)
)
परिचय
रिमोट एक्सेस छोटे और मध्यम आकार के व्यवसायों को हाइब्रिड कार्य का समर्थन करने, विंडोज सर्वर का प्रबंधन करने, व्यावसायिक अनुप्रयोगों को बनाए रखने और कार्यालय के बाहर से उपयोगकर्ताओं की सहायता करने में मदद करता है। वही कनेक्शन कंपनी के सिस्टम में सीधे मार्ग भी बना सकते हैं जब रिमोट डेस्कटॉप प्रोटोकॉल इंटरनेट पर उजागर होता है, क्रेडेंशियल चुराए जाते हैं या सर्वर खराब तरीके से बनाए रखे जाते हैं।
एक सुरक्षित डिज़ाइन केवल एक सेटिंग, एक वीपीएन या एक मजबूत पासवर्ड पर निर्भर नहीं हो सकता। एसएमबी को कई नियंत्रणों की आवश्यकता होती है जो एक साथ काम करते हैं, छोटे आईटी टीम के लिए प्रबंधनीय रहते हैं और जब एक परत विफल होती है तो नुकसान को सीमित करते हैं। उद्देश्य एक उद्यम-स्तरीय सुरक्षा स्टैक बनाना नहीं है। इसका उद्देश्य अनावश्यक जोखिम को कम करना, सटीक रूप से पहुंच को नियंत्रित करना और संदिग्ध गतिविधि का पता लगाना है इससे पहले कि यह एक व्यापक घटना बन जाए।
SMBs के लिए रिमोट एक्सेस सुरक्षा क्या है?
रिमोट एक्सेस सुरक्षा उन तकनीकों, नीतियों और संचालन प्रथाओं का संयोजन है जो स्थानीय नेटवर्क के बाहर से पहुंची गई प्रणालियों की सुरक्षा के लिए उपयोग की जाती हैं। कर्मचारी, प्रशासक, ठेकेदार और समर्थन प्रदाता सभी को रिमोट कनेक्टिविटी की आवश्यकता हो सकती है, लेकिन उन्हें समान पहुंच दायरा प्राप्त नहीं करना चाहिए या समान नियंत्रणों का उपयोग नहीं करना चाहिए।
Windows-आधारित SMB के लिए, सुरक्षा मॉडल तीन परतों को कवर करता है:
- एक्सेस पथ, जिसमें रिमोट डेस्कटॉप प्रोटोकॉल (RDP), रिमोट डेस्कटॉप गेटवे (RD गेटवे), वर्चुअल प्राइवेट नेटवर्क (VPNs) और वेब पोर्टल शामिल हैं
- उपयोगकर्ता और उपकरण, जिसमें पहचान सत्यापन, विशेषताएँ और एंडपॉइंट स्वास्थ्य शामिल हैं
- सर्वर और संसाधन, जिसमें पैचिंग, विभाजन, निगरानी और पुनर्प्राप्ति शामिल हैं
ये परतें एक-दूसरे पर निर्भर करती हैं। एक RD गेटवे एक समझौता किए गए प्रशासक खाते की भरपाई नहीं कर सकता, जबकि बहु-कारक प्रमाणीकरण (MFA) एक बिना पैच किए गए सर्वर को ठीक नहीं करता। इसलिए CISA संगठनों को सलाह देती है कि जब आवश्यक न हो तो रिमोट डेस्कटॉप सेवाओं को बंद कर दें और जब संचालन उन पर निर्भर करते हैं तो उन्हें सख्ती से सुरक्षित करें।
छोटे और मध्यम व्यवसायों के लिए रिमोट एक्सेस सुरक्षा क्यों कठिन है?
SMBs को कई समान चीजों की आवश्यकता होती है उन्नत सुरक्षा बड़े संगठनों के रूप में नियंत्रण करते हैं लेकिन अक्सर उनके पास कम प्रशासक, छोटे बजट और निरंतर समीक्षा के लिए कम समय होता है। कई ढीले एकीकृत कंसोल में फैला हुआ एक डिज़ाइन कागज पर सुरक्षित लग सकता है लेकिन व्यावहारिक रूप से बनाए रखना मुश्किल हो सकता है।
सुविधा जब आर्किटेक्चर को प्रभावित करती है, तो जोखिम भी बढ़ता है। सामान्य उदाहरणों में एक Windows सर्वर पर सीधे RDP को अग्रेषित करना, ठेकेदारों को व्यापक VPN पहुंच देना, दैनिक उपयोगकर्ता खातों को प्रशासनिक विशेषाधिकार रखने की अनुमति देना या पूर्व कर्मचारी खातों को सक्रिय छोड़ना शामिल हैं।
हमलावरों को हमेशा एक उन्नत RDP शोषण की आवश्यकता नहीं होती। वे निम्नलिखित के माध्यम से सफल हो सकते हैं:
- पासवर्ड स्प्रेइंग या क्रेडेंशियल स्टफिंग
- फिशिंग या मैलवेयर के माध्यम से चुराए गए क्रेडेंशियल्स
- अद्यतन न किए गए गेटवे, वीपीएन उपकरण या विंडोज सर्वर
- अधिकृत खातों और unmanaged उपकरणों
- कमजोर बैकअप सुरक्षा
- वैध RDP सत्रों का उपयोग पार्श्व आंदोलन के लिए किया जाता है
रिमोट एक्सेस सुरक्षा इसलिए एक दोहराने योग्य प्रक्रिया के रूप में कार्य करना चाहिए न कि एक बार की चेकलिस्ट के रूप में। नियंत्रणों को लगातार लागू करना आसान होना चाहिए, नियमित रूप से समीक्षा करना चाहिए और जब उपयोगकर्ता, उपकरण या व्यावसायिक अनुप्रयोग बदलते हैं तो समायोजित करना चाहिए।
SMBs को RDP एक्सेस को सुरक्षित कैसे करना चाहिए?
जहां आवश्यक न हो, RDP बंद करें
सबसे सुरक्षित RDP सेवा वह है जो बिना व्यावसायिक आवश्यकता के नहीं चल रही है। उन इन्वेंटरी सिस्टम्स पर जिन पर Remote Desktop सक्षम है और पुष्टि करें कि प्रत्येक सिस्टम दूरस्थ सत्रों को क्यों स्वीकार करता है।
फाइल सर्वर, डोमेन कंट्रोलर और कर्मचारी कार्यस्थानों को स्वचालित रूप से RDP की अनुमति नहीं देनी चाहिए क्योंकि यह सेटिंग तैनाती के दौरान सक्षम की गई थी। अनावश्यक होस्ट पर सेवा को बंद करें, अप्रचलित फ़ायरवॉल नियमों को हटा दें और समय-समय पर जांचें कि इसे फिर से सक्षम नहीं किया गया है।
Microsoft अनुशंसा करता है कि Remote Desktop को केवल आवश्यक होने पर सक्षम किया जाए और इसे विश्वसनीय नेटवर्क तक सीमित किया जाए। RDP को सक्षम करने से एक सुनने वाली सेवा बनती है, और स्थानीय Administrators समूह के सदस्यों को स्वचालित रूप से पहुंच मिल सकती है जब तक कि अनुमतियों की समीक्षा नहीं की जाती।
RDP को एक नियंत्रित प्रवेश बिंदु के पीछे रखें
सार्वजनिक TCP पोर्ट 3389 को एक आंतरिक Windows कंप्यूटर पर अग्रेषित करना आसान है, लेकिन यह RDP प्रमाणीकरण सेवा को इंटरनेट स्कैनिंग और बार-बार लॉगिन प्रयासों के लिए उजागर करता है। पोर्ट बदलने से बुनियादी स्कैनर शोर कम हो सकता है, लेकिन यह एक महत्वपूर्ण सुरक्षा सीमा नहीं बनाता।
बाहरी RDP ट्रैफ़िक को एक नियंत्रित पहुँच परत के माध्यम से गुजरना चाहिए। उपयुक्त विकल्पों में शामिल हैं:
- एक आरडी गेटवे
- एक सुरक्षित रूप से कॉन्फ़िगर किया गया वीपीएन
- एक जीरो-ट्रस्ट या पहचान-सचेत पहुंच सेवा
- एक दूरस्थ अनुप्रयोग प्रकाशन मंच
- प्रबंधित जंप होस्ट प्रशासकों के लिए
एक RD गेटवे बाहरी RDP ट्रैफ़िक को HTTPS के माध्यम से ले जाता है और प्रशासकों को कनेक्शन और संसाधन प्राधिकरण नीतियों को लागू करने की अनुमति देता है। आंतरिक RDP होस्ट तब गेटवे से कनेक्शन स्वीकार कर सकते हैं न कि मनमाने सार्वजनिक पते से।
प्रवेश बिंदु को आवश्यक दायरे से मेल खाना चाहिए। एक वीपीएन उन प्रशासकों के लिए उपयुक्त हो सकता है जिन्हें कई निजी संसाधनों की आवश्यकता होती है, जबकि एप्लिकेशन प्रकाशन उन कर्मचारियों के लिए बेहतर हो सकता है जिन्हें केवल एक व्यावसायिक एप्लिकेशन की आवश्यकता होती है।
NLA, विश्वसनीय प्रमाणपत्र और MFA का उपयोग करें
नेटवर्क स्तर प्रमाणीकरण (NLA) उपयोगकर्ताओं को पूर्ण रिमोट डेस्कटॉप सत्र बनाने से पहले प्रमाणीकरण करने की आवश्यकता होती है। यह संसाधन उपयोग को कम करता है और इंटरैक्टिव साइन-इन स्क्रीन के प्रदर्शन को सीमित करता है। NLA को सक्षम रखें जब तक कि कोई प्रलेखित संगतता समस्या इसे रोक न दे।
रिमोट डेस्कटॉप सेवाएँ भी निर्भर करती हैं विश्वसनीय परिवहन परत सुरक्षा प्रमाणपत्र एन्क्रिप्शन डेटा को ट्रांजिट में सुरक्षित करता है, जबकि प्रमाणपत्र मान्यता यह पुष्टि करती है कि उपयोगकर्ता इच्छित सर्वर से कनेक्ट हो रहे हैं। प्रमाणपत्र की समाप्ति की निगरानी करें और चेतावनियों की जांच करें, बजाय इसके कि उपयोगकर्ताओं को उन्हें नजरअंदाज करना सिखाएं।
MFA को RDP होस्ट तक पहुँचने से पहले बाहरी प्रवेश बिंदु की सुरक्षा करनी चाहिए। प्रशासकों के लिए, सुरक्षा कुंजियों, पासकी, प्रमाणपत्रों या Windows Hello for Business जैसे फ़िशिंग-प्रतिरोधी तरीकों को प्राथमिकता दें। RD गेटवे और अन्य रिमोट एक्सेस प्लेटफ़ॉर्म समर्थित पहचान सेवाओं के माध्यम से MFA को लागू कर सकते हैं।
लॉगिन और सत्र पुनर्निर्देशन को नियंत्रित करें
खाता लॉकआउट पासवर्ड अनुमान लगाने को धीमा कर सकता है, लेकिन कम थ्रेशोल्ड हमलावरों को वैध उपयोगकर्ताओं को ब्लॉक करने की अनुमति दे सकते हैं। एक बेहतर दृष्टिकोण MFA को संयोजित करता है, स्रोत-आईपी अवरोधन या थ्रॉटलिंग , असामान्य विफलताओं के लिए अलर्ट, व्यवसाय की आवश्यकताओं के अनुसार पासवर्ड स्क्रीनिंग और लॉकआउट नीतियाँ।
सत्र शुरू होने के बाद, पुनर्निर्देशन सुविधाएँ डेटा को एंडपॉइंट और सर्वर के बीच स्थानांतरित कर सकती हैं। क्लिपबोर्ड साझा करना, स्थानीय ड्राइव मैपिंग, प्रिंटिंग और डिवाइस पुनर्निर्देशन को एक वैश्विक नीति के बजाय उपयोगकर्ता भूमिकाओं का पालन करना चाहिए।
एक वित्त उपयोगकर्ता को स्थानीय ड्राइव एक्सेस के बिना प्रिंटिंग की आवश्यकता हो सकती है, जबकि एक ठेकेदार को क्लिपबोर्ड ट्रांसफर के बिना एक प्रकाशित एप्लिकेशन की आवश्यकता हो सकती है। इन सेटिंग्स को समूह नीति या रिमोट एक्सेस प्लेटफॉर्म के माध्यम से कॉन्फ़िगर करें, फिर केवल वही अनुमति दें जो प्रत्येक भूमिका की आवश्यकता है।
SMBs दूरस्थ उपयोगकर्ताओं और खातों की सुरक्षा कैसे कर सकते हैं?
विशिष्ट और मानक पहुंच को अलग करें
प्रशासकों को ईमेल, वेब ब्राउज़िंग या नियमित एप्लिकेशन कार्य के लिए विशेषाधिकार प्राप्त खातों का उपयोग नहीं करना चाहिए। प्रत्येक आईटी कर्मचारी को दैनिक कार्यों के लिए एक मानक खाता और प्रशासन के लिए एक अलग नामित खाता दें।
यह विभाजन जवाबदेही को बढ़ाता है और ऑफबोर्डिंग को सरल बनाता है। व्यक्तिगत विशेषाधिकार प्राप्त खाते दिखाते हैं कि किसने कार्रवाई की, पहुंच को रद्द करना आसान बनाते हैं और संदिग्ध गतिविधि होने पर स्पष्ट जांच का समर्थन करते हैं।
दूरस्थ उपयोगकर्ताओं को केवल इसलिए स्थानीय व्यवस्थापक अधिकार नहीं मिलने चाहिए क्योंकि उन्हें एक डेस्कटॉप या एप्लिकेशन की आवश्यकता है। दूरस्थ डेस्कटॉप उपयोगकर्ताओं का समूह साइन-इन की अनुमति दे सकता है बिना सर्वर के व्यापक नियंत्रण को प्रदान किए।
संसाधन द्वारा न्यूनतम विशेषाधिकार लागू करें
रिमोट एक्सेस को उस संसाधन को दर्शाना चाहिए जिसकी एक व्यक्ति को आवश्यकता है, न कि केवल यह कि व्यक्ति कंपनी के लिए काम करता है या नहीं। कर्मचारी, ठेकेदार, प्रबंधक और प्रशासक अक्सर विभिन्न दायरे की आवश्यकता होती है।
उदाहरण के लिए:
- कर्मचारियों को एक या दो प्रकाशित अनुप्रयोगों की आवश्यकता हो सकती है।
- प्रबंधकों को एक नियंत्रित साझा डेस्कटॉप की आवश्यकता हो सकती है।
- प्रशासकों को चयनित सर्वर कंसोल की आवश्यकता हो सकती है।
- ठेकेदारों को एक निश्चित परियोजना अवधि के लिए एक आवेदन की आवश्यकता हो सकती है।
- समर्थन प्रदाताओं को विशिष्ट मशीनों तक अस्थायी पहुंच की आवश्यकता हो सकती है।
हर दूरस्थ उपयोगकर्ता को एक पूर्ण डेस्कटॉप या नेटवर्क टनल देना समझौते के बाद उपलब्ध फ़ाइलों, उपकरणों और कनेक्शन पथों की संख्या को बढ़ाता है। जब व्यावसायिक आवश्यकता एक पूर्ण डेस्कटॉप या निजी नेटवर्क कनेक्शन को उचित नहीं ठहराती है, तो एप्लिकेशन-स्तरीय पहुंच अक्सर अधिक सुरक्षित होती है।
पासवर्ड और खाता जीवनचक्र नियंत्रण को मजबूत करें
पासवर्ड नीति को लंबे, अद्वितीय क्रेडेंशियल, पासवर्ड प्रबंधकों और ज्ञात समझौता किए गए मूल्यों के खिलाफ स्क्रीनिंग को प्राथमिकता देनी चाहिए। पूर्वानुमानित जटिलता नियम अक्सर मजबूत पासवर्ड के बजाय छोटे भिन्नताएँ उत्पन्न करते हैं।
NIST मार्गदर्शन लंबाई, ब्लॉक सूचियों और सुरक्षित पासवर्ड प्रबंधन पर जोर देता है न कि नियमित मजबूर परिवर्तनों पर। सेवा खातों और आपातकालीन व्यवस्थापक खातों की निकटता से समीक्षा की आवश्यकता है क्योंकि उनके शक्तिशाली क्रेडेंशियल्स को नजरअंदाज करना आसान है।
कनेक्ट रिमोट अनुमतियों को एक जॉइनर, मूवर और लीवर प्रक्रिया से जोड़ें। समीक्षाओं में पूर्व कर्मचारियों, निष्क्रिय उपयोगकर्ताओं, समाप्त ठेकेदारों, अनावश्यक विशेषाधिकारों और इंटरैक्टिव रूप से लॉग ऑन करने की अनुमति वाले सेवा खातों को हटाना चाहिए। अस्थायी पहुंच को संभवतः स्वचालित रूप से समाप्त हो जाना चाहिए।
एंडपॉइंट सुरक्षा और उपयोगकर्ता जागरूकता पर विचार करें
यहां तक कि एक वैध उपयोगकर्ता भी एक से जोखिम पैदा कर सकता है संक्रमित या प्रबंधित न किया गया उपकरण एक दूरस्थ लैपटॉप पर मैलवेयर क्रेडेंशियल्स को कैप्चर कर सकता है, गतिविधि की निगरानी कर सकता है या प्रमाणीकरण के बाद क्लिपबोर्ड और ड्राइव रीडायरेक्शन का दुरुपयोग कर सकता है।
कंपनी-प्रबंधित एंडपॉइंट्स को समर्थित ऑपरेटिंग सिस्टम, डिस्क एन्क्रिप्शन, एंडपॉइंट सुरक्षा, स्क्रीन-लॉक नीतियों और प्रतिबंधित व्यवस्थापक अधिकारों पर चलाना चाहिए। व्यक्तिगत उपकरणों के लिए, ब्राउज़र-आधारित पहुंच या प्रतिबंधित सत्र व्यवसाय डेटा को सर्वर पर रख सकते हैं।
प्रशिक्षण को उन स्थितियों पर ध्यान केंद्रित करना चाहिए जिनका उपयोगकर्ता सामना करते हैं, जिसमें अप्रत्याशित MFA संकेत, नकली समर्थन कॉल, दुर्भावनापूर्ण RDP फ़ाइलें और क्रेडेंशियल अनुरोध शामिल हैं। उपयोगकर्ताओं को एक सरल रिपोर्टिंग प्रक्रिया की भी आवश्यकता है।
SMBs को Remote Access Servers की सुरक्षा कैसे करनी चाहिए?
हमले की सतह को पैच और कम करें
पैचिंग को पूर्ण रिमोट एक्सेस श्रृंखला को कवर करना चाहिए, न कि केवल विंडोज सत्र होस्ट। इंटरनेट-फेसिंग घटकों में वीपीएन उपकरण, गेटवे, पहचान सेवाएं, रिवर्स प्रॉक्सी, वेब पोर्टल और प्रबंधन कंसोल शामिल हो सकते हैं।
बाहरी रूप से पहुंच योग्य सिस्टम का एक इन्वेंटरी रखें, अपडेट की जिम्मेदारी सौंपें और सक्रिय रूप से शोषित कमजोरियों के लिए एक आपातकालीन प्रक्रिया बनाए रखें। होस्ट फ़ायरवॉल को केवल आवश्यक ट्रैफ़िक की अनुमति देनी चाहिए, जबकि RD गेटवे के पीछे आंतरिक RDP होस्ट सामान्यतः केवल गेटवे या अनुमोदित प्रबंधन नेटवर्क से कनेक्शन स्वीकार करना चाहिए।
अप्रयुक्त सेवाओं, पुरानी प्रोटोकॉल और अनावश्यक प्रबंधन उपकरणों को हटा दें। प्रत्येक अतिरिक्त घटक हमले की सतह और रखरखाव के बोझ को बढ़ाता है।
महत्वपूर्ण प्रणालियों से दूरस्थ पहुंच खंड
एक सफल रिमोट लॉगिन को हर सर्वर के लिए अनियंत्रित मार्ग प्रदान नहीं करना चाहिए। नेटवर्क विभाजन सत्र होस्ट और व्यावसायिक अनुप्रयोगों को प्रबंधन प्रणालियों, डोमेन नियंत्रकों और बैकअप अवसंरचना से अलग कर सकता है।
प्रशासनिक ट्रैफ़िक को व्यावहारिक रूप से समर्पित प्रबंधन पथों का उपयोग करना चाहिए। एक उपयोगकर्ता सत्र होस्ट, उदाहरण के लिए, डोमेन नियंत्रक, हाइपरवाइज़र इंटरफ़ेस या बैकअप कंसोल तक बिना किसी प्रतिबंध के पहुंच प्रदान नहीं करनी चाहिए।
सेगमेंटेशन एक खाते, डिवाइस या सर्वर के समझौते के समय पार्श्व आंदोलन को सीमित करता है। यह पहुंच नीति को भी स्पष्ट बनाता है क्योंकि प्रत्येक दूरस्थ उपयोगकर्ता समूह को अपनी भूमिका के लिए आवश्यक नेटवर्क पहुंच ही मिलती है।
मैलवेयर और रैनसमवेयर के लिए तैयार रहें
रिमोट डेस्कटॉप सुरक्षा अनधिकृत साइन-इन को ब्लॉक करने से अधिक शामिल है। एक वैध उपयोगकर्ता गलती से मैलवेयर चला सकता है, जबकि एक हमलावर जिसके पास मान्य क्रेडेंशियल्स हैं, एक सामान्य सत्र के माध्यम से रैनसमवेयर तैनात कर सकता है।
इसलिए सर्वरों को एंडपॉइंट सुरक्षा और व्यवहारिक निगरानी की आवश्यकता होती है जो संदिग्ध प्रक्रियाओं, तेज़ फ़ाइल परिवर्तनों और सुरक्षा नियंत्रणों को निष्क्रिय करने के प्रयासों का पता लगा सके। एप्लिकेशन नियंत्रण और भी सीमित कर सकता है कि उपयोगकर्ता कौन से निष्पादन योग्य और स्क्रिप्ट लॉन्च कर सकते हैं।
बैकअप आवश्यक हैं, लेकिन उन्हें सामान्य दूरस्थ उपयोगकर्ताओं और समझौता किए गए प्रशासक खातों की पहुंच से परे रहना चाहिए। कई पुनर्प्राप्ति बिंदुओं का उपयोग करें, एक अलग या अपरिवर्तनीय प्रति, समर्पित क्रेडेंशियल, बैकअप प्रबंधन के लिए MFA और नियमित पुनर्स्थापन परीक्षण करें।
एक सफल बैकअप कार्य पुनर्प्राप्ति की गारंटी नहीं देता। परीक्षण करें कि क्या अनुप्रयोग, डेटा और कॉन्फ़िगरेशन को उस पुनर्प्राप्ति समय के भीतर पुनर्स्थापित किया जा सकता है जिसकी व्यवसाय को वास्तव में आवश्यकता है।
लॉग और अलर्ट केंद्रीकृत करें
लॉग केवल तब मदद करते हैं जब वे उपलब्ध रहते हैं और कोई उन्हें समीक्षा करता है। गेटवे, फ़ायरवॉल, प्रमाणीकरण और सर्वर घटनाओं को केंद्रीय रूप से इकट्ठा करें जहाँ संभव हो।
Windows सिस्टम पर, घटना 4624 सफल लॉगिन को रिकॉर्ड करती है और घटना 4625 असफल प्रयासों को रिकॉर्ड करती है। बार-बार असफलताओं, पासवर्ड स्प्रेइंग, अपरिचित व्यवस्थापक स्थानों, नए उपकरणों, अक्षम लॉगिंग या तेज़ फ़ाइल हटाने पर अलर्ट करें।
एक छोटे व्यवसाय को सुरक्षा संचालन केंद्र की आवश्यकता नहीं हो सकती है, लेकिन इसे उच्च प्राथमिकता वाले अलर्ट के लिए एक नामित प्राप्तकर्ता और एक स्पष्ट वृद्धि प्रक्रिया की आवश्यकता है।
कौन सा Remote Access आर्किटेक्चर एक SMB के लिए उपयुक्त है?
सबसे सुरक्षित व्यावहारिक आर्किटेक्चर आमतौर पर सबसे संकीर्ण विकल्प होता है जो उपयोगकर्ता के काम का समर्थन करता है।
| पहुँच विधि | उचित उपयोग | मुख्य सुरक्षा विचार |
|---|---|---|
| आंतरिक RDP | विश्वसनीय प्रबंधन नेटवर्क से स्थानीय प्रशासन | सार्वजनिक इंटरनेट से अनुपलब्ध रखें |
| VPN के बाद RDP | कई निजी-नेटवर्क संसाधनों की आवश्यकता वाले उपयोगकर्ता | MFA का उपयोग करें और पहुंच योग्य नेटवर्क को सीमित करें |
| RD गेटवे | RDS डेस्कटॉप या अनुप्रयोगों के लिए प्रबंधित बाहरी पहुंच | गेटवे को पैच करें और प्रमाणपत्रों, MFA और प्राधिकरण नीतियों को लागू करें |
| ब्राउज़र या एप्लिकेशन प्रकाशन | चुनिंदा Windows अनुप्रयोगों की आवश्यकता वाले उपयोगकर्ता | प्रकाशित संसाधनों की सीमा निर्धारित करें और वेब प्रवेश बिंदु को सुरक्षित करें |
| प्रशासनिक जंप होस्ट | चुने हुए सर्वरों तक विशेष पहुंच | होस्ट को अलग करें और कनेक्शनों को कड़ी सीमित करें |
| VDI या DaaS | व्यक्तिगत रूप से प्रबंधित डेस्कटॉप वातावरण | सुरक्षित पहचानें, चित्र, प्रबंधन प्लेटफार्म और क्लाउड सेटिंग्स |
आर्किटेक्चर को कार्यभार का पालन करना चाहिए। सुविधा के लिए सीधे सार्वजनिक RDP का चयन नहीं किया जाना चाहिए, और जब यह उपयोगकर्ता की आवश्यकता से अधिक नेटवर्क पहुंच प्रदान करता है, तो VPN को लागू नहीं किया जाना चाहिए। एप्लिकेशन प्रकाशन सामान्य उपयोगकर्ताओं के लिए जोखिम को कम कर सकता है, जबकि प्रशासकों को एक मजबूत गेटवे या जंप होस्ट की आवश्यकता हो सकती है।
एक SMB को सबसे पहले क्या सुरक्षित करना चाहिए?
SMBs तीन चरणों में रिमोट एक्सेस सुरक्षा में सुधार कर सकते हैं।
तत्काल जोखिम कम करें
हर इंटरनेट-फेसिंग RDP, VPN, गेटवे और रिमोट प्रबंधन सेवा की पहचान करें। किसी भी अनावश्यक चीज़ को बंद करें और सीधे सार्वजनिक RDP एक्सपोजर को हटा दें।
फिर पुष्टि करें कि NLA सक्षम है, MFA की आवश्यकता है, इंटरनेट-फेसिंग सिस्टम को पैच करें, प्रशासक समूहों की समीक्षा करें और फ़ायरवॉल नियमों को संकीर्ण करें। यह सुनिश्चित करें कि सामान्य रिमोट उपयोगकर्ता बैकअप को संशोधित नहीं कर सकते और बार-बार लॉगिन विफलताओं की जांच करें।
एकीकृत पहुंच और सर्वर हार्डनिंग
दैनिक और विशेषाधिकार प्राप्त खातों को अलग करें, ठेकेदारों और सेवा खातों की समीक्षा करें, और जहां उपयुक्त हो, गेटवे या अनुप्रयोग-स्तरीय पहुंच चुनें। विश्वसनीय प्रमाणपत्रों को कॉन्फ़िगर करें, पुनर्निर्देशन को प्रतिबंधित करें, महत्वपूर्ण बुनियादी ढांचे को विभाजित करें और लॉग को केंद्रीकृत करें।
इन नियंत्रणों को एक आधार रेखा के रूप में दस्तावेज़ित करें। नए सर्वर और उपयोगकर्ता समूहों को हर बार अलग से सुरक्षित करने के बजाय समान डिज़ाइन का पालन करना चाहिए।
निरंतर सुरक्षा संचालन स्थापित करें
रिमोट एक्सेस सुरक्षा कमजोर होती है जब सॉफ़्टवेयर, अनुमतियाँ और नीतियों की समीक्षा नहीं की जाती है। पैचिंग, खाता समीक्षाओं, प्रमाणपत्र नवीनीकरण, बैकअप पुनर्स्थापन परीक्षण, फ़ायरवॉल जांच और अलर्ट जांच के लिए आवर्ती प्रक्रियाएँ स्थापित करें।
बुनियादी घटना-प्रतिक्रिया अभ्यास शामिल करें। लक्ष्य अनधिकृत पहुंच को कठिन बनाना, एक समझौता किए गए खाते को नियंत्रित करना और संदिग्ध गतिविधि का जल्दी पता लगाना है ताकि प्रतिक्रिया दी जा सके।
आप रिमोट एक्सेस सुरक्षा को कैसे मान्य कर सकते हैं?
एक कॉन्फ़िगरेशन का परीक्षण किया जाना चाहिए न कि इसे सुरक्षित माना जाए। एक बाहरी नेटवर्क से, यह सत्यापित करें कि आंतरिक RDP होस्ट सीधे संपर्क नहीं किए जा सकते और उपयोगकर्ताओं को अनुमोदित गेटवे, VPN या वेब पोर्टल के माध्यम से गुजरना होगा।
परीक्षण प्रतिनिधि खातों, जिसमें एक मानक कर्मचारी, प्रशासक, ठेकेदार, विकलांग उपयोगकर्ता और एक अप्रूव्ड डिवाइस पर उपयोगकर्ता शामिल हैं। प्रत्येक खाते को आवश्यक संसाधनों तक पहुंच प्राप्त करनी चाहिए लेकिन कुछ भी व्यापक नहीं।
क्लिपबोर्ड और ड्राइव प्रतिबंधों का परीक्षण करें, पुष्टि करें कि कनेक्शन अपेक्षित घटनाएँ उत्पन्न करते हैं और यह सुनिश्चित करें कि अलर्ट जिम्मेदार प्रशासक तक पहुँचते हैं। अंत में, सुरक्षित बैकअप से पुनर्प्राप्ति का अनुकरण करें। पुनर्प्राप्ति परीक्षण अक्सर उन अंतरालों को उजागर करते हैं जिन्हें कॉन्फ़िगरेशन समीक्षाएँ छोड़ देती हैं।
सामान्य रिमोट एक्सेस सुरक्षा गलतियाँ
कई बार-बार होने वाली गलतियाँ अन्यथा उचित नियंत्रणों को कमजोर करती हैं:
- एक वीपीएन को पूर्ण सुरक्षा के रूप में मानना, न कि यह सीमित करना कि जुड़े हुए उपयोगकर्ता क्या पहुंच सकते हैं
- केवल MFA, स्रोत नियंत्रण या निगरानी के बिना खाता लॉकआउट पर निर्भर रहना
- हर उपयोगकर्ता को एक पूर्ण डेस्कटॉप देना जब एक प्रकाशित एप्लिकेशन पर्याप्त हो।
- साझा प्रशासक खातों की अनुमति देना
- अविराम रूप से अज्ञात सत्रों को चलने देना
- RDP पोर्ट बदलने से महत्वपूर्ण सुरक्षा मिलती है ऐसा मानते हुए
- सर्वर प्रशासन के लिए उपयोग किए गए समान क्रेडेंशियल्स के साथ बैकअप को सुलभ रखना
हर गलती से या तो समझौते की संभावना बढ़ती है या संभावित प्रभाव। उन्हें सही करने के लिए आमतौर पर एकल तकनीकी सेटिंग के बजाय बेहतर पहुंच डिज़ाइन की आवश्यकता होती है।
कैसे TSplus दूरस्थ पहुंच को मजबूत करता है
Windows पर काम करने वाले SMBs के लिए, Remote Desktop Services या एप्लिकेशन सर्वर, TSplus उन्नत सुरक्षा केंद्रीकृत सुरक्षा जोड़ सकते हैं जो ब्रूट-फोर्स हमलों, भौगोलिक और कार्य समय प्रतिबंधों, फ़ायरवॉल नियंत्रण, अनुमति प्रबंधन, विश्वसनीय डिवाइस नियम, सुरक्षित सत्र विकल्प, अलर्ट और व्यवहारिक रैंसमवेयर सुरक्षा के खिलाफ सुरक्षा प्रदान करती है।
ये क्षमताएँ एक व्यापक रिमोट एक्सेस सुरक्षा कार्यक्रम को मजबूत करती हैं, न कि इसे प्रतिस्थापित करती हैं। MFA, पैचिंग, विभाजन, एंडपॉइंट सुरक्षा और परीक्षण किए गए बैकअप आर्किटेक्चर का हिस्सा बने रहना चाहिए।
निष्कर्ष
एसएमबी के लिए रिमोट एक्सेस सुरक्षा बाहरी प्रवेश बिंदु से सर्वर और इसके डेटा तक के पूरे पथ को नियंत्रित करने पर निर्भर करती है। व्यवसायों को सीधे सार्वजनिक RDP एक्सपोजर को हटाना चाहिए, मजबूत प्रमाणीकरण लागू करना चाहिए, विशेषाधिकारों को सीमित करना चाहिए, एंडपॉइंट्स की सुरक्षा करनी चाहिए, विंडोज सर्वरों को मजबूत करना चाहिए और पुनर्प्राप्त करने योग्य बैकअप बनाए रखना चाहिए।
एक परतदार दृष्टिकोण छोटे आईटी टीमों को एक व्यावहारिक संतुलन प्रदान करता है। यह इस संभावना को कम करता है कि एक चुराया गया पासवर्ड, एक unmanaged डिवाइस या एक unpatched घटक व्यापक वातावरण को उजागर कर सकता है।
)
)
)
