یک کامپیوتر که از طریق Remote Desktop در معرض خطر است چقدر امن است؟

چرا دسکتاپ‌های از راه دور به امنیت قوی نیاز دارند؟

دسکتاپ از راه دور به طور خودکار ناامن نیست، اما مانند هر حالت اتصال از راه دور، هرگز ایمن‌تر از سیستمی که در اطراف آن است، نیست. برای مدیران سیستم، سوال درست این نیست که آیا دسکتاپ از راه دور به طور انتزاعی ایمن است یا خیر. سوال درست این است که آیا نقطه پایانی، مسیر نمایان شدن شبکه و کنترل‌های حساب به اندازه کافی قوی هستند تا از آن پشتیبانی کنند.

این چارچوب اهمیت دارد زیرا راهنمایی‌های فعلی مایکروسافت هنوز امنیت Remote Desktop را حول احراز هویت سطح شبکه (NLA)، دروازه RD، گواهی‌های TLS و MFA متمرکز می‌کند و نه حول قرار گرفتن مستقیم در معرض عمومی. با این حال، سازمان امنیت سایبری و امنیت زیرساخت‌های ارتباطی و راهنمایی‌های مشابه به طور مداوم سازمان‌ها را به غیرفعال کردن دسترسی RDP غیرقابل استفاده، محدود کردن خدمات پرخطر و اجرای MFA ترغیب می‌کند زیرا دسترسی از راه دور در معرض خطر همچنان یک مسیر نفوذ رایج است. با این حال، ما فکر می‌کنیم کارهای بیشتری باید انجام شود.

کدام سه بررسی اولیه ریسک دسکتاپ از راه دور را تعیین می‌کنند؟

ریسک نقطه پایانی

ریسک نقطه پایانی وضعیت خود ماشین است. یک ایستگاه کاری ویندوز که به طور کامل وصله شده و دارای حفاظت نقطه پایانی مدرن، حقوق محدود مدیر و رفتار کنترل شده در جلسه است، در موقعیت بسیار متفاوتی نسبت به یک سرور قدیمی با دسترسی گسترده مدیر محلی و اعتبارنامه‌های منقضی قرار دارد. دسکتاپ‌های از راه دور امن با یک میزبان که قبلاً قابل دفاع است، قبل از شروع هر جلسه از راه دور آغاز می‌شوند.

ریسک قرارگیری در معرض شبکه

ریسک قرارگیری در شبکه به قابلیت دسترسی مربوط می‌شود. اگر یک سطح ورود به طور مستقیم از اینترنت قابل دسترسی باشد، ماشین در معرض اسکن، حدس زدن رمز عبور و تلاش‌های بهره‌برداری قرار می‌گیرد. اگر همان میزبان تنها از طریق یک VPN، یک RD Gateway یا یک لایه دسترسی به شدت مدیریت شده قابل دسترسی باشد، ریسک به طور قابل توجهی تغییر می‌کند. مایکروسافت به طور صریح RD Gateway را به عنوان راهی برای ارائه دسترسی رمزگذاری شده از طریق HTTPS بدون باز کردن پورت‌های داخلی RDP معرفی می‌کند.

ریسک حساب

ریسک حساب به کیفیت هویت و امتیاز مربوط می‌شود. یک میزبان امن به سرعت ناامن می‌شود زمانی که ورودهای از راه دور به رمزهای عبور تکراری، حساب‌های مدیر غیرفعال یا مجوزهای گسترده وابسته باشد. راهنمای برنامه‌ریزی RDS مایکروسافت همچنان MFA را به عنوان یک کنترل اصلی برای دسترسی امن از راه دور در نظر می‌گیرد، به ویژه زمانی که دسترسی از طریق RD Gateway واسطه‌گری می‌شود.

چرا پاسخ برای یک کامپیوتر خانگی، ایستگاه کاری اداری، سرور یا مزرعه و زیرساخت‌های بزرگتر تغییر می‌کند؟

کامپیوترهای خانگی

یک رایانه خانگی معمولاً شعاع انفجار کمتری نسبت به یک سرور تولید دارد، اما اغلب به طور کمتری مدیریت می‌شود. روترهای مصرف‌کننده، فورواردینگ پورت غیررسمی، رمزهای عبور محلی ضعیف و وصله‌گذاری نامنظم می‌توانند یک سیستم خانگی را به طرز شگفت‌انگیزی در معرض خطر قرار دهند. خطر اصلی معمولاً پیکربندی ضعیف است نه طراحی عمدی سازمانی.

ایستگاه‌های کاری اداری

یک ایستگاه کاری اداری معمولاً درون یک شبکه مدیریت شده قرار دارد، اما این خطر را از بین نمی‌برد. اگر یک حساب کاربری آسیب‌دیده بتواند به‌طور از راه دور به ایستگاه کاری دسترسی پیدا کند، ایستگاه کاری می‌تواند به نقطه محوری برای حرکت جانبی، سرقت داده یا افزایش امتیاز تبدیل شود. در عمل، نقاط پایانی اداری به هر دو مورد بهداشت نقاط پایانی و سیاست واضح دسترسی از راه دور نیاز دارند.

سرورهای ویندوز

یک سرور ویندوز بالاترین عواقب را دارد. دسترسی از راه دور به یک سرور فایل، سرور برنامه یا میزبان جلسه دسکتاپ از راه دور به این معنی است که مهاجم به داده‌های حیاتی، خدمات مشترک و ابزارهای مدیریتی نزدیک‌تر است. به همین دلیل، سرورهای RD امن به کنترل‌های هویتی سخت‌گیرانه‌تر، قرارگیری محدودتر و کنترل‌های دفاعی فعال در سطح ورود نیاز دارند.

مزارع و زیرساخت‌های بزرگ

در یک مزرعه یا زیرساخت بزرگ‌تر دسترسی از راه دور، ریسک دیگر به یک ماشین خاص محدود نیست. یک ایستگاه کاری ضعیف، یک سرور در معرض خطر یا یک حساب کاربری مدیر با مجوزهای بیش از حد می‌تواند بر کل محیطی که شامل برنامه‌های منتشر شده، سرورهای Remote Desktop، پورتال‌های وب، دروازه‌ها و سیستم‌های مدیریت پشتیبانی است، تأثیر بگذارد. برای ISVها، MSPها و تیم‌های IT سازمانی، چالش واقعی این است تداوم در بسیاری از نقاط پایانی و مسیرهای دسترسی .

این تغییرات سوال امنیتی را به دو روش انجام می‌دهد.

مشارکت مشترک

اولاً، مدیران باید به‌جای میزبان‌های جداگانه، در مورد مواجهه مشترک فکر کنند.

کنترل‌های مقیاس‌پذیر

دوم، آنها به کنترل‌هایی نیاز دارند که در محیط‌های مختلط مقیاس‌پذیر باشند، از جمله ایستگاه‌های کاری کاربر، سرورهای RD امن و سیستم‌های رو به اینترنت.

در این زمینه، محافظت از اتصالات از راه دور به معنای استانداردسازی سیاست، کاهش سطح حمله در کل دارایی و نظارت بر رفتار احراز هویت و جلسه به صورت مرکزی به جای میزبان به میزبان است.

ریسک نقطه پایانی: آیا میزبان برای دسترسی از راه دور آماده است؟

قبل از اینکه اتصالات از راه دور را محافظت کنید، تأیید کنید که آیا میزبان اصلاً شایسته‌ی افشا شدن است یا خیر. با به‌روزرسانی‌های منظم، حفاظت از نقطه پایانی، دامنه‌ی مدیر محلی و بهداشت اعتبارهای ذخیره شده شروع کنید. NLA به کاهش راه‌اندازی جلسات غیرمعتبر کمک می‌کند، اما جبران یک ماشین به‌خوبی نگهداری نشده را نمی‌کند. مایکروسافت هنوز NLA را توصیه می‌کند زیرا کاربران احراز هویت می‌کنند. قبل از برقراری یک جلسه که خطر دسترسی غیرمجاز را کاهش می‌دهد و تعهد منابع را به کاربران تأیید شده محدود می‌کند.

برای بررسی سریع نقاط پایانی، این موارد را بررسی کنید:

1. آیا سیستم‌عامل به‌طور کامل وصله‌گذاری و پشتیبانی شده است؟
2. آیا فقط کاربران مورد نیاز در گروه کاربران دسکتاپ از راه دور هستند؟
3. آیا حقوق مدیر محلی محدود شده است؟
4. آیا حفاظت از نقطه پایانی فعال و تحت نظارت است؟
5. آیا اعتبارنامه‌های کش‌شده، جلسات ذخیره‌شده و حساب‌های غیرفعال به‌طور منظم بررسی می‌شوند؟

این همچنین جایی است که TSplus Advanced Security به عنوان یک لایه سخت‌افزاری بالادستی به خوبی جا می‌گیرد. نرم‌افزار Advanced Security ما یک جعبه ابزار برای ایمن‌سازی سرورهای برنامه و Remote Desktop است. از مستندات به‌روزرسانی شده ما، ارزش دارد که برخی از ویژگی‌های مرتبط‌ترین را برجسته کنیم، یعنی Bruteforce Protection، Geographic Protection و Ransomware Protection، از جریان پیکربندی اولیه.

ریسک قرارگیری شبکه: آیا مهاجمان می‌توانند به سطح ورود دسترسی پیدا کنند؟

مواجهه مستقیم از طریق اینترنت

قرار گرفتن مستقیم RDP همچنان خطرناک‌ترین الگوی رایج است. اگر TCP 3389 از اینترنت عمومی قابل دسترسی باشد، ماشین برای اسکنرها و ترافیک حمله به روش brute-force قابل شناسایی می‌شود. CISA به طور مکرر به سازمان‌ها توصیه می‌کند که پورت‌ها و پروتکل‌های غیرضروری برای استفاده تجاری را غیرفعال کنند و به‌طور خاص پورت RDP 3389 را در چندین مشاوره تهدید و باج‌افزار نام می‌برد.

VPN، دروازه RD یا مسیر دسترسی کنترل شده

یک مسیر دسترسی کنترل شده ایمن تر است زیرا درب ورودی نمایان را محدود می کند. وضعیت فعلی مایکروسافت مروری بر RDS بیان می‌کند که RD Gateway دسترسی RDP امن و رمزگذاری شده را از طریق HTTPS از شبکه‌های خارجی بدون باز کردن پورت‌های داخلی RDP فراهم می‌کند و از MFA و سیاست‌های شرطی پشتیبانی می‌کند. این یک مدل بسیار قوی‌تر از قرار دادن RDP به‌طور مستقیم است.

TSplus Advanced Security در کجا قرار می‌گیرد؟

TSplus Advanced Security زمانی که به کنترل بیشتری بر لبه‌ی نمایان دسترسی از راه دور ویندوز نیاز دارید، بسیار مفید است. از مسدود کردن هکرها تا محافظت از Remote Desktop و سرورهای برنامه، از محدود کردن کشورهای مجاز تا سیاه‌لیست کردن IPهای خصمانه، یا پاسخگویی خودکار به رفتارهای brute-force، Advanced Security دارای دامنه‌ی حفاظتی ۳۶۰ درجه است. به عنوان مثال، مستندات آنلاین ما به طور خاص نحوه‌ی کارکرد حفاظت جغرافیایی با فایروال داخلی Advanced Security را توصیف می‌کند. در عین حال، Bruteforce Protection به طور خودکار آدرس‌های IP متخلف را پس از شکست‌های مکرر در سیاه‌لیست قرار می‌دهد.

آیا به کنترل قوی‌تری بر دسترسی از راه دور که در معرض خطر است نیاز دارید اما می‌خواهید از پیچیدگی‌های سازمانی جلوگیری کنید؟ شما می‌توانید آزمایش رایگان TSplus Advanced Security خود را آغاز کنید و بلافاصله ببینید که این نرم‌افزار چه کارهایی می‌تواند انجام دهد و همچنین در طول ۱۵ روز آینده.

ریسک حساب: چه کسی می‌تواند وارد شود و با چه امتیازی؟

اعتبارنامه

اعتبارنامه‌های ضعیف هنوز یکی از سریع‌ترین راه‌ها برای از دست دادن کنترل یک ماشین قابل دسترسی از راه دور هستند. دسترسی فقط با رمز عبور، حساب‌های مدیریتی مشترک و اعتبارنامه‌های خدمات قدیمی همه یک تنظیمات قابل مدیریت را به هدفی جذاب تبدیل می‌کنند. حتی زمانی که حمل و نقل رمزگذاری شده است، بهداشت ضعیف هویت کل طراحی را تضعیف می‌کند.

احراز هویت چندعاملی

MFA یکی از واضح‌ترین راه‌ها برای کاهش این ریسک است. راهنمای برنامه‌ریزی RDS مایکروسافت همچنان بر MFA در جریان‌های کاری امن دسکتاپ از راه دور متمرکز است و TSplus 2FA به‌طور خاص برای افزودن حداقل یک عامل دوم به دسترسی از راه دور ورودی طراحی شده است.

حداقل امتیاز

مسائل حداقل دسترسی به همان اندازه مهم است. در سرورهای RD امن، حقوق ورود از راه دور باید به گروه‌های نام‌گذاری شده محدود شود، جلسات مدیریتی باید از دسترسی‌های روزمره کاربران جدا شوند و حساب‌های غیرفعال باید غیرفعال شوند. اگر دقیقاً نمی‌دانید که چه کسی می‌تواند از راه دور وارد شود، محیط از آنچه به نظر می‌رسد ضعیف‌تر است.

قفل کردن کاربر دستگاه

برای آرامش خاطر بیشتر، ما یک لایه اضافی از حفاظت را به صورت دستگاه‌های مورد اعتماد در دسترس قرار دادیم. این ویژگی امنیت نقطه پایانی، یک نام کاربری را به دستگاه عادی آن قفل می‌کند و بدین ترتیب پاسخ سریع‌تری را در صورت گم شدن یا دزدیده شدن آن امکان‌پذیر می‌سازد.

یک خودارزیابی ۵ دقیقه‌ای برای مدیران سیستم

این بررسی سریع را قبل از اینکه فرض کنید یک دستگاه برای Remote Desktop ایمن است، انجام دهید:

1. آیا پورت ۳۳۸۹ از اینترنت عمومی قابل دسترسی است؟
2. آیا NLA در میزبان هدف فعال است؟
3. آیا دسترسی از راه دور از طریق VPN، دروازه RD یا مسیر کنترل شده دیگری واسطه‌گری می‌شود؟
4. آیا MFA برای ورودهای از راه دور اجباری است؟
5. آیا حقوق ورود از راه دور محدود به کوچکترین گروه ضروری است؟
6. آیا TSplus Advanced Security یا حفاظت معادل آن است؟ مسدود کردن حملات بروت‌فورس و فعالیت IP های مخرب؟
7. آیا میزبان وصله‌گذاری شده، تحت نظارت است و از حساب‌های کاربری با امتیاز منقضی شده خالی است؟

اگر پاسخ به سوال اول بله است و سه سوال بعدی خیر، ماشین را به عنوان ریسک بالا در نظر بگیرید.

اولین چیزی که باید اصلاح کنید

مدیران سیستم معمولاً بیشترین کاهش ریسک را از توالی دریافت می‌کنند، نه از حجم. ابتدا ترتیب کنترل‌ها را اصلاح کنید.

ابتدا با حذف هرگونه نمایش عمومی مستقیم در هر جا که ممکن است شروع کنید. سپس هویت را با MFA و دامنه‌های ورود کوچکتر تقویت کنید. پس از آن، میزبان را تقویت کرده و کنترل‌های دفاعی فعال را در اطراف سطح دسترسی از راه دور اضافه کنید.

برای بسیاری از محیط‌های SMB و بازار میانه، جایی است که TSplus Advanced Security هم عملی و هم ضروری می‌شود. این محصول برای دسترسی از راه دور ویندوز و سرورهای برنامه توسعه یافته است و مقاله مرتبط ما در مورد TSplus در اتصال امن به سایت از راه دور این موضوع را گسترش می‌دهد و همچنین توضیح می‌دهد که چرا Advanced Security لایه اصلی حفاظت برای محیط‌های دسترسی از راه دور ایمن است.

نتیجه‌گیری: امنیت دسکتاپ از بالا آغاز می‌شود

چقدر کامپیوتر شما از دسکتاپ از راه دور ایمن است، کمتر به خود دسکتاپ از راه دور بستگی دارد و بیشتر به بررسی‌های اطراف آن وابسته است. وضعیت نقطه پایانی تعیین می‌کند که آیا ماشین قابل دفاع است یا خیر. در معرض شبکه بودن تعیین می‌کند که آیا مهاجمان می‌توانند به سطح ورود دسترسی پیدا کنند یا خیر. کنترل حساب تعیین می‌کند که آیا یک ورود معتبر به یک حادثه بزرگ تبدیل می‌شود یا خیر.

این پاسخ عملی برای مدیریت سیستم است. اگر می‌خواهید اتصالات از راه دور را به خوبی محافظت کنید، با جلسه شروع نکنید. از بالا با میزبان، مسیر قرارگیری و لایه هویت شروع کنید. پس از انجام این کار، آن تصمیمات را با ابزارهایی مانند TSplus Advanced Security و دسترسی پشتیبانی شده با MFA اجرا کنید.

امروز شروع کنید با امنیت سرور IT جامع به سادگی انجام شده است .