Το Remote Credential Guard προστατεύει τα διαπιστευτήρια απομακρυσμένης επιφάνειας εργασίας

Όλοι οι χρήστες διαχειριστών συστημάτων έχουν μια πολύ αυθεντική ανησυχία - την εξασφάλιση διαπιστευτηρίων μέσω μιας σύνδεσης απομακρυσμένης επιφάνειας εργασίας. Αυτό οφείλεται στο γεγονός ότι το κακόβουλο λογισμικό μπορεί να βρει το δρόμο σε οποιονδήποτε άλλο υπολογιστή μέσω της σύνδεσης επιφάνειας εργασίας και να αποτελέσει πιθανή απειλή για τα δεδομένα σας. Αυτός είναι ο λόγος για τον οποίο το Windows OS αναβοσβήνει μια προειδοποίηση "Βεβαιωθείτε ότι εμπιστεύεστε αυτόν τον υπολογιστή, η σύνδεση με έναν μη αξιόπιστο υπολογιστή μπορεί να βλάψει τον υπολογιστή σας" όταν προσπαθείτε να συνδεθείτε σε μια απομακρυσμένη επιφάνεια εργασίας. Σε αυτήν την ανάρτηση, θα δούμε πως η δυνατότητα Απομακρυσμένης πιστοποίησης , η οποία έχει εισαχθεί στα Windows 10 v1607, μπορεί να βοηθήσει στην προστασία των διαπιστευτηρίων απομακρυσμένης επιφάνειας εργασίας στα Windows 10 Enterprise και Windows Server 2016 .

Απομακρυσμένη πιστοποίηση πιστοποίησης στα Windows 10

Η λειτουργία έχει σχεδιαστεί για να εξαλείφει τις απειλές προτού αναπτυχθεί σε σοβαρή κατάσταση. Σας βοηθά να προστατεύσετε τα διαπιστευτήριά σας μέσω μιας σύνδεσης Απομακρυσμένης επιφάνειας εργασίας μεταφέροντας τα αιτήματα Kerberos πίσω στη συσκευή που ζητά τη σύνδεση. Παρέχει επίσης εμπειρία μονής σύνδεσης για απομακρυσμένη επιφάνεια εργασίας.

Σε περίπτωση τυχόν ατυχίας όπου η συσκευή προορισμού είναι σε κίνδυνο, τα διαπιστευτήρια του χρήστη δεν εκτίθενται, επειδή και τα παράγωγα διαπιστευτηρίων και τα διαπιστευτήρια δεν αποστέλλονται ποτέ στη συσκευή προορισμού.

Το modus operandi του Remote Credential Guard είναι πολύ παρόμοιο με την προστασία που προσφέρεται από το Credential Guard σε ένα τοπικό μηχάνημα, εκτός από το Credential Guard προστατεύει επίσης τα διαπιστευτήρια του αποθηκευμένου τομέα μέσω του Credential Manager.

Ένα άτομο μπορεί να χρησιμοποιήσει το Remote Credential Guard με τους ακόλουθους τρόπους-

1. Δεδομένου ότι τα διαπιστευτήρια του διαχειριστή είναι ιδιαίτερα προνομιακά, πρέπει να προστατεύονται. Χρησιμοποιώντας το Remote Credential Guard, μπορείτε να είστε βέβαιοι ότι τα διαπιστευτήριά σας προστατεύονται, καθώς δεν επιτρέπουν τα διαπιστευτήρια να μεταβούν στο δίκτυο στη συσκευή προορισμού.
2. Οι υπάλληλοι του Helpdesk στον οργανισμό σας πρέπει να συνδεθούν με συσκευές που έχουν σχέση με το συγκεκριμένο τομέα και ενδέχεται να διακυβεύονται. Με το Remote Custard Guard, ο υπάλληλος του helpdesk μπορεί να χρησιμοποιήσει το RDP για να συνδεθεί με τη συσκευή προορισμού χωρίς να διακυβεύσει τα διαπιστευτήριά του σε κακόβουλο λογισμικό.

Απαιτήσεις υλικού και λογισμικού

Για να επιτρέψετε την ομαλή λειτουργία του Remote Credential Guard, Ο εξυπηρετητής και ο διακομιστής επιφάνειας εργασίας πληρούνται.

1. Ο πελάτης και ο διακομιστής απομακρυσμένης επιφάνειας εργασίας πρέπει να είναι συνδεδεμένοι με έναν τομέα Active Directory
2. Και οι δύο συσκευές πρέπει να συνδέονται με τον ίδιο τομέα ή ο διακομιστής απομακρυσμένης επιφάνειας εργασίας να συνδέεται σε έναν τομέα με
3. Ο πελάτης της απομακρυσμένης επιφάνειας εργασίας πρέπει να εκτελεί τουλάχιστον Windows 10, έκδοση 1607 ή Windows Server 2016.
4. Η πλατφόρμα Windows Universal Desktop για την απομακρυσμένη επιφάνεια εργασίας app δεν υποστηρίζει απομακρυσμένη πιστοποίηση φρουρών έτσι, χρησιμοποιήστε την κλασική εφαρμογή Windows Remote Desktop
5. Ενεργοποιήστε την απομακρυσμένη πιστοποίηση πιστοποίησης μέσω του μητρώου

Για να ενεργοποιήσετε τη λειτουργία Απομακρυσμένης πιστοποίησης πιστότητας στη συσκευή προορισμού, gistry Editor και μεταβείτε στο ακόλουθο κλειδί:

HKEY_LOCAL_MACHINE System CurrentControlSet Control Lsa

Προσθέστε μια νέα τιμή DWORD με όνομα

DisableRestrictedAdmin . Ρυθμίστε την τιμή αυτής της ρύθμισης μητρώου σε 0 για να ενεργοποιήσετε το Remote Credential Guard Κλείστε τον Επεξεργαστή Μητρώου.

Μπορείτε να ενεργοποιήσετε την Απομακρυσμένη Εξυπηρέτηση Εντολών, εκτελώντας την ακόλουθη εντολή από ένα υπερυψωμένο CMD:

Ενεργοποιήστε την Απομακρυσμένη Εξουσιοδότηση Εντολής χρησιμοποιώντας την Πολιτική Ομάδας

Είναι δυνατή η χρήση της Απομακρυσμένης Εξουσιοδοτημένης Εξυπηρέτησης στη συσκευή πελάτη με τη χρήση της εντολής HKLM SYSTEM CurrentControlSet Control Lsa / vRedrictedAdmin / d 0 / t REG_DWORD < ορίστε μια πολιτική ομάδας ή χρησιμοποιήστε μια παράμετρο με την σύνδεση απομακρυσμένης επιφάνειας εργασίας.

Από την Κονσόλα διαχείρισης πολιτικής ομάδας, μεταβείτε στην επιλογή Ρυθμίσεις υπολογιστή> Πρότυπα διαχείρισης> Σύστημα> Αντιπροσωπείες διαπιστευτηρίων

Τώρα, κάντε διπλό κλικ στο Περιορίστε την αποστολή διαπιστευτηρίων σε απομακρυσμένους διακομιστές

για να ανοίξετε το πλαίσιο Ιδιότητες . > Απαιτείται απομακρυσμένη φρουρά πιστοποίησης. Υπάρχει επίσης η άλλη επιλογή

Περιορισμένη λειτουργία διαχειριστή. Η σημασία της είναι ότι όταν το Remote Credential Guard δεν μπορεί να χρησιμοποιηθεί, θα χρησιμοποιήσει τη λειτουργία περιορισμένου διαχειριστή. Σε κάθε περίπτωση, ούτε η λειτουργία Remote Credential Guard ούτε η λειτουργία περιορισμένου διαχειριστή θα στείλουν διαπιστευτήρια σε καθαρό κείμενο στο διακομιστή απομακρυσμένης επιφάνειας εργασίας. Κάντε κλικ στο κουμπί OK και κλείστε την Κονσόλα διαχείρισης πολιτικής ομάδας Τώρα, από μια γραμμή εντολών, εκτελέστε το gpupdate.exe / force για να διασφαλίσετε ότι εφαρμόζεται το αντικείμενο πολιτικής ομάδας

Χρησιμοποιήστε το Remote Credential Guard με μια παράμετρο για την σύνδεση απομακρυσμένης επιφάνειας εργασίας

Εάν δεν χρησιμοποιείτε την Πολιτική ομάδας στον οργανισμό σας, μπορείτε να προσθέσετε την παράμετρο remoteGuard όταν χρησιμοποιείτε το Remote Desktop Connection για να ενεργοποιήσετε το Remote Credential Guard για τη σύνδεση αυτή mstsc.exe / remoteGuard Τα πράγματα που πρέπει να έχετε κατά νου όταν χρησιμοποιείτε το Remote Credential Guard

μια συσκευή που είναι ενωμένη με το Azure Active Directory.

Remo Το Guard Credential Guard λειτουργεί μόνο με το πρωτόκολλο RDP. Το Remote Credential Guard δεν περιλαμβάνει αξιώσεις συσκευών. Για παράδειγμα, αν προσπαθείτε να αποκτήσετε πρόσβαση σε ένα διακομιστή αρχείων από το απομακρυσμένο σύστημα και ο διακομιστής αρχείων απαιτεί αξίωση συσκευής, η πρόσβαση θα απορριφθεί. Ο διακομιστής και ο πελάτης πρέπει να πιστοποιήσουν την ταυτότητά του χρησιμοποιώντας το Kerberos

Οι τομείς πρέπει να έχουν εμπιστοσύνη η σχέση ή και ο πελάτης και ο διακομιστής πρέπει να ενωθούν στον ίδιο τομέα.

Η πύλη απομακρυσμένης επιφάνειας εργασίας δεν είναι συμβατή με το Remote Credential Guard

Δεν διαδίδονται διαπιστευτήρια στη συσκευή προορισμού. Ωστόσο, η συσκευή προορισμού εξακολουθεί να αποκτά μόνοι σας τα Εισιτήρια Υπηρεσίας Kerberos.

Τέλος, πρέπει να χρησιμοποιήσετε τα διαπιστευτήρια του χρήστη που έχει συνδεθεί στη συσκευή. Χρησιμοποιώντας αποθηκευμένα διαπιστευτήρια ή διαπιστευτήρια που είναι διαφορετικά από τα δικά σας δεν επιτρέπονται

1. Μπορείτε να διαβάσετε περισσότερα σχετικά με αυτό στο Technet