RDP-verkkotason todennus: Asetukset, turvallisuus ja käyttötapaukset

Johdanto

Siirtyminen hybridiin työskentelyyn ja etätyöpöytäyhteyksien lisääntynyt riippuvuus tekevät turvallisten etäistuntojen varmistamisesta ensiarvoisen tärkeää. Etätyöpöytäprotokolla (RDP) on kätevä, mutta se on myös usein kyberhyökkäysten kohteena. Yksi RDP:si perussuojauksista on NLA. Opi siitä, kuinka se otetaan käyttöön ja ennen kaikkea, kuinka RDP:n verkon tason todennus (NLA) parantaa. etäkäyttö turvallisuus.

Mikä on verkkotason todennus?

Tässä osiossa käsitellään perusteita:

• NLA:n määritelmä
• Perinteisen RDP:n ja NLA:n välinen ero

NLA:n määritelmä

Verkko-tason todennus (NLA) on turvallisuuden parannus etätyöpöytäpalveluille (RDS). Se vaatii käyttäjiä todentamaan itsensä ennen etätyöpöytäistunnon luomista. Perinteinen RDP salli kirjautumisnäytön lataamisen ennen tunnistetietojen vahvistamista, mikä altisti palvelimen bruteforce-yrityksille. NLA siirtää tämän vahvistuksen istunnon neuvotteluprosessin alkuun.

Perinteisen RDP:n ja NLA:n välinen ero

Ominaisuus	Paljas RDP, ilman NLA	RDP NLA-ominaisuus käytössä
Todennus tapahtuu	Istunnon alkamisen jälkeen	Ennen istunnon alkamista
Palvelimen altistuminen	Korkea (Yhteensä)	Vähäinen
Bruteforce-suojaus	Rajoitettu	Vahva
SSO-tuki	Ei	Kyllä

Kuinka NLA toimii

NLA hyödyntää turvallisia protokollia ja kerroksellista vahvistusta suojatakseen palvelintasi muuttamalla kun ja kuinka todennus tapahtuu. Tässä on yhteysprosessin erittely:

1. Alkuperäinen pyyntö: Käyttäjä aloittaa yhteyden RDP-asiakkaan kautta.
2. Varmuuden tarkistus: Ennen istunnon alkamista asiakas käyttää Credential Security Support Provider (CredSSP) -palvelua siirtääkseen tunnistetiedot turvallisesti.
3. Turvallinen istunnon perustaminen: Jos käyttöoikeustiedot ovat voimassa, turvallinen istunto luodaan käyttämällä TLS:ää tai SSL:ää, salaten kaiken viestinnän.
4. Työpöytäistunnon aloitus: Vasta käyttäjän todentamisen jälkeen täydellinen RDP-istunto alkaa.

Mitä eroa NLA:lla on täällä?

Käydään läpi, mitä NLA:n aktivointi muuttaa RDP-yhteyspyynnöissä.

Turvattomat yhteydet alkavat ilman NLA:ta:

• RDP-palvelin lataa kirjautumisnäytön ennen tarkistetaan tunnistetiedot.
• Tämä tarkoittaa kukaan voi avata istuntoikkunan, jopa hyökkääjät.
• Palvelin käyttää resurssejaan kirjautumisliittymän näyttämiseen, jopa valtuuttamattomille käyttäjille.

Turvalliset yhteydet alkavat NLA:sta:

NLA:n kanssa vaihe 2 edellä tuli kriittiseksi.

• Ennen istuntoa, ennen kuin graafinen kirjautumisnäyttö ilmestyy, RDP-asiakkaan on annettava voimassa olevat tunnistetiedot kautta CredSSP (lue lisää yksityiskohdista).
• Jos käyttöoikeustiedot ovat virheelliset, yhteys hylätään heti, joten palvelin ei koskaan lataa istuntoa.

Siksi NLA käytännössä "siirtää" todennusvaiheen [to] verkkokerros (siksi nimi) ennen RDP alustaa etätyöpöytäympäristön. Vuorostaan NLA käyttää Windows Security Support Provider Interface (SSPI) , mukaan lukien CredSSP, integroidakseen saumattomasti verkkotunnuksen todennukseen.

Miksi verkon tason todennus on tärkeää?

RDP on ollut useiden korkean profiilin ransomware-hyökkäysten väline. NLA on elintärkeä etätyöpöytäympäristöjen suojaaminen eri turvallisuusuhilta. Se estää valtuuttamattomia käyttäjiä aloittamasta etäistuntoa, mikä vähentää riskejä, kuten bruteforce-hyökkäyksiä, palvelunestohyökkäyksiä ja etäkoodin suorittamista.

Tässä on nopea yhteenveto RDP:n turvallisuusriskeistä ilman NLA:ta:

• Brute force -hyökkäykset altistetuilla kirjautumisnäytöillä
• Palvelunestohyökkäys (DoS) todennustamaton yhteys tulvii
• Etäkoodeja suorittavien (RCE) haavoittuvuuksien
• Väärinkäyttö vuotaneiden käyttäjätunnusten/salasanojen avulla

NLA:n käyttöönotto on yksinkertainen mutta tehokas tapa minimoida nämä uhkat.

Mitä etuja NLA:n käyttöönotosta on?

Verkkotason todennus tarjoaa sekä turvallisuus- että suorituskykyetuja. Tässä on, mitä saat:

• Vahvempi todennus
• Mikä on CredSSP?
• Vähennetty hyökkäyspinta-ala
• Brute Force -puolustus
• SSO-yhteensopivuus
• Parempi palvelimen suorituskyky
• Sääntöjen mukainen

Vahvempi todennus

Verkko-tason todennus vaatii käyttäjiä vahvistamaan henkilöllisyytensä ennen kuin etätyöpöytäistunto alkaa. Tämä etulinjan vahvistus tehdään käyttämällä turvallisia protokollia, kuten CredSSP ja TLS, varmistaen, että vain valtuutetut käyttäjät pääsevät edes kirjautumiskehotteeseen. Pakottamalla tämän varhaisen vaiheen NLA vähentää merkittävästi tunkeutumisen riskiä varastetuilla tai arvatuilla tunnuksilla.

Mikä on CredSSP?

Turvallisuustukipalveluntarjoajana Credential Security Support Provider -protokolla (CredSSP) mahdollistaa sovelluksen siirtää käyttäjän tunnistetiedot asiakkaalta kohdepalvelimelle etäautentikointia varten.

Tämäntyyppinen varhainen vahvistus on linjassa kyberturvallisuuden parhaiden käytäntöjen kanssa, joita suositellaan organisaatioilta kuten Microsoft ja NIST, erityisesti ympäristöissä, joissa käsitellään arkaluonteisia tietoja tai infrastruktuuria.

Vähennetty hyökkäyspinta-ala

Ilman NLA:ta RDP-kirjautumisliittymä on julkisesti saatavilla, mikä tekee siitä helpon kohteen automatisoiduille skannauksille ja hyökkäystyökaluille. Kun NLA on käytössä, tämä liittymä on piilotettu todennuskerroksen taakse, mikä merkittävästi vähentää RDP-palvelimesi näkyvyyttä verkossa tai internetissä.

Tämä "oletusarvoisesti näkymätön" käyttäytyminen on linjassa vähäisen altistumisen periaatteen kanssa, joka on ratkaisevan tärkeää nollapäivähaavoittuvuuksien tai käyttäjätietojen täyttöhyökkäysten torjunnassa.

Brute Force -puolustus

Brute-force-hyökkäykset toimivat arvaamalla käyttäjätunnus- ja salasana-yhdistelmiä toistuvasti. Jos RDP on altistettu ilman NLA:ta, hyökkääjät voivat jatkaa yrityksiä loputtomiin käyttäen työkaluja tuhansien kirjautumisyritysten automatisoimiseen. NLA estää tämän vaatimalla voimassa olevia tunnistetietoja etukäteen, joten todennusta vailla olevia istuntoja ei koskaan sallita edetä.

Tämä ei ainoastaan neutraloi yleistä hyökkäysmenetelmää, vaan auttaa myös estämään tilin lukitsemista tai liiallista kuormitusta todennusjärjestelmissä.

SSO-yhteensopivuus

NLA tukee NT Single Sign-On (SSO) Active Directory -ympäristöissä. SSO tehostaa työnkulkuja ja vähentää kitkaa loppukäyttäjille tarjoamalla sallien heidän kirjautuvan useisiin sovelluksiin ja verkkosivustoihin kertakirjautumisella.

IT-järjestelmänvalvojille SSO-integraatio yksinkertaistaa identiteetinhallintaa ja vähentää apupyyntöjä, jotka liittyvät unohtuneisiin salasanoihin tai toistuviin kirjautumisiin, erityisesti yritysympäristöissä, joissa on tiukat pääsykäytännöt.

Parempi palvelimen suorituskyky

Ilman NLA:ta jokainen yhteydenottokoe (jopa tunnistamattomalta käyttäjältä) voi ladata graafisen kirjautumisliittymän, kuluttaen järjestelmän muistia, CPU:ta ja kaistanleveyttä. NLA poistaa tämän ylikuormituksen vaatimalla voimassa olevia tunnistetietoja ennen istunnon aloittamista.

Tuloksena palvelimet toimivat tehokkaammin, istunnot latautuvat nopeammin ja lailliset käyttäjät kokevat paremman reagointikyvyn, erityisesti ympäristöissä, joissa on paljon samanaikaisia RDP-yhteyksiä.

Sääntöjen mukainen

Modernit vaatimustenmukaisuuden kehykset (kuten GDPR, HIPAA, ISO 27001, …) edellyttävät turvallista käyttäjätunnistusta ja hallittua pääsyä arkaluontoisiin järjestelmiin. NLA auttaa täyttämään nämä vaatimukset valvomalla varhaisen vaiheen käyttöoikeustodennusta ja minimoimalla altistumisen uhille.

NLA:n käyttöönotolla organisaatiot osoittavat proaktiivista lähestymistapaa pääsynhallintaan, tietosuojaukseen ja tarkastusvalmiuteen, mikä voi olla ratkaisevaa sääntelyarvioinneissa tai turvallisuustarkastuksissa.

Miten ottaa käyttöön verkon tason todennus?

Mahdollistaminen NLA on suoraviivainen prosessi, joka voidaan saavuttaa eri menetelmillä. Tässä esitämme vaiheet NLA:n mahdollistamiseksi etätyöpöytäasetusten ja Järjestelmä- ja turvallisuusasetusten kautta.

• Windowsin asetukset
• Hallintapaneeli
• Ryhmän politiikan muokkaaja

Menetelmä 1: NLA:n aktivointi Windowsin asetusten kautta

1.        Paina Win + I avataksesi Asetukset

Siirry kohtaan Järjestelmä > Etätyöpöytä

3.        Vaihda Käynnistä Etätyöpöytä

4.        Napsauta Lisäasetuksia

5.        Tarkista "Vaadi tietokoneita käyttämään verkon tason todennusta"

Menetelmä 2: NLA:n aktivointi ohjauspaneelin kautta

1.        Avaa Ohjauspaneeli > Järjestelmä ja suojaus > Järjestelmä

2.        Napsauta Salli Etäyhteys

3.        Tarkista Etä-välilehdeltä:
Salli etäyhteydet vain tietokoneilta, joissa on NLA (suositeltavaa)

Menetelmä 3: Ryhmäkäytäntöeditori

1.        Paina Win + R, kirjoita gpedit.msc

2. Navigoi kohtaan:
Tietokoneen kokoonpano > Hallintamallit > Windows-komponentit > Etätyöpöytäpalvelut > RDSH > Tietoturva

Aseta "Vaadi käyttäjän todennus etäyhteyksille NLA:n avulla" käyttöön.

Kuinka poistaa käytöstä verkon tason todennus?

Vaikka NLA:n poistaminen käytöstä ei yleensä ole suositeltavaa turvallisuusriskeistä johtuen, voi olla erityisiä tilanteita, joissa se on tarpeen: vanhat järjestelmät, joilla ei ole CredSSP-tukea, RDP-ongelmien vianetsintä ja kolmannen osapuolen asiakasohjelmien yhteensopimattomuudet. Tässä ovat menetelmät NLA:n poistamiseksi käytöstä:

• Järjestelmän ominaisuudet
• Rekisterieditori
• Ryhmän politiikan muokkaaja

Menetelmä 1: Järjestelmäominaisuuksien käyttö

NLA:n poistaminen järjestelmäominaisuuksien kautta on suora menetelmä, joka voidaan tehdä Windows-käyttöliittymän kautta.

Vaiheittainen opas Syst Prop

1. Avaa Suorita-valintaikkuna: Paina Win + R Remote Access Solutions for Your Business [Learn more about our secure and reliable remote access solutions.] sysdm.cpl Welcome to our software products page. Here you can find a wide range of solutions for your business needs. Explore our products and find the perfect fit for your organization.
2. Pääse etäasetuksiin: Siirry "Järjestelmäominaisuudet" -ikkunassa "Etä" -välilehdelle.
3. Poista NLA käytöstä: Poista valinta kohdasta "Salli yhteydet vain tietokoneista, joissa on käytössä etätyöpöytä ja verkkotason todennus (suositeltu)".

Riskit ja harkinnat

Lisääntynyt haavoittuvuus:

NLA:n poistaminen käytöstä poistaa esisession todennuksen, altistaen verkon mahdolliselle luvattomalle pääsylle ja erilaisille kyberuhat .

Suositus:

On suositeltavaa poistaa NLA käytöstä vain, kun se on ehdottoman tarpeellista, ja toteuttaa lisäturvatoimia kompensoimaan vähentynyttä suojaa.

Menetelmä 2: Rekisterieditorin käyttö

Poista NLA käytöstä rekisterieditorin kautta, jotta voit tarjota kehittyneemmän ja manuaalisemman lähestymistavan.

Rekisterieditorin vaiheittainen opas

1. Avaa rekisterieditori: Paina Win + R Remote Access Solutions for Your Business [Learn more about our secure and reliable remote access solutions.] regedit Welcome to our software products page. Here you can find a wide range of solutions for your business needs. Explore our products and find the perfect fit for your organization.
2. Siirry kohteeseen: Mene HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp`.
3. Muokkaa arvoja: Muuta "Turvataso" ja "Käyttäjän todennus" arvoja 0 Poista NLA käytöstä.
4. Käynnistä järjestelmä uudelleen: Käynnistä järjestelmä uudelleen muutosten voimaantulon varmistamiseksi.

Riskit ja harkinnat

Manuaalinen konfigurointi:

Rekisterin muokkaaminen vaatii huolellista huomiota, sillä virheelliset muutokset voivat johtaa järjestelmän epävakauteen tai turvallisuusvajeisiin.

Varmuuskopio:

Aina varmuuskopioi rekisteri ennen muutosten tekemistä varmistaaksesi, että voit palauttaa järjestelmän edelliseen tilaansa tarvittaessa.

Menetelmä 3: Ryhmäkäytäntöeditorin käyttö

Ympäristöjen, jotka on hallinnoitu ryhmäkäytännön kautta, NLA:n poistaminen voidaan hallita keskitetysti ryhmäkäytännön muokkausohjelman kautta.

GPEditin vaiheittainen opas

1. Avaa Ryhmäkäytäntöeditori: Paina Win + R Remote Access Solutions for Your Business [Learn more about our secure and reliable remote access solutions.] gpedit.msc Welcome to our software products page. Here you can find a wide range of solutions for your business needs. Explore our products and find the perfect fit for your organization.

Siirry tietoturva-asetuksiin: Siirry kohtaan Tietokoneen kokoonpano -> Hallintamallit -> Windows-komponentit -> Etätyöpöytäpalvelut -> Etätyöpöytäistunnon isäntä -> Tietoturva.

3.        Poista NLA käytöstä: Etsi politiikka nimeltä "Vaadi käyttäjän todennus etäyhteyksille käyttämällä verkon tason todennusta" ja aseta se "Pois päältä."

Riskit ja harkinnat

Keskitetty hallinta: NLA:n poistaminen ryhmäkäytännön kautta vaikuttaa kaikkiin hallittuihin järjestelmiin, mahdollisesti lisäten turvallisuusriskiä verkossa.

Policy Implications: Varmista, että NLA:n poistaminen on linjassa organisaation tietoturvakäytäntöjen kanssa ja että vaihtoehtoiset turvatoimenpiteet ovat käytössä.

Kuinka parantaa turvallisuuttasi TSplusin avulla

TSplus tukee täysin NLA:ta Verkkotason todennus (Network Level Authentication) varmistaakseen etätyöpöydän pääsyn jokaisen istunnon alussa. Se parantaa natiivin RDP:n turvallisuutta edistyneillä ominaisuuksilla, kuten kaksivaiheisella todennuksella (Two-Factor Authentication, 2FA), IP-suodattimella, bruteforce-suojauksella ja sovellusten pääsynhallinnalla, luoden vahvan, monikerroksisen puolustusjärjestelmän.

With TSplus järjestelmänvalvojat saavat keskitetyn hallinnan yksinkertaisen verkkokonsolin kautta, mikä varmistaa turvallisen, tehokkaan ja skaalautuvan etäyhteyden. Se on ihanteellinen ratkaisu organisaatioille, jotka haluavat ylittää standardin RDP-turvallisuuden ilman lisämonimutkaisuutta tai lisenssikustannuksia.

Päätelmä

Verkkotason todennus on todistettu tapa suojata RDP-yhteyksiä etäyhteyksille pakottamalla käyttäjän ennakkotarkistus ennen istuntoa. Nykyisessä etätyöympäristössä NLA:n mahdollistaminen tulisi olla oletusaskel kaikille organisaatioille, jotka käyttävät RDP:tä. Kun se yhdistetään TSplusin kaltaisten työkalujen tarjoamiin laajennettuihin ominaisuuksiin, se tarjoaa luotettavan perustan turvalliselle ja tehokkaalle sovellusten julkaisemiselle.