)
)
บทนำ
กลยุทธ์การเสริมความแข็งแกร่งของ RDP ที่มีประสิทธิภาพเริ่มต้นด้วยการตั้งคำถามว่าควรเปิดใช้งานโปรโตคอล Remote Desktop หรือไม่ เมื่อจำเป็นต้องใช้ RDP ผู้ดูแลระบบควรจำกัดแหล่งที่มาของการเชื่อมต่อ ปกป้องข้อมูลรับรอง ลดสิทธิ์ของเซสชัน และตรวจสอบให้แน่ใจว่าการควบคุมแต่ละอย่างทำงานตามที่ตั้งใจไว้ในสถานีงาน เซิร์ฟเวอร์แบบสแตนด์อโลน สภาพแวดล้อมโดเมน และการใช้งาน Remote Desktop Services
RDP Hardening คืออะไร?
การเสริมความปลอดภัย RDP คือกระบวนการลดพื้นที่การโจมตีที่เกี่ยวข้องกับโปรโตคอล Remote Desktop ในขณะที่ยังคงรักษาการเข้าถึงที่ผู้ใช้และผู้ดูแลระบบที่ถูกต้องตามกฎหมายต้องการ มันรวมการกำหนดค่าของ Windows, การควบคุมเครือข่าย, การปกป้องตัวตน, การจำกัดเซสชัน, การติดตั้งแพตช์ และการตรวจสอบ
การเสริมความปลอดภัยไม่ได้จำกัดอยู่เพียงการเปลี่ยนพอร์ต 3389 หรือการเปิดใช้งานกฎไฟร์วอลล์ ผู้ดูแลระบบต้องประเมินว่าระบบใดบ้างที่ยอมรับการเชื่อมต่อ ผู้ใช้เชื่อมต่อจากที่ใด บัญชีใดบ้างที่ได้รับอนุญาต วิธีการตรวจสอบสิทธิ์ทำงานอย่างไร และทรัพยากรใดบ้างที่สามารถเคลื่อนที่ผ่านเซสชันได้
CISA แนะนำ การปิดการใช้งานบริการที่มีความเสี่ยงและไม่จำเป็น รวมถึง RDP ซึ่งไม่จำเป็นต้องเปิดเผย อันแรกของการตัดสินใจในการเสริมความแข็งแกร่งคืออุปกรณ์นั้นจำเป็นต้องเปิดเผยจริงหรือไม่
รายการตรวจสอบการเสริมความแข็งแกร่ง RDP ควรรวมอะไรบ้าง?
ใช้รายการตรวจสอบนี้เป็นการตรวจสอบอย่างรวดเร็วก่อนที่จะตรวจสอบแต่ละการควบคุมโดยละเอียด การกำหนดค่าที่แน่นอนควรสะท้อนถึงบทบาทของระบบ ประชากรผู้ใช้ และสถาปัตยกรรมเครือข่าย
| ความสำคัญ | การควบคุมการเสริมความแข็งแกร่ง RDP | สถานะที่คาดหวัง |
|---|---|---|
| วิกฤต | ปิดการใช้งาน RDP เมื่อไม่จำเป็น | เฉพาะระบบที่ได้รับการอนุมัติเท่านั้นที่สามารถรับเซสชันระยะไกลได้ |
| วิกฤต | ป้องกันการเปิดเผยทางอินเทอร์เน็ตโดยตรง | การเชื่อมต่อใช้เกตเวย์, VPN, ฐานข้อมูลหรือรายการอนุญาต |
| วิกฤต | เสริมการพิสูจน์ตัวตน | NLA และ MFA ปกป้องการเข้าถึงระยะไกล |
| วิกฤต | จำกัดผู้ใช้ RDP | เฉพาะบัญชีและกลุ่มที่ได้รับอนุมัติเท่านั้นที่สามารถเชื่อมต่อได้ |
| สูง | ปกป้องการจราจรและข้อมูลประจำตัว | ใช้ใบรับรอง TLS ที่เชื่อถือได้และการควบคุมข้อมูลประจำตัวที่เหมาะสม |
| สูง | จำกัดความสามารถของเซสชัน | การเปลี่ยนเส้นทาง, เวลาที่ไม่ทำงาน และเซสชันที่ถูกตัดการเชื่อมต่อจะปฏิบัติตามนโยบาย |
| สูง | ทำให้โฮสต์ Windows แข็งแกร่งขึ้น | ระบบได้รับการแพตช์ แบ่งส่วน และมีสิทธิ์ขั้นต่ำ |
| สูง | ตรวจสอบกิจกรรม RDP | บันทึกถูกรวมศูนย์และพฤติกรรมที่น่าสงสัยจะสร้างการแจ้งเตือน |
| การดำเนินงาน | ทดสอบและตรวจสอบเกณฑ์มาตรฐาน | การเข้าถึง การบล็อก การกู้คืน และการเปลี่ยนแปลงการกำหนดค่าถูกตรวจสอบแล้ว |
การควบคุมเหล่านี้สร้างฐานที่มีหลายชั้น ส่วนถัดไปจะอธิบายวิธีการดำเนินการและตรวจสอบแต่ละพื้นที่
คุณควรลดการเปิดเผย RDP อย่างไร?
ปิดการใช้งาน RDP บนระบบที่ไม่ต้องการ
อย่าปล่อยให้ Remote Desktop เปิดใช้งานเพียงเพราะอาจมีประโยชน์ในภายหลัง คอมพิวเตอร์ทำงาน เซิร์ฟเวอร์ด้านหลัง และโฮสต์แอปพลิเคชันที่ไม่ได้จัดการผ่าน RDP ไม่ควรรับเซสชันระยะไกล
ใช้ Group Policy เพื่อป้องกันการเชื่อมต่อใหม่ที่เข้ามา:
การกำหนดค่าคอมพิวเตอร์ > เทมเพลตการจัดการ > ส่วนประกอบของ Windows > บริการ Remote Desktop > โฮสต์เซสชัน Remote Desktop > การเชื่อมต่อ > อนุญาตให้ผู้ใช้เชื่อมต่อจากระยะไกลโดยใช้บริการ Remote Desktop
หลังจากปิดการใช้งาน RDP ให้ลบกฎไฟร์วอลล์ที่ล้าสมัย การแมพ NAT รายการกลุ่มความปลอดภัยในคลาวด์ และการตั้งค่าการส่งต่อพอร์ต การตรวจสอบในท้องถิ่นสามารถระบุผู้ฟังที่ใช้งานอยู่:
Get-NetTCPConnection -LocalPort 3389 -State Listen -ErrorAction SilentlyContinue
ผลลัพธ์ที่ว่างเปล่าไม่ได้พิสูจน์ว่าผู้ให้บริการไม่สามารถเข้าถึงได้จากทุกเครือข่าย ให้ตรวจสอบการเปลี่ยนแปลงด้วยการสแกนภายนอกและการตรวจสอบไฟร์วอลล์
หลีกเลี่ยงการเผยแพร่พอร์ต 3389 โดยตรงสู่อินเทอร์เน็ต
ผู้ฟัง RDP สาธารณะสามารถถูกค้นพบและถูกโจมตีด้วยการพ่นรหัสผ่าน การบรรจุข้อมูลประจำตัว และการสแกนช่องโหว่ รหัสผ่านที่แข็งแกร่งและการตรวจสอบระดับเครือข่ายช่วยเพิ่มความปลอดภัย แต่ไม่ได้กำจัดความเสี่ยงที่เกิดจากบริการที่เปิดเผยต่ออินเทอร์เน็ตโดยไม่มีข้อจำกัด
การปฏิบัติจริง คะแนนความเสี่ยงของ Remote Desktop สามารถช่วยผู้ดูแลระบบในการจัดอันดับบริการที่เปิดเผย, การตรวจสอบสิทธิ์ที่อ่อนแอ และการเข้าถึงที่กว้างเกินไป ก่อนที่จะเลือกการควบคุมที่แก้ไขได้
วางการเข้าถึงภายนอกไว้หลังชั้นควบคุมที่เหมาะสม เช่น:
- RD Gateway
- VPN ที่มีความปลอดภัยอย่างเหมาะสม
- โฮสต์ฐานหรือโฮสต์กระโดด
- บริการเข้าถึงแบบ Zero Trust
- เกตเวย์การเข้าถึงระยะไกลที่ใช้เบราว์เซอร์
- การเข้าถึงไฟร์วอลล์แบบทันเวลา
- รายการอนุญาต IP ต้นทางที่เข้มงวด
สถานที่บริหารที่ถูกกำหนดอาจเหมาะสมกับรายการอนุญาต ในขณะที่พนักงานที่ทำงานนอกสถานที่มักต้องการเกตเวย์ที่รู้จักตัวตน RD Gateway สามารถให้จุดเข้าที่จัดการและรวมเข้ากับ Network Policy Server และการตรวจสอบสิทธิ์หลายปัจจัยของ Microsoft Entra โดยป้องกันไม่ให้โฮสต์ RDP ภายในถูกเผยแพร่โดยตรง
จำกัดกฎไฟร์วอลล์ RDP
กฎไฟร์วอลล์ขาเข้าควรไม่อนุญาตให้รับการจราจรจากทุกที่อยู่ เว้นแต่จะมีการจำกัดที่มีประสิทธิภาพอื่นอยู่ข้างหน้า จำกัดการบริหารจัดการภายในให้เฉพาะเครือข่ายการจัดการ, กลุ่ม VPN หรือโฮสต์กระโดดที่กำหนดไว้
สำหรับระบบคลาวด์ ให้ตรวจสอบทั้ง Windows Firewall และการควบคุมเครือข่ายของผู้ให้บริการ กฎ Windows ที่เข้มงวดอาจถูกทำลายได้จากการเปิดเผยที่กว้างขึ้นในที่อื่น
RDP มักใช้ TCP และอาจใช้ UDP เพื่อปรับปรุงประสิทธิภาพการขนส่ง เมื่อเปลี่ยนพอร์ตที่ฟัง ให้สร้างกฎ TCP และ UDP ที่สอดคล้องกันและทดสอบเส้นทางการเชื่อมต่อที่รองรับทั้งหมด
คุณควรเปลี่ยนพอร์ต RDP เริ่มต้นหรือไม่?
การเปลี่ยนพอร์ต 3389 สามารถลดเสียงการสแกนพื้นฐานได้ แต่ไม่ช่วยปรับปรุงการตรวจสอบสิทธิ์ การเข้ารหัส หรือการอนุญาต สแกนเนอร์ที่มุ่งมั่นยังสามารถค้นพบบริการได้อยู่ดี
จัดการพอร์ตที่กำหนดเองเป็นมาตรการการดำเนินงานที่เลือกได้ บันทึกค่าใหม่ อัปเดตกฎการตรวจสอบและไฟร์วอลล์ และทดสอบลูกค้าทั้งหมด Microsoft เก็บการตั้งค่าผู้ฟังไว้ภายใต้:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
การรีสตาร์ทจำเป็นต้องทำหลังจากการเปลี่ยนแปลง
หมายเลขพอร์ต
ค่า.
คุณควรทำให้การตรวจสอบสิทธิ์ RDP แข็งแกร่งขึ้นอย่างไร?
เปิดใช้งานการรับรองระดับเครือข่าย
การตรวจสอบระดับเครือข่ายต้องการให้ผู้ใช้ทำการตรวจสอบตัวตนก่อนที่ Windows จะสร้างเซสชันระยะไกลเต็มรูปแบบ ซึ่งจะช่วยลดการใช้ทรัพยากรที่ไม่ได้รับการตรวจสอบและวางอุปสรรคการตรวจสอบตัวตนก่อนหน้าจอเข้าสู่ระบบแบบโต้ตอบ
เปิดใช้งานนโยบายต่อไปนี้:
การกำหนดค่าคอมพิวเตอร์ > เทมเพลตการจัดการ > ส่วนประกอบของ Windows > บริการ Remote Desktop > โฮสต์เซสชัน Remote Desktop > ความปลอดภัย > ต้องการการตรวจสอบสิทธิ์ผู้ใช้สำหรับการเชื่อมต่อระยะไกลโดยใช้การตรวจสอบสิทธิ์ระดับเครือข่าย
NLA ควรเปิดใช้งานตามปกติ การปิดใช้งานชั่วคราวอาจช่วยในการแก้ไขปัญหาอย่างมีการควบคุม แต่การเปลี่ยนลูกค้าเก่าที่ล้าสมัยเป็นสิ่งที่ดีกว่าการทำให้ฐานข้อมูลอ่อนแอลงอย่างถาวร
ต้องการการตรวจสอบสิทธิ์หลายปัจจัย
NLA ไม่ใช่การตรวจสอบสิทธิ์หลายปัจจัย มันย้ายการตรวจสอบสิทธิ์ไปยังช่วงต้นของกระบวนการเชื่อมต่อ แต่ยังอาจพึ่งพาชื่อผู้ใช้และรหัสผ่านอยู่
MFA ควรปกป้องเส้นทาง RDP ที่เข้าถึงได้จากภายนอกและการบริหารจัดการระยะไกลที่มีสิทธิพิเศษ การนำไปใช้งานขึ้นอยู่กับสถาปัตยกรรม สภาพแวดล้อม RDS แบบดั้งเดิมมักจะบังคับใช้ MFA ผ่าน RD Gateway, Network Policy Server, Microsoft Entra ID และส่วนขยาย NPS สภาพแวดล้อมอื่น ๆ อาจใช้เซิร์ฟเวอร์เอเจนต์, เกตเวย์ Zero Trust หรือแพลตฟอร์มการเข้าถึงระยะไกล
วางแผน MFA รอบการลงทะเบียน การกู้คืน บัญชีบริการ การหยุดทำงาน การบันทึก และกระบวนการป้องกันการเข้าถึงในกรณีฉุกเฉิน บัญชีฉุกเฉินควรได้รับการควบคุมอย่างเข้มงวด
จำกัดผู้ที่สามารถเข้าสู่ระบบผ่าน RDP
ใช้กลุ่มเฉพาะแทนการให้สิทธิ์เข้าถึงอย่างกว้างขวางผ่านการเป็นสมาชิกของผู้ดูแลระบบท้องถิ่น ตรวจสอบนโยบายเหล่านี้:
การกำหนดค่าคอมพิวเตอร์ > การตั้งค่า Windows > การตั้งค่าความปลอดภัย > นโยบายท้องถิ่น > การกำหนดสิทธิ์ผู้ใช้
การตั้งค่าที่เกี่ยวข้องที่สุดสองอย่างคือ:
- อนุญาตให้เข้าสู่ระบบผ่านบริการ Remote Desktop
- ปฏิเสธการเข้าสู่ระบบผ่านบริการ Remote Desktop
นโยบายการปฏิเสธมีความสำคัญมากกว่า ตรวจสอบการมอบหมายอย่างรอบคอบเพื่อหลีกเลี่ยงการบล็อกผู้ดูแลระบบที่ถูกต้องตามกฎหมาย
แสดงสมาชิกในท้องถิ่นด้วย:
Get-LocalGroupMember -Group "ผู้ใช้ Remote Desktop" Get-LocalGroupMember -Group "ผู้ดูแลระบบ"
ในระบบที่เข้าร่วมโดเมน ให้ตรวจสอบกลุ่มที่ซ้อนกันและลบพนักงานเก่า ผู้ขายชั่วคราว บัญชีบริการ และกลุ่มกว้างที่ไม่ต้องการการเข้าถึงแบบโต้ตอบอีกต่อไป
แยกบัญชีผู้ดูแลระบบและบัญชีมาตรฐาน
ผู้ดูแลระบบไม่ควรใช้ตัวตนที่มีสิทธิพิเศษสำหรับอีเมล การท่องเว็บ หรือการทำงานประจำ ให้จัดเตรียมบัญชีแยกสำหรับการจัดการ RDP และจำกัดสถานที่ที่ตัวตนเหล่านั้นสามารถเข้าสู่ระบบได้
บัญชีผู้ดูแลโดเมนและบัญชีที่เทียบเท่าควรจะไม่ถูกใช้ในเซิร์ฟเวอร์สมาชิกทั่วไปและเวิร์กสเตชัน หากโฮสต์ที่มีความเชื่อถือต่ำถูกโจมตี ข้อมูลรับรองหรือโทเค็นการเข้าถึงจากเซสชันผู้ดูแลระบบอาจสนับสนุนการเคลื่อนที่ข้าม.
Windows LAPS สามารถจัดการและสำรองรหัสผ่านผู้ดูแลระบบท้องถิ่นที่ไม่ซ้ำกันบนระบบ Windows ที่รองรับได้ ซึ่งช่วยหลีกเลี่ยงการใช้รหัสผ่านที่มีสิทธิพิเศษเดียวกันในหลายเครื่อง
ปกป้องข้อมูลประจำตัวด้วย Remote Credential Guard
Remote Credential Guard ปกป้องข้อมูลรับรองในระหว่างการเชื่อมต่อ RDP ที่รองรับโดยการเปลี่ยนเส้นทางคำขอ Kerberos ไปยังอุปกรณ์ของลูกค้า ข้อมูลรับรองและอนุพันธ์ของมันจะไม่ถูกส่งไปยังโฮสต์ระยะไกล ซึ่งช่วยลดความเสี่ยงจากการถูกขโมยจากจุดหมายปลายทางที่ถูกบุกรุก
การควบคุมนี้ต้องการ Kerberos และไคลเอนต์และโฮสต์ Windows ที่รองรับ ไม่รองรับการเชื่อมต่อผ่าน RD Gateway หรือ Remote Desktop Connection Broker ดังนั้นผู้ดูแลระบบต้องตรวจสอบความเข้ากันได้กับเส้นทางการเข้าถึงจริง
ใช้รหัสผ่านสมัยใหม่และนโยบายการล็อกเอาต์
บัญชีที่สามารถเปิดเซสชัน RDP ต้องมีรหัสผ่านที่แข็งแกร่งและไม่ซ้ำกัน แนวทางปัจจุบันของ NIST เน้นการใช้รหัสผ่านที่ยาว การตรวจสอบรหัสผ่านที่ถูกบุกรุก และการเปลี่ยนแปลงหลังจากสงสัยว่าถูกบุกรุก แทนที่จะเป็นกฎการสร้างแบบสุ่มและการหมุนเวียนตามปกติ รวมรหัสผ่านที่ยาว MFA การจัดเก็บที่ปลอดภัย และการลบข้อมูลรับรองที่แชร์หรือเป็นค่าเริ่มต้น
กำหนดเกณฑ์และระยะเวลาการล็อกเอาต์เป็นส่วนหนึ่งของกลยุทธ์การป้องกันการโจมตีแบบ brute-force RDP ที่ชะลอการเดาอัตโนมัติโดยไม่สร้างเงื่อนไขการปฏิเสธบริการที่ง่าย ตั้งค่าตามปริมาณการโจมตี ความสามารถในการตรวจสอบ และความต้องการการสนับสนุน
คุณควรป้องกันการเข้ารหัส RDP และใบรับรองอย่างไร?
ต้องการชั้นความปลอดภัยที่เหมาะสม
RDP สามารถใช้ Transport Layer Security เพื่อยืนยันตัวตนของเซิร์ฟเวอร์และปกป้องการเชื่อมต่อ ตามที่ Microsoft Learn ระบุ ใบรับรองที่ปลอดภัยสำหรับการใช้งาน Remote Desktop Services และการเชื่อมต่อระหว่างบทบาทเซิร์ฟเวอร์ RDS.
ตรวจสอบนโยบายนี้:
การกำหนดค่าคอมพิวเตอร์ > เทมเพลตการจัดการ > ส่วนประกอบของ Windows > บริการ Remote Desktop > โฮสต์เซสชัน Remote Desktop > ความปลอดภัย > ต้องการการใช้ชั้นความปลอดภัยเฉพาะสำหรับการเชื่อมต่อระยะไกล
ใช้ใบรับรองที่มีชื่อเรื่องหรือชื่อทางเลือกของชื่อเรื่องตรงกับชื่อโฮสต์ที่ผู้ใช้ป้อน ลูกค้าควรเชื่อถือหน่วยงานออกใบรับรองและไม่ควรถูกฝึกให้มองข้ามคำเตือนเกี่ยวกับตัวตน
นโยบายระดับการเข้ารหัสการเชื่อมต่อของลูกค้าจะใช้กับการเข้ารหัส RDP แบบดั้งเดิม ไม่ใช่เซสชันที่ได้รับการป้องกันด้วย SSL/TLS ตรวจสอบการต่ออายุและการผูกใบรับรอง เนื่องจากใบรับรองที่หมดอายุหรือกำหนดไม่ถูกต้องอาจทำให้ผู้ฟังหรือเกตเวย์ที่มีการป้องกันไม่สามารถใช้งานได้
คุณควรจำกัดฟีเจอร์เซสชัน RDP อะไรบ้าง?
ปิดการเปลี่ยนเส้นทางอุปกรณ์และทรัพยากรที่ไม่จำเป็น
RDP สามารถเปลี่ยนเส้นทางทรัพยากรในท้องถิ่นเข้าสู่เซสชันระยะไกล ฟีเจอร์เหล่านี้ช่วยเพิ่มประสิทธิภาพการทำงาน แต่ก็สร้างเส้นทางสำหรับมัลแวร์ การถ่ายโอนไฟล์ และการสูญเสียข้อมูลด้วย
ตรวจสอบว่าผู้ใช้ต้องการการเข้าถึงคลิปบอร์ด การแมพไดรฟ์ท้องถิ่น เครื่องพิมพ์ อุปกรณ์ USB การบันทึกเสียง กล้อง การ์ดอัจฉริยะ หรือการเปลี่ยนเส้นทางการตรวจสอบสิทธิ์เว็บจริงหรือไม่
นโยบายอยู่ภายใต้:
การกำหนดค่าคอมพิวเตอร์ > เทมเพลตการจัดการ > ส่วนประกอบของ Windows > บริการ Remote Desktop > โฮสต์เซสชัน Remote Desktop > การเปลี่ยนเส้นทางอุปกรณ์และทรัพยากร
ไมโครซอฟท์มีการควบคุมสำหรับการแมพปิ้งไดรฟ์และการถ่ายโอนคลิปบอร์ดในทิศทาง ตัวอย่างเช่น ผู้ดูแลระบบสามารถอนุญาตให้ใช้ข้อความธรรมดาในขณะที่บล็อกเนื้อหาที่มีความซับซ้อนมากขึ้นหรือปิดการถ่ายโอนในทิศทางเดียว
อย่าปิดการใช้งานฟีเจอร์ทุกอย่างโดยไม่ทำการทดสอบ เซิร์ฟเวอร์การจัดส่งแอปพลิเคชันอาจต้องการการเปลี่ยนเส้นทางเครื่องพิมพ์ ในขณะที่โฮสต์กระโดดที่มีสิทธิพิเศษอาจไม่ต้องการการถ่ายโอนคลิปบอร์ดหรือไดรฟ์
ป้องกันการบันทึกรหัสผ่านในที่ที่เหมาะสม
การบันทึกข้อมูลรับรอง RDP จะเพิ่มความเสี่ยงต่อสถานีงานของผู้ดูแลระบบและจุดสิ้นสุดที่แชร์ ใช้นโยบายของลูกค้า:
การกำหนดค่าคอมพิวเตอร์ > เทมเพลตการจัดการ > ส่วนประกอบของ Windows > บริการ Remote Desktop > ไคลเอนต์การเชื่อมต่อ Remote Desktop > ไม่อนุญาตให้บันทึกรหัสผ่าน
เมื่อเปิดใช้งาน ตัวเลือกการบันทึกรหัสผ่านจะถูกปิดใช้งานและรหัสผ่านที่บันทึกจะถูกลบออกจากไฟล์ RDP จับคู่การควบคุมนี้กับกระบวนการจัดการข้อมูลประจำตัวที่ได้รับการอนุมัติ
กำหนดขีดจำกัดเซสชันที่ไม่ทำงานและถูกตัดการเชื่อมต่อ
การปิดหน้าต่าง RDP ไม่จำเป็นต้องทำให้ผู้ใช้ออกจากระบบ แอปพลิเคชันอาจยังคงทำงานอยู่และเซสชันอาจถูกเรียกคืนในภายหลัง
กำหนดขีดจำกัดภายใต้:
การกำหนดค่าคอมพิวเตอร์ > เทมเพลตการจัดการ > ส่วนประกอบของ Windows > บริการ Remote Desktop > โฮสต์เซสชัน Remote Desktop > ขีดจำกัดเวลาของเซสชัน
ตั้งค่าค่าที่เหมาะสมสำหรับเซสชันที่ไม่ทำงาน เซสชันที่ถูกตัดการเชื่อมต่อ ระยะเวลาสูงสุดที่ใช้งานได้ และการออกจากระบบ RemoteApp หลีกเลี่ยงการตั้งค่าเวลาเอาท์ที่รุนแรงในทุกภาระงาน เพราะการออกจากระบบแบบบังคับอาจขัดจังหวะงานหรือการทำงานที่ยังไม่ได้บันทึก
ระบบที่มีสิทธิพิเศษมักจะมีเหตุผลในการกำหนดขีดจำกัดที่สั้นกว่าระบบแอปพลิเคชันที่สนับสนุนกระบวนการทางธุรกิจที่ดำเนินไปนาน นโยบาย Windows รุ่นใหม่ยังสามารถตัดการเชื่อมต่อเซสชันระยะไกลเมื่อเซสชันถูกล็อก
คุณควรทำให้โฮสต์ Windows แข็งแกร่งขึ้นอย่างไร?
รักษา RDP เซิร์ฟเวอร์และไคลเอนต์ให้ทันสมัย
ความปลอดภัยของ RDP ขึ้นอยู่กับทั้งสองด้านของการเชื่อมต่อ เซิร์ฟเวอร์ที่ได้รับการแก้ไขอาจยังถูกเข้าถึงจากสถานีงานของผู้ดูแลระบบที่ถูกบุกรุก ในขณะที่ไคลเอนต์ที่ล้าสมัยอาจถูกเปิดเผยเมื่อเชื่อมต่อกับโฮสต์ที่เป็นอันตราย
ความกว้างขึ้น การตรวจสอบท่าทางของจุดสิ้นสุด ควรครอบคลุมขอบเขตของผู้ดูแลระบบท้องถิ่น ข้อมูลรับรองที่บันทึกไว้ และการป้องกันจุดสิ้นสุดที่ใช้งานอยู่ก่อนที่โฮสต์จะได้รับการอนุมัติสำหรับการเข้าถึงระยะไกล
รักษาเวอร์ชันที่รองรับของ Windows, Windows Server, ไคลเอนต์ Remote Desktop, บทบาท RDS, ส่วนประกอบการระบุตัวตน, เกตเวย์การเข้าถึง และตัวแทนความปลอดภัยของจุดสิ้นสุด ให้ความสำคัญกับการอัปเดตที่มีผลต่อการดำเนินการโค้ดระยะไกล, การตรวจสอบสิทธิ์ และการจัดการข้อมูลประจำตัว
ทดสอบการอัปเดตกับแอปพลิเคชันที่เป็นตัวแทน การพิมพ์ การเปลี่ยนเส้นทาง และกระบวนการตรวจสอบสิทธิ์ การทดสอบความเข้ากันได้ไม่ควรเป็นเหตุผลในการปล่อยให้ระบบที่สำคัญไม่ได้รับการแก้ไขเป็นเวลานาน
ระบบ RDP ของ Segment
การเชื่อมต่อ RDP ที่ได้รับการตรวจสอบสิทธิ์ไม่ควรให้การเข้าถึงทุกซับเน็ตภายในโดยอัตโนมัติ ใช้การแบ่งเครือข่ายและไฟร์วอลล์ของโฮสต์เพื่อควบคุมว่าเซิร์ฟเวอร์ RDP สามารถเข้าถึงอะไรได้บ้างหลังจากการเข้าสู่ระบบ
แยกโฮสต์กระโดดการบริหาร โฮสต์เซสชัน RD คอนโทรลเลอร์โดเมน เซิร์ฟเวอร์ไฟล์ เซิร์ฟเวอร์ฐานข้อมูล โครงสร้างพื้นฐานการสำรองข้อมูล อินเทอร์เฟซการจัดการ และสถานีงานของผู้ใช้ตามความเหมาะสม
ใช้ข้อจำกัดขาออกเมื่อบทบาทของเซิร์ฟเวอร์อนุญาต หากผู้โจมตีเข้าถึงเซสชัน RDP การแบ่งส่วนสามารถจำกัดการเคลื่อนที่ข้างเคียง การเข้าถึงข้อมูลสำรอง และการสื่อสารกับโครงสร้างพื้นฐานคำสั่งภายนอก
ลบซอฟต์แวร์และสิทธิ์ที่ไม่จำเป็น
ทุกบริการ แอปพลิเคชัน และเครื่องมือการจัดการที่ติดตั้งบนโฮสต์ RDP จะขยายสภาพแวดล้อมที่ต้องการการแพตช์และการตรวจสอบ
ลบแอปพลิเคชันที่ล้าสมัย ฟีเจอร์ Windows ที่ไม่ได้ใช้งาน และตัวแทนที่ถูกละทิ้ง จำกัดการติดตั้งซอฟต์แวร์ PowerShell เครื่องมือบรรทัดคำสั่ง และอินเทอร์เฟซการจัดการตามบทบาทของเซิร์ฟเวอร์
สำหรับเซิร์ฟเวอร์แอปพลิเคชันหลายผู้ใช้ การควบคุมแอปพลิเคชันและการกำหนดสิทธิ์ไฟล์ระบบที่เข้มงวดสามารถป้องกันไม่ให้ผู้ใช้คนหนึ่งเข้าถึงข้อมูลของผู้ใช้อีกคนหรือเรียกใช้โปรแกรมที่ไม่ได้รับอนุญาต
คุณควรตรวจสอบกิจกรรม RDP อย่างไร?
เปิดใช้งานและรวมศูนย์การตรวจสอบ Windows
บันทึกท้องถิ่นมีประโยชน์สำหรับการแก้ไขปัญหา แต่ไม่เพียงพอหากผู้โจมตีสามารถเปลี่ยนแปลงหรือลบหลักฐานหลังจากที่เข้าถึงเซิร์ฟเวอร์ได้ ส่งต่อเหตุการณ์ที่สำคัญไปยัง SIEM, Windows Event Collector หรือแพลตฟอร์มบันทึกที่ได้รับการป้องกันอื่น ๆ
เก็บอย่างน้อย:
- การเข้าสู่ระบบที่สำเร็จและล้มเหลว
- การล็อกบัญชี
- การเปลี่ยนแปลงการเป็นสมาชิกกลุ่ม
- บัญชีผู้ใช้ใหม่หรือที่แก้ไขแล้ว
- การสร้างและตัดการเชื่อมต่อเซสชันระยะไกล
- การเปลี่ยนแปลงไฟร์วอลล์
- การติดตั้งบริการ
- การมอบสิทธิ์
- การแจ้งเตือนความปลอดภัยของจุดสิ้นสุด
เหตุการณ์ความปลอดภัย 4624 และ 4625 บันทึกการเข้าสู่ระบบที่สำเร็จและล้มเหลว สำหรับการวิเคราะห์ RDP ให้ตรวจสอบประเภทการเข้าสู่ระบบ บัญชี คอมพิวเตอร์ที่ใช้ และข้อมูลเครือข่ายต้นทาง การเข้าสู่ระบบแบบโต้ตอบระยะไกลมักถูกระบุว่าเป็นประเภทการเข้าสู่ระบบ 10
บันทึกการดำเนินงานของบริการเทอร์มินัลเพิ่มบริบทของเซสชัน ในขณะที่เหตุการณ์ 4779 บันทึกการตัดการเชื่อมต่อจากสถานี Windows
การแจ้งเตือนเกี่ยวกับพฤติกรรม ไม่ใช่แค่ความล้มเหลวของบุคคลเท่านั้น
รหัสผ่านที่ล้มเหลวเพียงครั้งเดียวอาจเป็นความผิดพลาดของผู้ใช้ กฎการตรวจจับควรมองหาลักษณะเช่นความล้มเหลวหลายครั้งจากที่อยู่เดียว แหล่งที่มาหนึ่งที่ทดสอบชื่อผู้ใช้หลายชื่อ ความล้มเหลวในหลายเซิร์ฟเวอร์ หรือการเข้าสู่ระบบที่สำเร็จหลังจากความล้มเหลวซ้ำหลายครั้ง
สัญญาณที่มีประโยชน์ยังรวมถึงการเข้าถึงจากประเทศใหม่ การใช้สิทธิพิเศษนอกเวลาปกติ กิจกรรมบัญชีที่ไม่เคลื่อนไหว การเป็นสมาชิกกลุ่มใหม่ที่ตามมาด้วย RDP การปิดการใช้งานเครื่องมือรักษาความปลอดภัย หรือการเข้ารหัสไฟล์ที่ไม่ปกติ An โซลูชันความปลอดภัยขั้นสูง สามารถช่วยรวมการตรวจจับเหล่านี้และทำให้การตอบสนองต่อพฤติกรรม RDP ที่น่าสงสัยเป็นอัตโนมัติ ขีดจำกัดต้องสะท้อนพฤติกรรมปกติและรูปแบบการดำเนินงานขององค์กร
เตรียมขั้นตอนการตอบสนองเหตุการณ์ RDP
การเสริมความปลอดภัยไม่สามารถรับประกันได้ว่าจะไม่มีบัญชีหรือเซิร์ฟเวอร์ใดถูกโจมตี ผู้ดูแลระบบจำเป็นต้องมีขั้นตอนการตอบสนองที่มีเอกสารก่อนที่จะเกิดการแจ้งเตือน
ขั้นตอนควรครอบคลุมการแยกตัว, การบล็อก IP ที่เป็นศัตรู, การรีเซ็ตบัญชี, การเพิกถอนเซสชัน, การเก็บรักษาบันทึก, การตรวจสอบระบบข้างเคียง, การตรวจสอบความต่อเนื่อง, การกู้คืนที่เชื่อถือได้ และการตรวจสอบพื้นฐานใหม่.
รักษาคอนโซล แผนควบคุมคลาวด์ หรือเส้นทางการกู้คืนแบบนอกแบนด์ มิฉะนั้น การเปลี่ยนแปลงไฟร์วอลล์หรือกลุ่มนโยบายที่ไม่ถูกต้องอาจทำให้ผู้ดูแลระบบไม่สามารถเข้าถึงเซิร์ฟเวอร์ในระหว่างเหตุการณ์ได้
คุณจะตรวจสอบมาตรฐานการเสริมความแข็งแกร่งของ RDP ได้อย่างไร?
การตั้งค่าไม่ได้ถูกนำไปใช้เพียงเพราะมันปรากฏในวัตถุ Group Policy ยืนยันว่านโยบายที่ตั้งใจไว้ไปถึงอุปกรณ์เป้าหมายและสร้างผลลัพธ์ที่คาดหวัง
คำสั่งที่มีประโยชน์รวมถึง:
gpresult /h C:\Temp\RDP-Policy.html Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object DisplayName, Enabled, Direction, Action Get-LocalGroupMember -Group "Remote Desktop Users" Test-NetConnection server.example.com -Port 3389
การตรวจสอบควรครอบคลุมกรณีที่สำเร็จและไม่สำเร็จ ยืนยันว่าผู้ใช้ที่ได้รับอนุมัติสามารถเชื่อมต่อได้ ผู้ใช้และแหล่งข้อมูลที่ไม่ได้รับอนุญาตถูกบล็อก MFA ปรากฏขึ้น ใบรับรองได้รับความไว้วางใจ ข้อจำกัดการเปลี่ยนเส้นทางยังคงทำงานอยู่ และขีดจำกัดเซสชันทำงานได้
ตรวจสอบให้แน่ใจว่าการบันทึกกลางได้รับการพยายามที่ประสบความสำเร็จและล้มเหลว และผู้ดูแลระบบสามารถใช้เส้นทางการกู้คืนได้ ทดสอบการเปลี่ยนแปลงที่จำกัดในระบบที่เป็นตัวแทน และบันทึกข้อยกเว้นพร้อมกับเจ้าของและวันหมดอายุ
คุณควรตรวจสอบรายการตรวจสอบการเสริมความแข็งแกร่ง RDP บ่อยแค่ไหน?
ตรวจสอบฐานข้อมูลหลังจากการอัปเดต Windows ครั้งใหญ่ การเปลี่ยนแปลงเครือข่าย การโยกย้ายข้อมูลประจำตัว การปรับใช้ RDS ใหม่ และเหตุการณ์ด้านความปลอดภัย กำหนดการตรวจสอบอย่างเป็นทางการตามโปรไฟล์ความเสี่ยงขององค์กร
ระหว่างการตรวจสอบ ให้สังเกตการเปลี่ยนแปลงการกำหนดค่า รวมถึงการเปิดใช้งาน RDP ใหม่ กฎไฟร์วอลล์สาธารณะใหม่ ผู้ใช้ Remote Desktop ที่เพิ่มเข้ามา การปิดใช้งาน NLA ใบรับรองที่หมดอายุ เซิร์ฟเวอร์ที่ไม่ได้รับการตรวจสอบ การยกเว้น MFA การเปลี่ยนเส้นทางที่เปิดใช้งานใหม่ และบัญชีผู้ขายที่ล้าสมัย
การจัดการการกำหนดค่าที่เป็นอัตโนมัติสามารถตรวจจับความเบี่ยงเบนเหล่านี้ได้อย่างเชื่อถือได้มากกว่าการตรวจสอบด้วยมือเป็นครั้งคราว
เสริมความปลอดภัย RDP ด้วย TSplus
การควบคุม Windows ดั้งเดิมให้พื้นฐานสำหรับการเสริมความแข็งแกร่งของ RDP. TSplus Advanced Security เพิ่มการป้องกันแบบรวมศูนย์สำหรับ Windows และเซิร์ฟเวอร์ Remote Desktop รวมถึงการบล็อกการโจมตีแบบ brute-force อัตโนมัติ ข้อจำกัดทางภูมิศาสตร์ การป้องกัน ransomware การควบคุมอุปกรณ์ที่เชื่อถือได้ นโยบายเวลาทำงาน และการป้องกัน IP ที่เป็นอันตราย
การควบคุมเหล่านี้สามารถเสริมสร้างมาตรฐานโดยการตอบสนองโดยอัตโนมัติต่อพฤติกรรมที่เป็นศัตรูและจำกัดว่า ที่ไหน เมื่อไหร่ และอย่างไรผู้ใช้ระยะไกลเชื่อมต่อ พวกเขาไม่ได้แทนที่การเสริมความแข็งแกร่งของ Windows แต่สามารถทำให้การบังคับใช้และการตรวจสอบในหลายระบบง่ายขึ้น
สรุป
การติดตั้ง RDP ที่ปลอดภัยเริ่มต้นด้วยการลบผู้ฟังที่ไม่จำเป็นและหลีกเลี่ยงการเปิดเผยต่ออินเทอร์เน็ตโดยตรง ระบบที่ยังต้องการ RDP ควรรวม NLA, MFA, สิทธิ์ผู้ใช้ที่จำกัด, ใบรับรอง TLS ที่เชื่อถือได้, การป้องกันข้อมูลประจำตัว, การเปลี่ยนเส้นทางที่จำกัด, การแพตช์, การแบ่งส่วน และการตรวจสอบแบบรวมศูนย์
เส้นฐานสุดท้ายต้องตรงกับบทบาทของแต่ละระบบ เซิร์ฟเวอร์การบริหารภายใน เครื่องเสมือนในคลาวด์ โฮสต์เซสชัน RD หลายผู้ใช้ และสภาพแวดล้อมการเข้าถึงของผู้รับเหมาไม่จำเป็นต้องมีการควบคุมที่เหมือนกัน เอกสารการกำหนดค่าที่เลือก ทดสอบกับการทำงานจริง และตรวจสอบข้อยกเว้นทุกข้อเป็นประจำ
)
)
)
