Korlátozza, ki érheti el a RDP-t, ahol támogatott, tartsa bekapcsolva a hálózati szintű hitelesítést, használjon egyéni erős hitelesítő adatokat, és minimalizálja az adminisztratív jogosultságokat. A jelenlegi kapcsolat bezárása előtt teszteljen egy második munkamenetet és a helyreállítási hozzáférést.
Tekintse az asztali környezetet adminisztrációs határvonalnak
Egy RDP munkamenet interaktív hozzáférést biztosít egy távoli rendszerhez, így a hozzá használt fiók értékes célponttá válhat. Kezdje annak eldöntésével, kinek van szüksége hozzáférésre, és milyen munkát kell elvégeznie. A megosztott rendszergazdai bejelentkezés kényelmes mindaddig, amíg el kell távolítania egy személy hozzáférését, vagy meg kell értenie egy konfigurációs változást. Az egyéni fiókok világosabbá teszik ezeket az üzemeltetési feladatokat.
Ahol a szoftver engedi, különítse el a rutintevékenységet a kiemelt jogosultságú változtatásoktól. Egy üzleti alkalmazást használó felhasználónak nem feltétlenül van szüksége korlátlan rendszeradminisztrációra. A rendszergazda végpontját is tartsa karban: a távoli gép biztosítása nem védi meg a fertőzött vagy megosztott helyi eszközről bevitt hitelesítő adatokat. A hozzáférési tervben vegye figyelembe a munkamenet mindkét végét.
A bejelentkezési védelemre támaszkodás előtt korlátozza az elérhetőséget
Döntse el, mely hálózatok vagy engedélyezett eszközök érhetik el a munkamenet-gazdagépet. Ahol az architektúrája támogatja, használjon szabályozott VPN-t vagy Remote Desktop Gateway-t, ahelyett hogy széles körben kitenné az adminisztrációt. A Microsoft az RD Gateway-t a belső erőforrások elérési útvonalaként dokumentálja kapcsolat- és erőforrás-engedélyezési szabályzatokkal. Alkalmassága a környezettől függ; nem tartozék csupán azért, mert egy csomag támogatja a RDP-t.
Korlátozza a tűzfalszabályokat a szándékolt útvonalra, és erősítse meg, hogyan kezelik a dinamikus klienscímeket. Ne hozzon olyan korlátozó szabályt, amely azonnal leválasztja az egyetlen rendszergazdát helyreállítási lehetőség nélkül. Tartsa nyitva a meglévő munkamenetet, tesztelje az új útvonalat egy másik munkamenetből, és dokumentálja az engedélyezett helyreállítási mechanizmust, mielőtt eltávolítja a régebbi hozzáférési útvonalat.
Tartsa kifejezettnek a hitelesítést és a bizalmat
A Microsoft a hálózati szintű hitelesítést ajánlja a legtöbb támogatott környezethez. Az NLA a teljes távoli munkamenet létrehozása előtt hitelesítést követel meg, ezzel védelmet adva ehhez a szakaszhoz. Nem helyettesíti a tűzfalat, a fiókszabályzatot vagy a rendszerfrissítéseket. Ellenőrizze a klienskompatibilitást, és hárítsa el a hitelesítési problémákat, ahelyett hogy első válaszként véglegesen gyengítené a konfigurációt.
Ahol lehetséges, használjon egyedi hitelesítő adatokat és második tényezőt támogatott hozzáférési architektúrán keresztül. Ellenőrizze a várt távoli identitást és a tanúsítvány viselkedését, különösen újratelepítés vagy gazdagépnév-változás után. A tanúsítványfigyelmeztetés kivizsgálást érdemel; a váratlan identitások ismételt elfogadása egy hasznos bizalmi ellenőrzést figyelmen kívül hagyott párbeszédablakká alakít. Tartsa a helyreállítási hitelesítő adatokat jóváhagyott privát tárolóban.
| Réteg | Döntés | Ellenőrzés |
|---|---|---|
| Hálózat | Mely kliensek érhetik el a gazdagépet? | Váratlan források nem tudnak csatlakozni |
| Hitelesítés | Melyik fiók és tényezők szükségesek? | Egy engedélyezett második munkamenet sikeres |
| Jogosultság | Mely feladatok igényelnek adminisztrációt? | A rutinfelhasználók nem módosíthatják a rendszerbeállításokat |
| Helyreállítás | Hogyan állítják helyre a hozzáférést hiba után? | A dokumentált helyreállítási útvonal elérhető |
Csökkentse, mit szállíthat a munkamenet
Vizsgálja felül a vágólap, a meghajtó, a nyomtató és más átirányítási funkciókat a tényleges munkafolyamathoz képest. Lehet, hogy egy rendszergazdának nincs szüksége minden helyi erőforrás távoli gazdagépnek való kitettségére. Fordítva, egy szükséges átviteli útvonal letiltása alternatíva nélkül nem biztonságos megkerülő megoldásokat ösztönözhet. Dokumentálja a fájlmozgatás engedélyezett módját, és tartsa a titkokat távol a szokásos asztali jegyzetektől vagy megosztott letöltési könyvtáraktól.
Megfelelő tartományalapú környezetekhez a Microsoft Remote Credential Guardot kínál a hitelesítő adatok kitettségének csökkentésére RDP kapcsolatok során. Kompatibilis klienseket és Kerberos-hitelesítést igényel, és támogatja a célgéphez való közvetlen kapcsolatokat; a Remote Desktop Gatewayen vagy Connection Brokernen keresztüli kapcsolatok nem támogatottak. Ellenőrizze a tényleges hozzáférési útvonal követelményeit, ahelyett hogy univerzális védelemként kezelné önálló, üzemeltetett Windows gépekhez.
Tartsa karban a gépet és a szükséges bizonyítékokat
Ütemezze az operációs rendszer és az alkalmazások frissítéseit, beleértve a szándékos újraindítási folyamatot. Ellenőrizze, hogy egy frissítés igényel-e újraindítást, és utána ellenőrizze a szolgáltatást. Állítson be ésszerű munkamenet-szabályzatokat a felügyelet nélküli vagy megszakadt munkához, de vegye figyelembe a folyamatosan futó alkalmazásokat. Egy időtúllépési szabályzatnak biztonsági vagy üzemeltetési igényt kell kielégítenie, nem pedig egyszerűen egy tetszőleges számot másolnia egy másik környezetből.
Dokumentált szabályzat szerint őrizze meg a hasznos hozzáférési és incidensinformációkat. Figyelje az ismételt hitelesítési hibákat és a váratlan adminisztrációs tevékenységet anélkül, hogy szükségtelen tartalmat gyűjtene. Korlátozza, ki olvashatja a diagnosztikai rekordokat, és döntse el, meddig van rájuk szükség. Egy pontos naplózási szabályzat értelmesebb, mint akár mindent korlátlanul megőrizni, akár azt ígérni, hogy soha nem létezhet üzemeltetési rekord.
Biztonságos első munkamenet-sorrend
Átadáskor ellenőrizze a várt rendszert, a jóváhagyott folyamaton keresztül változtassa meg az ideiglenes hitelesítő adatokat, és hozzon létre egyéni hozzáférést. Erősítse meg a tűzfalat és a helyreállítási útvonalat, majd teszteljen egy második kapcsolatot. Alkalmazza a frissítéseket, vizsgálja felül az átirányítást, és telepítse a szükséges alkalmazást. Készítsen biztonsági mentést, és gyakorolja a fontos beállítások helyreállítását, mielőtt a napi munkához az asztali környezetre támaszkodna.
A DeskLink RDP és a kiválasztott dedikált konfigurációk Windows-hez kapcsolódó lehetőségeket kínálnak a SwissOctet katalógusban. Erősítse meg a megrendelés operációs rendszerét, licencelését, fiókjogosultságait és kezelési felelősségeit. A támogatott asztali kapcsolat egy adminisztrációs terv kezdete; a beállított és ellenőrzött szabályozások határozzák meg, hogyan használják ezt a hozzáférést.
Az Ön gyakorlati ellenőrzőlistája.
- Használjon egyéni fiókokat és megfelelő jogosultságot.
- Korlátozza a szándékolt RDP hozzáférési útvonalat.
- Tartsa bekapcsolva az NLA-t a kompatibilis rendszereken.
- A jelenlegi hozzáférés bezárása előtt teszteljen egy második munkamenetet.
- Vizsgálja felül az átirányítást, a frissítéseket és a munkamenet-szabályzatot.
- Erősítse meg a licencelést és a helyreállítási eljárást.
A fontos részletek.
Az NLA teljesen biztonságossá tesz egy kitett RDP gazdagépet?+
Nem. Az NLA egyetlen hitelesítési vezérlő. Az elérhetőség, a hitelesítő adatok, a frissítések és a jogosultságok továbbra is figyelmet igényelnek.
Használhatom a Remote Credential Guardot minden Windows kiszolgálón?+
Nem. Az ügyfélnek, a gazdagépnek és a hitelesítési környezetnek meg kell felelnie a Microsoft követelményeinek, beleértve az alkalmazandó Kerberos-elrendezést is.
Mit tegyek a tűzfal szigorítása előtt?+
Ellenőrizzen egy helyreállítási útvonalat, őrizze meg a működő munkamenetet, és tesztelje az új engedélyezett útvonalat egy második kapcsolaton keresztül.
Menjen a forráshoz.
Ezek a hivatkozások támogatják az útmutató műszaki fogalmait. Kövesse az aktuális dokumentációt, mielőtt éles rendszert módosítana.
- Microsoft: Távoli asztal és hálózati szintű hitelesítés engedélyezése learn.microsoft.com
- Microsoft: Remote Desktop Gateway hozzáférés learn.microsoft.com
- Microsoft: Remote Credential Guard learn.microsoft.com
Szerkesztői útmutatás: SwissOctet. A példák tájékoztató jellegűek. A szolgáltatási specifikációkat, az elérhető opciókat és a szerződéses feltételeket külön kell ellenőrizni.