Begrens hvem som kan nå RDP, hold Network Level Authentication aktivert der det støttes, bruk individuelle sterke legitimasjoner og minimer administrative privilegier. Test en andre økt og gjenopprettingstilgang før du lukker den nåværende tilkoblingen.
Behandle skrivebordet som en administrasjonsgrense
En RDP-økt gir interaktiv tilgang til et eksternt system, så kontoen som brukes til den, kan bli et verdifullt mål. Start med å bestemme hvem som trenger tilgang, og hvilket arbeid de må utføre. En delt administratorinnlogging er praktisk helt til du må fjerne én persons tilgang eller forstå en konfigurasjonsendring. Individuelle kontoer gjør disse driftsmessige oppgavene tydeligere.
Skill rutineaktivitet fra privilegerte endringer der programvaren tillater det. En bruker som trenger en forretningsapplikasjon, trenger ikke nødvendigvis ubegrenset systemadministrasjon. Hold administratorens endepunkt vedlikeholdt også: å sikre den eksterne maskinen beskytter ikke legitimasjoner som tastes inn fra en infisert eller delt lokal enhet. Vurder begge ender av økten i tilgangsdesignet.
Begrens nåbarhet før du stoler på innloggingsbeskyttelse
Bestem hvilke nettverk eller autoriserte enheter som skal kunne nå øktsverten. Der arkitekturen din støtter det, bruk en kontrollert VPN eller Remote Desktop Gateway i stedet for å eksponere administrasjon bredt. Microsoft dokumenterer RD Gateway som en rute til interne ressurser med policyer for tilkoblings- og ressursautorisasjon. Egnetheten avhenger av miljøet; det er ikke en inkludert funksjon bare fordi en plan støtter RDP.
Begrens brannmurregler til den tiltenkte veien, og bekreft hvordan dynamiske klientadresser skal håndteres. Ikke lag en restriktiv regel som umiddelbart kobler fra den eneste administratoren uten et gjenopprettingsalternativ. Hold den eksisterende økten åpen, test den nye veien fra en annen økt, og dokumenter den autoriserte gjenopprettingsmekanismen før du fjerner den eldre tilgangsveien.
Hold autentisering og tillit eksplisitt
Microsoft anbefaler Network Level Authentication for de fleste støttede miljøer. NLA krever autentisering før en full ekstern økt etableres, noe som legger til beskyttelse på det stadiet. Det erstatter ikke en brannmur, kontopolitikk eller systemoppdateringer. Sjekk klientkompatibilitet og feilsøk autentiseringsproblemer i stedet for å permanent svekke konfigurasjonen som første respons.
Bruk unike legitimasjoner og en andre faktor gjennom en støttet tilgangsarkitektur der det er mulig. Verifiser forventet ekstern identitet og sertifikatadferd, spesielt etter en gjenoppbygging eller vertsnavnendring. En sertifikatadvarsel fortjener undersøkelse; gjentatt aksept av uventede identiteter gjør en nyttig tillitssjekk til en ignorert dialog. Hold gjenopprettingslegitimasjoner i et godkjent privat lager.
| Lag | Beslutning | Verifisering |
|---|---|---|
| Nettverk | Hvilke klienter kan nå verten? | Uventede kilder kan ikke koble til |
| Autentisering | Hvilken konto og hvilke faktorer kreves? | En tillatt andre økt lykkes |
| Privilegium | Hvilke oppgaver krever administrasjon? | Rutinebrukere kan ikke endre systeminnstillinger |
| Gjenoppretting | Hvordan gjenopprettes tilgang etter en feil? | Den dokumenterte gjenopprettingsveien er tilgjengelig |
Reduser hva økten kan bære
Gå gjennom utklippstavle, stasjon, skriver og andre omdirigeringsfunksjoner mot den faktiske arbeidsflyten. En administrator trenger kanskje ikke alle lokale ressurser eksponert for den eksterne verten. Omvendt kan deaktivering av en nødvendig overføringsvei uten et alternativ oppmuntre til utrygge omveier. Dokumenter den tillatte metoden for å flytte filer, og hold hemmeligheter unna vanlige skrivebordsnotater eller delte nedlastingskataloger.
For egnede domenebaserte miljøer tilbyr Microsoft Remote Credential Guard for å redusere legitimasjonseksponering under RDP-tilkoblinger. Det krever kompatible klienter og Kerberos-autentisering og støtter direkte tilkoblinger til mål maskinen; tilkoblinger gjennom Remote Desktop Gateway eller Connection Broker støttes ikke. Sjekk kravene for din faktiske tilgangsvei i stedet for å behandle det som en universell beskyttelse for frittstående vertede Windows-maskiner.
Vedlikehold maskinen og bevisene du trenger
Planlegg oppdateringer av operativsystem og applikasjoner, inkludert en bevisst omstartprosess. Sjekk om en oppdatering krever omstart, og verifiser tjenesten etterpå. Sett fornuftige øktpolicyer for uovervåket eller frakoblet arbeid, men vurder applikasjoner som må fortsette å kjøre. En tidsavbruddspolicy bør svare på et sikkerhets- eller driftsbehov i stedet for bare å kopiere et vilkårlig tall fra et annet miljø.
Behold nyttig tilgangs- og hendelsesinformasjon under en dokumentert policy. Overvåk gjentatte autentiseringsfeil og uventet administrasjonsaktivitet uten å samle inn unødvendig innhold. Begrens hvem som kan lese diagnostiske poster, og bestem hvor lenge de trengs. En presis loggpolicy er mer meningsfull enn både å beholde alt på ubestemt tid eller å love at ingen driftsregistrering noen gang kan eksistere.
En trygg sekvens for første økt
Ved levering, verifiser forventet system, endre midlertidige legitimasjoner gjennom den godkjente prosessen og etabler individuell tilgang. Bekreft brannmuren og gjenopprettingsveien, og test deretter en andre tilkobling. Bruk oppdateringer, gå gjennom omdirigering og installer den nødvendige applikasjonen. Lag en sikkerhetskopi og øv på å gjenopprette innstillingene som betyr noe, før du er avhengig av skrivebordet for daglig arbeid.
DeskLink RDP og utvalgte dedikerte konfigurasjoner tilbyr Windows-relaterte valg i SwissOctet-katalogen. Bekreft operativsystem, lisensiering, kontoprivilegier og administrasjonsansvar for bestillingen din. En støttet skrivebordstilkobling er begynnelsen på en administrasjonsplan; kontrollene du konfigurerer og verifiserer, bestemmer hvordan denne tilgangen brukes.
Din praktiske sjekkliste.
- Bruk individuelle kontoer og passende privilegier.
- Begrens den tiltenkte RDP-tilgangsveien.
- Hold NLA aktivert på kompatible systemer.
- Test en andre økt før du lukker gjeldende tilgang.
- Gå gjennom omdirigering, oppdateringer og øktpolicy.
- Bekreft lisensiering og gjenopprettingsprosedyren.
Detaljene som betyr noe.
Gjør NLA en eksponert RDP-vert helt trygg?+
Nei. NLA er én autentiseringskontroll. Tilgjengelighet, legitimasjon, oppdateringer og privilegier krever fortsatt oppmerksomhet.
Kan jeg bruke Remote Credential Guard på alle Windows-servere?+
Nei. Klienten, verten og autentiseringsmiljøet må oppfylle Microsofts krav, inkludert gjeldende Kerberos-oppsett.
Hva bør jeg gjøre før jeg strammer inn brannmuren?+
Verifiser en gjenopprettingsrute, bevar den fungerende økten og test den nye tillatte ruten gjennom en ny tilkobling.
Gå til kilden.
Disse referansene støtter de tekniske konseptene i denne veiledningen. Følg gjeldende dokumentasjon før du endrer et produksjonssystem.
- Microsoft: Aktiver Eksternt skrivebord og Network Level Authentication learn.microsoft.com
- Microsoft: Tilgang til Remote Desktop Gateway learn.microsoft.com
- Microsoft: Remote Credential Guard learn.microsoft.com
Redaksjonell veiledning av SwissOctet. Eksempler er illustrerende. Tjenestespesifikasjoner, tilgjengelige alternativer og kontraktsvilkår må verifiseres separat.