У всех системных администраторов есть одна очень серьезная проблема – защита учетных данных через подключение к удаленному рабочему столу. Это связано с тем, что вредоносные программы могут проникать на любой другой компьютер через соединение с настольным компьютером и представлять потенциальную угрозу вашим данным. Вот почему ОС Windows высвечивает предупреждение «Убедитесь, что вы доверяете этому ПК, подключение к ненадежному компьютеру может нанести вред вашему ПК» при попытке подключения к удаленному рабочему столу. В этом посте мы увидим, как функция Remote Credential Guard , представленная в Windows 10 v1607 , может помочь защитить учетные данные удаленного рабочего стола в Windows 10 Enterprise. и Windows Server 2016 .
Содержание
- Удаленная проверка учетных данных в Windows 10
- Включить удаленную проверку учетных данных через реестр
- Включите Remote Credential Guard с помощью групповой политики
Удаленная проверка учетных данных в Windows 10
Эта функция предназначена для устранения угроз, прежде чем она перерастет в серьезную ситуацию. Он помогает защитить ваши учетные данные через подключение к удаленному рабочему столу, перенаправляя запросы Kerberos обратно на устройство, которое запрашивает подключение. Он также предоставляет возможности единой регистрации для сеансов удаленного рабочего стола.
В случае какого-либо несчастья, когда целевое устройство скомпрометировано, учетные данные пользователя не раскрываются, поскольку как целевые, так и производные учетные данные никогда не отправляются на целевое устройство.
Способ работы Remote Credential Guard очень похож на защиту, предлагаемую Credential Guard на локальном компьютере, за исключением того, что Credential Guard также защищает сохраненные учетные данные домена через диспетчер учетных данных.
Человек может использовать Remote Credential Guard следующими способами:
- Поскольку учетные данные администратора являются привилегированными, они должны быть защищены. Используя Remote Credential Guard, вы можете быть уверены, что ваши учетные данные защищены, поскольку они не позволяют учетным данным проходить по сети на целевое устройство.
- Сотрудники службы поддержки в вашей организации должны подключаться к присоединенным к домену устройствам, которые могут быть скомпрометированы. Благодаря Remote Credential Guard сотрудник службы поддержки может использовать RDP для подключения к целевому устройству, не подвергая риску свои учетные данные для вредоносных программ.
Требования к аппаратному и программному обеспечению
Чтобы обеспечить бесперебойную работу Remote Credential Guard, убедитесь, что выполнены следующие требования клиента и сервера Remote Desktop.
- Клиент и сервер удаленного рабочего стола должны быть присоединены к домену Active Directory
- Оба устройства должны быть либо присоединены к одному домену, либо сервер удаленного рабочего стола должен быть присоединен к домену с доверительными отношениями к домену клиентского устройства.
- Аутентификация Kerberos должна быть включена.
- Клиент удаленного рабочего стола должен работать не ниже Windows 10 версии 1607 или Windows Server 2016.
- Приложение Remote Desktop Universal Windows Platform не поддерживает Remote Credential Guard, поэтому используйте классическое приложение Windows Remote Desktop.
Включить удаленную проверку учетных данных через реестр
Чтобы включить Remote Credential Guard на целевом устройстве, откройте редактор реестра и перейдите к следующему ключу:
HKEY_LOCAL_MACHINE System CurrentControlSet Control LSA
Добавьте новое значение DWORD с именем DisableRestrictedAdmin . Установите значение этого параметра реестра в 0 , чтобы включить Remote Credential Guard.
Закройте редактор реестра.
Вы можете включить Remote Credential Guard, выполнив следующую команду с повышенным уровнем CMD:
reg add HKLM SYSTEM CurrentControlSet Control Lsa/v DisableRestrictedAdmin/d 0/t REG_DWORD
Включите Remote Credential Guard с помощью групповой политики
Можно использовать Remote Credential Guard на клиентском устройстве, установив групповую политику или используя параметр с подключением к удаленному рабочему столу.
В консоли управления групповой политикой выберите Конфигурация компьютера> Административные шаблоны> Система> Делегирование полномочий .
Теперь дважды щелкните Ограничить делегирование учетных данных удаленным серверам , чтобы открыть его окно «Свойства».
Теперь в поле Использовать следующий ограниченный режим выберите Требуется удаленная защита учетных данных. Другой параметр Режим ограниченного администрирования также присутствует. Его значение в том, что, когда Remote Credential Guard не может быть использован, он будет использовать режим Restricted Admin.
В любом случае, ни Remote Credential Guard, ни режим Restricted Admin не будут отправлять учетные данные в виде открытого текста на сервер удаленного рабочего стола.
Разрешить удаленную проверку учетных данных, выбрав параметр Предпочитать удаленную проверку учетных данных .
Нажмите кнопку ОК и выйдите из консоли управления групповой политикой.
Теперь из командной строки запустите gpupdate.exe/force , чтобы убедиться, что объект групповой политики применяется.
Используйте Remote Credential Guard с параметром для подключения к удаленному рабочему столу
Если вы не используете групповую политику в своей организации, вы можете добавить параметр remoteGuard при запуске подключения к удаленному рабочему столу, чтобы включить Remote Credential Guard для этого подключения.
mstsc.exe/remoteGuard
Что нужно учитывать при использовании Remote Credential Guard
- Remote Credential Guard нельзя использовать для подключения к устройству, подключенному к Azure Active Directory.
- Remote Desktop Credential Guard работает только с протоколом RDP.
- Remote Credential Guard не включает в себя претензии устройства. Например, если вы пытаетесь получить доступ к файловому серверу с удаленного компьютера, а файловый сервер требует утверждения устройства, в доступе будет отказано.
- Сервер и клиент должны пройти аутентификацию с использованием Kerberos.
- Домены должны иметь доверительные отношения, либо клиент и сервер должны быть присоединены к одному домену.
- Шлюз удаленного рабочего стола не совместим с Remote Credential Guard.
- Учетные данные не передаются на целевое устройство. Однако целевое устройство по-прежнему получает билеты службы Kerberos самостоятельно.
- Наконец, вы должны использовать учетные данные пользователя, который вошел в устройство. Использование сохраненных учетных данных или учетных данных, отличных от ваших, запрещено.
Вы можете прочитать больше об этом в Technet.
