Ogranicz, kto może dotrzeć do RDP, pozostaw włączone uwierzytelnianie na poziomie sieci, jeśli jest obsługiwane, używaj indywidualnych silnych poświadczeń i minimalizuj uprawnienia administracyjne. Przetestuj drugą sesję i dostęp odzyskiwania przed zamknięciem bieżącego połączenia.
Traktuj pulpit jako granicę administracji
Sesja RDP zapewnia interaktywny dostęp do zdalnego systemu, więc konto użyte do niej może stać się cennym celem. Zacznij od ustalenia, kto potrzebuje dostępu i jakie prace musi wykonywać. Wspólny login administratora jest wygodny, dopóki nie musisz odebrać dostępu jednej osobie lub zrozumieć zmiany konfiguracji. Indywidualne konta czynią te zadania operacyjne jaśniejszymi.
Oddziel rutynową działalność od zmian uprzywilejowanych, gdy oprogramowanie na to pozwala. Użytkownik, który potrzebuje aplikacji biznesowej, niekoniecznie potrzebuje nieograniczonej administracji systemem. Utrzymuj także punkt końcowy administratora: zabezpieczenie zdalnej maszyny nie chroni poświadczeń wprowadzanych z zainfekowanego lub współdzielonego urządzenia lokalnego. Uwzględnij oba końce sesji w projekcie dostępu.
Ogranicz osiągalność, zanim zaczniesz polegać na ochronie logowania
Zdecyduj, które sieci lub upoważnione urządzenia powinny móc dotrzeć do hosta sesji. Tam, gdzie architektura na to pozwala, użyj kontrolowanego VPN lub bramy Pulpitu zdalnego, zamiast szeroko eksponować administrację. Microsoft dokumentuje bramę RD jako drogę do zasobów wewnętrznych z zasadami autoryzacji połączeń i zasobów. Jej przydatność zależy od środowiska; nie jest funkcją włączoną tylko dlatego, że plan obsługuje RDP.
Ogranicz reguły zapory do zamierzonej ścieżki i potwierdź, jak będą obsługiwane dynamiczne adresy klientów. Nie twórz restrykcyjnej reguły, która natychmiast odłączy jedynego administratora bez opcji odzyskiwania. Pozostaw istniejącą sesję otwartą, przetestuj nową ścieżkę z innej sesji i udokumentuj upoważniony mechanizm odzyskiwania przed usunięciem starszej trasy dostępu.
Utrzymuj uwierzytelnianie i zaufanie w sposób jawny
Microsoft zaleca uwierzytelnianie na poziomie sieci dla większości obsługiwanych środowisk. NLA wymaga uwierzytelnienia przed ustanowieniem pełnej sesji zdalnej, dodając ochronę na tym etapie. Nie zastępuje zapory, zasad konta ani aktualizacji systemu. Sprawdź zgodność klienta i rozwiąż problemy z uwierzytelnianiem, zamiast trwale osłabiać konfigurację w pierwszej reakcji.
Używaj unikalnych poświadczeń i drugiego czynnika przez obsługiwaną architekturę dostępu, jeśli to możliwe. Zweryfikuj oczekiwaną zdalną tożsamość i zachowanie certyfikatu, zwłaszcza po przebudowie lub zmianie nazwy hosta. Ostrzeżenie o certyfikacie zasługuje na zbadanie; wielokrotne akceptowanie nieoczekiwanych tożsamości zamienia użyteczną kontrolę zaufania w ignorowane okno dialogowe. Przechowuj poświadczenia odzyskiwania w zatwierdzonym prywatnym magazynie.
| Warstwa | Decyzja | Weryfikacja |
|---|---|---|
| Sieć | Którzy klienci mogą dotrzeć do hosta? | Nieoczekiwane źródła nie mogą się połączyć |
| Uwierzytelnianie | Które konto i czynniki są wymagane? | Dozwolona druga sesja kończy się powodzeniem |
| Uprawnienia | Które zadania wymagają administracji? | Zwykli użytkownicy nie mogą zmieniać ustawień systemowych |
| Odtwarzanie | Jak przywraca się dostęp po błędzie? | Udokumentowana ścieżka odzyskiwania jest dostępna |
Ogranicz to, co może przenosić sesja
Przejrzyj funkcje schowka, dysku, drukarki i innych przekierowań względem rzeczywistego przepływu pracy. Administrator może nie potrzebować każdego lokalnego zasobu udostępnionego zdalnemu hostowi. Odwrotnie, wyłączenie wymaganej ścieżki transferu bez alternatywy może zachęcać do niebezpiecznych obejść. Udokumentuj dozwoloną metodę przenoszenia plików i trzymaj sekrety z dala od zwykłych notatek na pulpicie lub współdzielonych katalogów pobierania.
W odpowiednich środowiskach opartych na domenie Microsoft udostępnia Remote Credential Guard, aby zmniejszyć ekspozycję poświadczeń podczas połączeń RDP. Wymaga zgodnych klientów i uwierzytelniania Kerberos oraz obsługuje bezpośrednie połączenia z maszyną docelową; połączenia przez bramę Pulpitu zdalnego lub brokera połączeń nie są obsługiwane. Sprawdź wymagania dla swojej rzeczywistej ścieżki dostępu, zamiast traktować to jako uniwersalną ochronę samodzielnych hostowanych maszyn Windows.
Utrzymuj maszynę i potrzebne dowody
Zaplanuj aktualizacje systemu operacyjnego i aplikacji, w tym celowy proces restartu. Sprawdź, czy aktualizacja wymaga ponownego uruchomienia, i zweryfikuj usługę afterwards. Ustaw rozsądne zasady sesji dla pracy bez nadzoru lub rozłączonej, ale uwzględnij aplikacje, które muszą działać dalej. Zasada limitu czasu powinna odpowiadać na potrzebę bezpieczeństwa lub operacyjną, a nie po prostu kopiować dowolną liczbę z innego środowiska.
Zachowuj użyteczne informacje o dostępie i incydentach zgodnie z udokumentowanymi zasadami. Monitoruj powtarzające się nieudane uwierzytelnienia i nieoczekiwaną aktywność administracyjną bez gromadzenia niepotrzebnych treści. Ogranicz, kto może czytać zapisy diagnostyczne, i zdecyduj, jak długo są potrzebne. Precyzyjna polityka rejestrowania jest bardziej sensowna niż zarówno przechowywanie wszystkiego bezterminowo, jak i obiecywanie, że żaden zapis operacyjny nigdy nie może istnieć.
Bezpieczna sekwencja pierwszej sesji
Po dostarczeniu zweryfikuj oczekiwany system, zmień tymczasowe poświadczenia przez zatwierdzony proces i ustanów indywidualny dostęp. Potwierdź zaporę i trasę odzyskiwania, a następnie przetestuj drugie połączenie. Zastosuj aktualizacje, przejrzyj przekierowania i zainstaluj wymaganą aplikację. Utwórz kopię zapasową i przećwicz odzyskiwanie ustawień, które mają znaczenie, zanim zaczniesz polegać na pulpicie w codziennej pracy.
DeskLink RDP i wybrane dedykowane konfiguracje oferują opcje związane z Windows w katalogu SwissOctet. Potwierdź system operacyjny, licencjonowanie, uprawnienia konta i obowiązki zarządzania dla swojego zamówienia. Obsługiwane połączenie z pulpitem to początek planu administracji; skonfigurowane i zweryfikowane kontrole decydują o tym, jak ten dostęp jest wykorzystywany.
Twoja praktyczna lista kontrolna.
- Używaj indywidualnych kont i odpowiednich uprawnień.
- Ogranicz zamierzoną ścieżkę dostępu RDP.
- Pozostaw NLA włączone w zgodnych systemach.
- Przetestuj drugą sesję przed zamknięciem bieżącego dostępu.
- Przejrzyj przekierowania, aktualizacje i zasady sesji.
- Potwierdź licencjonowanie i procedurę odzyskiwania.
Szczegóły, które mają znaczenie.
Czy NLA czyni eksponowany host RDP całkowicie bezpiecznym?+
Nie. NLA to jedna kontrola uwierzytelniania. Osiągalność, poświadczenia, aktualizacje i uprawnienia nadal wymagają uwagi.
Czy mogę używać Remote Credential Guard na każdym serwerze Windows?+
Nie. Klient, host i środowisko uwierzytelniania muszą spełniać wymagania Microsoftu, w tym odpowiednie rozwiązanie Kerberos.
Co powinienem zrobić przed zaostrzeniem zapory?+
Zweryfikuj trasę odzyskiwania, zachowaj działającą sesję i przetestuj nową dozwoloną ścieżkę przez drugie połączenie.
Przejdź do źródła.
Te źródła wspierają koncepcje techniczne w tym przewodniku. Przed zmianą systemu produkcyjnego zapoznaj się z aktualną dokumentacją.
- Microsoft: Włączanie Pulpitu zdalnego i uwierzytelniania na poziomie sieci learn.microsoft.com
- Microsoft: Dostęp przez bramę Pulpitu zdalnego learn.microsoft.com
- Microsoft: Remote Credential Guard learn.microsoft.com
Wskazówki redakcyjne SwissOctet. Przykłady są ilustracyjne. Specyfikacje usług, dostępne opcje i warunki umowne należy zweryfikować osobno.