)
)
远程桌面为什么需要强大的安全性？
远程桌面并不是自动不安全的，但作为任何远程连接模式，它永远不比周围的系统更安全。对于系统管理员来说，正确的问题不是远程桌面在抽象上是否安全。正确的问题是终端、网络暴露路径和账户控制是否足够强大以支持它。
这一定义很重要，因为微软目前的指导仍然将安全的远程桌面中心放在网络级身份验证（NLA）、RD网关、TLS证书和多因素身份验证（MFA）上，而不是直接公开暴露。与此保持一致， CISA 并且类似的指导持续推动组织禁用未使用的RDP访问，限制风险服务并强制执行多因素身份验证，因为暴露的远程访问仍然是一个常见的入侵路径。尽管如此，我们认为还有更多工作要做。
哪三项初步检查决定远程桌面风险？
端点风险
端点风险是机器本身的状态。一个完全打补丁的Windows工作站，配备现代端点保护、有限的管理员权限和受控的会话行为，与一个拥有广泛本地管理员访问权限和过期凭据的老旧服务器处于非常不同的状态。安全的远程桌面始于一个在任何远程会话开始之前就已经具备防御能力的主机。
网络暴露风险
网络暴露风险与可达性有关。如果登录界面可以直接从互联网访问，则该机器面临扫描、密码猜测和利用尝试的风险。如果同一主机仅通过 VPN、RD 网关或严格管理的访问层可访问，则风险会发生实质性变化。微软明确将 RD 网关定位为一种通过 HTTPS 提供加密访问的方法，而无需打开内部 RDP 端口。
账户风险
账户风险与身份质量和权限有关。当远程登录依赖于重复使用的密码、闲置的管理员账户或广泛的权限时，安全主机会迅速变得不安全。微软的RDS规划指南继续将多因素身份验证视为安全远程访问的核心控制，特别是在通过RD Gateway进行访问时。
为什么家庭电脑、办公工作站、服务器或农场及更大基础设施的答案会有所不同？
家用电脑
家庭电脑的爆炸半径通常比生产服务器小，但管理往往不够严格。消费级路由器、随意的端口转发、弱本地密码和不一致的补丁更新可能使家庭系统意外地暴露。主要风险通常是配置不当，而不是故意的企业设计。
办公工作站
办公工作站通常位于受管网络内，但这并不消除风险。如果一个被攻陷的用户账户能够远程访问工作站，工作站就可能成为横向移动、数据盗窃或权限提升的支点。实际上，办公终端需要同时具备终端卫生和明确的远程访问政策。
Windows 服务器
Windows服务器的后果最为严重。对文件服务器、应用服务器或远程桌面会话主机的远程访问意味着攻击者更接近关键数据、共享服务和管理工具。这就是为什么安全的RD服务器需要更严格的身份控制、更窄的暴露面以及在登录界面上实施主动防御控制的原因。
农场和更大基础设施
在农场或更大规模的远程访问基础设施中，风险不再仅与一台机器相关。单个弱工作站、暴露的服务器或权限过大的管理员账户可能会影响整个环境，包括已发布的应用程序、远程桌面服务器、网络门户、网关和支持管理系统。对于独立软件供应商、托管服务提供商和企业IT团队来说，真正的挑战是 在多个终端和访问路径之间的一致性 .
这以两种方式更改安全问题。
共享暴露
首先，管理员必须考虑共享暴露而不是孤立主机。
可扩展的控制
其次，他们需要能够在混合环境中扩展的控制，包括用户工作站、安全的RD服务器和面向互联网的系统。
在这种情况下，保护远程连接意味着标准化政策，减少整个环境的攻击面，并集中监控身份验证和会话行为，而不是逐个主机。
端点风险：主机准备好进行远程访问了吗？
在保护远程连接之前，请确认主机是否值得被公开。首先检查补丁更新频率、端点保护、本地管理员权限和保存凭据的安全性。NLA 有助于减少未经过身份验证的会话设置，但它并不能弥补维护不善的机器。微软仍然推荐使用 NLA，因为用户需要进行身份验证。 在会话建立之前 降低未经授权访问风险，并将资源承诺限制在经过身份验证的用户。
快速终端审查，请检查以下项目：
- 操作系统是否已完全修补并得到支持？
- 仅需要在远程桌面用户组中的用户吗？
- 本地管理员权限是否受到限制？
- 端点保护是否处于活动状态并受到监控？
- 缓存凭据、保存的会话和休眠账户是否定期审核？
这也是 TSplus Advanced Security 作为上游加固层的合适之处。我们的 Advanced Security 软件是一个工具箱，用于保护应用程序服务器和 Remote Desktop。从我们定期更新的文档中，值得强调一些最相关的功能，即 Bruteforce Protection、Geographic Protection 和 Ransomware Protection，来自初始配置流程。
网络暴露风险：攻击者能否接触到登录界面？
直接通过互联网暴露
直接的RDP暴露仍然是最危险的常见模式。如果TCP 3389可以从公共互联网访问，该机器就会被扫描器和暴力破解流量发现。CISA反复建议组织禁用不需要用于业务的端口和协议，明确在多份勒索软件和威胁警告中提到RDP端口3389。
VPN、RD 网关或受控访问路径
受控访问路径更安全，因为它缩小了暴露的前门。微软当前 RDS 概述 声明 RD 网关提供通过 HTTPS 从外部网络安全、加密的 RDP 访问，而无需打开内部 RDP 端口，并且支持 MFA 和条件策略。这比直接暴露 RDP 的模型要强得多。
TSplus Advanced Security适合在哪里？
TSplus Advanced Security 在您需要更好地控制 Windows 远程访问的暴露边缘时最为有用。从阻止黑客到保护远程桌面和应用程序服务器，从限制允许的国家到将敌对 IP 列入黑名单，或自动响应暴力破解行为，Advanced Security 提供 360° 的保护范围。例如，我们的在线文档专门描述了地理保护与 Advanced Security 内置防火墙的协作。同时，暴力破解保护在多次失败后会自动将违规的 IP 地址列入黑名单。
您是否需要对暴露的远程访问进行更强的控制，同时又想避免增加企业复杂性？欢迎您开始免费试用 TSplus Advanced Security，立即发现它的功能，以及在接下来的 15 天内的更多可能。
账户风险：谁可以登录，拥有何种权限？
凭据
弱密码仍然是失去对远程可访问机器控制的最快方式之一。仅凭密码访问、共享管理员账户和旧服务凭据都会将可管理的设置变成一个有吸引力的目标。即使传输是加密的，糟糕的身份管理也会破坏整个设计。
多因素身份验证
MFA 是降低风险的最明确方式之一。微软的 RDS 规划指南继续将 MFA 置于安全远程桌面工作流程的中心，而 TSplus 2FA 专门设计用于为传入的远程访问添加至少第二个因素。
最小权限
最小权限同样重要。在安全的RD服务器上，远程登录权限应限制在指定的组内，管理员会话应与常规用户访问分开，闲置账户应被禁用。如果您不确切知道谁可以远程登录，那么环境已经比看起来更脆弱。
设备用户锁定
为了增加安心，我们提供了一层额外的保护，形式为受信任的设备。此端点安全功能将用户名锁定在其常用设备上，从而在丢失或被盗时能够更快地响应。
系统管理员的5分钟自检
在您假设一台机器适合远程桌面之前，请先进行快速检查：
- 端口 3389 是否可以从公共互联网访问？
- 目标主机上是否启用了 NLA？
- 远程访问是通过 VPN、RD 网关或其他受控路径进行中介吗？
- 远程登录是否强制执行多因素身份验证？
- 远程登录权限是否仅限于最小必要的群体？
- TSplus高级安全或同等保护吗 阻止暴力破解 和恶意IP活动？
- 主机是否已打补丁、监控并且没有过期的特权账户？
如果第一个问题的答案是“是”，而接下来的三个问题的答案都是“否”，则将该机器视为高风险。
首先修复什么
系统管理员通常从顺序中获得最大的风险降低，而不是从数量中。首先修复控制的顺序。
首先尽可能消除直接的公共暴露。然后通过多因素身份验证和更小的登录范围来加强身份验证。之后，强化主机并在远程访问表面周围添加主动防御控制。
对于许多中小型企业和中型市场环境，TSplus Advanced Security 在这里变得既实用又必不可少。该产品是为 Windows 远程访问和应用程序服务器开发的，我们相关的 TSplus 文章在 安全远程站点连接 扩展了这一点，同时解读了为什么高级安全性是安全远程访问环境的主要保护层。
结论：远程桌面安全始于上游
您计算机的远程桌面安全性不仅仅取决于远程桌面本身，还取决于周围的检查。终端状态决定了机器是否可以防御。网络暴露决定了攻击者是否能够到达登录界面。账户控制决定了有效登录是否会成为重大事件。
这样的做法是系统管理的实际答案。如果您想要很好地保护远程连接，请不要从会话开始。应从主机、暴露路径和身份层开始。一旦完成，就使用诸如TSplus Advanced Security和MFA支持的访问等工具来执行这些决策。
今天就开始使用 简单的全方位IT服务器安全 .
)
)
)
