Danh sách kiểm tra tăng cường RDP 2026: Bảo mật Remote Desktop

Giới thiệu

Một chiến lược tăng cường RDP hiệu quả bắt đầu bằng việc hỏi liệu Giao thức Desktop Từ xa có nên được kích hoạt hay không. Khi RDP được yêu cầu, các quản trị viên nên giới hạn nơi mà các kết nối xuất phát, bảo vệ thông tin xác thực, giảm quyền truy cập phiên và xác minh rằng mọi điều khiển hoạt động như mong muốn trên các máy trạm, máy chủ độc lập, môi trường miền và các triển khai Dịch vụ Desktop Từ xa.

RDP Hardening là gì?

RDP hardening là quá trình giảm thiểu bề mặt tấn công liên quan đến Giao thức Desktop từ xa trong khi vẫn bảo vệ quyền truy cập mà người dùng hợp pháp và quản trị viên cần. Nó kết hợp cấu hình Windows, kiểm soát mạng, bảo vệ danh tính, hạn chế phiên, vá lỗi và giám sát.

Củng cố không chỉ giới hạn ở việc thay đổi cổng 3389 hoặc kích hoạt quy tắc tường lửa. Các quản trị viên phải đánh giá các hệ thống nào chấp nhận kết nối, người dùng kết nối từ đâu, tài khoản nào được phép, cách thức xác thực hoạt động và tài nguyên nào có thể di chuyển qua một phiên.

CISA khuyến nghị vô hiệu hóa các dịch vụ rủi ro và không cần thiết , bao gồm cả RDP, nơi chúng không cần thiết. Quyết định tăng cường đầu tiên do đó là liệu một thiết bị có thực sự cần phải phơi bày nó hay không.

Danh sách kiểm tra tăng cường RDP nên bao gồm những gì?

Sử dụng danh sách kiểm tra này như một cuộc kiểm tra nhanh trước khi xem xét từng kiểm soát một cách chi tiết. Cấu hình chính xác nên phản ánh vai trò hệ thống, dân số người dùng và kiến trúc mạng.

Ưu tiên	Kiểm soát tăng cường RDP	Trạng thái mong đợi
Quan trọng	Vô hiệu hóa RDP khi không cần thiết	Chỉ các hệ thống được phê duyệt mới chấp nhận các phiên làm việc từ xa
Quan trọng	Ngăn chặn việc tiếp xúc trực tiếp với internet	Kết nối sử dụng cổng, VPN, bốt hoặc danh sách cho phép
Quan trọng	Củng cố xác thực	NLA và MFA bảo vệ truy cập từ xa
Quan trọng	Hạn chế người dùng RDP	Chỉ các tài khoản và nhóm được phê duyệt mới có thể kết nối
Cao	Bảo vệ lưu lượng và thông tin xác thực	Chứng chỉ TLS đáng tin cậy và các kiểm soát thông tin xác thực phù hợp được sử dụng
Cao	Giới hạn khả năng phiên làm việc	Chuyển hướng, thời gian nhàn rỗi và các phiên bị ngắt kết nối tuân theo chính sách
Cao	Củng cố máy chủ Windows	Hệ thống được vá, phân đoạn và có quyền hạn tối thiểu.
Cao	Giám sát hoạt động RDP	Nhật ký được tập trung và hành vi đáng ngờ tạo ra cảnh báo
Hoạt động	Kiểm tra và đánh giá cơ sở dữ liệu	Truy cập, chặn, phục hồi và độ lệch cấu hình được xác thực

Các điều khiển này tạo thành một cơ sở nhiều lớp. Các phần sau giải thích cách triển khai và xác thực từng lĩnh vực.

Làm thế nào bạn nên giảm thiểu sự tiếp xúc với RDP?

Vô hiệu hóa RDP trên các hệ thống không cần thiết

Không để Remote Desktop được kích hoạt chỉ vì nó có thể trở nên hữu ích sau này. Các máy trạm, máy chủ backend và máy chủ ứng dụng không được quản lý thông qua RDP không nên chấp nhận các phiên làm việc từ xa.

Sử dụng Chính sách Nhóm để ngăn chặn các kết nối mới đến:

Cấu hình máy tính > Mẫu quản trị > Thành phần Windows > Dịch vụ Remote Desktop > Máy chủ phiên Remote Desktop > Kết nối > Cho phép người dùng kết nối từ xa bằng cách sử dụng Dịch vụ Remote Desktop

Sau khi vô hiệu hóa RDP, hãy xóa các quy tắc tường lửa lỗi thời, các ánh xạ NAT, các mục nhóm bảo mật đám mây và các cấu hình chuyển tiếp cổng. Một kiểm tra cục bộ có thể xác định một trình lắng nghe đang hoạt động:

Get-NetTCPConnection -LocalPort 3389 -State Listen -ErrorAction SilentlyContinue

Một kết quả trống không chứng minh rằng máy chủ không thể truy cập từ mọi mạng. Xác thực sự thay đổi với việc quét bên ngoài và xem xét tường lửa.

Tránh công bố cổng 3389 trực tiếp ra Internet

Một trình nghe RDP công khai có thể bị phát hiện và nhắm mục tiêu bằng cách phun mật khẩu, nhồi nhét thông tin xác thực và quét lỗ hổng. Mật khẩu mạnh và Xác thực Cấp Mạng cải thiện bảo mật, nhưng chúng không loại bỏ rủi ro do một dịch vụ tiếp cận internet không bị hạn chế tạo ra.

Một cách thực tế Điểm rủi ro Remote Desktop có thể giúp các quản trị viên xếp hạng các dịch vụ bị lộ, xác thực yếu và quyền truy cập quá rộng trước khi chọn các biện pháp khắc phục.

Đặt quyền truy cập bên ngoài sau một lớp kiểm soát phù hợp, chẳng hạn như:

• RD Gateway
• Một VPN được bảo mật đúng cách
• Một pháo đài hoặc máy chủ nhảy
• Dịch vụ truy cập Zero Trust
• Cổng truy cập từ xa dựa trên trình duyệt
• Truy cập tường lửa theo thời gian thực
• Danh sách cho phép IP nguồn nghiêm ngặt

Các vị trí hành chính cố định có thể phù hợp với một danh sách cho phép, trong khi nhân viên di động thường cần một cổng nhận diện. RD Gateway có thể cung cấp một điểm truy cập được quản lý và tích hợp với Network Policy Server và xác thực đa yếu tố Microsoft Entra, giữ cho các máy chủ RDP nội bộ không bị công khai trực tiếp.

Hạn chế quy tắc tường lửa RDP

Một quy tắc tường lửa inbound không nên chấp nhận lưu lượng từ mọi địa chỉ trừ khi có một hạn chế hiệu quả khác ở phía trước. Hạn chế quản trị nội bộ chỉ cho các mạng quản lý, các nhóm VPN hoặc các máy chủ nhảy được chỉ định.

Đối với các hệ thống đám mây, hãy xem xét cả Tường lửa Windows và các kiểm soát mạng của nhà cung cấp. Một quy tắc Windows hạn chế vẫn có thể bị xói mòn bởi sự tiếp xúc rộng hơn ở nơi khác.

RDP thường sử dụng TCP và có thể sử dụng UDP để cải thiện hiệu suất truyền tải. Khi thay đổi cổng lắng nghe, hãy tạo các quy tắc TCP và UDP tương ứng và kiểm tra mọi đường dẫn kết nối được hỗ trợ.

Bạn có nên thay đổi cổng RDP mặc định không?

Thay đổi cổng 3389 có thể giảm tiếng ồn quét cơ bản, nhưng nó không cải thiện xác thực, mã hóa hoặc ủy quyền. Một máy quét quyết tâm vẫn có thể phát hiện dịch vụ.

Xem một cổng tùy chỉnh như một biện pháp hoạt động tùy chọn. Tài liệu giá trị mới, cập nhật quy tắc giám sát và tường lửa, và kiểm tra tất cả các máy khách. Microsoft lưu cài đặt trình nghe dưới:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

Cần khởi động lại sau khi thay đổi PortNumber giá trị.

Bạn nên làm gì để tăng cường xác thực RDP?

Kích hoạt Xác thực Cấp Mạng

Xác thực cấp mạng yêu cầu người dùng xác thực trước khi Windows tạo một phiên làm việc từ xa đầy đủ. Điều này giảm thiểu việc tiêu thụ tài nguyên không được xác thực và đặt một rào cản xác thực trước màn hình đăng nhập tương tác.

Bật chính sách sau:

Cấu hình máy tính > Mẫu quản trị > Thành phần Windows > Dịch vụ Remote Desktop > Máy chủ phiên Remote Desktop > Bảo mật > Yêu cầu xác thực người dùng cho các kết nối từ xa bằng cách sử dụng Xác thực cấp độ mạng

NLA thường nên được giữ cho bật. Việc tạm thời tắt có thể giúp khắc phục sự cố có kiểm soát, nhưng việc thay thế các máy khách lỗi thời thì tốt hơn là làm yếu đi tiêu chuẩn một cách vĩnh viễn.

Yêu cầu xác thực đa yếu tố

NLA không phải là xác thực đa yếu tố. Nó di chuyển xác thực sớm hơn trong quy trình kết nối nhưng vẫn có thể dựa vào tên người dùng và mật khẩu.

MFA nên bảo vệ các đường dẫn RDP có thể truy cập từ bên ngoài và quản trị từ xa có quyền hạn. Việc triển khai phụ thuộc vào kiến trúc. Các môi trường RDS truyền thống thường thực thi MFA thông qua RD Gateway, Network Policy Server, Microsoft Entra ID và phần mở rộng NPS. Các môi trường khác có thể sử dụng một tác nhân máy chủ, cổng Zero Trust hoặc nền tảng truy cập từ xa.

Lập kế hoạch MFA xung quanh việc đăng ký, phục hồi, tài khoản dịch vụ, sự cố, ghi nhật ký và một quy trình bảo vệ để phá vỡ. Các tài khoản khẩn cấp nên được kiểm soát chặt chẽ.

Giới hạn ai có thể đăng nhập qua RDP

Sử dụng các nhóm chuyên dụng thay vì cấp quyền truy cập một cách rộng rãi thông qua tư cách thành viên của các Quản trị viên cục bộ. Xem xét các chính sách này:

Cấu hình máy tính > Cài đặt Windows > Cài đặt bảo mật > Chính sách cục bộ > Phân quyền người dùng

Hai cài đặt liên quan nhất là:

• Cho phép đăng nhập qua Dịch vụ Desktop từ xa
• Từ chối đăng nhập qua Dịch vụ Desktop từ xa

Chính sách từ chối có ưu tiên. Xem xét các phân công một cách cẩn thận để tránh chặn các quản trị viên hợp pháp.

Danh sách các thành viên địa phương với:

Get-LocalGroupMember -Group "Người dùng Remote Desktop"  
Get-LocalGroupMember -Group "Quản trị viên"

Trên các hệ thống đã tham gia miền, hãy xem xét các nhóm lồng nhau và loại bỏ những nhân viên cũ, nhà cung cấp tạm thời, tài khoản dịch vụ và các nhóm rộng không còn cần quyền truy cập tương tác.

Tách biệt tài khoản Quản trị và Tài khoản Chuẩn

Quản trị viên không nên sử dụng danh tính có quyền hạn cho email, duyệt web hoặc công việc hàng ngày. Cung cấp các tài khoản riêng cho quản trị RDP và hạn chế nơi những danh tính đó có thể đăng nhập.

Tài khoản Quản trị miền và các tài khoản tương đương không nên được sử dụng trên các máy chủ thành viên thông thường và các máy trạm. Nếu một máy chủ có độ tin cậy thấp hơn bị xâm phạm, thông tin xác thực hoặc mã thông báo truy cập từ một phiên quản trị có thể hỗ trợ việc di chuyển ngang.

Windows LAPS có thể quản lý và sao lưu các mật khẩu quản trị viên cục bộ duy nhất trên các hệ thống Windows được hỗ trợ. Điều này tránh việc sử dụng lại một mật khẩu đặc quyền trên nhiều máy.

Bảo vệ thông tin đăng nhập với Remote Credential Guard

Remote Credential Guard bảo vệ thông tin xác thực trong quá trình kết nối RDP trực tiếp được hỗ trợ bằng cách chuyển hướng các yêu cầu Kerberos đến thiết bị khách. Thông tin xác thực và các biến thể của nó không được gửi đến máy chủ từ xa, giảm thiểu rủi ro bị đánh cắp từ một điểm đến bị xâm phạm.

Điều khiển này yêu cầu Kerberos và các máy khách và máy chủ Windows được hỗ trợ. Nó không được hỗ trợ cho các kết nối qua RD Gateway hoặc Remote Desktop Connection Broker, vì vậy các quản trị viên phải xác thực tính tương thích với đường dẫn truy cập thực tế.

Sử dụng Chính sách Mật khẩu Hiện đại và Chính sách Khóa tài khoản

Tài khoản có thể mở phiên RDP cần mật khẩu mạnh và duy nhất. Hướng dẫn hiện tại của NIST nhấn mạnh mật khẩu dài, kiểm tra mật khẩu bị xâm phạm và thay đổi sau khi nghi ngờ bị xâm phạm thay vì các quy tắc cấu thành tùy ý và luân phiên định kỳ. Kết hợp các cụm mật khẩu dài, MFA, lưu trữ an toàn và loại bỏ thông tin xác thực chia sẻ hoặc mặc định.

Cấu hình ngưỡng và thời gian khóa như một phần của chiến lược bảo vệ chống tấn công brute-force RDP, làm chậm việc đoán tự động mà không tạo ra điều kiện từ chối dịch vụ dễ dàng. Căn cứ vào khối lượng tấn công, khả năng giám sát và yêu cầu hỗ trợ để thiết lập.

Bạn nên bảo mật mã hóa RDP và chứng chỉ như thế nào?

Yêu cầu một lớp bảo mật phù hợp

RDP có thể sử dụng Bảo mật lớp truyền tải để xác thực máy chủ và bảo vệ kết nối. Theo Microsoft Learn, chứng chỉ bảo mật cho các triển khai Dịch vụ Máy tính từ xa và các kết nối giữa các vai trò máy chủ RDS.

Xem lại chính sách này:

Cấu hình máy tính > Mẫu quản trị > Thành phần Windows > Dịch vụ Remote Desktop > Máy chủ phiên Remote Desktop > Bảo mật > Yêu cầu sử dụng lớp bảo mật cụ thể cho các kết nối từ xa

Sử dụng một chứng chỉ có chủ đề hoặc tên thay thế chủ đề phù hợp với tên máy chủ mà người dùng nhập. Khách hàng nên tin tưởng vào cơ quan cấp chứng chỉ và không nên được đào tạo để bỏ qua các cảnh báo về danh tính.

Chính sách mức độ mã hóa kết nối khách hàng áp dụng cho mã hóa RDP gốc, không phải cho các phiên được bảo vệ bằng SSL/TLS. Theo dõi việc gia hạn và gán chứng chỉ vì một chứng chỉ hết hạn hoặc được gán không đúng có thể khiến một trình lắng nghe hoặc cổng được bảo vệ không khả dụng.

Những tính năng phiên RDP nào bạn nên hạn chế?

Vô hiệu hóa việc chuyển hướng thiết bị và tài nguyên không cần thiết

RDP có thể chuyển hướng tài nguyên cục bộ vào một phiên làm việc từ xa. Những tính năng này cải thiện năng suất nhưng cũng tạo ra các con đường cho phần mềm độc hại, chuyển file và mất dữ liệu.

Xem xét xem người dùng có thực sự cần quyền truy cập vào clipboard, ánh xạ ổ đĩa cục bộ, máy in, thiết bị USB, ghi âm âm thanh, camera, thẻ thông minh hoặc chuyển hướng xác thực web hay không.

Chính sách được đặt dưới:

Cấu hình máy tính > Mẫu quản trị > Thành phần Windows > Dịch vụ Remote Desktop > Máy chủ phiên Remote Desktop > Chuyển hướng thiết bị và tài nguyên

Microsoft cung cấp các điều khiển cho việc ánh xạ ổ đĩa và chuyển clipboard theo hướng. Ví dụ, các quản trị viên có thể cho phép văn bản thuần túy trong khi chặn nội dung phong phú hơn hoặc vô hiệu hóa chuyển giao theo một hướng.

Không tắt mọi tính năng mà không thử nghiệm. Một máy chủ phân phối ứng dụng có thể yêu cầu chuyển hướng máy in, trong khi một máy chủ nhảy có đặc quyền có thể không cần chuyển clipboard hoặc ổ đĩa.

Ngăn chặn lưu mật khẩu khi cần thiết

Thông tin đăng nhập RDP đã lưu làm tăng khả năng tiếp xúc trên các máy trạm quản trị viên và các điểm cuối chia sẻ. Sử dụng chính sách khách hàng:

Cấu hình máy tính > Mẫu quản trị > Thành phần Windows > Dịch vụ Remote Desktop > Khách hàng kết nối Remote Desktop > Không cho phép lưu mật khẩu

Khi được kích hoạt, tùy chọn lưu mật khẩu sẽ bị vô hiệu hóa và mật khẩu đã lưu sẽ bị xóa khỏi các tệp RDP. Kết hợp điều khiển này với một quy trình quản lý thông tin xác thực được phê duyệt.

Cấu hình giới hạn phiên không hoạt động và ngắt kết nối

Đóng cửa sổ RDP không nhất thiết phải đăng xuất người dùng. Các ứng dụng có thể vẫn hoạt động và phiên làm việc có thể được tiếp tục sau đó.

Cấu hình giới hạn dưới:

Cấu hình máy tính > Mẫu quản trị > Thành phần Windows > Dịch vụ Remote Desktop > Máy chủ phiên Remote Desktop > Giới hạn thời gian phiên

Đặt giá trị phù hợp cho các phiên không hoạt động, các phiên bị ngắt kết nối, thời gian hoạt động tối đa và đăng xuất RemoteApp. Tránh một thời gian chờ quá mức trên mọi khối lượng công việc, vì đăng xuất cưỡng bức có thể làm gián đoạn công việc hoặc công việc chưa lưu.

Các hệ thống đặc quyền thường biện minh cho các giới hạn ngắn hơn so với các máy chủ ứng dụng hỗ trợ các quy trình kinh doanh kéo dài. Các chính sách Windows mới hơn cũng có thể ngắt kết nối các phiên làm việc từ xa khi phiên làm việc bị khóa.

Bạn nên làm gì để tăng cường bảo mật cho máy chủ Windows?

Giữ cho các máy chủ và máy khách RDP được cập nhật.

Bảo mật RDP phụ thuộc vào cả hai bên của kết nối. Một máy chủ đã được vá vẫn có thể bị truy cập từ một máy trạm quản trị viên bị xâm phạm, trong khi một máy khách lỗi thời có thể bị lộ khi kết nối với một máy chủ độc hại.

Một cái rộng hơn đánh giá tư thế điểm cuối cũng nên bao gồm phạm vi quản trị viên cục bộ, thông tin đăng nhập đã lưu và bảo vệ điểm cuối hoạt động trước khi một máy chủ được phê duyệt cho truy cập từ xa.

Duy trì các phiên bản Windows, Windows Server, khách hàng Remote Desktop, vai trò RDS, các thành phần danh tính, cổng truy cập và các tác nhân bảo mật điểm cuối được hỗ trợ. Ưu tiên các bản cập nhật ảnh hưởng đến việc thực thi mã từ xa, xác thực và xử lý thông tin xác thực.

Kiểm tra các bản cập nhật trên các ứng dụng đại diện, in ấn, chuyển hướng và quy trình xác thực. Kiểm tra tính tương thích không nên trở thành lý do để để các hệ thống quan trọng không được vá lỗi vô thời hạn.

Hệ thống RDP phân đoạn

Một phiên RDP đã xác thực không nên tự động cung cấp quyền truy cập vào mọi subnet nội bộ. Sử dụng phân đoạn mạng và tường lửa máy chủ để kiểm soát những gì một máy chủ RDP có thể truy cập sau khi đăng nhập.

Tách biệt các máy chủ nhảy quản trị, máy chủ phiên RD, bộ điều khiển miền, máy chủ tệp, máy chủ cơ sở dữ liệu, hạ tầng sao lưu, giao diện quản lý và máy trạm người dùng khi cần thiết.

Áp dụng các hạn chế xuất khẩu khi vai trò máy chủ cho phép. Nếu một kẻ tấn công xâm nhập vào phiên RDP, phân đoạn có thể hạn chế chuyển động bên, truy cập vào các bản sao lưu và giao tiếp với hạ tầng chỉ huy bên ngoài.

Gỡ bỏ phần mềm và quyền không cần thiết

Mỗi dịch vụ, ứng dụng và công cụ quản lý được cài đặt trên một máy chủ RDP mở rộng môi trường cần được vá lỗi và giám sát.

Gỡ bỏ các ứng dụng lỗi thời, các tính năng Windows không sử dụng và các tác nhân bị bỏ rơi. Hạn chế cài đặt phần mềm, PowerShell, công cụ dòng lệnh và giao diện quản trị theo vai trò của máy chủ.

Đối với các máy chủ ứng dụng đa người dùng, kiểm soát ứng dụng và quyền truy cập hệ thống tệp được giới hạn chặt chẽ có thể ngăn một người dùng truy cập dữ liệu của người dùng khác hoặc khởi động các tệp thực thi không được phê duyệt.

Bạn nên theo dõi hoạt động RDP như thế nào?

Kích hoạt và Tập trung Kiểm toán Windows

Nhật ký cục bộ hữu ích cho việc khắc phục sự cố nhưng không đủ nếu một kẻ tấn công có thể thay đổi hoặc xóa bằng chứng sau khi xâm nhập vào máy chủ. Chuyển tiếp các sự kiện quan trọng đến một SIEM, Windows Event Collector hoặc một nền tảng ghi nhật ký được bảo vệ khác.

Thu thập ít nhất:

• Đăng nhập thành công và thất bại
• Khóa tài khoản
• Thay đổi thành viên nhóm
• Tài khoản người dùng mới hoặc đã chỉnh sửa
• Tạo và ngắt kết nối phiên làm việc từ xa
• Thay đổi tường lửa
• Cài đặt dịch vụ
• Gán quyền hạn
• Cảnh báo bảo mật điểm cuối

Sự kiện bảo mật 4624 và 4625 ghi lại các lần đăng nhập thành công và thất bại. Để phân tích RDP, hãy kiểm tra loại đăng nhập, tài khoản, máy trạm và thông tin mạng nguồn. Các lần đăng nhập tương tác từ xa thường được xác định là loại đăng nhập 10.

Nhật ký hoạt động của Dịch vụ Máy chủ bổ sung ngữ cảnh phiên, trong khi sự kiện 4779 ghi lại việc ngắt kết nối từ một trạm Windows.

Cảnh báo về Hành vi, Không chỉ các Lỗi Cá nhân

Một mật khẩu sai duy nhất có thể là một sai lầm của người dùng. Các quy tắc phát hiện nên tìm kiếm các mẫu như nhiều lần thất bại từ một địa chỉ, một nguồn thử nghiệm nhiều tên người dùng, thất bại trên nhiều máy chủ hoặc một lần đăng nhập thành công sau nhiều lần thất bại.

Các tín hiệu hữu ích cũng bao gồm việc truy cập từ một quốc gia mới, sử dụng đặc quyền ngoài giờ bình thường, hoạt động của tài khoản không hoạt động, thành viên nhóm mới theo sau là RDP, việc vô hiệu hóa công cụ bảo mật hoặc mã hóa tệp không bình thường. Một giải pháp bảo mật nâng cao có thể giúp tập trung các phát hiện này và tự động hóa phản ứng đối với hành vi RDP đáng ngờ. Ngưỡng phải phản ánh hành vi bình thường và mô hình hoạt động của tổ chức.

Chuẩn bị quy trình phản ứng sự cố RDP

Củng cố không thể đảm bảo rằng không có tài khoản hoặc máy chủ nào sẽ bị xâm phạm. Các quản trị viên cần một quy trình phản ứng được tài liệu hóa trước khi có cảnh báo xảy ra.

Quy trình nên bao gồm cách ly, chặn IP độc hại, đặt lại tài khoản, thu hồi phiên, bảo tồn nhật ký, kiểm tra hệ thống lân cận, xem xét tính bền vững, phục hồi đáng tin cậy và xác thực lại cơ sở.

Duy trì một bảng điều khiển, kế hoạch kiểm soát đám mây hoặc đường phục hồi ngoài băng. Nếu không, một thay đổi tường lửa hoặc Chính sách Nhóm không chính xác có thể khiến các quản trị viên không thể truy cập máy chủ trong suốt sự cố.

Làm thế nào để bạn xác thực một tiêu chuẩn tăng cường RDP?

Một cài đặt không được thực hiện chỉ vì nó xuất hiện trong một Đối tượng Chính sách Nhóm. Xác nhận rằng chính sách dự định đã đến thiết bị mục tiêu và tạo ra kết quả mong đợi.

Các lệnh hữu ích bao gồm:

gpresult /h C:\Temp\RDP-Policy.html

Get-NetFirewallRule -DisplayGroup "Remote Desktop" |

    Select-Object DisplayName, Enabled, Direction, Action

Get-LocalGroupMember -Group "Remote Desktop Users"

Test-NetConnection server.example.com -Port 3389

Xác thực nên bao gồm các trường hợp thành công và không thành công. Xác nhận rằng người dùng được phê duyệt có thể kết nối, người dùng và nguồn không được phép bị chặn, MFA xuất hiện, chứng chỉ được tin cậy, các hạn chế chuyển hướng vẫn hoạt động và giới hạn phiên làm việc.

Xác minh rằng việc ghi log trung tâm nhận được các nỗ lực thành công và thất bại và rằng các quản trị viên có thể sử dụng lộ trình phục hồi. Kiểm tra các thay đổi hạn chế trên một hệ thống đại diện và ghi lại các ngoại lệ với một người sở hữu và ngày hết hạn.

Bạn nên xem xét danh sách kiểm tra tăng cường RDP bao lâu một lần?

Xem xét cơ sở dữ liệu sau các bản cập nhật Windows lớn, thay đổi mạng, di chuyển danh tính, triển khai RDS mới và các sự cố bảo mật. Lên lịch các cuộc đánh giá chính thức theo hồ sơ rủi ro của tổ chức.

Giữa các đánh giá, hãy chú ý đến sự trôi dạt cấu hình, bao gồm việc RDP được kích hoạt lại, các quy tắc tường lửa công cộng mới, người dùng Remote Desktop được thêm vào, NLA bị vô hiệu hóa, chứng chỉ hết hạn, máy chủ không được giám sát, các loại trừ MFA, chuyển hướng mới được kích hoạt và các tài khoản nhà cung cấp lỗi thời.

Quản lý cấu hình tự động có thể phát hiện những sai lệch này đáng tin cậy hơn so với các kiểm tra thủ công thỉnh thoảng.

Củng cố Bảo vệ RDP với TSplus

Các điều khiển Windows gốc cung cấp nền tảng cho việc tăng cường RDP. TSplus Advanced Security thêm các biện pháp bảo vệ tập trung cho Windows và máy chủ Remote Desktop, bao gồm chặn brute-force tự động, hạn chế địa lý, bảo vệ ransomware, kiểm soát thiết bị tin cậy, chính sách giờ làm việc và bảo vệ IP độc hại.

Các điều khiển này có thể củng cố mức cơ bản bằng cách phản ứng tự động với hành vi thù địch và thu hẹp nơi, thời gian và cách mà người dùng từ xa kết nối. Chúng không thay thế việc tăng cường bảo mật Windows, nhưng chúng có thể đơn giản hóa việc thực thi và giám sát trên nhiều hệ thống.

Kết luận

Một triển khai RDP an toàn bắt đầu bằng cách loại bỏ các listener không cần thiết và tránh tiếp xúc trực tiếp với internet. Các hệ thống vẫn yêu cầu RDP nên kết hợp NLA, MFA, quyền người dùng hạn chế, chứng chỉ TLS đáng tin cậy, bảo vệ thông tin đăng nhập, chuyển hướng hạn chế, vá lỗi, phân đoạn và giám sát tập trung.

Cơ sở cuối cùng phải phù hợp với vai trò của từng hệ thống. Một máy chủ quản trị nội bộ, máy ảo đám mây, máy chủ phiên RD đa người dùng và môi trường truy cập của nhà thầu không yêu cầu các kiểm soát giống hệt nhau. Tài liệu cấu hình đã chọn, kiểm tra nó với các quy trình làm việc thực tế và xem xét mọi ngoại lệ một cách thường xuyên.