Удалённый доступ давно стал обычной частью корпоративной IT-инфраструктуры. Через RDP сотрудники работают с 1С и внутренними системами, администраторы обслуживают серверы, а AnyDesk, Radmin и аналогичные программы позволяют быстро подключиться к рабочему компьютеру пользователя.
Проблема начинается не с самого факта удалённого доступа. Опасность появляется тогда, когда организация не может уверенно ответить на несколько простых вопросов: кто может подключаться, откуда, под какой учётной записью, к каким системам и останутся ли после подключения нормальные журналы событий.
Открытый RDP, забытый AnyDesk с постоянным доступом или старая учётная запись бывшего сотрудника могут годами не мешать работе. До первого инцидента такая инфраструктура выглядит вполне исправной.
Каждый постоянно доступный канал удалённого управления фактически становится дополнительной точкой входа в инфраструктуру компании. Поэтому его нужно рассматривать так же серьёзно, как VPN, почту, административные панели и другие внешние сервисы.
Какие варианты удалённого доступа чаще всего встречаются в компаниях
На практике редко используется только одна технология. В одной организации могут одновременно работать RDP, VPN, AnyDesk и ещё одна программа, которую когда-то установили для разовой технической поддержки.
RDP
Remote Desktop Protocol используется для удалённой работы с Windows и Windows Server. Это штатный механизм Microsoft, который хорошо подходит для терминальной работы, администрирования и доступа к внутренним приложениям.
Сам по себе RDP не является «опасной программой». Риск определяется тем, как именно он опубликован и кто имеет право им пользоваться.
Наиболее проблемный вариант — когда TCP/3389 или другой перенесённый RDP-порт доступен непосредственно из Интернета. Замена номера порта может уменьшить количество примитивных автоматических обращений, но не превращает такой доступ в безопасную архитектуру.
AnyDesk
AnyDesk удобен для поддержки пользователей и разовых подключений. Но режим постоянного доступа требует отдельного контроля.
Если unattended-доступ включён постоянно, фактически на компьютере существует ещё один удалённый вход, который может работать независимо от штатного RDP.
Администратору важно знать, на каких устройствах установлен AnyDesk, нужен ли там постоянный доступ, кто знает пароль или имеет привязанный аккаунт и действительно ли программа используется сейчас.
Radmin и Radmin VPN
Здесь важно разделять два разных компонента.
Radmin VPN создаёт виртуальную сеть между устройствами. Через неё уже можно использовать RDP, сетевые ресурсы или другие внутренние сервисы.
Radmin Server непосредственно предоставляет возможности удалённого управления компьютером.
Использование виртуальной сети обычно лучше прямой публикации RDP в Интернет, но сама по себе принадлежность компьютеров к одной VPN-сети ещё не решает вопрос безопасности. Нужно контролировать участников сети, учётные записи Windows, права пользователей и доступные сервисы.
Почему прямой RDP из Интернета — плохая схема
Когда RDP опубликован напрямую, служба удалённого рабочего стола становится доступной внешним узлам. Это означает, что её можно обнаружить и пытаться использовать без предварительного прохождения дополнительного защитного уровня.
Даже если используются сложные пароли, остаются дополнительные риски: ошибки конфигурации, старые учётные записи, избыточные права пользователей и недостаточный контроль журналов.
Более разумная архитектура строится так, чтобы сам RDP не был первой точкой, с которой сталкивается внешний пользователь.
Сначала выполняется подключение через контролируемый защищённый канал, а уже после этого становится доступен внутренний RDP или другой необходимый сервис.
VPN не отменяет необходимость защищать сам RDP
Иногда после внедрения VPN возникает ложное ощущение, что вопрос полностью решён. Но VPN отвечает только за один уровень схемы.
Если человек после подключения к VPN может использовать любую учётную запись, видеть ненужные серверы или свободно подключаться ко всем рабочим станциям, проблема просто переносится внутрь виртуальной сети.
Поэтому безопасная схема должна ограничивать не только вход в VPN, но и дальнейшие действия пользователя.
После подключения к VPN пользователь должен получать только те сетевые маршруты, системы и сервисы, которые необходимы ему для работы. Сам факт успешного подключения к виртуальной сети не должен означать полный доступ ко всей инфраструктуре.
Для удалённой работы нужны отдельные учётные записи
Одна из наиболее неприятных схем — общая учётная запись, которой пользуются несколько сотрудников или администраторов.
Например, пять человек подключаются к серверу под одним логином. В журнале Windows будет видно действие этой учётной записи, но установить конкретного человека уже значительно сложнее.
Для нормального контроля каждый пользователь должен работать под своей учётной записью.
Это особенно важно для административного доступа. Повседневная пользовательская учётная запись и административная учётная запись по возможности должны выполнять разные задачи.
Такой подход позволяет быстрее отключать доступ конкретному человеку, проверять его входы и понимать, чьи действия отражены в журналах.
Административные права не должны выдаваться вместе с RDP
Само разрешение удалённого подключения не означает, что пользователю нужны права администратора.
Если сотрудник запускает 1С, работает с документами или использует корпоративное приложение через RDP, административные полномочия ему обычно не требуются.
Постоянная работа под администратором увеличивает последствия ошибки пользователя или запуска вредоносного файла.
Поэтому при проверке удалённого доступа отдельно стоит посмотреть состав локальных и доменных административных групп.
MFA особенно важна для внешнего доступа
Пароль остаётся важным элементом защиты, но удалённый вход извне желательно не строить только на знании одного секрета.
Дополнительный фактор можно реализовать на уровне VPN, RD Gateway, корпоративной системы идентификации или другого шлюза доступа.
Смысл MFA здесь особенно понятен: даже если пароль пользователя оказался скомпрометирован, одного пароля недостаточно для прохождения внешнего защитного уровня.
Многофакторная аутентификация значительно повышает защиту учётной записи, но не заменяет ограничение прав, обновления системы, контроль участников VPN и журналирование. Защита должна состоять из нескольких независимых уровней.
AnyDesk и другие программы нужно учитывать как отдельные точки входа
При инвентаризации удалённого доступа нельзя останавливаться только на Windows RDP.
На компьютерах могут оставаться AnyDesk, TeamViewer, Radmin Server и другие средства управления, установленные много месяцев назад.
Типичная ситуация выглядит так: организация закрыла старый RDP или внедрила VPN, но на одном из критичных компьютеров продолжает работать программа удалённого управления с постоянным доступом.
Поэтому список разрешённых средств удалённого подключения должен быть известен IT-службе.
Если программа больше не используется, безопаснее её удалить или отключить постоянный доступ, чем оставлять «на всякий случай».
Особое внимание — увольнению сотрудников и смене подрядчиков
Удалённый доступ необходимо включать не только в процесс подключения нового сотрудника, но и в процедуру увольнения.
При прекращении работы недостаточно отключить только Windows-учётную запись, если человек отдельно имел доступ к VPN, AnyDesk, панели управления или другим сервисам.
То же относится к внешним системным администраторам и подрядчикам.
После смены обслуживающей компании полезно проверить все существующие способы удалённого доступа и убедиться, что старые реквизиты больше не работают.
Что должно оставаться в журналах
Удалённый доступ без журналирования сильно осложняет расследование инцидента.
Для Windows Server полезно контролировать не только основной журнал Security, но и профильные журналы Remote Desktop Services.
Они позволяют восстановить больше деталей о подключениях, сеансах и работе RDP.
Но наличие журнала ещё не означает, что история действительно сохранилась. Если его максимальный размер слишком мал, нужные события могут быть перезаписаны раньше, чем организация обнаружит проблему.
Для первичной оценки можно использовать наш калькулятор глубины журнала Windows Security .
При аудите важна реальная глубина истории: можно ли сегодня восстановить входы и действия, которые происходили несколько недель или месяцев назад. Размер журнала и фактический период хранения — разные показатели.
IP-адрес тоже полезен, но его недостаточно
В журналах удалённых подключений IP-адрес помогает понять, откуда устанавливался сеанс. Это важная техническая информация, особенно когда необходимо сопоставить подключение со временем и конкретной учётной записью.
Но один IP-адрес не всегда однозначно определяет человека.
Несколько сотрудников могут выходить через один внешний адрес организации, адрес пользователя может меняться, а при использовании VPN журнал может показывать уже внутренний VPN-адрес.
Поэтому для расследования лучше сопоставлять несколько признаков: учётную запись, IP-адрес, время входа, тип подключения и другие события той же сессии.
Не оставляйте удалённый доступ без ограничений по времени и назначению
Для постоянных сотрудников удалённая работа может быть регулярной. Но для подрядчика, временного администратора или разового обслуживания постоянный доступ часто не нужен.
Хорошая практика — выдавать доступ только на период выполнения задачи и отключать его после завершения работ.
То же относится к временно включённым административным правам.
Чем меньше постоянно действующих точек входа, тем проще контролировать инфраструктуру.
Базовая схема безопасного удалённого доступа
Для небольшой и средней компании практическая схема может выглядеть следующим образом.
- Не публиковать RDP напрямую в Интернет. Использовать VPN, RD Gateway или другой контролируемый шлюз.
- Каждому человеку — отдельная учётная запись. Не использовать общий логин для нескольких сотрудников.
- Ограничивать административные права. RDP-доступ и права администратора — разные разрешения.
- Использовать MFA на внешнем уровне доступа. Особенно для администраторов и критичных систем.
- Инвентаризировать AnyDesk, Radmin и другие средства. Не оставлять неизвестные или ненужные агенты удалённого управления.
- Контролировать журналы. Security и RDP-журналы должны сохранять достаточную историю.
- Удалять старые доступы. Увольнение сотрудника или смена подрядчика должны автоматически запускать проверку всех каналов удалённого входа.
Что проверить прямо сейчас
Есть полный список программ и способов удалённого подключения
RDP не опубликован напрямую в Интернет
Для внешнего подключения используется VPN, RD Gateway или другой контролируемый шлюз
У каждого сотрудника и администратора своя учётная запись
Обычные пользователи не работают постоянно с административными правами
На внешнем уровне доступа используется MFA
AnyDesk, Radmin и другие программы установлены только там, где действительно нужны
Постоянный unattended-доступ используется только при обоснованной необходимости
Доступ бывших сотрудников и старых подрядчиков отключён
Security и RDP-журналы включены и имеют достаточный размер
Можно определить учётную запись, время и источник удалённого входа
Как быстро проверить Windows Server
Если удалённый доступ используется к Windows Server, полезно проверить его не отдельно, а вместе с административными правами, журналами, защитой и резервным копированием.
Для первичной самостоятельной проверки можно использовать инструмент «Проверка безопасности Windows Server» .
Он помогает последовательно пройти ключевые точки риска: RDP, VPN, администраторов, журналы, NTFS-права, защиту и backup.
А что с рабочими компьютерами
Удалённое управление обычными рабочими станциями тоже требует контроля.
Если на компьютере пользователя постоянно работает AnyDesk или другое средство удалённого управления, важно учитывать локальные административные права, состояние Windows, антивирус, браузер, MFA и хранение рабочих данных.
Для этого на сайте есть отдельная проверка безопасности рабочего места .
Главный принцип
Безопасный удалённый доступ — это не выбор между RDP, AnyDesk или Radmin.
Любой из этих инструментов может использоваться нормально, если организация понимает архитектуру доступа и контролирует её.
Гораздо опаснее ситуация, когда удалённые подключения развивались постепенно: один администратор открыл RDP, другой добавил VPN, подрядчик установил AnyDesk, а через несколько лет уже никто не может точно сказать, какие способы входа ещё работают.
Поэтому начинать стоит не с покупки нового защитного продукта, а с простой инвентаризации: кто, куда и каким способом может подключаться сейчас.
Если нужно проверить реальную конфигурацию сервера, RDP, VPN, административные учётные записи и журналы событий, WEB-LABS проводит техническое обследование IT-инфраструктуры и помогает привести удалённый доступ к понятной контролируемой схеме.
Кибербезопасность начинается с правильных действий.
WEB-LABS проводит обучение сотрудников основам кибербезопасности на рабочем месте: безопасной работе с электронной почтой, паролями, файлами, интернет-ресурсами и корпоративными системами.
После прохождения курса сотрудники проходят итоговое тестирование и получают персональный сертификат WEB-LABS.