTÄ TIETO Aiheeseen liittyvä infrastruktuuri. DeskLink RDP Sveitsi Metal Atlas Sveitsi Metal EPYC Sveitsi PIDÄ LANGANPÄÄ Seuraavat kenttämuistiinpanosi. Tutustu kaikkiin oppaisiin KENTTÄMUISTIINPANO / 01 + Toisen päivän toiminnot Sovellettu Rakenna varmuuskopio, jonka voit todella palauttaa Valitse palautustavoite, suojaa riippumaton kopio ja harjoittele palauttamista ennen kuin häiriö pakottaa asian. 4 min luku Lue opas KENTTÄMUISTIINPANO / 02 + Toisen päivän toiminnot Sovellettu Käytännön uhkamalli isännöidylle projektillesi Kartoita omaisuus ja luottamusrajat, valitse muutama realistinen vikaskenaario ja muunna ne kontrolleiksi, joita voit testata. 6 min lukuaika Lue opas KENTTÄMUISTIINPANO / 03 + Toisen päivän toiminnot Sovellettu Ylläpidettävä Linux VPS -kovennuksen perustaso Turvaa ylläpito, altista vain tarvittavat palvelut ja ota käyttöön päivitykset ja palautus lukitsematta itseäsi ulos. 6 min lukuaika Lue opas