遠端桌面會被駭客攻擊嗎？預防的實用風險評分

遠端桌面訪問可能會被駭客攻擊，但大多數事件並不是好萊塢式的剝削。大多數事件是可預測的結果，源於暴露的服務、可重用的憑證和過於廣泛的訪問。此指南為IT團隊提供了一個與工具無關的風險評分，適用於RDP、HTML5門戶、VDI和遠端支援工具，然後將該評分映射到優先修復項目。

「被駭」對於遠端桌面工具意味著什麼？

遠端桌面不是一個產品。遠端桌面是一組訪問路徑，可以包括微軟遠端桌面協議（RDP）、遠端桌面服務、如 Azure 虛擬桌面的 VDI、代理會話的瀏覽器入口網站，以及創建按需連接的遠端支持工具。

在事件報告中，「遠端桌面被駭」通常意味著以下其中一種結果：

• 帳戶接管： 攻擊者使用被盜或猜測的憑證正常登錄。
• 訪問路徑濫用： 暴露的網關、開放的端口、弱政策或錯誤配置使未經授權的訪問變得更容易。
• 登錄後損壞： 攻擊者利用合法的會話能力進行橫向移動、竊取數據或部署勒索病毒。

這個區別很重要，因為 預防 是關於降低成功登錄的機會並限制登錄可以做的事情。

為什麼遠端桌面會成為攻擊目標？

遠端桌面訪問因其互動性和高權限設計而具有吸引力。RDP 是常見的，廣泛支持，並且通常可以通過 TCP 端口 3389 訪問，這使得掃描和定位變得容易。Vectra 總結了 基本問題 RDP的普及程度及其提供的訪問級別使其在未妥善管理時成為常見的攻擊目標。

Cloudflare 將相同的風險驅動因素框架化，並存在兩個重複的弱點：弱身份驗證和不受限制的端口訪問，當 RDP 被暴露時，這些弱點結合成暴力破解和憑證填充的機會。

中型市場的現實也增加了風險。混合工作、供應商訪問、合併和分散的 IT 操作創造了“訪問擴張”。遠程訪問的擴展速度超過了政策和監控，而攻擊者更喜歡這一差距。

遠端桌面駭客風險評分 (RDRS) 是什麼？

遠端桌面駭客風險評分（RDRS）是一個快速的設計時模型。目標不是取代安全審核。目標是對風險驅動因素進行排名，以便IT團隊可以快速進行三項變更，每項變更都能降低被攻擊的可能性。

對每個支柱進行0到3的評分。將它們相加，總分為15分。

• 0: 強控制，低實際風險
• 1: 大部分受控，輕微差距
• 2: 部分控制，存在現實攻擊路徑
• 3: 高風險，可能會隨著時間被利用

支柱 1：暴露面

暴露面是指攻擊者可以從外部接觸到的內容。最高風險的模式仍然是“直接可達的遠端桌面服務”，並且前門控制措施最小。

評分指導：

1. 0: 遠端桌面無法透過互聯網訪問；訪問是通過受控路徑進行中介的。
2. 1: 遠端桌面僅能通過受限網絡訪問， VPN 或緊密範圍的允許清單。
3. 2: 一個網關或入口網站面向互聯網，但在應用程式、群組或地區之間的政策不一致。
4. 3: 直接暴露存在（常見的例子包括開放的 RDP、被遺忘的 NAT 規則、寬鬆的雲安全組）。

混合財產的實用說明：

暴露面適用於RDP、VDI閘道、HTML5門戶和遠端支援控制台。如果其中任何一個是公共入口，攻擊者將會找到它。

支柱 2：身份表面

身份表面是攻擊者成為有效用戶的難易程度。Cloudflare 強調 密碼重用和未管理的憑證 作為遠端存取情境中憑證填充和暴力破解的關鍵促進因素。

評分指導：

• 0: 需要多重身份驗證，特權帳戶被分開，並且不允許使用舊版身份驗證。
• 1: MFA 存在，但並非無處不在，對於「僅一台伺服器」或「僅一個供應商」的情況存在例外。
• 2: 密碼是某些遠端桌面路徑或共享管理身份的主要控制。
• 3: 面向互聯網的登錄僅依賴密碼，或本地帳戶在伺服器上廣泛使用。

實用說明：

身份是遠端桌面安全通常首先失敗的地方。攻擊者如果認證簡單，就不需要利用漏洞。

支柱 3：授權範圍

授權範圍是有效用戶被允許訪問的內容，以及何時訪問。許多環境專注於誰可以登錄，但忽略了誰可以登錄到什麼、從哪裡以及在什麼時間範圍內。

評分指導：

• 0: 最小權限訪問是通過每個應用程序或桌面的明確組來強制執行的，並且還有單獨的管理路徑。
• 1: 群組存在，但因為操作上更簡單，所以訪問範圍較廣。
• 2: 用戶可以訪問太多伺服器或桌面；時間限制和來源限制不一致。
• 3: 任何經過身份驗證的用戶都可以訪問核心系統，或者管理員可以從未管理的端點進行RDP。

實用說明：

授權也是最佳支持中型市場組合的支柱。當 Windows、macOS、承包商和第三方供應商都需要訪問時，細粒度授權是防止一個有效登錄變成整個資產訪問的控制。

支柱 4：會話和端點表面

會話表面是遠程會話啟動後可以做的事情。 端點表面 是否連接設備足夠可信以獲得授予的訪問權限。

評分指導：

• 0: 特權訪問需要加固的管理工作站或跳躍主機；高風險會話功能在必要時受到限制。
• 1: 會話控制存在，但未與數據敏感性對齊。
• 2: 端點是受管理和未受管理的混合，具有相同的會話功能。
• 3: 允許從任何設備以最小限制進行高特權遠端桌面訪問。

實用說明：

這一支柱對於基於瀏覽器的訪問特別重要。HTML5 入口網站消除了操作系統的摩擦並簡化了上線過程，但它們也使得廣泛授予訪問權限變得更容易。政策問題變成了「哪些用戶可以訪問哪些資源」。

支柱 5：操作表面

操作表面是維護姿態，決定弱點存在的時間長短。這不是檢測工程。這是預防現實：如果修補和配置漂移緩慢，暴露將會回來。

評分指導：

• 0: 遠端存取元件快速修補；配置版本化；存取審查按計劃進行。
• 1: 修補對伺服器有好處，但對網關、插件或支援服務則較弱。
• 2: 漂移存在；例外累積；舊有端點仍然存在。
• 3: 所有權不明，且遠端存取變更未進行端到端的追蹤。

實用說明：

操作表面是中型市場複雜性最明顯的地方。如果管理不當，多個團隊和多個工具會產生漏洞，攻擊者可以耐心地利用這些漏洞。

如何從得分轉為保護行動？

分數只有在改變接下來的行動時才有用。使用總分來選擇潛在的變化情境。請記住，目標是減少風險暴露以最小化風險。

• 0–4 (低): 驗證漂移，加強剩餘的弱支柱，並在工具之間強化一致性。
• 5–9 (中等): 優先考慮曝光和身份，然後加強授權。
• 10–15 (高): 立即移除直接暴露，添加強身份驗證，然後積極縮小訪問範圍。

情境 1：IT 管理員 RDP 加上最終用戶 VDI

一個常見的模式是「管理員使用 RDP，使用者使用 VDI。」攻擊路徑通常是通過最弱的身份或最暴露的管理員路徑，而不是通過 VDI 產品本身。

優先修復：

1. 首先減少管理路徑的暴露，即使最終用戶的訪問保持不變。
2. 強制特權帳戶分離及 多重身份驗證 一致地。
3. 限制哪些主機接受管理員互動登錄。

注意:

這種情況受益於將管理員訪問視為一個單獨的產品，並擁有單獨的政策，即使同一平台同時提供兩者。

情境 2：承包商和 BYOD 通過 HTML5

基於瀏覽器的訪問在混合操作系統環境中是一個有用的橋樑。風險在於「輕鬆訪問」變成「廣泛訪問」。

優先修復：

• 使用 HTML5 入口網站 作為一個受控的前門，而不是一個普遍的網關。
• 在可能的情況下，為承包商發布特定應用程序，而不是完整桌面。
• 使用時間限制和基於群組的分配，以便承包商的訪問在窗口關閉時自動結束。

注意:

TSplus Remote Access 描述了一種 HTML5 客戶端模型，使用者通過可自定義的網頁入口登錄，並在瀏覽器內訪問完整的桌面或已發布的應用程序。我們建議使用單一登錄和多因素身份驗證，以增強基於瀏覽器的登錄過程的安全性。

情境 3：同一地產中的遠程支持工具

遠端支援工具常常被忽視，因為它們是“為了幫助台”，而不是“為了生產”。攻擊者並不在乎。如果支援工具可以創建無人值守的訪問或提升權限，它就成為遠端桌面攻擊面的一部分。

優先修復：

• 將幫助台功能與管理功能分開。
• 限制未經授權的訪問至明確的群組和批准的端點。
• 將支援工具的身份驗證與企業身份和多重身份驗證（MFA）對齊，盡可能地進行。

注意:

作為一個例子，為了避免與支援相關的問題，TSplus Remote Support 是自我託管的，邀請由主機生成給支援代理，登錄代碼是一次性數字集，每次都會更改。此外，主機簡單地關閉應用程序會完全切斷連接。

TSplus Remote Access 在「減少暴露」模式中適合什麼位置？

軟體產品驅動的安全性

在預防規劃中，TSplus Remote Access 適合作為發佈和交付模式：它可以標準化或區分用戶和群組的連接方式，以及他們可以訪問的內容、時間和設備，因此遠程訪問變得以政策為驅動，而不是臨時的。

TSplus Advanced Security 是為了保護應用伺服器而設計的，並且不留任何機會。從安裝的那一刻起，已知的惡意 IP 將被阻擋，因為它開始運作。它每一個精心挑選的功能都為安全性做出貢獻。 保護您的伺服器和應用程式 ，因此每個桌面。

連接模式作為政策選擇（RDP、RemoteApp、HTML5…）

當連接模式被視為「僅僅是用戶體驗」時，安全決策會被忽略。TSplus Remote Access 有三種較為知名的連接模式：RDP 客戶端、RemoteApp 客戶端和 HTML5 客戶端，每種模式對應不同的交付體驗。我們的快速入門指南擴展了靈活選項的列表，還包括經典的遠程桌面連接、可攜式 TSplus RDP 客戶端、MS RemoteApp 客戶端，以及通過網頁門戶的 Windows 和 HTML5 客戶端。

預防措施：

連接模式可以在幫助強化一致性時降低風險。

• RDP 客戶端訪問可以保持內部用於管理工作流程，而最終用戶則使用已發布的應用程序。
• RemoteApp 減少了對於只需要一個應用程式的使用者的「完整桌面暴露」。
• HTML5 可以取代脆弱的端點前提，這有助於強制執行一個受控的前門，而不是許多即興的前門。

TSplus 高級安全性在“守護 RDP”進程中

風險評分通常識別相同的主要痛點：互聯網噪音、重複的憑證嘗試以及跨伺服器的不一致訪問模式。這就是 TSplus Advanced Security 作為遠程桌面環境的護欄層的位置，包括 針對勒索病毒的保護 以及我們的產品、文檔或博客頁面中描述的會話加固主題。

在風險評分模型中，Advanced Security 支持預防的「降低可能性」部分：

• 阻止憑證濫用嘗試，以便密碼猜測不會成為背景常數。
• 當無法避免公共入口時，限制訪問路徑的 IP 和地理規則。
• 添加保護優先控制，減少單一登錄成為勒索軟件影響的機會。

結論：預防是否足夠？

風險評分降低了被攻擊的可能性。它並不保證安全，特別是在憑證可能被釣魚或資訊竊取者盜取的混合環境中。這就是為什麼檢測和響應計劃仍然重要。評分五個支柱，先修復最弱的部分，然後重新評分，直到遠端存取變成一項受控服務，而不是一堆例外。

一般來說，目標是保持一致性。標準化訪問路徑，使用 HTML5 以消除端點障礙而不擴大範圍，並僅發布每個組別所需的內容，並提供明確的時間窗口。

如上所示，Remote Access 結構化並發布訪問，同時 Advanced Security 防禦那些訪問背後的伺服器，抵禦施加壓力於周邊的攻擊者。問題不在於是否會有攻擊者，而是「你的周邊防護得如何？」。

進一步閱讀和行動：

為了這個目的，對於希望獲得下一層的團隊，我們針對RDP主導的勒索病毒入侵的檢測工程指南可能會引起興趣。它指向高信號模式並深入探討“ 在前30至60分鐘該做什麼 一旦實施預防模型，出色的後續工作可以提供想法，以最大化高級安全性和其他TSplus軟體設置，以保護您的基礎設施。

常見問題：

遠端桌面即使軟體是「安全的」，也能被駭客入侵嗎？

是的。大多數的安全漏洞是通過暴露的訪問路徑和弱身份發生的，而不是通過軟體漏洞。遠端桌面通常是在獲得憑證後使用的通道。

RDP 本身不安全嗎？

RDP 本身並不不安全，但當 RDP 可通過互聯網訪問並主要由密碼保護時，風險會變高。端口針對和弱身份驗證是常見的驅動因素。

HTML5 遠端桌面入口網站是否降低駭客風險？

如果它將訪問集中在一個受控的前門後，並且具有一致的身份驗證和授權，那麼它是可以的。如果它使廣泛的訪問更容易授予而沒有嚴格的政策，那麼風險就會增加。

減少遠端桌面駭客風險的最快方法是什麼？

首先減少暴露，然後加強身份。如果遠端桌面路徑可以公開訪問且基於密碼，則應假設該環境“最終會被攻破”。

我該如何知道在混合環境中首先修復什麼？

使用風險評分，例如RDRS，並首先修復最高的支柱。在大多數環境中，暴露和身份會在每小時花費中產生最大的風險下降。