RDP에 도달할 수 있는 사람을 제한하고, 지원되는 경우 네트워크 수준 인증을 활성화하며, 개별 강력한 자격 증명을 사용하고 관리 권한을 최소화하십시오. 현재 연결을 닫기 전에 두 번째 세션과 복구 액세스를 테스트하십시오.
데스크톱을 관리 경계로 취급합니다.
RDP 세션은 원격 시스템에 대한 대화형 액세스를 제공하므로, 사용된 계정이 중요한 표적이 될 수 있습니다. 누가 액세스해야 하고 어떤 작업을 수행해야 하는지 결정하는 것부터 시작하십시오. 공유 관리자 로그인은 한 사람의 액세스를 제거하거나 구성 변경을 이해해야 할 때까지 편리합니다. 개별 계정은 이러한 운영 작업을 더 명확하게 만듭니다.
소프트웨어가 허용하는 경우 일상 활동과 권한 있는 변경을 분리하십시오. 비즈니스 애플리케이션이 필요한 사용자가 반드시 무제한 시스템 관리를 필요로 하는 것은 아닙니다. 관리자의 엔드포인트도 유지 관리하십시오. 원격 머신을 보호한다고 해서 감염되거나 공유된 로컬 장치에서 입력된 자격 증명이 보호되는 것은 아닙니다. 액세스 설계에서 세션의 양쪽 끝을 모두 고려하십시오.
로그인 보호에 의존하기 전에 도달 가능성을 제한합니다.
어떤 네트워크나 승인된 장치가 세션 호스트에 도달할 수 있어야 하는지 결정하십시오. 아키텍처가 지원하는 경우, 관리를 광범위하게 노출하는 대신 통제된 VPN 또는 원격 데스크톱 게이트웨이를 사용하십시오. Microsoft는 RD 게이트웨이를 연결 및 리소스 권한 부여 정책을 통해 내부 리소스에 접근하는 경로로 문서화합니다. 적합성은 환경에 따라 다릅니다. 단지 요금제가 RDP을 지원한다고 해서 포함된 기능은 아닙니다.
방화벽 규칙을 의도한 경로로 제한하고, 동적 클라이언트 주소가 어떻게 처리될지 확인하십시오. 복구 옵션 없이 유일한 관리자를 즉시 연결 해제하는 제한적 규칙을 만들지 마십시오. 기존 세션을 열어 두고, 다른 세션에서 새 경로를 테스트하며, 이전 액세스 경로를 제거하기 전에 승인된 복구 메커니즘을 문서화하십시오.
인증과 신뢰를 명시적으로 유지합니다.
Microsoft는 대부분의 지원되는 환경에서 네트워크 수준 인증을 권장합니다. NLA는 전체 원격 세션을 설정하기 전에 인증을 요구하여 해당 단계에서 보호를 추가합니다. 방화벽, 계정 정책 또는 시스템 업데이트를 대체하지 않습니다. 첫 대응으로 구성을 영구적으로 약화시키기보다 클라이언트 호환성을 확인하고 인증 문제를 해결하십시오.
가능한 경우 지원되는 액세스 아키텍처를 통해 고유 자격 증명과 두 번째 요소를 사용하십시오. 특히 재구축이나 호스트 이름 변경 후 예상되는 원격 ID와 인증서 동작을 확인하십시오. 인증서 경고는 조사할 가치가 있습니다. 예상치 못한 ID를 반복적으로 수용하면 유용한 신뢰 확인이 무시되는 대화 상자가 됩니다. 복구 자격 증명은 승인된 개인 저장소에 보관하십시오.
| 계층 | 결정 | 검증 |
|---|---|---|
| 네트워크 | 어떤 클라이언트가 호스트에 도달할 수 있나요? | 예상치 못한 소스는 연결할 수 없음 |
| 인증 | 어떤 계정과 요소가 필요한가요? | 허용된 두 번째 세션이 성공함 |
| 권한 | 어떤 작업에 관리가 필요한가요? | 일반 사용자는 시스템 설정을 변경할 수 없음 |
| 복구 | 실수 후 액세스는 어떻게 복원되나요? | 문서화된 복구 경로를 사용할 수 있음 |
세션이 전달할 수 있는 것을 줄입니다.
클립보드, 드라이브, 프린터 및 기타 리디렉션 기능을 실제 워크플로와 비교하여 검토하십시오. 관리자가 모든 로컬 리소스를 원격 호스트에 노출할 필요는 없습니다. 반대로, 대안 없이 필요한 전송 경로를 비활성화하면 안전하지 않은 우회 방법을 조장할 수 있습니다. 파일 이동에 허용된 방법을 문서화하고, 일반 데스크톱 메모나 공유 다운로드 디렉터리에 비밀을 두지 마십시오.
적합한 도메인 기반 환경의 경우, Microsoft는 RDP 연결 중 자격 증명 노출을 줄이기 위해 Remote Credential Guard를 제공합니다. 호환되는 클라이언트와 Kerberos 인증이 필요하며 대상 머신에 대한 직접 연결을 지원합니다. 원격 데스크톱 게이트웨이 또는 연결 브로커를 통한 연결은 지원되지 않습니다. 독립형 호스팅 Windows 머신에 대한 보편적 보호로 취급하지 말고 실제 액세스 경로의 요구 사항을 확인하십시오.
필요한 머신과 증거를 유지합니다.
의도적인 재시작 프로세스를 포함하여 운영 체제 및 애플리케이션 업데이트를 예약하십시오. 업데이트에 재부팅이 필요한지 확인하고 이후 서비스를 검증하십시오. 무인 또는 연결 해제된 작업에 대해 합리적인 세션 정책을 설정하되, 계속 실행되어야 하는 애플리케이션을 고려하십시오. 시간 초과 정책은 다른 환경에서 임의의 숫자를 그대로 복사하기보다 보안 또는 운영상의 필요에 답해야 합니다.
문서화된 정책에 따라 유용한 액세스 및 사고 정보를 보존하십시오. 불필요한 콘텐츠를 수집하지 않으면서 반복적인 인증 실패와 예상치 못한 관리 활동을 모니터링하십시오. 진단 기록을 읽을 수 있는 사람을 제한하고 필요한 기간을 결정하십시오. 정확한 로깅 정책은 모든 것을 무기한 보관하거나 운영 기록이 결코 존재할 수 없다고 약속하는 것보다 더 의미가 있습니다.
안전한 첫 세션 순서
배송 시 예상 시스템을 확인하고, 승인된 프로세스를 통해 임시 자격 증명을 변경하며, 개별 액세스를 설정하십시오. 방화벽과 복구 경로를 확인한 다음 두 번째 연결을 테스트하십시오. 업데이트를 적용하고, 리디렉션을 검토하며, 필요한 애플리케이션을 설치하십시오. 일상 업무를 데스크톱에 의존하기 전에 백업을 생성하고 중요한 설정을 복구하는 연습을 하십시오.
DeskLink RDP 및 선택된 전용 구성은 SwissOctet 카탈로그에서 Windows 관련 선택 사항을 제공합니다. 주문에 대한 운영 체제, 라이선스, 계정 권한 및 관리 책임을 확인하십시오. 지원되는 데스크톱 연결은 관리 계획의 시작일 뿐입니다. 구성하고 검증하는 제어가 해당 액세스의 사용 방식을 결정합니다.
실용 체크리스트.
- 개별 계정과 적절한 권한을 사용하십시오.
- 의도한 RDP 액세스 경로를 제한하십시오.
- 호환되는 시스템에서 NLA를 활성화 상태로 유지하십시오.
- 현재 액세스를 닫기 전에 두 번째 세션을 테스트하십시오.
- 리디렉션, 업데이트 및 세션 정책을 검토하십시오.
- 라이선스 및 복구 절차를 확인하십시오.
중요한 세부 사항.
NLA가 노출된 RDP 호스트를 완전히 안전하게 만드나요?+
아니요. NLA는 하나의 인증 제어입니다. 도달 가능성, 자격 증명, 업데이트 및 권한은 여전히 주의가 필요합니다.
모든 Windows 서버에서 Remote Credential Guard를 사용할 수 있나요?+
아니요. 클라이언트, 호스트 및 인증 환경이 해당 Kerberos 구성 등 Microsoft의 요구 사항을 충족해야 합니다.
방화벽을 강화하기 전에 무엇을 해야 하나요?+
복구 경로를 확인하고, 작동하는 세션을 보존하며, 두 번째 연결을 통해 새로 허용된 경로를 테스트하십시오.
출처로 이동하세요.
이 참고 자료는 이 가이드의 기술 개념을 뒷받침합니다. 프로덕션 시스템을 변경하기 전에 최신 문서를 확인하세요.
- Microsoft: 원격 데스크톱 및 네트워크 수준 인증 활성화 learn.microsoft.com
- Microsoft: 원격 데스크톱 게이트웨이 액세스 learn.microsoft.com
- Microsoft: Remote Credential Guard learn.microsoft.com
SwissOctet의 편집 지침. 예시는 설명용입니다. 서비스 사양, 사용 가능한 옵션 및 계약 조건은 별도로 확인해야 합니다.