Daftar Periksa Penguatan RDP 2026: Amankan Remote Desktop

Pengantar

Strategi penguatan RDP yang efektif dimulai dengan menanyakan apakah Protokol Desktop Jarak Jauh harus diaktifkan sama sekali. Ketika RDP diperlukan, administrator harus membatasi dari mana koneksi berasal, melindungi kredensial, mengurangi hak istimewa sesi, dan memverifikasi bahwa setiap kontrol berfungsi seperti yang diinginkan di seluruh workstation, server mandiri, lingkungan domain, dan penyebaran Layanan Desktop Jarak Jauh.

Apa itu Penguatan RDP?

Penguatan RDP adalah proses mengurangi permukaan serangan yang terkait dengan Protokol Desktop Jarak Jauh sambil mempertahankan akses yang dibutuhkan oleh pengguna dan administrator yang sah. Ini menggabungkan konfigurasi Windows, kontrol jaringan, perlindungan identitas, pembatasan sesi, pemeliharaan, dan pemantauan.

Penguatan tidak terbatas pada mengubah port 3389 atau mengaktifkan aturan firewall. Administrator harus mengevaluasi sistem mana yang menerima koneksi, dari mana pengguna terhubung, akun mana yang diizinkan, bagaimana autentikasi bekerja, dan sumber daya mana yang dapat bergerak melalui sesi.

CISA merekomendasikan menonaktifkan layanan yang berisiko dan tidak perlu , termasuk RDP, di mana mereka tidak diperlukan. Keputusan penguatan pertama adalah apakah perangkat benar-benar perlu mengeksposnya.

Apa yang Harus Disertakan dalam Daftar Periksa Penguatan RDP?

Gunakan daftar periksa ini sebagai audit cepat sebelum meninjau setiap kontrol secara rinci. Konfigurasi yang tepat harus mencerminkan peran sistem, populasi pengguna, dan arsitektur jaringan.

Prioritas	Kontrol penguatan RDP	Keadaan yang diharapkan
Kritis	Nonaktifkan RDP di tempat yang tidak perlu	Hanya sistem yang disetujui yang menerima sesi jarak jauh
Kritis	Mencegah paparan langsung ke internet	Koneksi menggunakan gateway, VPN, bastion, atau daftar putih
Kritis	Perkuat otentikasi	NLA dan MFA melindungi akses jarak jauh
Kritis	Batasi pengguna RDP	Hanya akun dan grup yang disetujui yang dapat terhubung
Tinggi	Lindungi lalu lintas dan kredensial	Sertifikat TLS yang tepercaya dan kontrol kredensial yang sesuai digunakan
Tinggi	Batasi kemampuan sesi	Pengalihan, waktu tidak aktif, dan sesi terputus mengikuti kebijakan
Tinggi	Perkuat host Windows	Sistem dipatch, tersegmentasi, dan memiliki hak akses minimal
Tinggi	Monitor aktivitas RDP	Logs terpusat dan perilaku mencurigakan menghasilkan peringatan
Operasional	Uji dan tinjau baseline	Akses, pemblokiran, pemulihan, dan penyimpangan konfigurasi divalidasi

Kontrol ini membentuk dasar berlapis. Bagian berikut menjelaskan cara menerapkan dan memvalidasi setiap area.

Bagaimana Anda Harus Mengurangi Paparan RDP?

Nonaktifkan RDP pada Sistem yang Tidak Membutuhkannya

Jangan biarkan Remote Desktop diaktifkan hanya karena mungkin berguna di kemudian hari. Workstation, server backend, dan host aplikasi yang tidak dikelola melalui RDP seharusnya tidak menerima sesi jarak jauh.

Gunakan Kebijakan Grup untuk mencegah koneksi masuk baru:

Konfigurasi Komputer > Template Administratif > Komponen Windows > Layanan Desktop Jarak Jauh > Host Sesi Desktop Jarak Jauh > Koneksi > Izinkan pengguna untuk terhubung secara jarak jauh dengan menggunakan Layanan Desktop Jarak Jauh

Setelah menonaktifkan RDP, hapus aturan firewall yang usang, pemetaan NAT, entri grup keamanan cloud, dan konfigurasi port-forwarding. Pemeriksaan lokal dapat mengidentifikasi pendengar yang aktif:

Get-NetTCPConnection -LocalPort 3389 -State Listen -ErrorAction SilentlyContinue

Hasil kosong tidak membuktikan bahwa host tidak dapat dijangkau dari setiap jaringan. Validasi perubahan dengan pemindaian eksternal dan tinjauan firewall.

Hindari Menerbitkan Port 3389 Secara Langsung ke Internet

Seorang pendengar RDP publik dapat ditemukan dan menjadi target dengan penyemprotan kata sandi, pengisian kredensial, dan pemindaian kerentanan. Kata sandi yang kuat dan Autentikasi Tingkat Jaringan meningkatkan keamanan, tetapi tidak menghilangkan risiko yang ditimbulkan oleh layanan yang terhubung ke internet tanpa batas.

Sebuah praktis skor risiko Remote Desktop dapat membantu administrator untuk mengidentifikasi layanan yang terpapar, otentikasi yang lemah, dan akses yang terlalu luas sebelum memilih kontrol korektif.

Tempatkan akses eksternal di belakang lapisan kontrol yang sesuai, seperti:

• RD Gateway
• VPN yang aman dengan baik
• Bastion atau host loncat
• Layanan akses Zero Trust
• Gerbang akses jarak jauh berbasis browser
• Akses firewall tepat waktu
• Daftar putih sumber-IP yang ketat

Lokasi administratif yang tetap mungkin cocok untuk daftar putih, sementara staf mobile biasanya memerlukan gerbang yang sadar identitas. RD Gateway dapat menyediakan titik masuk yang dikelola dan terintegrasi dengan Network Policy Server dan autentikasi multifaktor Microsoft Entra, menjaga host RDP internal agar tidak dipublikasikan secara langsung.

Batasi Aturan Firewall RDP

Aturan firewall masuk seharusnya tidak menerima lalu lintas dari setiap alamat kecuali ada pembatasan efektif lain di depannya. Batasi administrasi internal hanya untuk jaringan manajemen, kolam VPN, atau host loncat yang ditunjuk.

Untuk sistem cloud, tinjau baik Firewall Windows maupun kontrol jaringan penyedia. Aturan Windows yang ketat masih dapat dirusak oleh paparan yang lebih luas di tempat lain.

RDP umumnya menggunakan TCP dan dapat menggunakan UDP untuk meningkatkan kinerja transportasi. Saat mengubah port yang mendengarkan, buat aturan TCP dan UDP yang sesuai dan uji setiap jalur koneksi yang didukung.

Apakah Anda Harus Mengubah Port RDP Default?

Mengubah port 3389 dapat mengurangi kebisingan pemindaian dasar, tetapi tidak meningkatkan otentikasi, enkripsi, atau otorisasi. Pemindai yang gigih masih dapat menemukan layanan tersebut.

Anggap port kustom sebagai langkah operasional opsional. Dokumentasikan nilai baru, perbarui pemantauan dan aturan firewall, dan uji semua klien. Microsoft menyimpan pengaturan pendengar di bawah:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

Diperlukan restart setelah mengubah PortNumber nilai.

Bagaimana Anda Harus Menguatkan Autentikasi RDP?

Aktifkan Otentikasi Tingkat Jaringan

Autentikasi Tingkat Jaringan mengharuskan pengguna untuk melakukan autentikasi sebelum Windows membuat sesi jarak jauh penuh. Ini mengurangi konsumsi sumber daya yang tidak terautentikasi dan menempatkan penghalang autentikasi sebelum layar logon interaktif.

Aktifkan kebijakan berikut:

Konfigurasi Komputer > Template Administratif > Komponen Windows > Layanan Desktop Jarak Jauh > Host Sesi Desktop Jarak Jauh > Keamanan > Memerlukan otentikasi pengguna untuk koneksi jarak jauh dengan menggunakan Otentikasi Tingkat Jaringan

NLA seharusnya tetap diaktifkan. Menonaktifkan sementara dapat membantu pemecahan masalah yang terkontrol, tetapi mengganti klien yang usang lebih disukai daripada melemahkan dasar secara permanen.

Memerlukan Autentikasi Multifaktor

NLA bukan autentikasi multifaktor. Ini memindahkan autentikasi lebih awal dalam proses koneksi tetapi mungkin masih bergantung pada nama pengguna dan kata sandi.

MFA harus melindungi jalur RDP yang dapat diakses secara eksternal dan administrasi jarak jauh yang memiliki hak istimewa. Implementasinya tergantung pada arsitektur. Lingkungan RDS tradisional umumnya menerapkan MFA melalui RD Gateway, Network Policy Server, Microsoft Entra ID, dan ekstensi NPS. Lingkungan lain mungkin menggunakan agen server, gateway Zero Trust, atau platform akses jarak jauh.

Rencanakan MFA di sekitar pendaftaran, pemulihan, akun layanan, pemadaman, pencatatan, dan proses break-glass yang dilindungi. Akun darurat harus tetap dikendalikan dengan ketat.

Batasi Siapa yang Dapat Masuk Melalui RDP

Gunakan grup khusus alih-alih memberikan akses secara luas melalui keanggotaan Administrator lokal. Tinjau kebijakan ini:

Konfigurasi Komputer > Pengaturan Windows > Pengaturan Keamanan > Kebijakan Lokal > Penugasan Hak Pengguna

Dua pengaturan yang paling relevan adalah:

• Izinkan masuk melalui Layanan Desktop Jarak Jauh
• Tolak masuk melalui Layanan Desktop Jarak Jauh

Kebijakan penolakan memiliki prioritas. Tinjau penugasan dengan cermat untuk menghindari pemblokiran administrator yang sah.

Daftar keanggotaan lokal dengan:

Get-LocalGroupMember -Group "Pengguna Desktop Jarak Jauh"  
Get-LocalGroupMember -Group "Administrator"

Pada sistem yang terhubung ke domain, tinjau grup bersarang dan hapus mantan karyawan, vendor sementara, akun layanan, dan grup luas yang tidak lagi memerlukan akses interaktif.

Pisahkan Akun Administratif dan Standar

Administrator tidak boleh menggunakan identitas istimewa untuk email, browsing, atau pekerjaan sehari-hari. Sediakan akun terpisah untuk administrasi RDP dan batasi tempat identitas tersebut dapat masuk.

Akun Domain Admin dan akun setara tidak boleh digunakan di server anggota biasa dan workstation. Jika host dengan kepercayaan lebih rendah terkompromi, kredensial atau token akses dari sesi administratif dapat mendukung pergerakan lateral.

Windows LAPS dapat mengelola dan mencadangkan kata sandi administrator lokal unik di sistem Windows yang didukung. Ini menghindari penggunaan kembali satu kata sandi istimewa di beberapa mesin.

Lindungi Kredensial dengan Remote Credential Guard

Remote Credential Guard melindungi kredensial selama koneksi RDP langsung yang didukung dengan mengalihkan permintaan Kerberos ke perangkat klien. Kredensial dan turunannya tidak dikirim ke host jarak jauh, mengurangi risiko pencurian dari tujuan yang terkompromi.

Kontrol ini memerlukan Kerberos dan klien serta host Windows yang didukung. Ini tidak didukung untuk koneksi melalui RD Gateway atau Broker Koneksi Desktop Jarak Jauh, jadi administrator harus memvalidasi kompatibilitas dengan jalur akses yang sebenarnya.

Gunakan Kebijakan Kata Sandi Modern dan Penguncian

Akun yang dapat membuka sesi RDP memerlukan kata sandi yang kuat dan unik. Pedoman NIST saat ini menekankan kata sandi yang panjang, penyaringan kata sandi yang terkompromi, dan perubahan setelah dugaan kompromi daripada aturan komposisi yang sewenang-wenang dan rotasi rutin. Gabungkan frasa sandi yang panjang, MFA, penyimpanan yang aman, dan penghapusan kredensial yang dibagikan atau default.

Konfigurasikan ambang batas dan durasi penguncian sebagai bagian dari strategi perlindungan terhadap serangan brute-force RDP yang memperlambat penebakan otomatis tanpa menciptakan kondisi penolakan layanan yang mudah. Dasarkan pengaturan pada volume serangan, kapasitas pemantauan, dan kebutuhan dukungan.

Bagaimana Anda Harus Mengamankan Enkripsi RDP dan Sertifikat?

Memerlukan Lapisan Keamanan yang Sesuai

RDP dapat menggunakan Transport Layer Security untuk mengautentikasi server dan melindungi koneksi. Menurut Microsoft Learn, sertifikat mengamankan penyebaran Layanan Desktop Jarak Jauh dan koneksi antara peran server RDS.

Tinjau kebijakan ini:

Konfigurasi Komputer > Template Administratif > Komponen Windows > Layanan Desktop Jarak Jauh > Host Sesi Desktop Jarak Jauh > Keamanan > Memerlukan penggunaan lapisan keamanan tertentu untuk koneksi jarak jauh

Gunakan sertifikat yang subjek atau nama alternatif subjeknya cocok dengan nama host yang dimasukkan pengguna. Klien harus mempercayai otoritas sertifikat yang menerbitkan dan tidak boleh dilatih untuk mengabaikan peringatan identitas.

Kebijakan tingkat enkripsi koneksi klien berlaku untuk enkripsi RDP asli, bukan sesi yang dilindungi dengan SSL/TLS. Pantau pembaruan dan pengikatan sertifikat karena sertifikat yang kedaluwarsa atau ditugaskan secara tidak benar dapat membuat pendengar atau gerbang yang diperkuat tidak tersedia.

Fitur Sesi RDP Mana yang Harus Anda Batasi?

Nonaktifkan Pengalihan Perangkat dan Sumber Daya yang Tidak Perlu

RDP dapat mengalihkan sumber daya lokal ke dalam sesi jarak jauh. Fitur-fitur ini meningkatkan produktivitas tetapi juga menciptakan jalur untuk malware, transfer file, dan kehilangan data.

Tinjau apakah pengguna benar-benar memerlukan akses clipboard, pemetaan drive lokal, printer, perangkat USB, perekaman audio, kamera, kartu pintar, atau pengalihan otentikasi web.

Kebijakan terletak di bawah:

Konfigurasi Komputer > Template Administratif > Komponen Windows > Layanan Desktop Jarak Jauh > Host Sesi Desktop Jarak Jauh > Pengalihan Perangkat dan Sumber Daya

Microsoft menyediakan kontrol untuk pemetaan drive dan transfer clipboard satu arah. Misalnya, administrator dapat mengizinkan teks biasa sambil memblokir konten yang lebih kaya atau menonaktifkan transfer dalam satu arah.

Jangan menonaktifkan setiap fitur tanpa pengujian. Server pengiriman aplikasi mungkin memerlukan pengalihan printer, sementara host lompat yang memiliki hak istimewa mungkin tidak memerlukan transfer clipboard atau drive.

Mencegah Penyimpanan Kata Sandi di Tempat yang Tepat

Kredensial RDP yang disimpan meningkatkan paparan pada workstation administrator dan endpoint yang dibagikan. Gunakan kebijakan klien:

Konfigurasi Komputer > Template Administratif > Komponen Windows > Layanan Desktop Jarak Jauh > Klien Koneksi Desktop Jarak Jauh > Jangan izinkan kata sandi disimpan

Saat diaktifkan, opsi penyimpanan kata sandi dinonaktifkan dan kata sandi yang disimpan dihapus dari file RDP. Pasangkan kontrol ini dengan proses manajemen kredensial yang disetujui.

Konfigurasi Batas Sesi Menganggur dan Terputus

Menutup jendela RDP tidak selalu mengeluarkan pengguna. Aplikasi mungkin tetap aktif dan sesi dapat dilanjutkan nanti.

Atur batas di bawah:

Konfigurasi Komputer > Template Administratif > Komponen Windows > Layanan Desktop Jarak Jauh > Host Sesi Desktop Jarak Jauh > Batas Waktu Sesi

Atur nilai yang sesuai untuk sesi tidak aktif, sesi terputus, durasi aktif maksimum, dan logoff RemoteApp. Hindari satu waktu habis yang agresif di setiap beban kerja, karena logoff paksa dapat mengganggu pekerjaan atau pekerjaan yang belum disimpan.

Sistem yang memiliki hak istimewa biasanya membenarkan batas waktu yang lebih pendek dibandingkan dengan server aplikasi yang mendukung proses bisnis yang berjalan lama. Kebijakan Windows yang lebih baru juga dapat memutuskan sesi jarak jauh ketika sesi terkunci.

Bagaimana Anda Harus Menguatkan Host Windows?

Jaga agar Server dan Klien RDP Terupdate

Keamanan RDP tergantung pada kedua sisi koneksi. Server yang telah diperbaiki mungkin masih dapat diakses dari workstation administrator yang terkompromi, sementara klien yang usang dapat terpapar saat terhubung ke host yang berbahaya.

Lebih luas tinjauan postur endpoint harus juga mencakup cakupan administrator lokal, kredensial yang disimpan, dan perlindungan endpoint aktif sebelum host disetujui untuk akses jarak jauh.

Pertahankan versi Windows, Windows Server, klien Remote Desktop, peran RDS, komponen identitas, gerbang akses, dan agen keamanan endpoint yang didukung. Utamakan pembaruan yang mempengaruhi eksekusi kode jarak jauh, otentikasi, dan penanganan kredensial.

Uji pembaruan terhadap aplikasi yang representatif, pencetakan, pengalihan, dan alur kerja otentikasi. Pengujian kompatibilitas tidak boleh menjadi alasan untuk membiarkan sistem kritis tidak diperbarui tanpa batas waktu.

Sistem RDP Segmen

Sesi RDP yang terautentikasi seharusnya tidak secara otomatis memberikan akses ke setiap subnet internal. Gunakan segmentasi jaringan dan firewall host untuk mengontrol apa yang dapat dijangkau oleh server RDP setelah login.

Pisahkan host loncat administratif, Host Sesi RD, pengontrol domain, server file, server basis data, infrastruktur cadangan, antarmuka manajemen, dan workstation pengguna jika diperlukan.

Terapkan pembatasan keluar ketika peran server mengizinkannya. Jika seorang penyerang mengkompromikan sesi RDP, segmentasi dapat membatasi pergerakan lateral, akses ke cadangan, dan komunikasi dengan infrastruktur perintah eksternal.

Hapus Perangkat Lunak dan Hak Akses yang Tidak Perlu

Setiap layanan, aplikasi, dan alat manajemen yang diinstal pada host RDP memperluas lingkungan yang harus dipatch dan dipantau.

Hapus aplikasi usang, fitur Windows yang tidak terpakai, dan agen yang ditinggalkan. Batasi instalasi perangkat lunak, PowerShell, alat baris perintah, dan antarmuka administratif sesuai dengan peran server.

Untuk server aplikasi multi-pengguna, kontrol aplikasi dan izin sistem file yang ketat dapat mencegah satu pengguna mengakses data pengguna lain atau meluncurkan eksekusi yang tidak disetujui.

Bagaimana Anda Harus Memantau Aktivitas RDP?

Aktifkan dan Pusatkan Audit Windows

Log lokal berguna untuk pemecahan masalah tetapi tidak cukup jika penyerang dapat mengubah atau menghapus bukti setelah mengkompromikan server. Kirimkan peristiwa penting ke SIEM, Pengumpul Acara Windows, atau platform pencatatan yang dilindungi lainnya.

Kumpulkan setidaknya:

• Logon yang berhasil dan gagal
• Kunci akun
• Perubahan keanggotaan grup
• Akun pengguna baru atau yang dimodifikasi
• Pembuatan dan pemutusan sesi jarak jauh
• Perubahan Firewall
• Instalasi layanan
• Penugasan hak istimewa
• Peringatan keamanan endpoint

Keamanan peristiwa 4624 dan 4625 mencatat logon yang berhasil dan gagal. Untuk analisis RDP, periksa jenis logon, akun, workstation, dan informasi jaringan sumber. Logon interaktif jarak jauh biasanya diidentifikasi sebagai jenis logon 10.

Log operasional Layanan Terminal menambahkan konteks sesi, sementara peristiwa 4779 mencatat pemutusan dari stasiun Windows.

Peringatan tentang Perilaku, Bukan Hanya Kegagalan Individu

Satu kata sandi yang gagal mungkin merupakan kesalahan pengguna. Aturan deteksi harus mencari pola seperti banyak kegagalan dari satu alamat, satu sumber yang menguji beberapa nama pengguna, kegagalan di beberapa server, atau login yang berhasil setelah kegagalan berulang.

Sinyal berguna juga mencakup akses dari negara baru, penggunaan istimewa di luar jam normal, aktivitas akun yang tidak aktif, keanggotaan grup baru diikuti oleh RDP, penonaktifan alat keamanan, atau enkripsi file yang tidak biasa. Sebuah solusi keamanan canggih dapat membantu memusatkan deteksi ini dan mengotomatiskan respons terhadap perilaku RDP yang mencurigakan. Ambang batas harus mencerminkan perilaku normal dan model operasi organisasi.

Siapkan Prosedur Tanggap Insiden RDP

Penguatan tidak dapat menjamin bahwa tidak ada akun atau server yang akan terkompromi. Administrator memerlukan proses respons yang terdokumentasi sebelum peringatan terjadi.

Prosedur harus mencakup isolasi, pemblokiran IP yang bermusuhan, pengaturan ulang akun, pencabutan sesi, pelestarian log, pemeriksaan sistem tetangga, tinjauan ketahanan, pemulihan tepercaya, dan revalidasi baseline.

Pertahankan konsol, kontrol cloud, atau jalur pemulihan di luar jalur. Jika tidak, perubahan firewall atau Kebijakan Grup yang salah dapat membuat administrator tidak dapat mengakses server selama insiden.

Bagaimana Anda Dapat Memvalidasi Baseline Penguatan RDP?

Pengaturan tidak diterapkan hanya karena muncul dalam Objek Kebijakan Grup. Konfirmasikan bahwa kebijakan yang dimaksud mencapai perangkat target dan menghasilkan hasil yang diharapkan.

Perintah yang berguna meliputi:

gpresult /h C:\Temp\RDP-Policy.html

Get-NetFirewallRule -DisplayGroup "Remote Desktop" |

    Select-Object DisplayName, Enabled, Direction, Action

Get-LocalGroupMember -Group "Remote Desktop Users"

Test-NetConnection server.example.com -Port 3389

Validasi harus mencakup kasus yang berhasil dan tidak berhasil. Konfirmasi bahwa pengguna yang disetujui dapat terhubung, pengguna dan sumber yang tidak sah diblokir, MFA muncul, sertifikat dipercaya, pembatasan pengalihan tetap aktif dan batas sesi berfungsi.

Verifikasi bahwa pencatatan pusat menerima upaya yang berhasil dan gagal serta bahwa administrator dapat menggunakan jalur pemulihan. Uji perubahan yang membatasi pada sistem yang representatif, dan catat pengecualian dengan pemilik dan tanggal kedaluwarsa.

Seberapa Sering Anda Harus Meninjau Daftar Periksa Penguatan RDP?

Tinjau baseline setelah pembaruan Windows besar, perubahan jaringan, migrasi identitas, penyebaran RDS baru, dan insiden keamanan. Jadwalkan tinjauan formal sesuai dengan profil risiko organisasi.

Di antara ulasan, perhatikan pergeseran konfigurasi, termasuk RDP yang diaktifkan kembali, aturan firewall publik baru, pengguna Remote Desktop yang ditambahkan, NLA yang dinonaktifkan, sertifikat yang kedaluwarsa, server yang tidak terpantau, pengecualian MFA, pengalihan yang baru diaktifkan, dan akun vendor yang usang.

Manajemen konfigurasi otomatis dapat mendeteksi deviasi ini lebih andal daripada pemeriksaan manual yang sesekali.

Perkuat Perlindungan RDP dengan TSplus

Kontrol Windows asli menyediakan dasar untuk penguatan RDP. TSplus Advanced Security menambahkan perlindungan terpusat untuk Windows dan server Remote Desktop, termasuk pemblokiran brute-force otomatis, pembatasan geografis, perlindungan ransomware, kontrol perangkat tepercaya, kebijakan jam kerja, dan perlindungan IP berbahaya.

Kontrol ini dapat memperkuat dasar dengan merespons secara otomatis terhadap perilaku yang bermusuhan dan mempersempit di mana, kapan, dan bagaimana pengguna jarak jauh terhubung. Mereka tidak menggantikan penguatan Windows, tetapi dapat menyederhanakan penegakan dan pemantauan di berbagai sistem.

Kesimpulan

Penerapan RDP yang aman dimulai dengan menghapus pendengar yang tidak perlu dan menghindari paparan langsung ke internet. Sistem yang masih memerlukan RDP harus menggabungkan NLA, MFA, hak pengguna terbatas, sertifikat TLS tepercaya, perlindungan kredensial, pengalihan terbatas, pemeliharaan, segmentasi, dan pemantauan terpusat.

Garis dasar akhir harus sesuai dengan peran masing-masing sistem. Server administrasi internal, mesin virtual cloud, Host Sesi RD multi-pengguna, dan lingkungan akses kontraktor tidak memerlukan kontrol yang identik. Dokumentasikan konfigurasi yang dipilih, uji terhadap alur kerja nyata, dan tinjau setiap pengecualian secara berkala.