הגבילו מי יכול להגיע ל-RDP, השאירו Network Level Authentication מופעל היכן שנתמך, השתמשו באישורים חזקים אישיים ומזערו הרשאות ניהול. בדקו הפעלה שנייה וגישת שחזור לפני סגירת החיבור הנוכחי.
התייחסו לשולחן העבודה כגבול ניהול
הפעלת RDP מספקת גישה אינטראקטיבית למערכת מרוחקת, כך שהחשבון המשמש לה יכול להפוך למטרה יקרת ערך. התחילו בהחלטה מי זקוק לגישה ואיזו עבודה עליו לבצע. התחברות מנהל משותפת נוחה עד שאתם צריכים להסיר גישה של אדם אחד או להבין שינוי תצורה. חשבונות אישיים מבהירים משימות תפעוליות אלה.
הפרידו פעילות שגרתית משינויים מורשים היכן שהתוכנה מאפשרת זאת. משתמש הזקוק ליישום עסקי אינו בהכרח זקוק לניהול מערכת בלתי מוגבל. תחזקו גם את נקודת הקצה של המנהל: אבטחת המכונה המרוחקת אינה מגנה על אישורים שהוזנו ממכשיר מקומי נגוע או משותף. שקלו את שני קצוות ההפעלה בעיצוב הגישה.
הגבילו נגישות לפני הסתמכות על הגנת התחברות
החליטו אילו רשתות או מכשירים מורשים אמורים להיות מסוגלים להגיע למארח ההפעלה. היכן שהארכיטקטורה שלכם תומכת בכך, השתמשו ב-VPN מבוקר או ב-Remote Desktop Gateway במקום לחשוף ניהול באופן רחב. Microsoft מתעדת RD Gateway כנתיב למשאבים פנימיים עם מדיניות הרשאה לחיבורים ולמשאבים. התאמתו תלויה בסביבה; זה אינו תכונה כלולה רק מפני שתוכנית תומכת ב-RDP.
הגבילו כללי חומת אש לנתיב המיועד, ואשרו כיצד יטפלו בכתובות לקוח דינמיות. אל תצרו כלל מגביל שמנתק מיד את המנהל היחיד בלי אפשרות שחזור. השאירו את ההפעלה הקיימת פתוחה, בדקו את הנתיב החדש מהפעלה אחרת ותעדו את מנגנון השחזור המורשה לפני הסרת נתיב הגישה הישן.
שמרו על אימות ואמון מפורשים
Microsoft ממליצה על Network Level Authentication ברוב הסביבות הנתמכות. NLA דורש אימות לפני יצירת הפעלה מרוחקת מלאה, ומוסיף הגנה בשלב זה. הוא אינו מחליף חומת אש, מדיניות חשבון או עדכוני מערכת. בדקו תאימות לקוח ופתרו בעיות אימות במקום להחליש את התצורה לצמיתות כתגובה ראשונה.
השתמשו באישורים ייחודיים ובגורם שני דרך ארכיטקטורת גישה נתמכת היכן שאפשר. אמתו את זהות המרוחק הצפויה ואת התנהגות האישור, במיוחד לאחר בנייה מחדש או שינוי שם מארח. אזהרת אישור ראויה לבדיקה; קבלה חוזרת של זהויות בלתי צפויות הופכת בדיקת אמון שימושית לדיאלוג שמתעלמים ממנו. שמרו אישורי שחזור במאגר פרטי מאושר.
| שכבה | החלטה | אימות |
|---|---|---|
| רשת | אילו לקוחות רשאים להגיע למארח? | מקורות בלתי צפויים אינם יכולים להתחבר |
| אימות | איזה חשבון וגורמים נדרשים? | הפעלה שנייה מורשית מצליחה |
| הרשאה | אילו משימות דורשות ניהול? | משתמשים שגרתיים אינם יכולים לשנות הגדרות מערכת |
| שחזור | כיצד משוחזרת גישה לאחר טעות? | נתיב השחזור המתועד זמין |
הפחיתו את מה שהפעלה יכולה לשאת
בדקו לוח, כונן, מדפסת ותכונות הפניה אחרות מול זרימת העבודה בפועל. מנהל עשוי שלא להזדקק לכל משאב מקומי חשוף למארח המרוחק. לעומת זאת, השבתת נתיב העברה נדרש בלי חלופה יכולה לעודד עקיפות לא בטוחות. תעדו את השיטה המותרת להעברת קבצים, והרחיקו סודות מהערות שולחן עבודה רגילות או מספריות הורדה משותפות.
עבור סביבות מבוססות דומיין מתאימות, Microsoft מספקת Remote Credential Guard כדי להפחית חשיפת אישורים במהלך חיבורי RDP. הוא דורש לקוחות תואמים ואימות Kerberos ותומך בחיבורים ישירים למכונת היעד; חיבורים דרך Remote Desktop Gateway או Connection Broker אינם נתמכים. בדקו את הדרישות לנתיב הגישה בפועל שלכם במקום להתייחס אליו כהגנה אוניברסלית למכונות Windows מתארחות עצמאיות.
תחזקו את המכונה ואת הראיות שאתם צריכים
תזמנו עדכוני מערכת הפעלה ויישומים, כולל תהליך הפעלה מחדש מכוון. בדקו אם עדכון דורש אתחול ואמתו את השירות לאחר מכן. הגדירו מדיניות הפעלה סבירה לעבודה ללא השגחה או מנותקת, אך שקלו יישומים שחייבים להמשיך לפעול. מדיניות פסק זמן צריכה לענות על צורך אבטחתי או תפעולי ולא פשוט להעתיק מספר שרירותי מסביבה אחרת.
שמרו מידע שימושי על גישה ותקריות לפי מדיניות מתועדת. נטרו כשלי אימות חוזרים ופעילות ניהול בלתי צפויה בלי לאסוף תוכן מיותר. הגבילו מי יכול לקרוא רשומות אבחון והחליטו כמה זמן הן נדרשות. מדיניות תיעוד מדויקת משמעותית יותר משמירת הכול ללא הגבלת זמן או הבטחה שאף רשומה תפעולית לא תוכל להתקיים.
רצף בטוח להפעלה ראשונה
במסירה, אמתו את המערכת הצפויה, שנו אישורים זמניים דרך התהליך המאושר והקימו גישה אישית. אשרו את חומת האש ונתיב השחזור, ואז בדקו חיבור שני. החילו עדכונים, בדקו הפניה והתקינו את היישום הנדרש. צרו גיבוי ותרגלו שחזור של ההגדרות החשובות לפני שאתם תלויים בשולחן העבודה לעבודה יומיומית.
DeskLink RDP ותצורות ייעודיות נבחרות מציעות אפשרויות הקשורות ל-Windows בקטלוג SwissOctet. אשרו את מערכת ההפעלה, הרישוי, הרשאות החשבון ואחריות הניהול להזמנתכם. חיבור שולחן עבודה נתמך הוא תחילתה של תוכנית ניהול; הפקדים שאתם מגדירים ומאמתים קובעים כיצד משתמשים בגישה זו.
רשימת הבדיקה המעשית שלך.
- השתמשו בחשבונות אישיים ובהרשאה מתאימה.
- הגבילו את נתיב הגישה המיועד ל-RDP.
- השאירו NLA מופעל במערכות תואמות.
- בדקו הפעלה שנייה לפני סגירת הגישה הנוכחית.
- בדקו הפניה, עדכונים ומדיניות הפעלה.
- אשרו רישוי ואת הליך השחזור.
הפרטים שחשובים.
האם NLA הופך מארח RDP חשוף לבטוח לחלוטין?+
לא. NLA הוא אמצעי אימות אחד. נגישות, פרטי התחברות, עדכונים והרשאות עדיין דורשים התייחסות.
האם אני יכול להשתמש ב-Remote Credential Guard בכל שרת Windows?+
לא. הלקוח, המארח וסביבת האימות חייבים לעמוד בדרישות של Microsoft, כולל הסדר Kerberos החל.
מה עליי לעשות לפני הידוק חומת האש?+
ודא מסלול שחזור, שמור על החיבור הפעיל ובדוק את הנתיב החדש המותר באמצעות חיבור שני.
לך למקור.
הפניות אלה תומכות במושגים הטכניים במדריך זה. עקוב אחר התיעוד העדכני לפני שינוי מערכת ייצור.
- Microsoft: הפעלת Remote Desktop ו-Network Level Authentication learn.microsoft.com
- Microsoft: גישה דרך Remote Desktop Gateway learn.microsoft.com
- Microsoft: Remote Credential Guard learn.microsoft.com
הדרכה עריכתית מאת SwissOctet. הדוגמאות להמחשה. יש לאמת בנפרד מפרטי שירות, אפשרויות זמינות ותנאים חוזיים.