Whitepapers

Se, hvordan du erstatter Microsoft RD Gateway med en mere sikker, hurtigere og revisionsklar RDP-arkitektur, der mindsker eksponeringen på internettet uden at udløse unødvendige ydelsesomkostninger, driftsfriktion og huller i styringen.

Dette brugsscenarie er til organisationer, der i dag bruger Microsoft Remote Desktop Gateway (RD Gateway) til at give adgang via Remote Desktop Protocol (RDP), men som ønsker en erstatning, der mindsker angrebsfladen, forbedrer ydeevnen og forenkler styringen.

Vigtige målgrupper og miljøer, der får gavn af det, omfatter:

• SMV'er, der bruger Microsoft RD Gateway til at eksponere RDP over internettet, og som vil mindske den eksterne angrebsflade.
• MSP'er, der har brug for sikker, reviderbar RDP-adgang til mange kundemiljøer uden at vedligeholde flere VPN'er og skrøbelige gateway-konfigurationer.
• Små interne IT- og sikkerhedsteams, der vil forenkle styringen af fjernadgang og samtidig håndhæve MFA, just-in-time-godkendelser (JIT) og mindste privilegium på RDP-sessioner.
• Organisationer i regulerede eller revisionsintensive brancher (finans, sundhed, den offentlige sektor med videre), der skal kunne fremlægge dokumentation for hver session ved fjernadministrativ adgang.
• Hybride og remote-first-miljøer, hvor administratorer, leverandører og eksterne konsulenter har brug for hurtig, pålidelig RDP-adgang uden for virksomhedens netværk uden at eksponere RDP eller læne sig for meget op ad VPN'er.

PROBLEMET {#the-problem}

Det er almindeligt anerkendt, at RDP aldrig bør eksponeres direkte mod internettet. RD Gateway løser det, men indfører problemer, der er vanskelige at administrere, især for små IT-teams i små og mellemstore virksomheder (SMV'er). Problemerne og risiciene omfatter:

• Eksponering for brute force og password spraying mod Active Directory. RD Gateway bruger Windows-godkendelse (NTLM eller Kerberos) over HTTP. Gateways, der vender mod internettet, kan misbruges til password spraying og brute force-forsøg mod Active Directory, hvis kontrollerne ikke håndhæves stramt.
• Ydeevneoverhead fra TLS-in-TLS. RD Gateway tunnelerer RDP-TLS inde i HTTPS, hvilket tilføjer ekstra indpakning og kan forringe brugeroplevelsen sammenlignet med mere direkte, protokolbevidste tilgange.
• Håndhævelse af MFA er vanskelig. At integrere og konsekvent håndhæve MFA på RD Gateway kræver ofte tredjepartskomponenter og skrøbelig konfiguration, hvilket øger supportbyrden og risikoen for omgåelse.
• Begrænset styring på applikationsniveau. RD Gateway fokuserer på netværksadgang. Den svarer ikke i sig selv på, hvem der må tilgå hvilken server, med hvilken godkendelse, i hvor lang tid og med hvilken dokumentation, og det gør revisioner og undersøgelser sværere.

LØSNINGEN {#the-solution}

Devolutions Gateway giver sammen med Devolutions Server og Remote Desktop Manager sikker just-in-time-RDP-adgang (JIT) uden at bruge RD Gateway. Sådan passer delene sammen:

• Devolutions Gateway formidler RDP ved applikationskanten. Der er ingen netværksomfattende tunnel. Kun den specifikke, godkendte RDP-sti åbnes i sessionens varighed.
• Devolutions Server er kontrolplanen for identitet, adgangspolitikker, godkendelser, MFA og detaljeret logning. Gatewayen accepterer kun de forbindelsesanmodninger, som Devolutions Server allerede har godkendt.
• Remote Desktop Manager giver administratorer en enkel, ensartet måde at starte sessioner på. Indsprøjtning af legitimationsoplysninger holder adgangskoderne ude af brugernes hænder og bevarer samtidig en gennemsigtig oplevelse.

Tabellen nedenfor opsummerer, hvordan Devolutions Gateway + Devolutions Server + Remote Desktop Manager direkte imødegår og løser hver af de konkrete udfordringer, der er beskrevet tidligere:

Udfordring: RD Gateway kan misbruges til password spraying og brute force-forsøg mod Active Directory, fordi den bruger Windows-godkendelse (NTLM/Kerberos) over HTTP. Løsning: Mindre eksponering for eksterne godkendelsesangreb og en inddæmmet skadesradius. Devolutions Server håndhæver SSO med MFA og vurderer RBAC og godkendelser, før nogen forbindelse tillades. Devolutions Gateway accepterer kun forhåndsgodkendte sessionsanmodninger og åbner kun en sti til den godkendte RDP-vært i det tilladte tidsvindue.

Udfordring: TLS-in-TLS-overhead i RD Gateway forringer ydeevnen og brugeroplevelsen. Løsning: Hurtigere og mere pålidelig RDP uden HTTPS-tunneling. Devolutions Gateway formidler kun RDP-sessionen med standard-TLS og undgår TLS-in-TLS-indpakning og hairpin-tunneler (det vil sige, når trafik fra en VPN-klient sendes tilbage gennem VPN-gatewayen til et andet internt undernet). Trafikken er afgrænset til RDP-sessionens protokol, hvilket sænker latenstiden og mindsker spild af båndbredde.

Udfordring: At håndhæve MFA på RD Gateway er vanskeligt og skrøbeligt. Løsning: Ensartet, centralt administreret MFA på hver RDP-session. MFA håndhæves i kontrolplanen i Devolutions Server som en del af sessionsgodkendelsen. Hvis godkendelse kræves, bliver anmodningen videresendt, tidsbegrænset og registreret. Først derefter formidler Devolutions Gateway sessionen.

Udfordring: RD Gateway fokuserer på netværksadgang og mangler kontroller af mindste privilegium på handlingsniveau. Løsning: Styring på handlingsniveau: den rette person, til den rette server, i den rette tid. Devolutions Server anvender politikker, godkendelser, tidsplaner og tidsgrænser pr. vært, knyttet til RDP-handlingen. Remote Desktop Manager indsprøjter legitimationsoplysninger fra boksen, så brugerne aldrig håndterer adgangskoder, og risikoen for lateral bevægelse mindskes.

Udfordring: Logningen i RD Gateway mangler dokumentation pr. session på applikationslaget til revisioner og undersøgelser. Løsning: Tydelige, revisionsklare spor, der fremskynder undersøgelser. Devolutions Server registrerer anmoder, målvært, start- og sluttidspunkter, godkendelses- eller sagsreferencer, JIT-vindue og status for indsprøjtning af legitimationsoplysninger. Valgfri sessionsoptagelse og videresendelse til SIEM giver fuldstændig dokumentation, der kan søges i.

Udfordring: Driftskompleksitet og supportbyrde omkring gateway-konfiguration og klientadfærd. Løsning: Enklere drift med én samlet kontrolplan og en ensartet klientoplevelse. Centralisér identitet og politik i Devolutions Server, placér Devolutions Gateway ved kanten med gyldig TLS, og brug Remote Desktop Manager som den eneste administrationsklient. Standardisér navngivning, godkendelser og opbevaring, og skalér ud ved at tilføje endnu en Gateway, hvis der er behov for det.

IMPLEMENTERING {#implementation}

Det er enkelt og ligetil at etablere den infrastruktur, der skal til for at opnå alle fordelene ovenfor:

• Trin 1: Download og installér Devolutions Server.
• Trin 2: Udrul og konfigurér Devolutions Gateway til brug sammen med Devolutions Server.
• Trin 3: Opret eller opdatér RDP-forbindelsesposter i Remote Desktop Manager, så de bruger Devolutions Gateway.

Der findes fuldstændige og detaljerede vejledninger til udrulning og konfiguration af produkterne. Devolutions' supportteam i verdensklasse står også klar med råd og svar.

OVERSIGT OVER FORDELE {#summary-of-benefits}

• Mindre angrebsflade. Ingen netværksomfattende tunnel og ingen afhængighed af RD Gateways godkendelsesstier, som kan misbruges til password spraying.
• Hurtigere og mere pålidelig adgang. Direkte, protokolafgrænset formidling undgår TLS-in-TLS-overhead og hairpin-trafik.
• Styring på handlingsniveau. Politikker afgør, hvem der må oprette forbindelse til hvilken server, under hvilke betingelser og i hvor lang tid.
• Hemmeligheder forbliver skjulte. Indsprøjtning af legitimationsoplysninger forhindrer brugerne i at håndtere privilegerede adgangskoder.
• Revisionsklar som standard. Dokumentation pr. session og valgfri sessionsoptagelse forenkler overholdelsen og fremskynder undersøgelser.
• Enklere drift. Én samlet kontrolplan med en ensartet klientoplevelse mindsker konfigurationsspredning og supportbyrden.
• Passer til SMV'ers virkelighed. Start med et fokuseret pilotprojekt, påvis værdien hurtigt, og udvid i dit tempo.

VIDERE FREM {#moving-ahead}

Se, hvordan Devolutions kan hjælpe din organisation med at etablere en arkitektur, der er mere sikker, nemmere at administrere og drive og fuldt reviderbar.

Anmod om en gratis prøveperiode eller en livedemo af Devolutions Gateway + Devolutions Server + Remote Desktop Manager.

Foretrækker du en skræddersyet vej? Start et proof of concept (POC) på 30–90 dage med Devolutions Gateway, Devolutions Server og Remote Desktop Manager i dit eget miljø. Vores team kortlægger roller og RDP-arbejdsgange, aktiverer MFA og JIT-godkendelser og følger resultater som tid til at oprette forbindelse, revisionens fuldstændighed og reduktion af eksponerede tjenester. Anmod om din POC i dag, og se målbar værdi hurtigt.

Vi inviterer dig også til at kontakte os for at få flere oplysninger og vejledning.