Umožňuje vzdálené ovládání desktopu a může poskytovat rozsáhlý administrativní přístup. Zabezpečení proto závisí na omezení dosažitelnosti, silné autentizaci, limitaci privilegií, zpevnění každé komponenty a monitorování používání relací.
RDP by nemělo být vystaveno přímo veřejnému internetu. Tam, kde je vyžadováno, umístěte jej za přístupovou službu, omezte zdroje a cíle a považujte vzdálený koncové zařízení a relaci za vysoce dopadové.
Klíčové body
Snížení expoziceRDP vypínejte tam, kde není potřeba; inventarizujte povolené hostitele; používejte zabezpečenou bránu, virtuální privátní síť nebo cestu Zero Trust; filtrujte dosažitelnost a segmentujte administrativní cíle.
Ochrana identity a přihlašovacích údajůPřed přístupem vyžadujte vícefaktorovou autentizaci, zapněte Network Level Authentication, používejte pojmenované účty s nejmenšími oprávněními, omezte privilegovaná přihlášení a chraňte přihlašovací údaje před ponecháním na vzdálených hostitelích.
Zpevnění a monitorováníPatchujte klienty, servery a brány; používejte důvěryhodné certifikáty Transport Layer Security; nastavte kontroly lockoutu či omezení rychlosti; logujte připojení a selhání; a vyšetřujte hrubou sílu, neobvyklé zdroje a laterální pohyb.
Důležité omezeníZměna výchozího portu, zapnutí šifrování nebo vyžadování Network Level Authentication nečiní internet-exponované RDP bezpečným. Odcizené přihlašovací údaje, zneužití relací, zranitelný software, nadměrná privilegia a kompromitovaní klienti či brány mohou přístupovou cestu stále zneškodnit.