Hạn chế ai có thể truy cập RDP, giữ Network Level Authentication được bật ở nơi được hỗ trợ, sử dụng thông tin xác thực mạnh riêng lẻ và giảm thiểu đặc quyền quản trị. Kiểm thử một phiên thứ hai và quyền truy cập khôi phục trước khi đóng kết nối hiện tại.
Coi máy tính để bàn là ranh giới quản trị
Một phiên RDP cung cấp quyền truy cập tương tác vào một hệ thống từ xa, vì vậy tài khoản được dùng cho nó có thể trở thành mục tiêu có giá trị. Bắt đầu bằng việc quyết định ai cần truy cập và họ phải thực hiện công việc gì. Một đăng nhập quản trị viên dùng chung thì tiện lợi cho đến khi bạn cần loại bỏ quyền truy cập của một người hoặc hiểu một thay đổi cấu hình. Tài khoản riêng lẻ làm cho những tác vụ vận hành đó rõ ràng hơn.
Tách hoạt động thường ngày khỏi các thay đổi đặc quyền ở nơi phần mềm cho phép. Một người dùng cần một ứng dụng kinh doanh không nhất thiết cần quyền quản trị hệ thống không hạn chế. Hãy duy trì cả điểm cuối của quản trị viên: bảo mật máy từ xa không bảo vệ thông tin xác thực được nhập từ một thiết bị cục bộ bị nhiễm hoặc dùng chung. Hãy xem xét cả hai đầu của phiên trong thiết kế truy cập.
Giới hạn khả năng truy cập trước khi dựa vào bảo vệ đăng nhập
Quyết định mạng hoặc thiết bị được ủy quyền nào nên có thể truy cập máy chủ phiên. Ở nơi kiến trúc của bạn hỗ trợ, hãy dùng VPN được kiểm soát hoặc Remote Desktop Gateway thay vì phơi bày rộng rãi quyền quản trị. Microsoft có tài liệu về RD Gateway như một tuyến tới tài nguyên nội bộ với các chính sách ủy quyền kết nối và tài nguyên. Tính phù hợp của nó phụ thuộc vào môi trường; nó không phải là tính năng đi kèm chỉ vì một gói hỗ trợ RDP.
Giới hạn quy tắc tường lửa cho đường dẫn dự định, và xác nhận cách xử lý địa chỉ ứng dụng khách động. Không tạo một quy tắc hạn chế ngay lập tức ngắt kết nối quản trị viên duy nhất mà không có tùy chọn khôi phục. Giữ phiên hiện tại mở, kiểm thử đường dẫn mới từ một phiên khác và ghi lại cơ chế khôi phục được ủy quyền trước khi loại bỏ tuyến truy cập cũ hơn.
Giữ xác thực và tin cậy rõ ràng
Microsoft khuyến nghị Network Level Authentication cho hầu hết môi trường được hỗ trợ. NLA yêu cầu xác thực trước khi thiết lập một phiên từ xa đầy đủ, thêm bảo vệ ở giai đoạn đó. Nó không thay thế tường lửa, chính sách tài khoản hay cập nhật hệ thống. Hãy kiểm tra khả năng tương thích của ứng dụng khách và khắc phục sự cố xác thực thay vì làm suy yếu cấu hình vĩnh viễn như phản ứng đầu tiên.
Sử dụng thông tin xác thực duy nhất và yếu tố thứ hai thông qua một kiến trúc truy cập được hỗ trợ khi có thể. Xác minh danh tính từ xa dự kiến và hành vi chứng chỉ, đặc biệt sau khi xây dựng lại hoặc thay đổi tên máy chủ. Một cảnh báo chứng chỉ đáng được điều tra; việc liên tục chấp nhận danh tính bất ngờ biến một kiểm tra tin cậy hữu ích thành một hộp thoại bị bỏ qua. Giữ thông tin xác thực khôi phục trong một kho riêng tư đã được phê duyệt.
| Lớp | Quyết định | Xác minh |
|---|---|---|
| mạng | Những ứng dụng khách nào có thể truy cập máy chủ? | Nguồn bất ngờ không thể kết nối |
| Xác thực | Tài khoản và yếu tố nào được yêu cầu? | Một phiên thứ hai được phép thành công |
| Đặc quyền | Tác vụ nào yêu cầu quản trị? | Người dùng thường ngày không thể thay đổi cài đặt hệ thống |
| Khôi phục | Quyền truy cập được khôi phục như thế nào sau một sai sót? | Đường dẫn khôi phục đã ghi lại sẵn có |
Giảm những gì phiên có thể mang theo
Xem xét các tính năng chuyển hướng clipboard, ổ đĩa, máy in và các tính năng khác dựa trên quy trình làm việc thực tế. Quản trị viên có thể không cần mọi tài nguyên cục bộ được hiển thị cho máy chủ từ xa. Ngược lại, việc vô hiệu hóa một đường truyền bắt buộc mà không có phương án thay thế có thể khuyến khích các cách xử lý không an toàn. Ghi lại phương thức được phép để di chuyển tệp và giữ bí mật ngoài các ghi chú trên màn hình thông thường hoặc thư mục tải xuống được chia sẻ.
Đối với các môi trường dựa trên miền phù hợp, Microsoft cung cấp Remote Credential Guard để giảm mức độ phơi bày thông tin xác thực trong các kết nối RDP. Nó yêu cầu máy khách tương thích và xác thực Kerberos, đồng thời hỗ trợ kết nối trực tiếp đến máy đích; kết nối qua Remote Desktop Gateway hoặc Connection Broker không được hỗ trợ. Hãy kiểm tra các yêu cầu cho đường truy cập thực tế của bạn thay vì coi đây là biện pháp bảo vệ phổ quát cho các máy Windows được lưu trữ độc lập.
Duy trì máy và bằng chứng bạn cần
Lên lịch cập nhật hệ điều hành và ứng dụng, bao gồm quy trình khởi động lại có chủ đích. Kiểm tra xem bản cập nhật có yêu cầu khởi động lại không và xác minh dịch vụ sau đó. Đặt chính sách phiên hợp lý cho công việc không giám sát hoặc bị ngắt kết nối, nhưng hãy cân nhắc các ứng dụng phải tiếp tục chạy. Chính sách hết thời gian chờ nên đáp ứng nhu cầu bảo mật hoặc vận hành thay vì chỉ sao chép một con số tùy ý từ môi trường khác.
Lưu giữ thông tin truy cập và sự cố hữu ích theo một chính sách được ghi lại. Giám sát các lần xác thực thất bại lặp lại và hoạt động quản trị bất thường mà không thu thập nội dung không cần thiết. Hạn chế ai có thể đọc bản ghi chẩn đoán và quyết định thời gian cần lưu giữ chúng. Một chính sách ghi nhật ký chính xác có ý nghĩa hơn việc giữ mọi thứ vô thời hạn hoặc hứa rằng không bao giờ có thể tồn tại bản ghi vận hành nào.
Trình tự phiên đầu tiên an toàn
Khi nhận bàn giao, hãy xác minh hệ thống mong đợi, thay đổi thông tin xác thực tạm thời thông qua quy trình được phê duyệt và thiết lập quyền truy cập riêng. Xác nhận tường lửa và đường khôi phục, sau đó kiểm tra kết nối thứ hai. Áp dụng cập nhật, xem xét chuyển hướng và cài đặt ứng dụng cần thiết. Tạo bản sao lưu và thực hành khôi phục các cài đặt quan trọng trước khi phụ thuộc vào máy tính để bàn cho công việc hàng ngày.
DeskLink RDP và các cấu hình chuyên dụng được chọn cung cấp các lựa chọn liên quan đến Windows trong danh mục SwissOctet. Xác nhận hệ điều hành, giấy phép, quyền tài khoản và trách nhiệm quản lý cho đơn hàng của bạn. Kết nối máy tính để bàn được hỗ trợ chỉ là khởi đầu của một kế hoạch quản trị; các kiểm soát bạn cấu hình và xác minh sẽ quyết định cách sử dụng quyền truy cập đó.
Danh sách kiểm tra thực tế của bạn.
- Sử dụng tài khoản riêng và đặc quyền phù hợp.
- Hạn chế đường truy cập RDP dự định.
- Giữ NLA được bật trên các hệ thống tương thích.
- Kiểm tra phiên thứ hai trước khi đóng quyền truy cập hiện tại.
- Xem xét chuyển hướng, cập nhật và chính sách phiên.
- Xác nhận giấy phép và quy trình khôi phục.
Những chi tiết quan trọng.
NLA có làm cho máy chủ RDP bị phơi bày trở nên hoàn toàn an toàn không?+
Không. NLA là một kiểm soát xác thực. Khả năng truy cập, thông tin xác thực, cập nhật và đặc quyền vẫn cần được chú ý.
Tôi có thể sử dụng Remote Credential Guard trên mọi máy chủ Windows không?+
Không. Máy khách, máy chủ và môi trường xác thực phải đáp ứng các yêu cầu của Microsoft, bao gồm cấu hình Kerberos áp dụng.
Tôi nên làm gì trước khi thắt chặt tường lửa?+
Xác minh đường khôi phục, giữ phiên đang hoạt động và kiểm tra đường được phép mới thông qua kết nối thứ hai.
Đến nguồn.
Các tài liệu tham khảo này hỗ trợ các khái niệm kỹ thuật trong hướng dẫn này. Hãy theo dõi tài liệu hiện hành trước khi thay đổi hệ thống sản xuất.
- Microsoft: Bật Remote Desktop và Network Level Authentication learn.microsoft.com
- Microsoft: Truy cập Remote Desktop Gateway learn.microsoft.com
- Microsoft: Remote Credential Guard learn.microsoft.com
Hướng dẫn biên tập bởi SwissOctet. Các ví dụ chỉ mang tính minh họa. Thông số dịch vụ, tùy chọn có sẵn và điều kiện hợp đồng phải được xác minh riêng.