Keamanan Akses Jarak Jauh untuk UKM: Praktik Terbaik RDP

Pengantar

Akses jarak jauh membantu bisnis kecil dan menengah mendukung kerja hibrida, mengelola server Windows, memelihara aplikasi bisnis, dan membantu pengguna dari luar kantor. Koneksi yang sama juga dapat menciptakan jalur langsung ke sistem perusahaan ketika Protokol Desktop Jarak Jauh diekspos ke internet, kredensial dicuri, atau server dikelola dengan buruk.

Desain yang aman tidak dapat bergantung pada satu pengaturan, VPN, atau kata sandi yang kuat saja. UKM memerlukan beberapa kontrol yang bekerja sama, tetap dapat dikelola untuk tim TI kecil, dan membatasi kerusakan ketika satu lapisan gagal. Tujuannya bukan untuk membangun tumpukan keamanan berskala perusahaan. Tujuannya adalah untuk mengurangi paparan yang tidak perlu, mengontrol akses dengan tepat, dan mendeteksi aktivitas mencurigakan sebelum menjadi insiden yang lebih luas.

Apa itu Keamanan Akses Jarak Jauh untuk UKM?

Keamanan akses jarak jauh adalah kombinasi teknologi, kebijakan, dan praktik operasional yang digunakan untuk melindungi sistem yang diakses dari luar jaringan lokal. Karyawan, administrator, kontraktor, dan penyedia dukungan mungkin semua memerlukan konektivitas jarak jauh, tetapi mereka tidak boleh menerima cakupan akses yang sama atau menggunakan kontrol yang sama.

Untuk SMB berbasis Windows, model keamanan mencakup tiga lapisan:

• Jalur akses, termasuk Protokol Desktop Jarak Jauh (RDP), Gerbang Desktop Jarak Jauh (RD Gateway), jaringan pribadi virtual (VPN), dan portal web
• Pengguna dan perangkat, termasuk verifikasi identitas, hak istimewa, dan kesehatan titik akhir
• Server dan sumber daya, termasuk pemeliharaan, segmentasi, pemantauan, dan pemulihan

Lapisan-lapisan ini saling bergantung satu sama lain. Sebuah RD Gateway tidak dapat mengkompensasi akun administrator yang terkompromi, sementara otentikasi multi-faktor (MFA) tidak memperbaiki server yang tidak diperbarui. Oleh karena itu, CISA menyarankan organisasi untuk menonaktifkan layanan desktop jarak jauh ketika tidak diperlukan dan mengamankannya secara ketat ketika operasi bergantung padanya.

Mengapa Keamanan Remote Access Sulit bagi UKM?

UKM membutuhkan banyak hal yang sama keamanan canggih mengontrol seperti organisasi yang lebih besar tetapi sering memiliki lebih sedikit administrator, anggaran yang lebih kecil, dan waktu yang lebih sedikit untuk tinjauan berkelanjutan. Desain yang tersebar di beberapa konsol yang terintegrasi secara longgar mungkin terlihat aman di atas kertas tetapi menjadi sulit untuk dipelihara dalam praktik.

Risiko juga meningkat ketika kenyamanan mendorong arsitektur. Contoh umum termasuk meneruskan RDP langsung ke server Windows, memberikan kontraktor akses VPN yang luas, memungkinkan akun pengguna harian memiliki hak administratif, atau membiarkan akun mantan karyawan tetap aktif.

Penyerang tidak selalu memerlukan eksploitasi RDP yang canggih. Mereka mungkin berhasil melalui:

• Penyemprotan kata sandi atau pengisian kredensial
• Kredensial dicuri melalui phishing atau malware
• Gerbang yang tidak diperbaiki, perangkat VPN, atau server Windows
• Akun yang memiliki hak akses berlebihan dan perangkat yang tidak dikelola
• Perlindungan cadangan yang lemah
• Sesi RDP yang sah digunakan untuk pergerakan lateral

Keamanan akses jarak jauh harus beroperasi sebagai proses yang dapat diulang daripada daftar periksa sekali pakai. Kontrol harus mudah diterapkan secara konsisten, ditinjau secara berkala, dan disesuaikan ketika pengguna, perangkat, atau aplikasi bisnis berubah.

Bagaimana SMB harus mengamankan akses RDP?

Nonaktifkan RDP di Tempat yang Tidak Diperlukan

Layanan RDP yang paling aman adalah yang tidak berjalan tanpa kebutuhan bisnis. Sistem inventaris di mana Remote Desktop diaktifkan dan mengonfirmasi mengapa setiap sistem menerima sesi jarak jauh.

Server file, pengontrol domain, dan workstation karyawan tidak boleh secara otomatis mengizinkan RDP karena pengaturan diaktifkan selama penyebaran. Nonaktifkan layanan di host yang tidak diperlukan, hapus aturan firewall yang usang, dan periksa secara berkala bahwa itu tidak diaktifkan kembali.

Microsoft merekomendasikan untuk mengaktifkan Remote Desktop hanya saat diperlukan dan membatasinya pada jaringan yang tepercaya. Mengaktifkan RDP membuat layanan mendengarkan, dan anggota grup Administrator lokal mungkin menerima akses secara otomatis kecuali izin ditinjau.

Jaga RDP di Balik Titik Masuk yang Terkontrol

Meneruskan port TCP publik 3389 ke komputer Windows internal itu mudah, tetapi itu mengekspos layanan otentikasi RDP ke pemindaian internet dan upaya login berulang. Mengubah port dapat mengurangi kebisingan pemindai dasar, tetapi tidak menciptakan batas keamanan yang berarti.

Lalu lintas RDP eksternal harus melewati lapisan akses yang terkontrol. Opsi yang sesuai termasuk:

• Sebuah Gerbang RD
• VPN yang dikonfigurasi dengan aman
• Layanan akses yang tidak mempercayai atau sadar identitas
• Platform penerbitan aplikasi jarak jauh
• Host loncat yang dikelola untuk administrator

Sebuah RD Gateway membawa lalu lintas RDP eksternal melalui HTTPS dan memungkinkan administrator menerapkan kebijakan otorisasi koneksi dan sumber daya. Host RDP internal kemudian dapat menerima koneksi dari gateway daripada dari alamat publik sembarangan.

Titik masuk harus sesuai dengan ruang lingkup yang diperlukan. VPN mungkin cocok untuk administrator yang membutuhkan beberapa sumber daya pribadi, sementara penerbitan aplikasi mungkin lebih baik melayani karyawan yang hanya membutuhkan satu aplikasi bisnis.

Gunakan NLA, Sertifikat Terpercaya, dan MFA

Autentikasi Tingkat Jaringan (NLA) mengharuskan pengguna untuk melakukan autentikasi sebelum Windows membuat sesi desktop jarak jauh penuh. Ini mengurangi penggunaan sumber daya dan membatasi paparan layar masuk interaktif. Biarkan NLA diaktifkan kecuali ada masalah kompatibilitas yang terdokumentasi yang mencegahnya.

Layanan Desktop Jarak Jauh juga bergantung pada sertifikat Transport Layer Security yang tepercaya Enkripsi melindungi data dalam perjalanan, sementara validasi sertifikat mengonfirmasi bahwa pengguna terhubung ke server yang dimaksud. Pantau masa berlaku sertifikat dan selidiki peringatan daripada mengajarkan pengguna untuk mengabaikannya.

MFA harus melindungi titik masuk eksternal sebelum siapa pun mencapai host RDP. Untuk administrator, utamakan metode yang tahan terhadap phishing seperti kunci keamanan, passkey, sertifikat, atau Windows Hello for Business. RD Gateway dan platform akses jarak jauh lainnya dapat menerapkan MFA melalui layanan identitas yang didukung.

Mengontrol Login Gagal dan Pengalihan Sesi

Penguncian akun dapat memperlambat penebakan kata sandi, tetapi ambang batas yang rendah dapat memungkinkan penyerang memblokir pengguna yang sah. Pendekatan yang lebih baik menggabungkan MFA, pemblokiran atau pengurangan sumber IP , peringatan untuk kegagalan yang tidak biasa, penyaringan kata sandi dan kebijakan penguncian yang disesuaikan dengan kebutuhan bisnis.

Setelah sesi dimulai, fitur pengalihan dapat memindahkan data antara titik akhir dan server. Berbagi clipboard, pemetaan drive lokal, pencetakan, dan pengalihan perangkat harus mengikuti peran pengguna daripada satu kebijakan global.

Seorang pengguna keuangan mungkin memerlukan pencetakan tanpa akses drive lokal, sementara seorang kontraktor mungkin memerlukan satu aplikasi yang diterbitkan tanpa transfer clipboard. Konfigurasikan pengaturan ini melalui Kebijakan Grup atau platform akses jarak jauh, kemudian izinkan hanya apa yang diperlukan oleh setiap peran.

Bagaimana SMB dapat melindungi pengguna dan akun jarak jauh?

Pisahkan Akses Istimewa dan Standar

Administrator tidak boleh menggunakan akun istimewa untuk email, penjelajahan web, atau pekerjaan aplikasi rutin. Berikan setiap karyawan TI akun standar untuk tugas sehari-hari dan akun terpisah yang diberi nama untuk administrasi.

Pemisahan ini meningkatkan akuntabilitas dan menyederhanakan proses offboarding. Akun istimewa individu menunjukkan siapa yang melakukan suatu tindakan, memudahkan pencabutan akses, dan mendukung penyelidikan yang lebih jelas ketika aktivitas mencurigakan terjadi.

Pengguna jarak jauh tidak seharusnya menerima hak administrator lokal hanya karena mereka membutuhkan desktop atau aplikasi. Grup Pengguna Desktop Jarak Jauh dapat mengizinkan masuk tanpa memberikan kontrol yang lebih luas atas server.

Terapkan Prinsip Hak Akses Terendah berdasarkan Sumber

Akses jarak jauh harus mencerminkan sumber daya yang dibutuhkan seseorang, bukan sekadar apakah orang tersebut bekerja untuk perusahaan. Karyawan, kontraktor, manajer, dan administrator sering memerlukan cakupan yang berbeda.

Sebagai contoh:

• Karyawan mungkin memerlukan satu atau dua aplikasi yang diterbitkan.
• Manajer mungkin memerlukan desktop bersama yang terkontrol.
• Administrator mungkin perlu konsol server yang dipilih.
• Kontraktor mungkin memerlukan satu aplikasi untuk periode proyek tetap.
• Penyedia dukungan mungkin memerlukan akses sementara ke mesin tertentu.

Memberikan setiap pengguna jarak jauh akses penuh ke desktop atau terowongan jaringan memperluas jumlah file, alat, dan jalur koneksi yang tersedia setelah kompromi. Akses tingkat aplikasi seringkali lebih aman ketika kebutuhan bisnis tidak membenarkan koneksi desktop lengkap atau jaringan pribadi.

Perkuat Kontrol Kata Sandi dan Siklus Hidup Akun

Kebijakan kata sandi harus mendukung kredensial yang panjang dan unik, pengelola kata sandi, serta penyaringan terhadap nilai yang telah diketahui terkompromi. Aturan kompleksitas yang dapat diprediksi sering kali menghasilkan variasi kecil alih-alih kata sandi yang lebih kuat.

Panduan NIST menekankan panjang, daftar blokir, dan manajemen kata sandi yang aman daripada perubahan yang dipaksakan secara rutin. Akun layanan dan akun administrator darurat perlu ditinjau lebih dekat karena kredensial kuat mereka mudah diabaikan.

Sambungkan izin jarak jauh ke proses bergabung, pindah, dan keluar. Tinjauan harus menghapus mantan karyawan, pengguna yang tidak aktif, kontraktor yang sudah kedaluwarsa, hak istimewa yang tidak perlu, dan akun layanan yang diizinkan untuk masuk secara interaktif. Akses sementara harus kedaluwarsa secara otomatis kapan pun memungkinkan.

Pertimbangkan Keamanan Endpoint dan Kesadaran Pengguna

Bahkan pengguna yang sah dapat menciptakan risiko dari sebuah perangkat terinfeksi atau tidak terkelola Malware di laptop jarak jauh dapat menangkap kredensial, memantau aktivitas, atau menyalahgunakan clipboard dan pengalihan drive setelah otentikasi.

Endpoint yang dikelola perusahaan harus menjalankan sistem operasi yang didukung, enkripsi disk, perlindungan endpoint, kebijakan penguncian layar, dan hak administrator yang terbatas. Untuk perangkat pribadi, akses berbasis browser atau sesi terbatas dapat menjaga data bisnis di server.

Pelatihan harus fokus pada situasi yang dihadapi pengguna, termasuk permintaan MFA yang tidak terduga, panggilan dukungan palsu, file RDP berbahaya, dan permintaan kredensial. Pengguna juga memerlukan proses pelaporan yang sederhana.

Bagaimana SMB harus melindungi server Remote Access?

Perbaiki dan Kurangi Permukaan Serangan

Patching harus mencakup seluruh rantai akses jarak jauh, tidak hanya host sesi Windows. Komponen yang terhubung ke internet dapat mencakup perangkat VPN, gateway, layanan identitas, proxy terbalik, portal web, dan konsol manajemen.

Jaga inventaris sistem yang dapat diakses dari luar, tetapkan tanggung jawab pembaruan, dan pertahankan proses darurat untuk kerentanan yang dieksploitasi secara aktif. Firewall host harus hanya mengizinkan lalu lintas yang diperlukan, sementara host RDP internal di belakang RD Gateway seharusnya hanya menerima koneksi dari gateway atau jaringan manajemen yang disetujui.

Hapus layanan yang tidak digunakan, protokol warisan, dan alat manajemen yang tidak perlu. Setiap komponen tambahan meningkatkan permukaan serangan dan beban pemeliharaan.

Segment Akses Jarak Jauh Dari Sistem Kritis

Login jarak jauh yang berhasil tidak seharusnya memberikan akses tanpa batas ke setiap server. Segmentasi jaringan dapat memisahkan host sesi dan aplikasi bisnis dari sistem manajemen, pengontrol domain, dan infrastruktur cadangan.

Lalu lintas administratif harus menggunakan jalur manajemen yang didedikasikan jika memungkinkan. Sebuah host sesi pengguna, misalnya, tidak boleh memberikan akses tanpa batas ke pengontrol domain, antarmuka hypervisor, atau konsol cadangan.

Batas segmentasi membatasi pergerakan lateral ketika sebuah akun, perangkat, atau server terkompromi. Ini juga membuat kebijakan akses menjadi lebih jelas karena setiap grup pengguna jarak jauh hanya menerima jangkauan jaringan yang diperlukan untuk perannya.

Siapkan untuk Malware dan Ransomware

Keamanan desktop jarak jauh melibatkan lebih dari sekadar memblokir masuk yang tidak sah. Pengguna yang sah mungkin secara tidak sengaja menjalankan malware, sementara penyerang dengan kredensial yang valid dapat menyebarkan ransomware melalui sesi biasa.

Server oleh karena itu memerlukan perlindungan endpoint dan pemantauan perilaku yang dapat mendeteksi proses mencurigakan, perubahan file yang cepat, dan upaya untuk menonaktifkan kontrol keamanan. Kontrol aplikasi dapat lebih membatasi executable dan skrip mana yang dapat diluncurkan oleh pengguna.

Cadangan sangat penting, tetapi harus tetap di luar jangkauan pengguna jarak jauh biasa dan akun administrator yang terkompromi. Gunakan beberapa titik pemulihan, salinan terpisah atau tidak dapat diubah, kredensial khusus, MFA untuk manajemen cadangan, dan pengujian pemulihan secara berkala.

Pekerjaan cadangan yang berhasil tidak menjamin pemulihan. Uji apakah aplikasi, data, dan konfigurasi dapat dipulihkan dalam waktu pemulihan yang sebenarnya dibutuhkan oleh bisnis.

Sentralisasi Log dan Peringatan

Logs hanya membantu ketika mereka tetap tersedia dan seseorang meninjaunya. Kumpulkan peristiwa gateway, firewall, otentikasi, dan server secara terpusat jika memungkinkan.

Pada sistem Windows, peristiwa 4624 mencatat logon yang berhasil dan peristiwa 4625 mencatat upaya yang gagal. Waspadai kegagalan berulang, penyemprotan kata sandi, lokasi administrator yang tidak dikenal, perangkat baru, logging yang dinonaktifkan, atau penghapusan file yang cepat.

Usaha kecil mungkin tidak memerlukan pusat operasi keamanan, tetapi mereka memerlukan penerima yang ditunjuk untuk peringatan prioritas tinggi dan proses eskalasi yang jelas.

Arsitektur Remote Access Mana yang Cocok untuk SMB?

Arsitektur praktis yang paling aman biasanya adalah opsi terendah yang masih mendukung pekerjaan pengguna.

Metode akses	Penggunaan yang tepat	Pertimbangan keamanan utama
Internal RDP	Administrasi lokal dari jaringan manajemen yang tepercaya	Jaga agar tidak tersedia dari internet publik
VPN diikuti oleh RDP	Pengguna yang membutuhkan beberapa sumber daya jaringan pribadi	Gunakan MFA dan batasi jaringan yang dapat dijangkau
RD Gateway	Akses eksternal yang dikelola ke desktop atau aplikasi RDS	Perbarui gateway dan terapkan sertifikat, MFA, dan kebijakan otorisasi
Penerbitan browser atau aplikasi	Pengguna yang membutuhkan aplikasi Windows terpilih	Batasi sumber daya yang dipublikasikan dan amankan titik masuk web
Host lompatan administratif	Akses istimewa ke server yang dipilih	Isolasi host dan batasi koneksi dengan ketat
VDI atau DaaS	Lingkungan desktop yang dikelola secara individu	Identitas yang aman, gambar, pesawat manajemen, dan pengaturan cloud

Arsitektur harus mengikuti beban kerja. RDP publik langsung tidak boleh dipilih untuk kenyamanan, dan VPN tidak boleh diterapkan ketika memberikan jangkauan jaringan yang lebih luas daripada yang dibutuhkan pengguna. Penerbitan aplikasi dapat mengurangi paparan bagi pengguna biasa, sementara administrator mungkin memerlukan gateway yang diperkuat atau host lompatan.

Apa yang Harus Diamankan SMB Pertama Kali?

UKM dapat meningkatkan keamanan akses jarak jauh dalam tiga tahap.

Kurangi Paparan Langsung

Identifikasi setiap RDP, VPN, gateway, dan layanan manajemen jarak jauh yang terhubung ke internet. Nonaktifkan apa pun yang tidak perlu dan hapus paparan RDP publik secara langsung.

Kemudian konfirmasikan bahwa NLA diaktifkan, memerlukan MFA, memperbarui sistem yang terhubung ke internet, meninjau grup administrator dan mempersempit aturan firewall. Periksa bahwa pengguna jarak jauh biasa tidak dapat memodifikasi cadangan dan selidiki kegagalan login yang berulang.

Standarisasi Akses dan Penguatan Server

Pisahkan akun harian dan akun istimewa, tinjau kontraktor dan akun layanan, dan pilih akses tingkat gerbang atau aplikasi jika diperlukan. Konfigurasikan sertifikat tepercaya, batasi pengalihan, segmentasikan infrastruktur kritis, dan sentralisasikan log.

Dokumentasikan kontrol ini sebagai dasar. Server dan grup pengguna baru harus mengikuti desain yang sama daripada diamankan secara berbeda setiap kali.

Menetapkan Operasi Keamanan Berkelanjutan

Keamanan akses jarak jauh melemah ketika perangkat lunak, izin, dan kebijakan tidak ditinjau. Tetapkan proses berulang untuk pemeliharaan, tinjauan akun, pembaruan sertifikat, pengujian pemulihan cadangan, pemeriksaan firewall, dan penyelidikan peringatan.

Sertakan latihan dasar respons insiden. Tujuannya adalah untuk membuat akses tidak sah lebih sulit, mengendalikan akun yang terkompromi, dan mendeteksi aktivitas mencurigakan cukup awal untuk merespons.

Bagaimana Anda Dapat Memvalidasi Keamanan Remote Access?

Konfigurasi harus diuji daripada diasumsikan aman. Dari jaringan eksternal, verifikasi bahwa host RDP internal tidak dapat dihubungi secara langsung dan bahwa pengguna harus melewati gateway, VPN, atau portal web yang disetujui.

Uji akun perwakilan, termasuk karyawan standar, administrator, kontraktor, pengguna yang dinonaktifkan, dan pengguna di perangkat yang tidak disetujui. Setiap akun harus mencapai sumber daya yang diperlukan tetapi tidak lebih luas.

Uji pembatasan clipboard dan drive, konfirmasi bahwa koneksi menghasilkan peristiwa yang diharapkan dan verifikasi bahwa peringatan mencapai administrator yang bertanggung jawab. Akhirnya, simulasi pemulihan dari cadangan yang dilindungi. Uji pemulihan sering mengungkapkan celah yang terlewatkan oleh tinjauan konfigurasi.

Kesalahan Umum Keamanan Remote Access

Beberapa kesalahan berulang melemahkan kontrol yang seharusnya wajar:

• Menganggap VPN sebagai perlindungan lengkap daripada membatasi apa yang dapat dijangkau oleh pengguna yang terhubung
• Hanya mengandalkan penguncian akun tanpa MFA, kontrol sumber, atau pemantauan
• Memberikan setiap pengguna desktop penuh ketika satu aplikasi yang diterbitkan sudah cukup
• Mengizinkan akun administrator bersama
• Meninggalkan sesi yang terputus berjalan tanpa batas waktu
• Mengasumsikan bahwa mengubah port RDP memberikan perlindungan yang berarti
• Menyimpan cadangan yang dapat diakses dengan kredensial yang sama digunakan untuk administrasi server

Setiap kesalahan meningkatkan baik kemungkinan kompromi atau dampak potensial. Memperbaikinya biasanya memerlukan desain akses yang lebih baik daripada hanya satu pengaturan teknis.

Bagaimana TSplus Memperkuat Remote Access

Untuk UKM yang menjalankan Windows, Layanan Desktop Jarak Jauh atau server aplikasi, TSplus Advanced Security dapat menambahkan perlindungan terpusat terhadap serangan brute-force, pembatasan geografis dan jam kerja, kontrol firewall, manajemen izin, aturan perangkat tepercaya, opsi sesi aman, peringatan, dan perlindungan ransomware berbasis perilaku.

Kemampuan ini memperkuat program keamanan akses jarak jauh yang lebih luas daripada menggantikannya. MFA, pemeliharaan, segmentasi, perlindungan titik akhir, dan cadangan yang telah diuji harus tetap menjadi bagian dari arsitektur.

Kesimpulan

Keamanan akses jarak jauh untuk UKM bergantung pada pengendalian jalur penuh dari titik masuk eksternal ke server dan datanya. Bisnis harus menghapus paparan RDP publik secara langsung, menerapkan otentikasi yang kuat, membatasi hak istimewa, melindungi titik akhir, menguatkan server Windows, dan mempertahankan cadangan yang dapat dipulihkan.

Pendekatan berlapis memberikan tim TI yang lebih kecil keseimbangan praktis. Ini mengurangi kemungkinan bahwa satu kata sandi yang dicuri, satu perangkat yang tidak dikelola, atau satu komponen yang tidak diperbarui dapat mengekspos lingkungan yang lebih luas.