Ασφάλεια Απομακρυσμένης Πρόσβασης για ΜΜΕ: Καλές Πρακτικές RDP

Εισαγωγή

Η απομακρυσμένη πρόσβαση βοηθά τις μικρές και μεσαίες επιχειρήσεις να υποστηρίζουν την υβριδική εργασία, να διαχειρίζονται διακομιστές Windows, να διατηρούν επιχειρηματικές εφαρμογές και να βοηθούν τους χρήστες από έξω από το γραφείο. Οι ίδιες συνδέσεις μπορούν επίσης να δημιουργήσουν μια άμεση διαδρομή στα συστήματα της εταιρείας όταν το πρωτόκολλο απομακρυσμένης επιφάνειας εργασίας εκτίθεται στο διαδίκτυο, τα διαπιστευτήρια κλέβονται ή οι διακομιστές συντηρούνται κακώς.

Ένας ασφαλής σχεδιασμός δεν μπορεί να βασίζεται μόνο σε μία ρύθμιση, ένα VPN ή έναν ισχυρό κωδικό πρόσβασης. Οι ΜΜΕ χρειάζονται αρκετούς ελέγχους που λειτουργούν μαζί, παραμένουν διαχειρίσιμοι για μια μικρή ομάδα IT και περιορίζουν τη ζημιά όταν αποτύχει ένα επίπεδο. Ο στόχος δεν είναι να δημιουργηθεί μια στοίβα ασφάλειας σε επίπεδο επιχείρησης. Είναι να μειωθεί η περιττή έκθεση, να ελεγχθεί η πρόσβαση με ακρίβεια και να ανιχνευθεί η ύποπτη δραστηριότητα πριν γίνει ένα ευρύτερο περιστατικό.

Τι είναι η ασφάλεια απομακρυσμένης πρόσβασης για ΜΜΕ;

Η ασφάλεια της απομακρυσμένης πρόσβασης είναι ο συνδυασμός τεχνολογιών, πολιτικών και πρακτικών λειτουργίας που χρησιμοποιούνται για την προστασία των συστημάτων που προσπελάζονται από έξω από το τοπικό δίκτυο. Οι υπάλληλοι, οι διαχειριστές, οι εργολάβοι και οι πάροχοι υποστήριξης μπορεί να απαιτούν απομακρυσμένη συνδεσιμότητα, αλλά δεν θα πρέπει να λαμβάνουν την ίδια έκταση πρόσβασης ή να χρησιμοποιούν τους ίδιους ελέγχους.

Για μια SMB που βασίζεται σε Windows, το μοντέλο ασφάλειας καλύπτει τρία επίπεδα:

• Η διαδρομή πρόσβασης, συμπεριλαμβανομένων των Πρωτοκόλλων Απομακρυσμένης Επιφάνειας Εργασίας (RDP), Πύλης Απομακρυσμένης Επιφάνειας Εργασίας (RD Gateway), εικονικών ιδιωτικών δικτύων (VPNs) και διαδικτυακών πύλων.
• Χρήστες και συσκευές, συμπεριλαμβανομένης της επαλήθευσης ταυτότητας, των προνομίων και της υγείας των τερματικών.
• Διακομιστές και πόροι, συμπεριλαμβανομένων της επιδιόρθωσης, της τμηματοποίησης, της παρακολούθησης και της αποκατάστασης

Αυτά τα επίπεδα εξαρτώνται το ένα από το άλλο. Ένας RD Gateway δεν μπορεί να αντισταθμίσει έναν παραβιασμένο λογαριασμό διαχειριστή, ενώ η πολυπαραγοντική αυθεντικοποίηση (MFA) δεν διορθώνει έναν μη ενημερωμένο διακομιστή. Η CISA συμβουλεύει επομένως τις οργανώσεις να απενεργοποιούν τις υπηρεσίες απομακρυσμένης επιφάνειας εργασίας όταν δεν είναι απαραίτητες και να τις ασφαλίζουν αυστηρά όταν οι λειτουργίες εξαρτώνται από αυτές.

Γιατί είναι δύσκολη η ασφάλεια της απομακρυσμένης πρόσβασης για τις ΜΜΕ;

ΜΜΕ χρειάζονται πολλά από τα ίδια προηγμένη ασφάλεια ελέγχουν όπως οι μεγαλύτερες οργανώσεις αλλά συχνά έχουν λιγότερους διαχειριστές, μικρότερα προϋπολογισμούς και λιγότερο χρόνο για συνεχή ανασκόπηση. Ένας σχεδιασμός που εκτείνεται σε πολλές χαλαρά ενσωματωμένες κονσόλες μπορεί να φαίνεται ασφαλής στο χαρτί αλλά να γίνει δύσκολος στη συντήρηση στην πράξη.

Ο κίνδυνος αυξάνεται επίσης όταν η ευκολία καθοδηγεί την αρχιτεκτονική. Κοινά παραδείγματα περιλαμβάνουν την άμεση προώθηση RDP σε έναν διακομιστή Windows, την παροχή ευρείας πρόσβασης VPN σε εργολάβους, την επιτρεπόμενη διαχείριση λογαριασμών χρηστών καθημερινά με διοικητικά προνόμια ή την παραμονή ενεργών λογαριασμών πρώην υπαλλήλων.

Οι επιτιθέμενοι δεν χρειάζονται πάντα μια προηγμένη εκμετάλλευση RDP. Μπορεί να πετύχουν μέσω:

• Επίθεση με κωδικούς πρόσβασης ή γέμισμα διαπιστευτηρίων
• Διαπιστευτήρια που αποκτήθηκαν μέσω phishing ή κακόβουλου λογισμικού
• Ανασφάλιστα gateways, συσκευές VPN ή διακομιστές Windows
• Λογαριασμοί με υπερβολικά δικαιώματα και μη διαχειριζόμενες συσκευές
• Αδύνατη προστασία αντιγράφων ασφαλείας
• Νόμιμες συνεδρίες RDP που χρησιμοποιούνται για οριζόντια κίνηση

Η ασφάλεια της απομακρυσμένης πρόσβασης θα πρέπει επομένως να λειτουργεί ως μια επαναλαμβανόμενη διαδικασία και όχι ως μια εφάπαξ λίστα ελέγχου. Οι έλεγχοι πρέπει να είναι εύκολοι στην εφαρμογή, να αναθεωρούνται τακτικά και να προσαρμόζονται όταν αλλάζουν οι χρήστες, οι συσκευές ή οι επιχειρηματικές εφαρμογές.

Πώς θα πρέπει οι ΜΜΕ να εξασφαλίσουν την πρόσβαση RDP;

Απενεργοποίηση RDP όπου δεν απαιτείται

Η ασφαλέστερη υπηρεσία RDP είναι αυτή που δεν λειτουργεί χωρίς επιχειρηματική ανάγκη. Τα συστήματα απογραφής στα οποία είναι ενεργοποιημένο το Remote Desktop επιβεβαιώνουν γιατί κάθε σύστημα δέχεται απομακρυσμένες συνεδρίες.

Οι διακομιστές αρχείων, οι ελεγκτές τομέα και οι σταθμοί εργασίας των υπαλλήλων δεν θα πρέπει να επιτρέπουν αυτόματα το RDP επειδή η ρύθμιση ενεργοποιήθηκε κατά την ανάπτυξη. Απενεργοποιήστε την υπηρεσία σε μη απαραίτητους υπολογιστές, αφαιρέστε παρωχημένους κανόνες τείχους προστασίας και ελέγξτε περιοδικά ότι δεν έχει επανενεργοποιηθεί.

Η Microsoft συνιστά να ενεργοποιείτε την Απομακρυσμένη Επιφάνεια Εργασίας μόνο όταν είναι απαραίτητο και να την περιορίζετε σε αξιόπιστα δίκτυα. Η ενεργοποίηση του RDP δημιουργεί μια υπηρεσία παρακολούθησης, και τα μέλη της τοπικής ομάδας Διαχειριστών μπορεί να αποκτήσουν πρόσβαση αυτόματα εκτός αν αναθεωρηθούν οι άδειες.

Κρατήστε το RDP πίσω από ένα ελεγχόμενο σημείο εισόδου

Η προώθηση της δημόσιας θύρας TCP 3389 σε έναν εσωτερικό υπολογιστή Windows είναι εύκολη, αλλά εκθέτει την υπηρεσία πιστοποίησης RDP σε σάρωση από το διαδίκτυο και επαναλαμβανόμενες προσπάθειες σύνδεσης. Η αλλαγή της θύρας μπορεί να μειώσει τον βασικό θόρυβο των σαρωτών, αλλά δεν δημιουργεί ένα ουσιαστικό όριο ασφάλειας.

Η εξωτερική κίνηση RDP θα πρέπει να περνά μέσω ενός ελεγχόμενου επιπέδου πρόσβασης. Οι κατάλληλες επιλογές περιλαμβάνουν:

• Ένας RD Gateway
• Μια ασφαλώς ρυθμισμένη VPN
• Μια υπηρεσία πρόσβασης με μηδενική εμπιστοσύνη ή ευαισθησία ταυτότητας
• Μια πλατφόρμα δημοσίευσης απομακρυσμένων εφαρμογών
• Ένας διαχειριζόμενος κόμβος άλματος για διαχειριστές

Ένας RD Gateway μεταφέρει εξωτερική RDP κίνηση μέσω HTTPS και επιτρέπει στους διαχειριστές να εφαρμόζουν πολιτικές εξουσιοδότησης σύνδεσης και πόρων. Οι εσωτερικοί RDP διακομιστές μπορούν στη συνέχεια να δέχονται συνδέσεις από την πύλη αντί από αυθαίρετες δημόσιες διευθύνσεις.

Το σημείο εισόδου θα πρέπει να ταιριάζει με το απαιτούμενο πεδίο. Ένα VPN μπορεί να ταιριάζει σε διαχειριστές που χρειάζονται αρκετούς ιδιωτικούς πόρους, ενώ η δημοσίευση εφαρμογών μπορεί να εξυπηρετήσει καλύτερα τους υπαλλήλους που χρειάζονται μόνο μία επιχειρηματική εφαρμογή.

Χρησιμοποιήστε NLA, Εμπιστευμένα Πιστοποιητικά και MFA

Η Αυθεντικοποίηση Επιπέδου Δικτύου (NLA) απαιτεί από τους χρήστες να αυθεντικοποιούνται πριν από τη δημιουργία μιας πλήρους απομακρυσμένης επιφάνειας εργασίας από τα Windows. Αυτό μειώνει τη χρήση πόρων και περιορίζει την έκθεση της διαδραστικής οθόνης σύνδεσης. Διατηρήστε ενεργοποιημένο το NLA εκτός αν ένα τεκμηριωμένο πρόβλημα συμβατότητας το εμποδίζει.

Οι Υπηρεσίες Απομακρυσμένης Επιφάνειας Εργασίας βασίζονται επίσης σε πιστοποιητικά ασφαλείας μεταφοράς Layer Security Η κρυπτογράφηση προστατεύει τα δεδομένα κατά τη μεταφορά, ενώ η επικύρωση πιστοποιητικού επιβεβαιώνει ότι οι χρήστες συνδέονται στον προοριζόμενο διακομιστή. Παρακολουθήστε την ημερομηνία λήξης του πιστοποιητικού και ερευνήστε τις προειδοποιήσεις αντί να διδάσκετε τους χρήστες να τις αγνοούν.

Η MFA θα πρέπει να προστατεύει το εξωτερικό σημείο εισόδου πριν φτάσει οποιοσδήποτε στον RDP host. Για τους διαχειριστές, προτιμήστε μεθόδους ανθεκτικές σε phishing όπως κλειδιά ασφαλείας, passkeys, πιστοποιητικά ή Windows Hello for Business. Το RD Gateway και άλλες πλατφόρμες απομακρυσμένης πρόσβασης μπορούν να επιβάλλουν την MFA μέσω υποστηριζόμενων υπηρεσιών ταυτοποίησης.

Ελέγξτε τις αποτυχημένες συνδέσεις και την ανακατεύθυνση συνεδριών

Η απενεργοποίηση λογαριασμού μπορεί να επιβραδύνει την εκτίμηση κωδικών πρόσβασης, αλλά χαμηλά όρια μπορεί να επιτρέψουν στους επιτιθέμενους να αποκλείσουν νόμιμους χρήστες. Μια καλύτερη προσέγγιση συνδυάζει την MFA, μπλοκάρισμα ή περιορισμός πηγής-IP , ειδοποιήσεις για ασυνήθιστες αποτυχίες, έλεγχος κωδικών πρόσβασης και πολιτικές αποκλεισμού προσαρμοσμένες στις επιχειρηματικές ανάγκες.

Αφού ξεκινήσει μια συνεδρία, οι δυνατότητες ανακατεύθυνσης μπορούν να μεταφέρουν δεδομένα μεταξύ του τερματικού και του διακομιστή. Η κοινή χρήση του προγράμματος αποκομιδής, η χαρτογράφηση τοπικών δίσκων, η εκτύπωση και η ανακατεύθυνση συσκευών θα πρέπει να ακολουθούν τους ρόλους των χρηστών αντί για μία παγκόσμια πολιτική.

Ένας χρήστης χρηματοοικονομικών μπορεί να χρειάζεται εκτύπωση χωρίς πρόσβαση σε τοπικό δίσκο, ενώ ένας εργολάβος μπορεί να χρειάζεται μία δημοσιευμένη εφαρμογή χωρίς μεταφορά από το πρόχειρο. Ρυθμίστε αυτές τις ρυθμίσεις μέσω της Πολιτικής Ομάδας ή της πλατφόρμας απομακρυσμένης πρόσβασης, στη συνέχεια επιτρέψτε μόνο ό,τι απαιτεί κάθε ρόλος.

Πώς μπορούν οι ΜΜΕ να προστατεύσουν τους απομακρυσμένους χρήστες και λογαριασμούς;

Διαχωρισμός Προνομιακής και Κανονικής Πρόσβασης

Οι διαχειριστές δεν θα πρέπει να χρησιμοποιούν προνομιακούς λογαριασμούς για email, περιήγηση στο διαδίκτυο ή καθημερινή εργασία εφαρμογών. Δώστε σε κάθε υπάλληλο IT έναν τυπικό λογαριασμό για καθημερινές εργασίες και έναν ξεχωριστό ονομαστικό λογαριασμό για διαχείριση.

Αυτή η διαχωριστική γραμμή βελτιώνει την υπευθυνότητα και απλοποιεί την αποχώρηση. Οι ατομικοί προνομιούχοι λογαριασμοί δείχνουν ποιος πραγματοποίησε μια ενέργεια, διευκολύνουν την ανάκληση της πρόσβασης και υποστηρίζουν πιο σαφείς έρευνες όταν συμβαίνει ύποπτη δραστηριότητα.

Οι απομακρυσμένοι χρήστες δεν θα πρέπει να λαμβάνουν δικαιώματα τοπικού διαχειριστή απλώς και μόνο επειδή χρειάζονται έναν υπολογιστή ή μια εφαρμογή. Η ομάδα Χρηστών Απομακρυσμένης Επιφάνειας Εργασίας μπορεί να επιτρέπει την είσοδο χωρίς να παρέχει ευρύτερο έλεγχο του διακομιστή.

Εφαρμόστε την Ελάχιστη Προνομία ανά Πόρο

Η απομακρυσμένη πρόσβαση θα πρέπει να αντικατοπτρίζει τους πόρους που χρειάζεται ένα άτομο, όχι απλώς αν το άτομο εργάζεται για την εταιρεία. Οι υπάλληλοι, οι εργολάβοι, οι διευθυντές και οι διαχειριστές συχνά απαιτούν διαφορετικά πεδία.

Για παράδειγμα:

• Οι υπάλληλοι μπορεί να χρειαστούν μία ή δύο δημοσιευμένες εφαρμογές.
• Οι διευθυντές ενδέχεται να χρειαστούν έναν ελεγχόμενο κοινόχρηστο επιτραπέζιο υπολογιστή.
• Οι διαχειριστές μπορεί να χρειαστούν επιλεγμένες κονσόλες διακομιστή.
• Οι εργολάβοι μπορεί να χρειαστούν μία εφαρμογή για μια σταθερή περίοδο έργου.
• Οι πάροχοι υποστήριξης ενδέχεται να χρειαστούν προσωρινή πρόσβαση σε συγκεκριμένα μηχανήματα.

Η παροχή σε κάθε απομακρυσμένο χρήστη ενός πλήρους επιτραπέζιου υπολογιστή ή δικτυακού τούνελ επεκτείνει τον αριθμό των αρχείων, εργαλείων και διαδρομών σύνδεσης που είναι διαθέσιμες μετά από παραβίαση. Η πρόσβαση σε επίπεδο εφαρμογής είναι συχνά πιο ασφαλής όταν η επιχειρηματική απαίτηση δεν δικαιολογεί μια πλήρη σύνδεση επιτραπέζιου υπολογιστή ή ιδιωτικού δικτύου.

Ενίσχυση Ελέγχων Κωδικού Πρόσβασης και Κύκλου Ζωής Λογαριασμού

Η πολιτική κωδικών πρόσβασης θα πρέπει να ευνοεί μακριά, μοναδικά διαπιστευτήρια, διαχειριστές κωδικών πρόσβασης και έλεγχο κατά γνωστών παραβιασμένων τιμών. Οι προβλέψιμοι κανόνες πολυπλοκότητας συχνά παράγουν μικρές παραλλαγές αντί για πιο ισχυρούς κωδικούς πρόσβασης.

Κατευθύνσεις NIST τονίζει τη διάρκεια, τις μαύρες λίστες και τη διαχείριση ασφαλών κωδικών πρόσβασης αντί για τις τακτικές υποχρεωτικές αλλαγές. Οι λογαριασμοί υπηρεσιών και οι λογαριασμοί έκτακτης ανάγκης του διαχειριστή χρειάζονται πιο προσεκτική ανασκόπηση επειδή τα ισχυρά διαπιστευτήριά τους είναι εύκολο να παραβλεφθούν.

Συνδέστε τις απομακρυσμένες άδειες σε μια διαδικασία προσχώρησης, μετακίνησης και αποχώρησης. Οι αναθεωρήσεις θα πρέπει να αφαιρούν πρώην υπαλλήλους, ανενεργούς χρήστες, ληγμένους εργολάβους, περιττές άδειες και λογαριασμούς υπηρεσιών που επιτρέπεται να συνδεθούν διαδραστικά. Η προσωρινή πρόσβαση θα πρέπει να λήγει αυτόματα όποτε είναι δυνατόν.

Σκεφτείτε την Ασφάλεια Τερματικού και την Ευαισθητοποίηση Χρηστών

Ακόμη και ένας νόμιμος χρήστης μπορεί να δημιουργήσει κίνδυνο από έναν μολυσμένη ή μη διαχειριζόμενη συσκευή Malware σε ένα απομακρυσμένο λάπτοπ μπορεί να καταγράψει διαπιστευτήρια, να παρακολουθήσει δραστηριότητα ή να κακοποιήσει την πρόχειρη μνήμη και την ανακατεύθυνση δίσκου μετά την αυθεντικοποίηση.

Οι διαχειριζόμενοι από την εταιρεία τερματικοί σταθμοί θα πρέπει να εκτελούν υποστηριζόμενα λειτουργικά συστήματα, κρυπτογράφηση δίσκου, προστασία τερματικών, πολιτικές κλειδώματος οθόνης και περιορισμένα δικαιώματα διαχειριστή. Για προσωπικές συσκευές, η πρόσβαση μέσω προγράμματος περιήγησης ή οι περιορισμένες συνεδρίες μπορούν να διατηρήσουν τα επιχειρηματικά δεδομένα στον διακομιστή.

Η εκπαίδευση θα πρέπει να εστιάζει σε καταστάσεις που αντιμετωπίζουν οι χρήστες, συμπεριλαμβανομένων απροσδόκητων προτροπών MFA, ψεύτικων κλήσεων υποστήριξης, κακόβουλων αρχείων RDP και αιτημάτων διαπιστευτηρίων. Οι χρήστες χρειάζονται επίσης μια απλή διαδικασία αναφοράς.

Πώς θα πρέπει οι ΜΜΕ να προστατεύουν τους διακομιστές Remote Access;

Διόρθωση και Μείωση της Επιφάνειας Επίθεσης

Η επιδιόρθωση πρέπει να καλύπτει ολόκληρη την αλυσίδα απομακρυσμένης πρόσβασης, όχι μόνο τον κεντρικό υπολογιστή της συνεδρίας Windows. Τα στοιχεία που είναι εκτεθειμένα στο διαδίκτυο μπορεί να περιλαμβάνουν συσκευές VPN, πύλες, υπηρεσίες ταυτοποίησης, αντίστροφους διακομιστές μεσολάβησης, διαδικτυακές πύλες και κονσόλες διαχείρισης.

Διατηρήστε ένα απόθεμα εξωτερικά προσβάσιμων συστημάτων, αναθέστε την ευθύνη ενημέρωσης και διατηρήστε μια διαδικασία έκτακτης ανάγκης για ενεργά εκμεταλλευόμενες ευπάθειες. Οι τείχοι προστασίας φιλοξενίας θα πρέπει να επιτρέπουν μόνο την απαιτούμενη κίνηση, ενώ οι εσωτερικοί RDP φιλοξενούν πίσω από ένα RD Gateway θα πρέπει κανονικά να δέχονται συνδέσεις μόνο από την πύλη ή από εγκεκριμένα δίκτυα διαχείρισης.

Αφαιρέστε τις ανενεργές υπηρεσίες, τα παλιά πρωτόκολλα και τα περιττά εργαλεία διαχείρισης. Κάθε επιπλέον στοιχείο αυξάνει την επιφάνεια επίθεσης και το βάρος συντήρησης.

Τμήμα Remote Access Από Κρίσιμα Συστήματα

Μια επιτυχής απομακρυσμένη σύνδεση δεν θα πρέπει να παρέχει μια απεριόριστη διαδρομή σε κάθε διακομιστή. Ο διαχωρισμός δικτύου μπορεί να χωρίσει τους διακομιστές συνεδρίας και τις επιχειρηματικές εφαρμογές από τα συστήματα διαχείρισης, τους ελεγκτές τομέα και την υποδομή αντιγράφων ασφαλείας.

Η διοικητική κίνηση θα πρέπει να χρησιμοποιεί αφιερωμένες διαδρομές διαχείρισης όπου είναι πρακτικό. Ένας διακομιστής συνεδρίας χρήστη, για παράδειγμα, δεν θα πρέπει να παρέχει απεριόριστη πρόσβαση σε έναν ελεγκτή τομέα, διεπαφή hypervisor ή κονσόλα αντιγράφων ασφαλείας.

Οι περιορισμοί τμηματοποίησης περιορίζουν την πλευρική κίνηση όταν ένας λογαριασμός, συσκευή ή διακομιστής έχει παραβιαστεί. Επίσης, καθιστούν την πολιτική πρόσβασης πιο σαφή, καθώς κάθε ομάδα απομακρυσμένων χρηστών λαμβάνει μόνο την απαιτούμενη δικτύωση για τον ρόλο της.

Ετοιμαστείτε για κακόβουλο λογισμικό και ransomware

Ασφάλεια απομακρυσμένης επιφάνειας εργασίας περιλαμβάνει περισσότερα από το να μπλοκάρει μη εξουσιοδοτημένες συνδέσεις. Ένας νόμιμος χρήστης μπορεί να εκτελέσει κακόβουλο λογισμικό κατά λάθος, ενώ ένας επιτιθέμενος με έγκυρα διαπιστευτήρια μπορεί να αναπτύξει ransomware μέσω μιας κανονικής συνεδρίας.

Οι διακομιστές χρειάζονται επομένως προστασία τερματικού και συμπεριφορική παρακολούθηση που μπορεί να ανιχνεύσει ύποπτες διαδικασίες, γρήγορες αλλαγές αρχείων και προσπάθειες απενεργοποίησης των ελέγχων ασφαλείας. Ο έλεγχος εφαρμογών μπορεί περαιτέρω να περιορίσει ποια εκτελέσιμα και σενάρια μπορούν να εκκινήσουν οι χρήστες.

Οι αντίγραφα ασφαλείας είναι απαραίτητα, αλλά πρέπει να παραμένουν πέρα από την εμβέλεια των συνηθισμένων απομακρυσμένων χρηστών και των παραβιασμένων λογαριασμών διαχειριστών. Χρησιμοποιήστε πολλαπλά σημεία αποκατάστασης, ένα ξεχωριστό ή αμετάβλητο αντίγραφο, ειδικά διαπιστευτήρια, MFA για τη διαχείριση των αντιγράφων ασφαλείας και τακτικές δοκιμές αποκατάστασης.

Μια επιτυχής εργασία αντιγράφου ασφαλείας δεν εγγυάται την αποκατάσταση. Δοκιμάστε αν οι εφαρμογές, τα δεδομένα και η διαμόρφωση μπορούν να αποκατασταθούν εντός του χρόνου αποκατάστασης που απαιτεί πραγματικά η επιχείρηση.

Κεντρικοποίηση Καταγραφών και Ειδοποιήσεων

Τα αρχεία καταγραφής βοηθούν μόνο όταν παραμένουν διαθέσιμα και κάποιος τα εξετάζει. Συλλέξτε κεντρικά τα γεγονότα πύλης, τείχους προστασίας, αυθεντικοποίησης και διακομιστή όπου είναι δυνατόν.

Σε συστήματα Windows, το γεγονός 4624 καταγράφει επιτυχείς συνδέσεις και το γεγονός 4625 καταγράφει αποτυχημένες προσπάθειες. Ειδοποιήστε για επαναλαμβανόμενες αποτυχίες, ψεκασμό κωδικών πρόσβασης, άγνωστες τοποθεσίες διαχειριστών, νέες συσκευές, απενεργοποιημένη καταγραφή ή ταχεία διαγραφή αρχείων.

Μια μικρή επιχείρηση μπορεί να μην χρειάζεται ένα κέντρο επιχειρήσεων ασφαλείας, αλλά χρειάζεται έναν ονομαστικό παραλήπτη για ειδοποιήσεις υψηλής προτεραιότητας και μια σαφή διαδικασία κλιμάκωσης.

Ποια Αρχιτεκτονική Remote Access Ταιριάζει σε μια ΜΜΕ;

Η ασφαλέστερη πρακτική αρχιτεκτονική είναι συνήθως η στενότερη επιλογή που εξακολουθεί να υποστηρίζει την εργασία του χρήστη.

Μέθοδος πρόσβασης	Κατάλληλη χρήση	Κύρια παράμετρος ασφαλείας
Εσωτερικό RDP	Τοπική διαχείριση από ένα αξιόπιστο δίκτυο διαχείρισης	Διατηρήστε μη διαθέσιμο από το δημόσιο διαδίκτυο
VPN που ακολουθείται από RDP	Χρήστες που χρειάζονται αρκετούς πόρους ιδιωτικού δικτύου	Χρησιμοποιήστε MFA και περιορίστε τα προσβάσιμα δίκτυα
RD Gateway	Διαχειριζόμενη εξωτερική πρόσβαση σε επιτραπέζιους υπολογιστές ή εφαρμογές RDS	Επιδιορθώστε την πύλη και επιβάλετε πιστοποιητικά, MFA και πολιτικές εξουσιοδότησης
Δημοσίευση προγράμματος περιήγησης ή εφαρμογής	Χρήστες που χρειάζονται επιλεγμένες εφαρμογές Windows	Περιορίστε τους δημοσιευμένους πόρους και ασφαλίστε το σημείο εισόδου στο διαδίκτυο
Διαχειριστικός διακομιστής jump	Προνομιακή πρόσβαση σε επιλεγμένους διακομιστές	Απομονώστε τον διακομιστή και περιορίστε αυστηρά τις συνδέσεις
VDI ή DaaS	Ατομικά διαχειριζόμενα περιβάλλοντα επιφάνειας εργασίας	Ασφαλείς ταυτότητες, εικόνες, επίπεδα διαχείρισης και ρυθμίσεις cloud

Η αρχιτεκτονική θα πρέπει να ακολουθεί το φόρτο εργασίας. Η άμεση δημόσια RDP δεν θα πρέπει να επιλέγεται για ευκολία, και ένα VPN δεν θα πρέπει να αναπτύσσεται όταν παρέχει μεγαλύτερη πρόσβαση στο δίκτυο από ό,τι χρειάζεται ο χρήστης. Η δημοσίευση εφαρμογών μπορεί να μειώσει την έκθεση για τους συνηθισμένους χρήστες, ενώ οι διαχειριστές μπορεί να απαιτούν μια σκληρυμένη πύλη ή έναν ενδιάμεσο υπολογιστή.

Τι θα πρέπει να ασφαλίσει πρώτα μια ΜΜΕ;

Οι ΜΜΕ μπορούν να βελτιώσουν την ασφάλεια της απομακρυσμένης πρόσβασης σε τρία στάδια.

Μείωση Άμεσης Έκθεσης

Εντοπίστε κάθε υπηρεσία RDP, VPN, πύλη και απομακρυσμένης διαχείρισης που είναι εκτεθειμένη στο διαδίκτυο. Απενεργοποιήστε οτιδήποτε δεν είναι απαραίτητο και αφαιρέστε την άμεση δημόσια έκθεση RDP.

Στη συνέχεια, επιβεβαιώστε ότι η NLA είναι ενεργοποιημένη, απαιτήστε MFA, ενημερώστε τα συστήματα που είναι εκτεθειμένα στο διαδίκτυο, ελέγξτε τις ομάδες διαχειριστών και περιορίστε τους κανόνες του τείχους προστασίας. Ελέγξτε ότι οι κανονικοί απομακρυσμένοι χρήστες δεν μπορούν να τροποποιήσουν τα αντίγραφα ασφαλείας και ερευνήστε τις επαναλαμβανόμενες αποτυχίες σύνδεσης.

Τυποποίηση Πρόσβασης και Σκληραγώγηση Διακομιστή

Διαχωρίστε τους καθημερινούς και προνομιακούς λογαριασμούς, ελέγξτε τους εργολάβους και τους λογαριασμούς υπηρεσιών, και επιλέξτε πρόσβαση σε επίπεδο πύλης ή εφαρμογής όπου είναι κατάλληλο. Ρυθμίστε αξιόπιστα πιστοποιητικά, περιορίστε την ανακατεύθυνση, τμηματοποιήστε την κρίσιμη υποδομή και κεντροποιήστε τα αρχεία καταγραφής.

Καταγράψτε αυτούς τους ελέγχους ως βάση. Οι νέοι διακομιστές και οι ομάδες χρηστών θα πρέπει να ακολουθούν την ίδια σχεδίαση αντί να ασφαλίζονται διαφορετικά κάθε φορά.

Καθιερώστε Συνεχείς Επιχειρήσεις Ασφαλείας

Η ασφάλεια της απομακρυσμένης πρόσβασης εξασθενεί όταν το λογισμικό, οι άδειες και οι πολιτικές δεν αναθεωρούνται. Δημιουργήστε επαναλαμβανόμενες διαδικασίες για την εφαρμογή διορθώσεων, τις αναθεωρήσεις λογαριασμών, την ανανέωση πιστοποιητικών, τις δοκιμές αποκατάστασης αντιγράφων ασφαλείας, τους ελέγχους τείχους προστασίας και την έρευνα ειδοποιήσεων.

Συμπεριλάβετε βασικές ασκήσεις αντίκτυπου περιστατικών. Ο στόχος είναι να καταστήσουμε δυσκολότερη την μη εξουσιοδοτημένη πρόσβαση, να περιορίσουμε έναν παραβιασμένο λογαριασμό και να ανιχνεύσουμε ύποπτη δραστηριότητα αρκετά νωρίς ώστε να ανταποκριθούμε.

Πώς μπορείτε να επικυρώσετε την ασφάλεια της απομακρυσμένης πρόσβασης;

Η διαμόρφωση θα πρέπει να δοκιμάζεται αντί να θεωρείται ασφαλής. Από ένα εξωτερικό δίκτυο, επαληθεύστε ότι οι εσωτερικοί RDP διακομιστές δεν μπορούν να επικοινωνηθούν άμεσα και ότι οι χρήστες πρέπει να περάσουν από την εγκεκριμένη πύλη, VPN ή διαδικτυακή πύλη.

Δοκιμάστε αντιπροσωπευτικούς λογαριασμούς, συμπεριλαμβανομένου ενός τυπικού υπαλλήλου, διαχειριστή, εργολάβου, αναπήρου χρήστη και χρήστη σε μη εγκεκριμένη συσκευή. Κάθε λογαριασμός θα πρέπει να έχει πρόσβαση στους απαιτούμενους πόρους αλλά τίποτα ευρύτερο.

Δοκιμάστε τους περιορισμούς του clipboard και του δίσκου, επιβεβαιώστε ότι οι συνδέσεις παράγουν τα αναμενόμενα γεγονότα και επαληθεύστε ότι οι ειδοποιήσεις φτάνουν στον υπεύθυνο διαχειριστή. Τέλος, προσομοιώστε την αποκατάσταση από προστατευμένα αντίγραφα ασφαλείας. Οι δοκιμές αποκατάστασης συχνά αποκαλύπτουν κενά που παραλείπουν οι ανασκοπήσεις διαμόρφωσης.

Συνηθισμένα λάθη ασφαλείας στην απομακρυσμένη πρόσβαση

Πολλές επαναλαμβανόμενες λάθος ενέργειες αποδυναμώνουν διαφορετικά λογικές ελέγχους:

• Θεωρώντας ένα VPN ως πλήρη προστασία αντί να περιορίζει το τι μπορούν να προσεγγίσουν οι συνδεδεμένοι χρήστες
• Εξαρτώμενοι μόνο από το κλείδωμα λογαριασμού χωρίς MFA, ελέγχους πηγής ή παρακολούθηση
• Δίνοντας σε κάθε χρήστη μια πλήρη επιφάνεια εργασίας όταν μια δημοσιευμένη εφαρμογή είναι επαρκής
• Επιτρέποντας κοινές λογαριασμούς διαχειριστή
• Αφήνοντας αποσυνδεδεμένες συνεδρίες να τρέχουν επ' αόριστον
• Υποθέτοντας ότι η αλλαγή της θύρας RDP παρέχει ουσιαστική προστασία
• Διατηρώντας τα αντίγραφα ασφαλείας προσβάσιμα με τα ίδια διαπιστευτήρια που χρησιμοποιούνται για τη διαχείριση του διακομιστή

Κάθε λάθος αυξάνει είτε την πιθανότητα παραβίασης είτε τον πιθανό αντίκτυπο. Η διόρθωσή τους συνήθως απαιτεί καλύτερο σχεδιασμό πρόσβασης παρά μια μόνο τεχνική ρύθμιση.

Πώς το TSplus ενισχύει την απομακρυσμένη πρόσβαση

Για τις ΜΜΕ που λειτουργούν με Windows, Υπηρεσίες Απομακρυσμένης Επιφάνειας Εργασίας ή διακομιστές εφαρμογών, TSplus Προηγμένη Ασφάλεια μπορεί να προσθέσει κεντρική προστασία κατά επιθέσεων brute-force, γεωγραφικούς και περιορισμούς ωρών εργασίας, ελέγχους τείχους προστασίας, διαχείριση δικαιωμάτων, κανόνες αξιόπιστης συσκευής, επιλογές ασφαλούς συνεδρίας, ειδοποιήσεις και προστασία από ransomware με βάση τη συμπεριφορά.

Αυτές οι δυνατότητες ενισχύουν ένα ευρύτερο πρόγραμμα ασφάλειας απομακρυσμένης πρόσβασης αντί να το αντικαθιστούν. Η MFA, η ενημέρωση, ο κατακερματισμός, η προστασία τερματικών και τα δοκιμασμένα αντίγραφα ασφαλείας θα πρέπει να παραμείνουν μέρος της αρχιτεκτονικής.

Συμπέρασμα

Η ασφάλεια της απομακρυσμένης πρόσβασης για τις ΜΜΕ εξαρτάται από τον έλεγχο της πλήρους διαδρομής από το εξωτερικό σημείο εισόδου μέχρι τον διακομιστή και τα δεδομένα του. Οι επιχειρήσεις θα πρέπει να αφαιρούν την άμεση δημόσια έκθεση RDP, να επιβάλλουν ισχυρή αυθεντικοποίηση, να περιορίζουν τα προνόμια, να προστατεύουν τα σημεία τερματισμού, να ενισχύουν τους διακομιστές Windows και να διατηρούν ανακτήσιμα αντίγραφα ασφαλείας.

Μια πολυεπίπεδη προσέγγιση δίνει σε μικρότερες ομάδες IT μια πρακτική ισορροπία. Μειώνει την πιθανότητα να εκτεθεί το ευρύτερο περιβάλλον από έναν κλεμμένο κωδικό πρόσβασης, μια μη διαχειριζόμενη συσκευή ή ένα μη ενημερωμένο στοιχείο.