RDP erişimini kimlerin sağlayabileceğini kısıtlayın, desteklendiği yerlerde Ağ Düzeyi Kimlik Doğrulaması'nı etkin tutun, bireysel güçlü kimlik bilgileri kullanın ve yönetici ayrıcalığını en aza indirin. Mevcut bağlantıyı kapatmadan önce ikinci bir oturumu ve kurtarma erişimini test edin.
Masaüstünü bir yönetim sınırı olarak ele alın
Bir RDP oturumu, uzak bir sisteme etkileşimli erişim sağlar, bu nedenle bunun için kullanılan hesap değerli bir hedef haline gelebilir. Kimlerin erişime ihtiyacı olduğuna ve hangi işi yapmaları gerektiğine karar vererek başlayın. Paylaşılan bir yönetici oturum açma bilgisi, bir kişinin erişimini kaldırmanız veya bir yapılandırma değişikliğini anlamanız gerekene kadar kullanışlıdır. Bireysel hesaplar bu operasyonel görevleri daha net hale getirir.
Yazılımın izin verdiği yerlerde rutin etkinliği ayrıcalıklı değişikliklerden ayırın. Bir iş uygulamasına ihtiyaç duyan bir kullanıcının sınırsız sistem yönetimine ihtiyacı olması gerekmez. Yöneticinin uç noktasını da bakımlı tutun: uzak makineyi güvence altına almak, enfekte veya paylaşılan bir yerel cihazdan girilen kimlik bilgilerini korumaz. Erişim tasarımında oturumun her iki ucunu da göz önünde bulundurun.
Oturum açma korumasına güvenmeden önce erişilebilirliği sınırlayın
Hangi ağların veya yetkili cihazların oturum ana bilgisayarına erişebilmesi gerektiğine karar verin. Mimarinizin desteklediği yerlerde, yönetimi geniş ölçüde açığa çıkarmak yerine kontrollü bir VPN veya Uzak Masaüstü Ağ Geçidi kullanın. Microsoft, RD Ağ Geçidi'ni bağlantı ve kaynak yetkilendirme ilkeleriyle iç kaynaklara bir yol olarak belgeler. Uygunluğu ortama bağlıdır; bir planın RDP desteklemesi onu otomatik olarak dahil bir özellik yapmaz.
Güvenlik duvarı kurallarını amaçlanan yolla sınırlayın ve dinamik istemci adreslerinin nasıl ele alınacağını doğrulayın. Tek yöneticiyi bir kurtarma seçeneği olmadan hemen bağlantıdan düşüren kısıtlayıcı bir kural yapmayın. Mevcut oturumu açık tutun, yeni yolu başka bir oturumdan test edin ve eski erişim yolunu kaldırmadan önce yetkili kurtarma mekanizmasını belgeleyin.
Kimlik doğrulama ve güveni açık tutun
Microsoft, desteklenen ortamların çoğu için Ağ Düzeyi Kimlik Doğrulaması'nı önerir. NLA, tam bir uzak oturum kurulmadan önce kimlik doğrulama gerektirir ve bu aşamada koruma ekler. Bir güvenlik duvarının, hesap ilkesinin veya sistem güncellemelerinin yerini almaz. İstemci uyumluluğunu kontrol edin ve ilk yanıt olarak yapılandırmayı kalıcı olarak zayıflatmak yerine kimlik doğrulama sorunlarını giderin.
Mümkün olduğunda benzersiz kimlik bilgileri ve desteklenen bir erişim mimarisi aracılığıyla ikinci bir faktör kullanın. Özellikle bir yeniden oluşturma veya ana bilgisayar adı değişikliğinden sonra beklenen uzak kimliği ve sertifika davranışını doğrulayın. Bir sertifika uyarısı araştırmayı hak eder; beklenmeyen kimlikleri tekrar tekrar kabul etmek, faydalı bir güven kontrolünü yok sayılan bir iletişim kutusuna dönüştürür. Kurtarma kimlik bilgilerini onaylı bir özel depoda tutun.
| Katman | Karar | Doğrulama |
|---|---|---|
| Ağ | Ana bilgisayara hangi istemciler erişebilir? | Beklenmeyen kaynaklar bağlanamaz |
| Kimlik doğrulama | Hangi hesap ve faktörler gereklidir? | İzin verilen ikinci bir oturum başarılı olur |
| Ayrıcalık | Hangi görevler yönetim gerektirir? | Rutin kullanıcılar sistem ayarlarını değiştiremez |
| Kurtarma | Bir hatadan sonra erişim nasıl geri yüklenir? | Belgelenen kurtarma yolu mevcuttur |
Oturumun taşıyabileceğini azaltın
Pano, sürücü, yazıcı ve diğer yönlendirme özelliklerini gerçek iş akışına göre gözden geçirin. Bir yönetici, her yerel kaynağın uzak ana makineye açılmasına ihtiyaç duymayabilir. Tersine, gerekli bir aktarım yolunu alternatif olmadan devre dışı bırakmak güvenli olmayan geçici çözümleri teşvik edebilir. Dosya taşımak için izin verilen yöntemi belgeleyin ve gizli bilgileri sıradan masaüstü notlarından veya paylaşılan indirme dizinlerinden uzak tutun.
Uygun etki alanı tabanlı ortamlar için Microsoft, RDP bağlantıları sırasında kimlik bilgisi maruziyetini azaltmak üzere Remote Credential Guard sağlar. Uyumlu istemciler ve Kerberos kimlik doğrulaması gerektirir ve hedef makineye doğrudan bağlantıları destekler; Remote Desktop Gateway veya Connection Broker üzerinden bağlantılar desteklenmez. Bunu bağımsız barındırılan Windows makineleri için evrensel bir koruma olarak ele almak yerine gerçek erişim yolunuzun gereksinimlerini kontrol edin.
Makineyi ve ihtiyacınız olan kanıtı koruyun
İşletim sistemi ve uygulama güncellemelerini, kasıtlı bir yeniden başlatma süreci dahil olacak şekilde planlayın. Bir güncellemenin yeniden başlatma gerektirip gerektirmediğini kontrol edin ve sonrasında hizmeti doğrulayın. Katılımsız veya bağlantısı kesilmiş işler için makul oturum ilkeleri belirleyin, ancak çalışmaya devam etmesi gereken uygulamaları göz önünde bulundurun. Bir zaman aşımı ilkesi, başka bir ortamdan rastgele bir sayıyı kopyalamak yerine bir güvenlik veya operasyonel ihtiyaca yanıt vermelidir.
Yararlı erişim ve olay bilgilerini belgelenmiş bir ilke kapsamında saklayın. Gereksiz içerik toplamadan tekrarlanan kimlik doğrulama hatalarını ve beklenmeyen yönetim etkinliğini izleyin. Tanılama kayıtlarını kimlerin okuyabileceğini kısıtlayın ve ne kadar süreyle gerekli olduklarına karar verin. Kesin bir günlükleme ilkesi, her şeyi süresiz saklamaktan veya hiçbir operasyonel kaydın asla var olamayacağını vaat etmekten daha anlamlıdır.
Güvenli bir ilk oturum sırası
Teslimat sırasında beklenen sistemi doğrulayın, geçici kimlik bilgilerini onaylanmış süreç aracılığıyla değiştirin ve bireysel erişim oluşturun. Güvenlik duvarını ve kurtarma yolunu doğrulayın, ardından ikinci bir bağlantıyı test edin. Güncellemeleri uygulayın, yönlendirmeyi gözden geçirin ve gerekli uygulamayı yükleyin. Masaüstüne günlük işler için bağımlı olmadan önce bir yedek oluşturun ve önemli ayarları kurtarma alıştırması yapın.
DeskLink RDP ve seçili özel yapılandırmalar, SwissOctet kataloğunda Windows ile ilgili seçenekler sunar. Siparişiniz için işletim sistemini, lisanslamayı, hesap ayrıcalıklarını ve yönetim sorumluluklarını doğrulayın. Desteklenen bir masaüstü bağlantısı, bir yönetim planının başlangıcıdır; yapılandırdığınız ve doğruladığınız kontroller bu erişimin nasıl kullanılacağını belirler.
Pratik kontrol listeniz.
- Bireysel hesaplar ve uygun ayrıcalık kullanın.
- Amaçlanan RDP erişim yolunu kısıtlayın.
- Uyumlu sistemlerde NLA'yı etkin tutun.
- Mevcut erişimi kapatmadan önce ikinci bir oturumu test edin.
- Yönlendirmeyi, güncellemeleri ve oturum ilkesini gözden geçirin.
- Lisanslamayı ve kurtarma prosedürünü doğrulayın.
Önemli olan ayrıntılar.
NLA, açığa çıkmış bir RDP ana makinesini tamamen güvenli hale getirir mi?+
Hayır. NLA tek bir kimlik doğrulama kontrolüdür. Erişilebilirlik, kimlik bilgileri, güncellemeler ve ayrıcalık hâlâ dikkat gerektirir.
Remote Credential Guard'ı her Windows sunucusunda kullanabilir miyim?+
Hayır. İstemci, ana makine ve kimlik doğrulama ortamı, geçerli Kerberos düzenlemesi dahil olmak üzere Microsoft'un gereksinimlerini karşılamalıdır.
Güvenlik duvarını sıkılaştırmadan önce ne yapmalıyım?+
Bir kurtarma yolunu doğrulayın, çalışan oturumu koruyun ve yeni izin verilen yolu ikinci bir bağlantı üzerinden test edin.
Kaynağa gidin.
Bu kaynaklar, bu kılavuzdaki teknik kavramları destekler. Bir üretim sistemini değiştirmeden önce güncel belgeleri izleyin.
- Microsoft: Remote Desktop ve Network Level Authentication'ı etkinleştirme learn.microsoft.com
- Microsoft: Remote Desktop Gateway erişimi learn.microsoft.com
- Microsoft: Remote Credential Guard learn.microsoft.com
SwissOctet tarafından editoryal rehberlik. Örnekler açıklayıcıdır. Hizmet spesifikasyonları, mevcut seçenekler ve sözleşme koşulları ayrıca doğrulanmalıdır.