Batasi siapa yang dapat menjangkau RDP, aktifkan Network Level Authentication jika didukung, gunakan kredensial kuat individual, dan minimalkan hak istimewa administratif. Uji sesi kedua dan akses pemulihan sebelum menutup koneksi saat ini.
Perlakukan desktop sebagai batas administrasi
Sesi RDP menyediakan akses interaktif ke sistem jarak jauh, sehingga akun yang digunakan untuknya dapat menjadi target yang berharga. Mulailah dengan menentukan siapa yang memerlukan akses dan pekerjaan apa yang harus mereka lakukan. Login administrator bersama itu nyaman sampai Anda perlu mencabut akses satu orang atau memahami perubahan konfigurasi. Akun individual membuat tugas operasional tersebut lebih jelas.
Pisahkan aktivitas rutin dari perubahan istimewa jika perangkat lunak mengizinkannya. Pengguna yang memerlukan aplikasi bisnis tidak selalu memerlukan administrasi sistem tanpa batas. Pelihara juga endpoint administrator: mengamankan mesin jarak jauh tidak melindungi kredensial yang dimasukkan dari perangkat lokal yang terinfeksi atau digunakan bersama. Pertimbangkan kedua ujung sesi dalam desain akses.
Batasi keterjangkauan sebelum mengandalkan perlindungan login
Tentukan jaringan atau perangkat yang diotorisasi mana yang harus dapat menjangkau host sesi. Jika arsitektur Anda mendukungnya, gunakan VPN yang terkendali atau Remote Desktop Gateway alih-alih mengekspos administrasi secara luas. Microsoft mendokumentasikan RD Gateway sebagai rute ke sumber daya internal dengan kebijakan otorisasi koneksi dan sumber daya. Kesesuaiannya bergantung pada lingkungan; ini bukan fitur yang disertakan hanya karena suatu paket mendukung RDP.
Batasi aturan firewall ke jalur yang dimaksudkan, dan konfirmasikan bagaimana alamat klien dinamis akan ditangani. Jangan membuat aturan ketat yang langsung memutuskan satu-satunya administrator tanpa opsi pemulihan. Biarkan sesi yang ada tetap terbuka, uji jalur baru dari sesi lain, dan dokumentasikan mekanisme pemulihan yang diotorisasi sebelum menghapus rute akses lama.
Jaga autentikasi dan kepercayaan tetap eksplisit
Microsoft merekomendasikan Network Level Authentication untuk sebagian besar lingkungan yang didukung. NLA memerlukan autentikasi sebelum membangun sesi jarak jauh penuh, menambahkan perlindungan pada tahap itu. Ini tidak menggantikan firewall, kebijakan akun, atau pembaruan sistem. Periksa kompatibilitas klien dan atasi masalah autentikasi alih-alih secara permanen melemahkan konfigurasi sebagai respons pertama.
Gunakan kredensial unik dan faktor kedua melalui arsitektur akses yang didukung jika memungkinkan. Verifikasi identitas jarak jauh yang diharapkan dan perilaku sertifikat, terutama setelah pembangunan ulang atau perubahan nama host. Peringatan sertifikat layak diselidiki; menerima identitas tak terduga berulang kali mengubah pemeriksaan kepercayaan yang berguna menjadi dialog yang diabaikan. Simpan kredensial pemulihan di penyimpanan privat yang disetujui.
| Lapisan | Keputusan | Verifikasi |
|---|---|---|
| Jaringan | Klien mana yang boleh menjangkau host? | Sumber tak terduga tidak dapat terhubung |
| Autentikasi | Akun dan faktor mana yang diperlukan? | Sesi kedua yang diizinkan berhasil |
| Hak istimewa | Tugas mana yang memerlukan administrasi? | Pengguna rutin tidak dapat mengubah pengaturan sistem |
| Pemulihan | Bagaimana akses dipulihkan setelah kesalahan? | Jalur pemulihan yang didokumentasikan tersedia |
Kurangi apa yang dapat dibawa sesi
Tinjau fitur clipboard, drive, printer, dan pengalihan lainnya terhadap alur kerja yang sebenarnya. Administrator mungkin tidak perlu mengekspos setiap sumber daya lokal ke host jarak jauh. Sebaliknya, menonaktifkan jalur transfer yang diperlukan tanpa alternatif dapat mendorong solusi tidak aman. Dokumentasikan metode yang diizinkan untuk memindahkan file, dan jauhkan rahasia dari catatan desktop biasa atau direktori unduhan bersama.
Untuk lingkungan berbasis domain yang sesuai, Microsoft menyediakan Remote Credential Guard untuk mengurangi paparan kredensial selama koneksi RDP. Fitur ini memerlukan klien yang kompatibel dan autentikasi Kerberos serta mendukung koneksi langsung ke mesin target; koneksi melalui Remote Desktop Gateway atau Connection Broker tidak didukung. Periksa persyaratan untuk jalur akses Anda yang sebenarnya daripada menganggapnya sebagai perlindungan universal untuk mesin Windows mandiri yang dihosting.
Pelihara mesin dan bukti yang Anda butuhkan
Jadwalkan pembaruan sistem operasi dan aplikasi, termasuk proses restart yang disengaja. Periksa apakah pembaruan memerlukan reboot dan verifikasi layanan setelahnya. Tetapkan kebijakan sesi yang wajar untuk pekerjaan tanpa pengawasan atau terputus, tetapi pertimbangkan aplikasi yang harus terus berjalan. Kebijakan timeout harus menjawab kebutuhan keamanan atau operasional daripada sekadar menyalin angka arbitrer dari lingkungan lain.
Simpan informasi akses dan insiden yang berguna berdasarkan kebijakan yang terdokumentasi. Pantau kegagalan autentikasi berulang dan aktivitas administrasi tak terduga tanpa mengumpulkan konten yang tidak perlu. Batasi siapa yang dapat membaca catatan diagnostik dan tentukan berapa lama catatan tersebut diperlukan. Kebijakan pencatatan yang tepat lebih bermakna daripada menyimpan semuanya tanpa batas atau menjanjikan bahwa tidak akan pernah ada catatan operasional.
Urutan sesi pertama yang aman
Saat pengiriman, verifikasi sistem yang diharapkan, ubah kredensial sementara melalui proses yang disetujui dan tetapkan akses individual. Konfirmasi firewall dan jalur pemulihan, lalu uji koneksi kedua. Terapkan pembaruan, tinjau pengalihan dan pasang aplikasi yang diperlukan. Buat cadangan dan latih pemulihan pengaturan yang penting sebelum bergantung pada desktop untuk pekerjaan sehari-hari.
DeskLink RDP dan konfigurasi khusus terpilih menawarkan pilihan terkait Windows dalam katalog SwissOctet. Konfirmasi sistem operasi, lisensi, hak istimewa akun dan tanggung jawab pengelolaan untuk pesanan Anda. Koneksi desktop yang didukung hanyalah awal dari rencana administrasi; kontrol yang Anda konfigurasikan dan verifikasi menentukan bagaimana akses tersebut digunakan.
Daftar periksa praktis Anda.
- Gunakan akun individual dan hak istimewa yang sesuai.
- Batasi jalur akses RDP yang dimaksudkan.
- Pertahankan NLA aktif pada sistem yang kompatibel.
- Uji sesi kedua sebelum menutup akses saat ini.
- Tinjau pengalihan, pembaruan dan kebijakan sesi.
- Konfirmasi lisensi dan prosedur pemulihan.
Detail yang penting.
Apakah NLA membuat host RDP yang terekspos sepenuhnya aman?+
Tidak. NLA adalah salah satu kontrol autentikasi. Keterjangkauan, kredensial, pembaruan dan hak istimewa tetap perlu diperhatikan.
Dapatkah saya menggunakan Remote Credential Guard di setiap server Windows?+
Tidak. Klien, host dan lingkungan autentikasi harus memenuhi persyaratan Microsoft, termasuk pengaturan Kerberos yang berlaku.
Apa yang harus saya lakukan sebelum memperketat firewall?+
Verifikasi jalur pemulihan, pertahankan sesi yang berfungsi dan uji jalur yang baru diizinkan melalui koneksi kedua.
Kunjungi sumbernya.
Referensi ini mendukung konsep teknis dalam panduan ini. Ikuti dokumentasi terkini sebelum mengubah sistem produksi.
- Microsoft: Mengaktifkan Remote Desktop dan Network Level Authentication learn.microsoft.com
- Microsoft: Akses Remote Desktop Gateway learn.microsoft.com
- Microsoft: Remote Credential Guard learn.microsoft.com
Panduan editorial oleh SwissOctet. Contoh bersifat ilustratif. Spesifikasi layanan, opsi yang tersedia, dan ketentuan kontraktual harus diverifikasi secara terpisah.