Autentikasi Tingkat Jaringan RDP: Pengaturan, Keamanan & Kasus Penggunaan

Pengantar

Dengan pergeseran ke kerja hibrida dan meningkatnya ketergantungan pada akses desktop jarak jauh, memastikan sesi jarak jauh yang aman adalah hal yang sangat penting. Protokol Desktop Jarak Jauh (RDP), meskipun nyaman, juga merupakan target yang sering untuk serangan siber. Salah satu perlindungan dasar dari RDP Anda adalah NLA. Pelajari tentangnya, cara mengaktifkannya dan yang terpenting bagaimana Autentikasi Tingkat Jaringan RDP (NLA) meningkatkan. remote access keamanan.

Apa itu Otentikasi Tingkat Jaringan?

Bagian ini akan membahas dasar-dasar:

• Definisi NLA
• Perbedaan antara RDP Tradisional dan NLA

Definisi NLA

Autentikasi Tingkat Jaringan (NLA) adalah peningkatan keamanan untuk Layanan Desktop Jarak Jauh (RDS). Ini mengharuskan pengguna untuk mengautentikasi diri mereka sebelum sesi desktop jarak jauh dibuat. RDP tradisional memungkinkan layar login dimuat sebelum memverifikasi kredensial, sehingga mengekspos server terhadap upaya brute-force. NLA memindahkan validasi tersebut ke awal proses negosiasi sesi.

Perbedaan antara RDP Tradisional dan NLA

Fitur	Bare RDP, tanpa NLA	RDP dengan NLA Diaktifkan
Autentikasi Terjadi	Setelah sesi dimulai	Sebelum sesi dimulai
Paparan Server	Tinggi (Total)	Minimal
Perlindungan Terhadap Serangan Brute Force	Terbatas	Kuat
Dukungan SSO	Tidak	Ya

Bagaimana NLA Bekerja

NLA memanfaatkan protokol yang aman dan validasi berlapis untuk melindungi server Anda dengan mengubah ketika dan bagaimana autentikasi terjadi. Berikut adalah rincian proses koneksi:

1. Permintaan Awal: Pengguna memulai koneksi melalui klien RDP.
2. Validasi Kredensial: Sebelum sesi dimulai, klien menggunakan Credential Security Support Provider (CredSSP) untuk mengirimkan kredensial dengan aman.
3. Pendirian Sesi Aman: Jika kredensial valid, sesi yang aman dibuat menggunakan TLS atau SSL, mengenkripsi semua komunikasi.
4. Mulai Sesi Desktop: Hanya setelah pengguna terautentikasi, sesi RDP penuh dimulai.

Apa Perbedaan yang Dibuat NLA di Sini?

Mari kita uraikan apa yang diubah oleh aktivasi NLA terhadap permintaan koneksi RDP.

Koneksi Tidak Aman Dimulai Tanpa NLA:

• Server RDP memuat layar login sebelum memeriksa kredensial.
• Ini berarti siapa saja dapat membuka jendela sesi, bahkan penyerang.
• Server menggunakan sumber dayanya untuk menampilkan antarmuka login, bahkan untuk pengguna yang tidak berwenang.

Koneksi Aman Dimulai Dengan NLA:

Dengan NLA, langkah 2 di atas menjadi krusial.

• Sebelum sesi, bahkan sebelum layar login grafis muncul, klien RDP harus memberikan kredensial yang valid melalui CredSSP baca selengkapnya untuk detailnya.
• Jika kredensial tidak valid, koneksi akan ditolak segera, sehingga server tidak pernah memuat antarmuka sesi.

Akibatnya, NLA secara efektif "mengalihkan" langkah otentikasi ke lapisan jaringan (disebut demikian) sebelum RDP menginisialisasi lingkungan desktop jarak jauh. Selanjutnya, NLA menggunakan Antarmuka Penyedia Dukungan Keamanan Windows (SSPI) termasuk CredSSP, untuk terintegrasi dengan autentikasi domain secara mulus.

Mengapa Autentikasi Tingkat Jaringan Penting?

RDP telah menjadi vektor dalam beberapa serangan ransomware profil tinggi. NLA sangat penting untuk melindungi lingkungan desktop jarak jauh dari berbagai ancaman keamanan. Ini mencegah pengguna yang tidak berwenang bahkan memulai sesi jarak jauh, sehingga mengurangi risiko seperti serangan brute force, serangan penolakan layanan, dan eksekusi kode jarak jauh.

Berikut adalah ringkasan cepat tentang risiko keamanan RDP tanpa NLA:

• Serangan brute force pada layar login yang terbuka
• Penolakan Layanan (DoS) dari banjir koneksi yang tidak terautentikasi
• Kerentanan Eksekusi Kode Jarak Jauh (RCE)
• Pengisian kredensial menggunakan nama pengguna/kata sandi yang bocor

Mengaktifkan NLA adalah cara yang sederhana namun efektif untuk meminimalkan ancaman ini.

Apa Manfaat Mengaktifkan NLA?

Autentikasi Tingkat Jaringan menawarkan keuntungan keamanan dan kinerja. Berikut adalah apa yang Anda dapatkan:

• Autentikasi yang Lebih Kuat
• Apa itu CredSSP?
• Permukaan Serangan yang Diminimalkan
• Pertahanan Brute Force
• Kompatibilitas SSO
• Kinerja Server yang Lebih Baik
• Siap Kepatuhan

Autentikasi yang Lebih Kuat

Autentikasi Tingkat Jaringan mengharuskan pengguna untuk memverifikasi identitas mereka sebelum sesi desktop jarak jauh dimulai. Validasi garis depan ini dilakukan menggunakan protokol yang aman seperti CredSSP dan TLS, memastikan bahwa hanya pengguna yang berwenang yang dapat mencapai prompt login. Dengan menerapkan langkah awal ini, NLA secara drastis mengurangi risiko intrusi melalui kredensial yang dicuri atau ditebak.

Apa itu CredSSP?

Sebagai Penyedia Dukungan Keamanan, protokol Penyedia Dukungan Keamanan Kredensial (CredSSP) memungkinkan aplikasi untuk mendelegasikan kredensial pengguna dari klien ke server target untuk otentikasi jarak jauh.

Jenis verifikasi awal ini sejalan dengan praktik terbaik keamanan siber yang direkomendasikan oleh organisasi seperti Microsoft dan NIST, terutama di lingkungan di mana data sensitif atau infrastruktur terlibat.

Permukaan Serangan yang Diminimalkan

Tanpa NLA, antarmuka login RDP dapat diakses secara publik, menjadikannya target yang mudah untuk pemindaian otomatis dan alat eksploitasi. Ketika NLA diaktifkan, antarmuka tersebut tersembunyi di balik lapisan otentikasi, secara signifikan mengurangi visibilitas server RDP Anda di jaringan atau internet.

Perilaku "tidak terlihat secara default" ini sejalan dengan prinsip paparan paling sedikit, yang sangat penting dalam mempertahankan diri terhadap kerentanan zero-day atau serangan pengisian kredensial.

Pertahanan Brute Force

Serangan brute-force bekerja dengan menebak kombinasi nama pengguna dan kata sandi secara berulang. Jika RDP terekspos tanpa NLA, penyerang dapat terus mencoba tanpa batas, menggunakan alat untuk mengotomatiskan ribuan upaya login. NLA memblokir ini dengan mengharuskan kredensial yang valid di awal sehingga sesi yang tidak terautentikasi tidak pernah diizinkan untuk melanjutkan.

Ini tidak hanya menetralkan metode serangan umum tetapi juga membantu mencegah penguncian akun atau beban berlebihan pada sistem otentikasi.

Kompatibilitas SSO

NLA mendukung NT Single Sign-On (SSO) di lingkungan Active Directory. SSO mempercepat alur kerja dan mengurangi gesekan bagi pengguna akhir dengan memungkinkan mereka untuk masuk ke beberapa aplikasi dan situs web dengan otentikasi satu kali.

Bagi administrator TI, integrasi SSO menyederhanakan manajemen identitas dan mengurangi tiket help desk terkait kata sandi yang terlupakan atau login berulang, terutama di lingkungan perusahaan dengan kebijakan akses yang ketat.

Kinerja Server yang Lebih Baik

Tanpa NLA, setiap upaya koneksi (bahkan dari pengguna yang tidak terautentikasi) dapat memuat antarmuka login grafis, mengkonsumsi memori sistem, CPU, dan bandwidth. NLA menghilangkan beban ini dengan memerlukan kredensial yang valid sebelum memulai sesi.

Akibatnya, server berjalan lebih efisien, sesi dimuat lebih cepat, dan pengguna yang sah mengalami responsivitas yang lebih baik, terutama di lingkungan dengan banyak koneksi RDP bersamaan.

Siap Kepatuhan

Kerangka kepatuhan modern (seperti GDPR, HIPAA, ISO 27001, …) memerlukan autentikasi pengguna yang aman dan akses terkontrol ke sistem yang sensitif. NLA membantu memenuhi persyaratan ini dengan menegakkan validasi kredensial tahap awal dan meminimalkan paparan terhadap ancaman.

Dengan menerapkan NLA, organisasi menunjukkan pendekatan proaktif terhadap kontrol akses, perlindungan data, dan kesiapan audit, yang dapat menjadi krusial selama tinjauan regulasi atau audit keamanan.

Cara Mengaktifkan Autentikasi Tingkat Jaringan?

Mengaktifkan NLA adalah proses yang mudah yang dapat dicapai melalui berbagai metode. Di sini, kami menjabarkan langkah-langkah untuk mengaktifkan NLA melalui pengaturan Remote Desktop dan pengaturan Sistem dan Keamanan.

• Pengaturan Windows
• Panel Kontrol
• Editor Kebijakan Grup

Metode 1: Mengaktifkan NLA melalui Pengaturan Windows

1.        Tekan Win + I untuk membuka Pengaturan

2.        Pergi ke Sistem > Remote Desktop

3.        Alihkan Aktifkan Remote Desktop

4.        Klik Pengaturan Lanjutan

5.        Centang "Mewajibkan komputer untuk menggunakan Autentikasi Tingkat Jaringan"

Metode 2: Mengaktifkan NLA melalui Panel Kontrol

1.        Buka Panel Kontrol > Sistem dan Keamanan > Sistem

2.        Klik Izinkan Akses Jarak Jauh

3.        Di bawah tab Remote, periksa:
Izinkan koneksi jarak jauh hanya dari komputer yang menjalankan NLA (disarankan)

Metode 3: Editor Kebijakan Grup

1.        Tekan Win + R, ketik gpedit.msc

2.        Arahkan ke:
Konfigurasi Komputer > Template Admin > Komponen Windows > Layanan Desktop Jarak Jauh > RDSH > Keamanan

Set "Require user authentication for remote connections by using NLA" ke Diaktifkan

Cara Menonaktifkan Autentikasi Tingkat Jaringan?

Meskipun menonaktifkan NLA umumnya tidak disarankan karena risiko keamanan, mungkin ada skenario tertentu di mana hal ini diperlukan: sistem lama tanpa dukungan CredSSP, pemecahan masalah kegagalan RDP, dan ketidakcocokan klien pihak ketiga. Berikut adalah metode untuk menonaktifkan NLA:

• Properti Sistem
• Editor Registri
• Editor Kebijakan Grup

Metode 1: Menggunakan Properti Sistem

Menonaktifkan NLA melalui Properti Sistem adalah metode langsung yang dapat dilakukan melalui antarmuka Windows.

Panduan Langkah-demi-Langkah di Syst Prop

1. Buka Dialog Jalankan: Tekan Win + R Remote Desktop Services (RDS) is a comprehensive solution for remote access to applications, data, and desktops. With TSplus, you can enhance your RDS infrastructure with additional features and capabilities. Try TSplus today and experience the benefits of a secure and efficient remote access solution. sysdm.cpl Welcome to our website where you can find a wide range of software products for your business needs.
2. Akses Pengaturan Jarak Jauh: Di jendela "Properti Sistem", buka tab "Jarak Jauh".
3. Nonaktifkan NLA: Hapus centang opsi "Izinkan koneksi hanya dari komputer yang menjalankan Remote Desktop dengan Otentikasi Tingkat Jaringan (direkomendasikan)."

Risiko dan Pertimbangan

Peningkatan Kerentanan:

Menonaktifkan NLA menghapus otentikasi pra-sesi, mengekspos jaringan ke potensi akses tidak sah dan berbagai ancaman siber .

Rekomendasi:

Disarankan untuk menonaktifkan NLA hanya ketika benar-benar diperlukan dan untuk menerapkan langkah-langkah keamanan tambahan untuk mengimbangi perlindungan yang berkurang.

Metode 2: Menggunakan Editor Registri

Nonaktifkan NLA melalui Editor Registri, untuk memberikan pendekatan yang lebih canggih dan manual.

Panduan Langkah-demi-Langkah di RegEdit

1. Buka Editor Registri: Tekan Win + R Remote Desktop Services (RDS) is a comprehensive solution for remote access to applications, data, and desktops. With TSplus, you can enhance your RDS infrastructure with additional features and capabilities. Try TSplus today and experience the benefits of a secure and efficient remote access solution. regedit Welcome to our website where you can find a wide range of software products for your business needs.
2. Navigate to Key: Pergi ke HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp.
3. Ubah Nilai: Ubah nilai "Lapisan Keamanan" dan "Otentikasi Pengguna" menjadi 0 untuk menonaktifkan NLA.
4. Restart Sistem: Mulai ulang sistem Anda agar perubahan dapat berlaku.

Risiko dan Pertimbangan

Konfigurasi Manual:

Mengedit registri memerlukan perhatian yang cermat, karena perubahan yang salah dapat menyebabkan ketidakstabilan sistem atau kerentanan keamanan.

Cadangan:

Selalu cadangkan registri sebelum melakukan perubahan untuk memastikan bahwa Anda dapat mengembalikan sistem ke keadaan sebelumnya jika diperlukan.

Metode 3: Menggunakan Editor Kebijakan Grup

Untuk lingkungan yang dikelola melalui Kebijakan Grup, menonaktifkan NLA dapat dikendalikan secara sentral melalui Editor Kebijakan Grup.

Panduan Langkah-demi-Langkah di GPEdit

1.        Buka Editor Kebijakan Grup: Tekan Win + R Remote Desktop Services (RDS) is a comprehensive solution for remote access to applications, data, and desktops. With TSplus, you can enhance your RDS infrastructure with additional features and capabilities. Try TSplus today and experience the benefits of a secure and efficient remote access solution. gpedit.msc Welcome to our website where you can find a wide range of software products for your business needs.

2. Navigasikan ke Pengaturan Keamanan: Pergi ke Konfigurasi Komputer -> Template Administratif -> Komponen Windows -> Layanan Desktop Jarak Jauh -> Host Sesi Desktop Jarak Jauh -> Keamanan.

3.        Nonaktifkan NLA: Temukan kebijakan yang bernama "Mewajibkan otentikasi pengguna untuk koneksi jarak jauh dengan menggunakan Otentikasi Tingkat Jaringan" dan atur ke "Dinonaktifkan."

Risiko dan Pertimbangan

Manajemen Terpusat: Menonaktifkan NLA melalui Kebijakan Grup memengaruhi semua sistem yang dikelola, yang berpotensi meningkatkan risiko keamanan di seluruh jaringan.

Implikasi Kebijakan: Pastikan bahwa menonaktifkan NLA sesuai dengan kebijakan keamanan organisasi dan bahwa langkah-langkah keamanan alternatif telah disiapkan.

Cara Meningkatkan Keamanan Anda dengan TSplus

TSplus sepenuhnya mendukung NLA (Autentikasi Tingkat Jaringan) untuk mengamankan akses desktop jarak jauh dari awal setiap sesi. Ini meningkatkan keamanan RDP asli dengan fitur canggih seperti Autentikasi Dua Faktor (2FA), penyaringan IP, perlindungan terhadap serangan brute-force, dan kontrol akses aplikasi, menciptakan sistem pertahanan yang kuat dan berlapis-lapis.

Dengan TSplus administrator mendapatkan kontrol terpusat melalui konsol web yang sederhana, memastikan akses jarak jauh yang aman, efisien, dan dapat diskalakan. Ini adalah solusi ideal bagi organisasi yang ingin melampaui keamanan RDP standar tanpa kompleksitas atau biaya lisensi tambahan.

Kesimpulan

Autentikasi Tingkat Jaringan adalah cara yang terbukti untuk mengamankan koneksi RDP untuk akses jarak jauh dengan menegakkan verifikasi pengguna sebelum sesi. Dalam lanskap yang mengutamakan jarak jauh saat ini, mengaktifkan NLA seharusnya menjadi langkah default bagi semua organisasi yang menggunakan RDP. Ketika digabungkan dengan fitur tambahan yang ditawarkan oleh alat seperti TSplus, ini memberikan dasar yang dapat diandalkan untuk publikasi aplikasi yang aman dan efisien.