ความปลอดภัยในการเข้าถึงระยะไกลสำหรับธุรกิจขนาดเล็กและขนาดกลาง: แนวทางปฏิบัติที่ดีที่สุดสำหรับ RDP

บทนำ

การเข้าถึงระยะไกลช่วยให้ธุรกิจขนาดเล็กและขนาดกลางสนับสนุนการทำงานแบบไฮบริด ดูแลเซิร์ฟเวอร์ Windows รักษาแอปพลิเคชันทางธุรกิจ และช่วยเหลือผู้ใช้จากภายนอกสำนักงาน การเชื่อมต่อเดียวกันนี้ยังสามารถสร้างเส้นทางตรงเข้าสู่ระบบของบริษัทเมื่อโปรโตคอล Remote Desktop ถูกเปิดเผยต่ออินเทอร์เน็ต ข้อมูลรับรองถูกขโมย หรือเซิร์ฟเวอร์ไม่ได้รับการดูแลอย่างเหมาะสม

การออกแบบที่ปลอดภัยไม่สามารถพึ่งพาการตั้งค่าเดียว VPN หรือรหัสผ่านที่แข็งแกร่งเพียงอย่างเดียวได้ ธุรกิจขนาดเล็กต้องการการควบคุมหลายอย่างที่ทำงานร่วมกัน ยังคงจัดการได้สำหรับทีมไอทีขนาดเล็ก และจำกัดความเสียหายเมื่อชั้นหนึ่งล้มเหลว เป้าหมายไม่ใช่การสร้างโครงสร้างความปลอดภัยในระดับองค์กร แต่คือการลดการเปิดเผยที่ไม่จำเป็น ควบคุมการเข้าถึงอย่างแม่นยำ และตรวจจับกิจกรรมที่น่าสงสัยก่อนที่จะกลายเป็นเหตุการณ์ที่กว้างขึ้น

การรักษาความปลอดภัยการเข้าถึงระยะไกลสำหรับธุรกิจขนาดเล็กและขนาดกลางคืออะไร?

ความปลอดภัยในการเข้าถึงระยะไกลคือการรวมกันของเทคโนโลยี นโยบาย และแนวปฏิบัติในการดำเนินงานที่ใช้เพื่อปกป้องระบบที่เข้าถึงจากภายนอกเครือข่ายท้องถิ่น พนักงาน ผู้ดูแลระบบ ผู้รับเหมา และผู้ให้บริการสนับสนุนอาจต้องการการเชื่อมต่อระยะไกล แต่พวกเขาไม่ควรได้รับขอบเขตการเข้าถึงเดียวกันหรือใช้การควบคุมเดียวกัน

สำหรับ SMB ที่ใช้ Windows โมเดลความปลอดภัยครอบคลุมสามชั้น:

• เส้นทางการเข้าถึง รวมถึงโปรโตคอลเดสก์ท็อประยะไกล (RDP) เกตเวย์เดสก์ท็อประยะไกล (RD Gateway) เครือข่ายส่วนตัวเสมือน (VPNs) และพอร์ทัลเว็บ
• ผู้ใช้และอุปกรณ์ รวมถึงการตรวจสอบตัวตน สิทธิ์ และสุขภาพของจุดสิ้นสุด
• เซิร์ฟเวอร์และทรัพยากร รวมถึงการแพตช์ การแบ่งส่วน การตรวจสอบ และการกู้คืน

ชั้นเหล่านี้ขึ้นอยู่กับกันและกัน เกตเวย์ RD ไม่สามารถชดเชยบัญชีผู้ดูแลระบบที่ถูกบุกรุกได้ ในขณะที่การตรวจสอบสิทธิ์หลายปัจจัย (MFA) ไม่สามารถแก้ไขเซิร์ฟเวอร์ที่ไม่ได้รับการแพตช์ได้ ดังนั้น CISA จึงแนะนำให้องค์กรปิดบริการเดสก์ท็อประยะไกลเมื่อไม่จำเป็นและรักษาความปลอดภัยอย่างเข้มงวดเมื่อการดำเนินงานขึ้นอยู่กับบริการเหล่านี้

ทำไมความปลอดภัยในการเข้าถึงระยะไกลจึงเป็นเรื่องยากสำหรับธุรกิจขนาดเล็กและขนาดกลาง?

SMBs ต้องการหลายอย่างที่เหมือนกัน ความปลอดภัยขั้นสูง ควบคุมเช่นองค์กรขนาดใหญ่แต่มักมีผู้ดูแลระบบน้อยกว่า งบประมาณน้อยกว่า และเวลาน้อยลงสำหรับการตรวจสอบอย่างต่อเนื่อง การออกแบบที่กระจายอยู่ในหลายคอนโซลที่รวมกันอย่างหลวมอาจดูปลอดภัยในเอกสาร แต่กลับยากต่อการบำรุงรักษาในทางปฏิบัติ

ความเสี่ยงยังเพิ่มขึ้นเมื่อความสะดวกสบายเป็นแรงขับเคลื่อนในการออกแบบสถาปัตยกรรม ตัวอย่างทั่วไป ได้แก่ การส่งต่อ RDP โดยตรงไปยังเซิร์ฟเวอร์ Windows การให้ผู้รับเหมาเข้าถึง VPN อย่างกว้างขวาง การอนุญาตให้บัญชีผู้ใช้ประจำวันมีสิทธิ์การดูแลระบบ หรือการปล่อยให้บัญชีของพนักงานเก่าทำงานอยู่

ผู้โจมตีไม่จำเป็นต้องใช้การโจมตี RDP ขั้นสูงเสมอไป พวกเขาอาจประสบความสำเร็จผ่าน:

• การพ่นรหัสผ่านหรือการบรรจุข้อมูลประจำตัว
• ข้อมูลรับรองที่ถูกขโมยผ่านการฟิชชิงหรือมัลแวร์
• เกตเวย์ที่ไม่ได้แพตช์, อุปกรณ์ VPN หรือเซิร์ฟเวอร์ Windows
• บัญชีที่มีสิทธิ์มากเกินไปและอุปกรณ์ที่ไม่ได้จัดการ
• การป้องกันสำรองที่อ่อนแอ
• การเชื่อมต่อ RDP ที่ถูกต้องตามกฎหมายที่ใช้สำหรับการเคลื่อนที่ข้างเคียง

ความปลอดภัยในการเข้าถึงระยะไกลจึงควรทำงานเป็นกระบวนการที่สามารถทำซ้ำได้มากกว่าการตรวจสอบรายการเพียงครั้งเดียว การควบคุมต้องง่ายต่อการนำไปใช้ในลักษณะที่สม่ำเสมอ ตรวจสอบเป็นประจำ และปรับเปลี่ยนเมื่อผู้ใช้ อุปกรณ์ หรือแอปพลิเคชันทางธุรกิจเปลี่ยนแปลง

SMB ควรป้องกันการเข้าถึง RDP อย่างไร?

ปิดการใช้งาน RDP เมื่อไม่จำเป็น

บริการ RDP ที่ปลอดภัยที่สุดคือบริการที่ไม่ได้ทำงานโดยไม่มีความจำเป็นทางธุรกิจ ระบบสินค้าคงคลังที่เปิดใช้งาน Remote Desktop และยืนยันว่าทำไมแต่ละระบบจึงยอมรับเซสชันระยะไกล

เซิร์ฟเวอร์ไฟล์ คอนโทรลเลอร์โดเมน และสถานีทำงานของพนักงานไม่ควรอนุญาต RDP โดยอัตโนมัติเนื่องจากการตั้งค่านี้ถูกเปิดใช้งานระหว่างการติดตั้ง ปิดการใช้งานบริการในโฮสต์ที่ไม่จำเป็น ลบกฎไฟร์วอลล์ที่ล้าสมัย และตรวจสอบเป็นระยะๆ ว่าไม่ได้ถูกเปิดใช้งานอีกครั้ง

Microsoft แนะนำให้เปิดใช้งาน Remote Desktop เฉพาะเมื่อจำเป็นและจำกัดให้เฉพาะเครือข่ายที่เชื่อถือได้ การเปิดใช้งาน RDP จะสร้างบริการที่รอการเชื่อมต่อ และสมาชิกในกลุ่มผู้ดูแลระบบท้องถิ่นอาจได้รับการเข้าถึงโดยอัตโนมัติ เว้นแต่จะมีการตรวจสอบสิทธิ์การเข้าถึง

เก็บ RDP ไว้หลังจุดเข้าถึงที่ควบคุมได้

การส่งต่อพอร์ต TCP สาธารณะ 3389 ไปยังคอมพิวเตอร์ Windows ภายในนั้นง่าย แต่จะทำให้บริการการตรวจสอบสิทธิ์ RDP ถูกเปิดเผยต่อการสแกนจากอินเทอร์เน็ตและการพยายามเข้าสู่ระบบซ้ำแล้วซ้ำเล่า การเปลี่ยนพอร์ตอาจลดเสียงรบกวนจากสแกนเนอร์พื้นฐาน แต่จะไม่สร้างขอบเขตความปลอดภัยที่มีความหมาย

การจราจร RDP ภายนอกควรผ่านชั้นการเข้าถึงที่ควบคุม ตัวเลือกที่เหมาะสมรวมถึง:

• เกตเวย์ RD
• VPN ที่กำหนดค่าอย่างปลอดภัย
• บริการเข้าถึงที่ไม่ไว้วางใจหรือมีการรับรู้ตัวตน
• แพลตฟอร์มการเผยแพร่แอปพลิเคชันระยะไกล
• โฮสต์กระโดดที่จัดการสำหรับผู้ดูแลระบบ

เกตเวย์ RD จะส่งต่อการรับส่งข้อมูล RDP ภายนอกผ่าน HTTPS และอนุญาตให้ผู้ดูแลระบบใช้กฎการอนุญาตการเชื่อมต่อและทรัพยากร โฮสต์ RDP ภายในสามารถรับการเชื่อมต่อจากเกตเวย์แทนที่จะมาจากที่อยู่สาธารณะทั่วไป

จุดเข้าถึงควรตรงกับขอบเขตที่กำหนดไว้ VPN อาจเหมาะกับผู้ดูแลระบบที่ต้องการทรัพยากรส่วนตัวหลายรายการ ในขณะที่การเผยแพร่แอปพลิเคชันอาจเหมาะกับพนักงานที่ต้องการเพียงแค่แอปพลิเคชันทางธุรกิจหนึ่งรายการ

ใช้ NLA, Trusted Certificates และ MFA

การตรวจสอบระดับเครือข่าย (NLA) ต้องการให้ผู้ใช้ทำการตรวจสอบตัวตนก่อนที่ Windows จะสร้างเซสชันเดสก์ท็อประยะไกลแบบเต็มรูปแบบ ซึ่งช่วยลดการใช้ทรัพยากรและจำกัดการเปิดเผยหน้าจอเข้าสู่ระบบแบบโต้ตอบ ให้เปิดใช้งาน NLA เว้นแต่จะมีปัญหาความเข้ากันได้ที่มีเอกสารยืนยันว่าห้ามใช้

บริการ Remote Desktop ยังขึ้นอยู่กับ ใบรับรอง Transport Layer Security ที่เชื่อถือได้ การเข้ารหัสปกป้องข้อมูลระหว่างการส่งข้อมูล ในขณะที่การตรวจสอบใบรับรองยืนยันว่าผู้ใช้กำลังเชื่อมต่อกับเซิร์ฟเวอร์ที่ตั้งใจไว้ ตรวจสอบวันหมดอายุของใบรับรองและตรวจสอบคำเตือนแทนที่จะสอนผู้ใช้ให้มองข้ามมัน

MFA ควรปกป้องจุดเข้าถึงภายนอกก่อนที่ใครจะไปถึงโฮสต์ RDP สำหรับผู้ดูแลระบบ ควรเลือกวิธีที่ต้านทานการฟิชชิง เช่น กุญแจรักษาความปลอดภัย รหัสผ่าน คำรับรอง หรือ Windows Hello for Business RD Gateway และแพลตฟอร์มการเข้าถึงระยะไกลอื่น ๆ สามารถบังคับใช้ MFA ผ่านบริการระบุตัวตนที่รองรับได้

ควบคุมการเข้าสู่ระบบที่ล้มเหลวและการเปลี่ยนเส้นทางเซสชัน

การล็อกบัญชีสามารถชะลอการเดารหัสผ่านได้ แต่เกณฑ์ที่ต่ำอาจทำให้ผู้โจมตีบล็อกผู้ใช้ที่ถูกต้องตามกฎหมาย วิธีที่ดีกว่าคือการรวม MFA การบล็อกหรือจำกัด IP การแจ้งเตือนสำหรับความล้มเหลวที่ไม่ปกติ การตรวจสอบรหัสผ่าน และนโยบายการล็อกเอาต์ที่ตรงกับความต้องการทางธุรกิจ

หลังจากเริ่มเซสชัน ฟีเจอร์การเปลี่ยนเส้นทางสามารถย้ายข้อมูลระหว่างจุดสิ้นสุดและเซิร์ฟเวอร์ การแชร์คลิปบอร์ด การแมพไดรฟ์ท้องถิ่น การพิมพ์ และการเปลี่ยนเส้นทางอุปกรณ์ควรปฏิบัติตามบทบาทของผู้ใช้แทนที่จะเป็นนโยบายทั่วโลกนโยบายเดียว

ผู้ใช้การเงินอาจต้องการการพิมพ์โดยไม่มีการเข้าถึงไดรฟ์ท้องถิ่น ในขณะที่ผู้รับเหมาอาจต้องการแอปพลิเคชันที่เผยแพร่หนึ่งรายการโดยไม่มีการถ่ายโอนคลิปบอร์ด กำหนดการตั้งค่าเหล่านี้ผ่านนโยบายกลุ่มหรือตัวแพลตฟอร์มการเข้าถึงระยะไกล จากนั้นอนุญาตเฉพาะสิ่งที่แต่ละบทบาทต้องการ

SMB จะปกป้องผู้ใช้ระยะไกลและบัญชีได้อย่างไร?

แยกการเข้าถึงที่มีสิทธิพิเศษและมาตรฐาน

ผู้ดูแลระบบไม่ควรใช้บัญชีที่มีสิทธิพิเศษสำหรับอีเมล การท่องเว็บ หรือการทำงานประจำของแอปพลิเคชัน ให้พนักงาน IT แต่ละคนมีบัญชีมาตรฐานสำหรับงานประจำและบัญชีที่ตั้งชื่อแยกต่างหากสำหรับการบริหารจัดการ

การแยกนี้ช่วยเพิ่มความรับผิดชอบและทำให้การออกจากระบบง่ายขึ้น บัญชีที่มีสิทธิพิเศษแต่ละบัญชีจะแสดงว่าใครเป็นผู้ดำเนินการทำให้การเพิกถอนการเข้าถึงทำได้ง่ายขึ้นและสนับสนุนการสอบสวนที่ชัดเจนเมื่อมีการเกิดกิจกรรมที่น่าสงสัย

ผู้ใช้ระยะไกลไม่ควรได้รับสิทธิ์ผู้ดูแลระบบท้องถิ่นเพียงเพราะพวกเขาต้องการเดสก์ท็อปหรือแอปพลิเคชัน กลุ่มผู้ใช้เดสก์ท็อประยะไกลสามารถอนุญาตให้ลงชื่อเข้าใช้โดยไม่ต้องมอบการควบคุมเซิร์ฟเวอร์ที่กว้างขึ้น

ใช้หลักการสิทธิขั้นต่ำโดยทรัพยากร

การเข้าถึงระยะไกลควรสะท้อนถึงทรัพยากรที่บุคคลต้องการ ไม่ใช่เพียงแค่ดูว่าบุคคลนั้นทำงานให้กับบริษัทหรือไม่ พนักงาน ผู้รับเหมา ผู้จัดการ และผู้ดูแลระบบมักต้องการขอบเขตที่แตกต่างกัน

ตัวอย่าง:

• พนักงานอาจต้องการแอปพลิเคชันที่เผยแพร่หนึ่งหรือสองแอปพลิเคชัน
• ผู้จัดการอาจต้องการเดสก์ท็อปที่แชร์กันอย่างมีการควบคุม
• ผู้ดูแลระบบอาจต้องการคอนโซลเซิร์ฟเวอร์ที่เลือก
• ผู้รับเหมาอาจต้องการแอปพลิเคชันหนึ่งสำหรับระยะเวลาของโครงการที่กำหนดไว้
• ผู้ให้บริการสนับสนุนอาจต้องการการเข้าถึงชั่วคราวไปยังเครื่องเฉพาะบางเครื่อง

การให้ผู้ใช้ระยะไกลทุกคนเข้าถึงเดสก์ท็อปหรืออุโมงค์เครือข่ายเต็มรูปแบบจะขยายจำนวนไฟล์ เครื่องมือ และเส้นทางการเชื่อมต่อที่มีอยู่หลังจากการถูกโจมตี การเข้าถึงในระดับแอปพลิเคชันมักจะปลอดภัยกว่าเมื่อความต้องการทางธุรกิจไม่สมเหตุสมผลที่จะต้องเชื่อมต่อเดสก์ท็อปหรือเครือข่ายส่วนตัวทั้งหมด

เสริมสร้างการควบคุมรหัสผ่านและวงจรชีวิตบัญชี

นโยบายรหัสผ่านควรสนับสนุนการใช้ข้อมูลประจำตัวที่ยาวและไม่ซ้ำกัน, โปรแกรมจัดการรหัสผ่าน และการตรวจสอบกับค่าที่ถูกละเมิดที่รู้จัก กฎความซับซ้อนที่คาดเดาได้มักจะสร้างความแปรปรวนเล็กน้อยแทนที่จะเป็นรหัสผ่านที่แข็งแกร่งกว่า

แนวทาง NIST เน้นความยาว รายการบล็อก และการจัดการรหัสผ่านที่ปลอดภัยมากกว่าการเปลี่ยนแปลงที่บังคับตามปกติ บัญชีบริการและบัญชีผู้ดูแลระบบฉุกเฉินต้องได้รับการตรวจสอบอย่างใกล้ชิดเพราะข้อมูลประจำตัวที่มีพลังของพวกเขาง่ายต่อการมองข้าม

เชื่อมสิทธิ์การเข้าถึงระยะไกลกับกระบวนการเข้าร่วม ย้าย และออกจากงาน การตรวจสอบควรลบพนักงานเก่า ผู้ใช้ที่ไม่ใช้งาน ผู้รับเหมาเก่าที่หมดอายุ สิทธิ์ที่ไม่จำเป็น และบัญชีบริการที่ได้รับอนุญาตให้เข้าสู่ระบบแบบโต้ตอบได้ การเข้าถึงชั่วคราวควรหมดอายุโดยอัตโนมัติเมื่อเป็นไปได้

พิจารณาความปลอดภัยของจุดสิ้นสุดและการรับรู้ของผู้ใช้

แม้แต่ผู้ใช้ที่ถูกต้องตามกฎหมายก็สามารถสร้างความเสี่ยงจากการ อุปกรณ์ที่ติดเชื้อหรือไม่ได้จัดการ มัลแวร์บนแล็ปท็อประยะไกลอาจจับข้อมูลประจำตัว ตรวจสอบกิจกรรม หรือใช้คลิปบอร์ดและการเปลี่ยนเส้นทางไดรฟ์หลังจากการตรวจสอบสิทธิ์

อุปกรณ์ที่บริษัทจัดการควรใช้ระบบปฏิบัติการที่รองรับ การเข้ารหัสดิสก์ การป้องกันอุปกรณ์ นโยบายการล็อกหน้าจอ และสิทธิ์ของผู้ดูแลระบบที่จำกัด สำหรับอุปกรณ์ส่วนบุคคล การเข้าถึงผ่านเบราว์เซอร์หรือเซสชันที่จำกัดสามารถรักษาข้อมูลธุรกิจไว้บนเซิร์ฟเวอร์ได้

การฝึกอบรมควรมุ่งเน้นไปที่สถานการณ์ที่ผู้ใช้เผชิญ รวมถึงการแจ้งเตือน MFA ที่ไม่คาดคิด การโทรสนับสนุนปลอม ไฟล์ RDP ที่เป็นอันตราย และคำขอข้อมูลประจำตัว ผู้ใช้ยังต้องการกระบวนการรายงานที่ง่ายดาย

SMB ควรปกป้องเซิร์ฟเวอร์ Remote Access อย่างไร?

แพตช์และลดพื้นผิวการโจมตี

การแพตช์ต้องครอบคลุมทั้งโซ่การเข้าถึงระยะไกล ไม่ใช่แค่โฮสต์เซสชัน Windows ส่วนประกอบที่เชื่อมต่อกับอินเทอร์เน็ตอาจรวมถึงอุปกรณ์ VPN เกตเวย์ บริการระบุตัวตน โปรxies แบบย้อนกลับ พอร์ทัลเว็บ และคอนโซลการจัดการ

จัดทำรายการระบบที่เข้าถึงได้จากภายนอก กำหนดความรับผิดชอบในการอัปเดต และรักษากระบวนการฉุกเฉินสำหรับช่องโหว่ที่ถูกโจมตีอย่างต่อเนื่อง ไฟร์วอลล์โฮสต์ควรอนุญาตเฉพาะการรับส่งข้อมูลที่จำเป็น ในขณะที่โฮสต์ RDP ภายในที่อยู่หลัง RD Gateway ควรยอมรับการเชื่อมต่อจากเกตเวย์หรือเครือข่ายการจัดการที่ได้รับการอนุมัติเท่านั้น

ลบบริการที่ไม่ได้ใช้งาน โปรโตคอลเก่าและเครื่องมือการจัดการที่ไม่จำเป็น ทุกส่วนประกอบเพิ่มเติมจะเพิ่มพื้นที่การโจมตีและภาระการบำรุงรักษา

แยกการเข้าถึงระยะไกลจากระบบที่สำคัญ

การเข้าสู่ระบบระยะไกลที่ประสบความสำเร็จไม่ควรให้เส้นทางที่ไม่มีข้อจำกัดไปยังเซิร์ฟเวอร์ทุกเครื่อง การแบ่งเครือข่ายสามารถแยกโฮสต์เซสชันและแอปพลิเคชันทางธุรกิจออกจากระบบการจัดการ คอนโทรลเลอร์โดเมน และโครงสร้างพื้นฐานสำรอง

การจราจรด้านการบริหารควรใช้เส้นทางการจัดการที่เฉพาะเจาะจงเมื่อเป็นไปได้ ตัวอย่างเช่น โฮสต์เซสชันผู้ใช้ไม่ควรให้การเข้าถึงที่ไม่มีข้อจำกัดต่อโดเมนคอนโทรลเลอร์ อินเทอร์เฟซไฮเปอร์ไวเซอร์ หรือคอนโซลสำรอง

การจำกัดการแบ่งส่วนช่วยลดการเคลื่อนที่ข้างเคียงเมื่อบัญชี อุปกรณ์ หรือเซิร์ฟเวอร์ถูกโจมตี นอกจากนี้ยังทำให้แนวทางการเข้าถึงชัดเจนขึ้นเพราะกลุ่มผู้ใช้ระยะไกลแต่ละกลุ่มจะได้รับเพียงการเข้าถึงเครือข่ายที่จำเป็นสำหรับบทบาทของตนเท่านั้น

เตรียมพร้อมสำหรับมัลแวร์และแรนซัมแวร์

ความปลอดภัยของเดสก์ท็อประยะไกล เกี่ยวข้องกับการบล็อกการเข้าสู่ระบบที่ไม่ได้รับอนุญาตมากกว่า ผู้ใช้ที่ถูกต้องอาจทำให้เกิดมัลแวร์โดยไม่ตั้งใจ ในขณะที่ผู้โจมตีที่มีข้อมูลประจำตัวที่ถูกต้องอาจนำแรนซัมแวร์มาใช้ผ่านเซสชันปกติ

เซิร์ฟเวอร์จึงต้องการการป้องกันจุดสิ้นสุดและการตรวจสอบพฤติกรรมที่สามารถตรวจจับกระบวนการที่น่าสงสัย การเปลี่ยนแปลงไฟล์อย่างรวดเร็ว และความพยายามในการปิดการควบคุมความปลอดภัย การควบคุมแอปพลิเคชันสามารถจำกัดเพิ่มเติมว่าไฟล์ปฏิบัติการและสคริปต์ใดที่ผู้ใช้สามารถเรียกใช้ได้

การสำรองข้อมูลเป็นสิ่งสำคัญ แต่ต้องอยู่นอกเหนือการเข้าถึงของผู้ใช้ระยะไกลทั่วไปและบัญชีผู้ดูแลระบบที่ถูกบุกรุก ใช้จุดกู้คืนหลายจุด สำเนาที่แยกต่างหากหรือไม่สามารถเปลี่ยนแปลงได้ ข้อมูลประจำตัวเฉพาะ การตรวจสอบสิทธิ์หลายปัจจัยสำหรับการจัดการสำรองข้อมูล และการทดสอบการกู้คืนเป็นประจำ

การสำรองข้อมูลที่ประสบความสำเร็จไม่ได้รับประกันการกู้คืน ทดสอบว่าแอปพลิเคชัน ข้อมูล และการตั้งค่าสามารถกู้คืนได้ภายในเวลาที่ธุรกิจต้องการจริง ๆ หรือไม่

รวมศูนย์บันทึกและการแจ้งเตือน

บันทึกจะช่วยได้ก็ต่อเมื่อยังคงมีอยู่และมีคนตรวจสอบพวกเขา รวบรวมเหตุการณ์เกตเวย์ ไฟร์วอลล์ การตรวจสอบสิทธิ์ และเซิร์ฟเวอร์ในศูนย์กลางเมื่อเป็นไปได้

ในระบบ Windows, เหตุการณ์ 4624 จะบันทึกการเข้าสู่ระบบที่สำเร็จและเหตุการณ์ 4625 จะบันทึกความพยายามที่ล้มเหลว แจ้งเตือนเมื่อมีความล้มเหลวซ้ำ ๆ, การโจมตีด้วยการพ่นรหัสผ่าน, ตำแหน่งของผู้ดูแลระบบที่ไม่คุ้นเคย, อุปกรณ์ใหม่, การปิดการบันทึกหรือการลบไฟล์อย่างรวดเร็ว.

ธุรกิจขนาดเล็กอาจไม่ต้องการศูนย์ปฏิบัติการด้านความปลอดภัย แต่ต้องการผู้รับที่มีชื่อสำหรับการแจ้งเตือนที่มีความสำคัญสูงและกระบวนการเพิ่มระดับที่ชัดเจน

โครงสร้างการเข้าถึงระยะไกลใดที่เหมาะกับ SMB?

สถาปัตยกรรมที่ปลอดภัยที่สุดในทางปฏิบัติมักจะเป็นตัวเลือกที่แคบที่สุดที่ยังรองรับการทำงานของผู้ใช้ได้

วิธีการเข้าถึง	การใช้ที่เหมาะสม	การพิจารณาด้านความปลอดภัยหลัก
RDP ภายใน	การบริหารจัดการท้องถิ่นจากเครือข่ายการจัดการที่เชื่อถือได้	เก็บไม่ให้เข้าถึงจากอินเทอร์เน็ตสาธารณะ
VPN ตามด้วย RDP	ผู้ใช้ที่ต้องการทรัพยากรเครือข่ายส่วนตัวหลายรายการ	ใช้ MFA และจำกัดเครือข่ายที่เข้าถึงได้
RD Gateway	การจัดการการเข้าถึงภายนอกไปยังเดสก์ท็อปหรือแอปพลิเคชัน RDS	แพตช์เกตเวย์และบังคับใช้ใบรับรอง, MFA และนโยบายการอนุญาต
การเผยแพร่เบราว์เซอร์หรือแอปพลิเคชัน	ผู้ใช้ที่ต้องการแอปพลิเคชัน Windows ที่เลือก	จำกัดทรัพยากรที่เผยแพร่และรักษาความปลอดภัยจุดเข้าถึงเว็บ
โฮสต์กระโดดสำหรับการบริหารจัดการ	การเข้าถึงที่มีสิทธิพิเศษไปยังเซิร์ฟเวอร์ที่เลือก	แยกโฮสต์และจำกัดการเชื่อมต่ออย่างเข้มงวด
VDI หรือ DaaS	สภาพแวดล้อมเดสก์ท็อปที่จัดการแยกต่างหาก	ระบุตัวตนที่ปลอดภัย, รูปภาพ, แผนการจัดการและการตั้งค่าในคลาวด์

สถาปัตยกรรมควรปฏิบัติตามภาระงาน การเลือก RDP สาธารณะโดยตรงไม่ควรทำเพื่อความสะดวก และไม่ควรใช้ VPN เมื่อมันให้การเข้าถึงเครือข่ายมากกว่าที่ผู้ใช้ต้องการ การเผยแพร่แอปพลิเคชันอาจลดการเปิดเผยสำหรับผู้ใช้ทั่วไป ในขณะที่ผู้ดูแลระบบอาจต้องการเกตเวย์ที่มีความปลอดภัยสูงหรือโฮสต์กระโดด

SMB ควรป้องกันอะไรเป็นอันดับแรก?

SMBs สามารถปรับปรุงความปลอดภัยในการเข้าถึงระยะไกลได้ในสามขั้นตอน

ลดการเปิดเผยทันที

ระบุ RDP, VPN, เกตเวย์ และบริการจัดการระยะไกลที่เชื่อมต่อกับอินเทอร์เน็ตทุกตัว ปิดการใช้งานสิ่งที่ไม่จำเป็นและลบการเปิดเผย RDP สาธารณะโดยตรงออก

จากนั้นยืนยันว่า NLA เปิดใช้งานอยู่ ต้องการ MFA แพตช์ระบบที่เชื่อมต่อกับอินเทอร์เน็ต ตรวจสอบกลุ่มผู้ดูแลระบบและจำกัดกฎไฟร์วอลล์ ตรวจสอบให้แน่ใจว่าผู้ใช้ระยะไกลทั่วไปไม่สามารถแก้ไขการสำรองข้อมูลและตรวจสอบความล้มเหลวในการเข้าสู่ระบบซ้ำ ๆ

การทำให้การเข้าถึงและการเสริมความแข็งแกร่งของเซิร์ฟเวอร์เป็นมาตรฐาน

แยกบัญชีรายวันและบัญชีที่มีสิทธิพิเศษ ตรวจสอบผู้รับเหมาและบัญชีบริการ และเลือกการเข้าถึงระดับเกตเวย์หรือแอปพลิเคชันเมื่อเหมาะสม กำหนดค่าใบรับรองที่เชื่อถือได้ จำกัดการเปลี่ยนเส้นทาง แบ่งส่วนโครงสร้างพื้นฐานที่สำคัญ และรวมศูนย์บันทึก.

บันทึกการควบคุมเหล่านี้เป็นฐานข้อมูล เซิร์ฟเวอร์ใหม่และกลุ่มผู้ใช้ควรปฏิบัติตามการออกแบบเดียวกันแทนที่จะถูกป้องกันแตกต่างกันในแต่ละครั้ง

สร้างการดำเนินงานด้านความปลอดภัยอย่างต่อเนื่อง

ความปลอดภัยของการเข้าถึงระยะไกลจะอ่อนแอลงเมื่อซอฟต์แวร์ สิทธิ์ และนโยบายไม่ได้รับการตรวจสอบ กำหนดกระบวนการที่เกิดขึ้นเป็นประจำสำหรับการติดตั้งแพตช์ การตรวจสอบบัญชี การต่ออายุใบรับรอง การทดสอบการกู้คืนข้อมูลสำรอง การตรวจสอบไฟร์วอลล์ และการตรวจสอบการแจ้งเตือน

รวมการฝึกซ้อมการตอบสนองต่อเหตุการณ์พื้นฐาน เป้าหมายคือการทำให้การเข้าถึงโดยไม่ได้รับอนุญาตยากขึ้น การควบคุมบัญชีที่ถูกบุกรุก และตรวจจับกิจกรรมที่น่าสงสัยให้เร็วพอที่จะตอบสนองได้

คุณจะตรวจสอบความปลอดภัยของ Remote Access ได้อย่างไร?

ควรทดสอบการกำหนดค่ามากกว่าที่จะสมมติว่าปลอดภัย จากเครือข่ายภายนอก ให้ตรวจสอบว่าโฮสต์ RDP ภายในไม่สามารถติดต่อได้โดยตรงและผู้ใช้ต้องผ่านเกตเวย์ที่ได้รับการอนุมัติ, VPN หรือพอร์ทัลเว็บ

ทดสอบบัญชีตัวแทน รวมถึงพนักงานมาตรฐาน ผู้ดูแลระบบ ผู้รับเหมา ผู้ใช้ที่ถูกปิดการใช้งาน และผู้ใช้ที่ใช้อุปกรณ์ที่ไม่ได้รับอนุมัติ บัญชีแต่ละบัญชีควรเข้าถึงทรัพยากรที่จำเป็น แต่ไม่กว้างเกินไป

ทดสอบการจำกัดคลิปบอร์ดและไดรฟ์ ยืนยันว่าการเชื่อมต่อสร้างเหตุการณ์ที่คาดหวังและตรวจสอบว่าแจ้งเตือนถึงผู้ดูแลระบบที่รับผิดชอบ สุดท้าย จำลองการกู้คืนจากการสำรองข้อมูลที่ป้องกัน การทดสอบการกู้คืนมักจะเปิดเผยช่องโหว่ที่การตรวจสอบการกำหนดค่าพลาดไป

ข้อผิดพลาดด้านความปลอดภัยในการเข้าถึงระยะไกลทั่วไป

ข้อผิดพลาดที่เกิดขึ้นซ้ำ ๆ หลายประการทำให้การควบคุมที่สมเหตุสมผลอ่อนแอลง

• การมองว่า VPN เป็นการป้องกันที่สมบูรณ์แทนที่จะจำกัดสิ่งที่ผู้ใช้ที่เชื่อมต่อสามารถเข้าถึงได้
• อิงจากการล็อกบัญชีเพียงอย่างเดียวโดยไม่มี MFA, การควบคุมแหล่งที่มา หรือการตรวจสอบ
• ให้ผู้ใช้แต่ละคนมีเดสก์ท็อปเต็มรูปแบบเมื่อแอปพลิเคชันที่เผยแพร่หนึ่งรายการเพียงพอ
• อนุญาตให้บัญชีผู้ดูแลระบบที่แชร์
• การปล่อยให้เซสชันที่ไม่ได้เชื่อมต่อทำงานต่อไปไม่มีกำหนดเวลา
• สมมติว่าการเปลี่ยนพอร์ต RDP จะให้การป้องกันที่มีความหมาย
• การเก็บสำรองข้อมูลให้เข้าถึงได้ด้วยข้อมูลรับรองเดียวกันที่ใช้ในการบริหารจัดการเซิร์ฟเวอร์

แต่ละความผิดพลาดจะเพิ่มความน่าจะเป็นของการถูกโจมตีหรือผลกระทบที่อาจเกิดขึ้น การแก้ไขมักต้องการการออกแบบการเข้าถึงที่ดีกว่ามากกว่าการตั้งค่าทางเทคนิคเพียงอย่างเดียว

วิธีที่ TSplus เสริมสร้าง Remote Access

สำหรับ SMB ที่ใช้ Windows, Remote Desktop Services หรือเซิร์ฟเวอร์แอปพลิเคชัน, TSplus Advanced Security สามารถเพิ่มการป้องกันแบบรวมศูนย์ต่อการโจมตีแบบ brute-force, ข้อจำกัดทางภูมิศาสตร์และเวลาทำงาน, การควบคุมไฟร์วอลล์, การจัดการสิทธิ์, กฎอุปกรณ์ที่เชื่อถือได้, ตัวเลือกเซสชันที่ปลอดภัย, การแจ้งเตือน และการป้องกันแรนซัมแวร์แบบพฤติกรรม

ความสามารถเหล่านี้เสริมสร้างโปรแกรมความปลอดภัยในการเข้าถึงระยะไกลที่กว้างขึ้นแทนที่จะมาแทนที่มัน MFA, การอัปเดต, การแบ่งส่วน, การป้องกันจุดสิ้นสุด และการสำรองข้อมูลที่ผ่านการทดสอบควรยังคงเป็นส่วนหนึ่งของสถาปัตยกรรม

สรุป

ความปลอดภัยในการเข้าถึงระยะไกลสำหรับ SMB ขึ้นอยู่กับการควบคุมเส้นทางทั้งหมดจากจุดเข้าถึงภายนอกไปยังเซิร์ฟเวอร์และข้อมูลของมัน ธุรกิจควรลบการเปิดเผย RDP สาธารณะโดยตรง บังคับใช้การตรวจสอบสิทธิ์ที่เข้มงวด จำกัด สิทธิ์ ปกป้องจุดสิ้นสุด ทำให้เซิร์ฟเวอร์ Windows แข็งแกร่งขึ้น และรักษาสำรองข้อมูลที่สามารถกู้คืนได้

การใช้แนวทางแบบหลายชั้นช่วยให้ทีม IT ขนาดเล็กมีความสมดุลที่เหมาะสม มันลดโอกาสที่รหัสผ่านที่ถูกขโมยหนึ่งรหัส อุปกรณ์ที่ไม่ได้จัดการหนึ่งเครื่อง หรือส่วนประกอบที่ไม่ได้แพตช์หนึ่งชิ้นจะทำให้สภาพแวดล้อมโดยรวมเปิดเผย