Punti chiave
- Attuare un piano di sicurezza RDP della durata di 30 giorni: Riduci gradualmente l’esposizione settimanalmente, applica delle misure di sicurezza MFA e rafforza la sicurezza dell’accesso remoto.
- RDP sicuro tramite VPN/RD Gateway: Elimina l’esposizione diretta a Internet, richiedi l’uso di TLS 1.2 o versioni successive, NLA e algoritmi di crittografia robusti.
- Applicare l’autenticazione a più fattori (MFA) e le pratiche di gestione delle credenziali: Disattiva la memorizzazione delle credenziali nella cache, rendi obbligatoria l’autenticazione a più fattori (MFA) su tutti i percorsi RDP, rafforza le impostazioni relative alle password e al blocco dell’account e rimuovi gli amministratori inattivi o condivisi.
- Monitorare e dimostrare la conformità RDP: Abilita i registri dettagliati, configura gli avvisi di anomalie e genera report mensili relativi all’esposizione, alla copertura MFA e alle eccezioni.
Il Remote Desktop Protocol (RDP) rappresenta una via di attacco comune, soprattutto quando è esposto direttamente, protetto da credenziali deboli o monitorato in modo inadeguato. Gli esperti di sicurezza sottolineano rischi quali porte esposte, password riutilizzate o salvate e l’assenza dell’autenticazione a più fattori (MFA).
Seguendo le best practice di sicurezza relative a RDP, le organizzazioni possono ridurre tali rischi utilizzando gateway sicuri, applicando la crittografia e garantendo una registrazione accurata degli eventi. Questa guida pratica trasforma queste best practice in un piano di 30 giorni che aiuta le organizzazioni a colmare le lacune di sicurezza, rafforzare l’autenticazione e individuare attività sospette.
Illustrare la sicurezza RDP e le relative best practice a revisori e clienti
Il manuale è suddiviso in quattro settimane, ciascuna delle quali è dedicata a un aspetto specifico della sicurezza RDP. Nella prima settimana, l’obiettivo è quello di ridurre l’esposizione e stabilire dei limiti. La seconda settimana è dedicata al rafforzamento delle procedure di autenticazione e al miglioramento della gestione delle credenziali. Le ultime due settimane sono dedicate al rafforzamento della sicurezza degli host RDP e all’istituzione di procedure coerenti di segnalazione e raccolta delle prove.
📌 Prerequisiti:
- Analisi dettagliata delle modalità e dei contesti di utilizzo RDP, compresa l’esposizione a Internet e l’accesso da parte di terzi
- Fornitore MFA approvato e criteri di gestione delle identità per gli utenti con privilegi
- Registrazione centralizzata degli eventi di sicurezza di Windows, dei log del gateway e dei log MFA
- Controllo delle modifiche per gli oggetti GPO o le linee guida di configurazione e le procedure di ripristino
- Uno spazio dedicato alla rendicontazione per il monitoraggio mensile dei dati e delle eccezioni
Settimana 1: Posizionare l’esposizione e installare le barriere di protezione
Questa settimana, la guida pratica di 30 giorni trasformerà le best practice in azioni concrete per proteggere l’accesso RDP, applicare un’autenticazione forte, individuare gli abusi e conservare le prove di conformità.
📌 Caso d’uso: Per i team IT e di sicurezza che gestiscono l’amministrazione remota o l’accesso di terze parti, questa guida offre un quadro di riferimento chiaro per ridurre l’esposizione, applicare l’autenticazione a più fattori (MFA) e garantire operazioni RDP controllate e verificabili.
Disabilitare l’accesso RDP diretto da Internet
Tutte le connessioni devono passare attraverso un gateway RD o una VPN protetta con TLS per eliminare qualsiasi esposizione non protetta.
Limitare gli indirizzi IP di origine
Utilizza regole del firewall o l’accesso condizionale per consentire il traffico RDP solo da posizioni, data center o reti approvate.
Attivare l’autenticazione a livello di rete (NLA)
Prima di stabilire una sessione effettua l’autenticazione, al fine di ridurre l’esposizione a richieste non autenticate.
Sicurezza del protocollo Harden
Disattivare gli algoritmi di crittografia obsoleti e i protocolli non più in uso. Imposta TLS 1.2 o versioni successive per la crittografia.
Pubblica un criterio di accesso RDP
Stabilisci chi può connettersi, da dove e a quali condizioni, e assicurati che il criterio venga comunicato e preso in carico dagli amministratori.
Settimana 2: Garantire l’autenticazione e la corretta gestione delle credenziali
Questa settimana si riducono i rischi di furto delle credenziali garantendo che le sessioni RDP siano autenticate e limitate agli utenti verificati.
📌 Caso d’uso: Per i team IT e di sicurezza che gestiscono l’accesso remoto amministrativo o con privilegi, questa fase si concentra sulla neutralizzazione delle minacce basate sulle credenziali. Ciò garantisce che, anche nel caso in cui le password venissero divulgate, gli aggressori non possano riutilizzarle e che tutte le sessioni remote rimangano associate a identità verificate e verificabili.
Richiedi l’autenticazione a più fattori (MFA) per gli amministratori remoti e gli utenti ad alto rischio
La MFA blocca gli aggressori anche se le password vengono compromesse. Pertanto, ti consigliamo di applicare l’autenticazione a più fattori (MFA) su tutti i canali di accesso remoto. Verifica l’integrazione tramite test end-to-end su ogni punto di accesso RDP.
Blocca le credenziali salvate
Le credenziali salvate sui sistemi locali possono essere riutilizzate dagli hacker. Disattivale in RDP tramite i Criteri di gruppo e programmare la cancellazione periodica della cache delle credenziali limita la possibilità che gli aggressori possano raccogliere e riutilizzare tali credenziali.
Rafforzare gli standard relativi al blocco degli account e alle password
Applica soglie di blocco e criteri di complessità per gli utenti remoti e verifica la conformità delle password e le scadenze previste.
Limitare i diritti di accesso interattivo
Limita l’accesso interattivo agli account amministrativi specificati. Successivamente, individua e disattiva le credenziali orfane.
Settimana 3: Effettuare l’hardening degli host e implementare il monitoraggio
Questa settimana ci concentreremo sul rafforzamento delle configurazioni degli host RDP, sul controllo del flusso di dati e sull’attivazione di un monitoraggio completo dei sistemi di accesso remoto.
📌 Caso d’uso: Per i team IT e di sicurezza responsabili della configurazione degli host RDP e della preparazione alla risposta agli incidenti, questa fase garantisce che i sistemi siano adeguatamente protetti e completamente monitorati per garantire la massima visibilità.
Disattiva i reindirizzamenti non necessari
Disattiva il reindirizzamento degli appunti e delle unità quando non è necessario dal punto di vista operativo e limita il reindirizzamento dei dispositivi a casi d’uso specifici.
Abilitare e controllare la registrazione RDP
La registrazione rende visibili le attività di autenticazione e aiuta a individuare eventuali abusi. Registra gli accessi riusciti e quelli non riusciti, i blocchi degli account e le modifiche ai criteri sui server RDP e sui gateway.
Configurare gli avvisi di accesso
Imposta avvisi per:
- Picchi di tentativi di accesso falliti
- Posizioni geografiche insolite
- Tentativi di accesso al di fuori dell’orario di servizio
Salva le istantanee di configurazione
Una deriva nella configurazione può compromettere la sicurezza. Pertanto, ti raccomandiamo di registrare e conservare le istantanee di:
- Applicazione della NLA
- Livello di crittografia
- Impostazioni relative al gateway e ai crtiteri di accesso
Confronta le istantanee nel tempo per individuare modifiche non autorizzate o accidentali.
Settimana 4: Verifica e rendicontazione
Questa settimana ci concentreremo sulla verifica effettiva delle misure di protezione RDP, assicurandoci che non rimangano esposizioni residue.
📌 Caso d’uso: Per i team IT, di conformità e di sicurezza operativa, questa fase finale garantisce che i controlli RDP siano di comprovata efficacia, verificati costantemente e oggetto di rendicontazione trasparente.
Eseguire i test di accesso
L’esecuzione dei test di accesso conferma il corretto funzionamento dei meccanismi di protezione. Per eseguire questo passaggio, prova a stabilire connessioni RDP dirette via Internet per verificare che il blocco sia effettivamente attivo. Inoltre, verifica che le richieste di autenticazione a più fattori (MFA) si attivino correttamente al momento dell’accesso al gateway.
Verifica lo stato delle credenziali
La verifica della sicurezza delle credenziali consente di accertare che gli endpoint non contengano credenziali memorizzate. Verifica su alcuni dispositivi campione che non siano rimaste credenziali RDP salvate e documenta eventuali eccezioni e le azioni correttive intraprese.
Redigere un rapporto mensile sulla sicurezza RDP
La redazione di un rapporto mensile sulla sicurezza RDP garantisce responsabilità e il miglioramento. Crea report che includano:
- Stato di esposizione RDP
- Tasso di copertura MFA
- Rapporto tra accessi non riusciti e accessi riusciti
- Numero di tentativi bloccati
- Elenco delle eccezioni con i relativi responsabili e le date di scadenza
Registra le lezioni apprese e aggiornare i valori di riferimento
Il miglioramento continuo garantisce un’efficacia duratura in materia di sicurezza. Esamina i risultati per perfezionare i runbook e le linee guida, aggiornando costantemente la documentazione.
Indicatori rilevanti per dimostrare ai clienti la sicurezza RDP
Di seguito sono riportati gli indicatori che assumono particolare rilevanza quando si tratta di dimostrare la sicurezza dell’RDP a revisori e clienti:
- Percentuale di endpoint RDP protetti da RD Gateway o VPN
- Copertura di sicurezza MFA per amministratori remoti e utenti ad alto rischio
- Accessi RDP non riusciti rispetto a quelli riusciti e principali fonti
- Numero di endpoint con la memorizzazione temporanea delle credenziali disabilitata e cancellata
- Numero ed età delle eccezioni di accesso e degli eventi di emergenza
Rischi e misure di salvaguardia
Individuare e gestire i problemi che sorgono durante l’implementazione dei controlli RDP è fondamentale per garantire la sicurezza dell’ambiente di accesso remoto.
Esposizione residua tramite ospiti dimenticati
Gli host dimenticati o configurati in modo errato possono rimanere esposti a Internet. Per mitigare tali minacce, ti consigliamo di pianificare scansioni esterne delle vulnerabilità per individuare porte RDP aperte o host non registrati. Successivamente, verifica i risultati confrontandoli con l’inventario delle risorse per assicurarti che tutti i sistemi siano stati registrati e messi in sicurezza.
Lacune nel MFA nei percorsi non standard
Gli hacker tendono a sfruttare percorsi di autenticazione che vengono trascurati. La soluzione migliore è testare tutti i metodi di connessione RDP per verificare che l’autenticazione a più fattori (MFA) sia applicata ovunque. Chiudi i percorsi che aggirano l’autenticazione a più fattori (MFA) e istituire un processo di verifica periodico.
Difficoltà operative per i tecnici
Le restrizioni di sicurezza potrebbero inavvertitamente creare difficoltà nel flusso di lavoro per i team IT che fanno affidamento sul reindirizzamento. Indica quali tipi di reindirizzamento sono consentiti e perché. Inoltre, offri delle alternative per il trasferimento di file da remoto.
Stress da eccesso di avvisi
Se gli avvisi non sono configurati correttamente, è possibile che alcuni avvisi critici vengano ignorati. Rivedi e perfeziona le soglie di allerta per trovare il giusto equilibrio tra sensibilità e pertinenza.
Servizi NinjaOne che aiutano a dimostrare ai clienti la sicurezza RDP
I seguenti servizi NinjaOne consentono di dimostrare la sicurezza RDP a revisori e clienti:
Implementazione dei criteri
La funzionalità di gestione dei criteri di NinjaOne consente di implementare e applicare i criteri su più piattaforme. Puoi sfruttare il supporto delle condizioni composte, configurare impostazioni dettagliate e garantire standard di sicurezza uniformi a livello di organizzazione.
Monitoraggio e avvisi
NinjaOne consente di raccogliere e monitorare i log di accesso e dei gateway, individuare i tentativi di accesso non riusciti e creare avvisi personalizzati. Le sue funzionalità avanzate di monitoraggio garantiscono visibilità sulle attività di accesso e sulle potenziali minacce alla sicurezza.
Automazione
L’automazione della gestione delle credenziali e degli account offerta da NinjaOne consente ai fornitori di servizi gestiti (MSP) di eseguire script per cancellare le credenziali salvate, ruotare le password degli amministratori locali e disattivare gli account inattivi. I risultati degli script possono essere allegati automaticamente ai ticket a fini di controllo e tracciabilità.
Reporting
Gli strumenti di reporting di NinjaOne includono dashboard personalizzabili, monitoraggio dell’esposizione e report sull’anzianità delle eccezioni. Queste funzionalità consentono di dimostrare la conformità, identificare i rischi e fornire una chiara visione d’insieme dello stato di sicurezza del proprio RDP.
Dimostrare la sicurezza RDP per confermarne l’efficacia
La sicurezza RDP è più efficace quando l’accesso remoto è limitato, viene applicata l’autenticazione a più fattori (MFA), i sistemi sono protetti in modo adeguato e il monitoraggio garantisce la visibilità. Un piano di 30 giorni riduce i rischi esterni e fornisce un resoconto dei risultati, aiutando gli MSP a dimostrare ai clienti e ai revisori che l’accesso remoto è sicuro e resiliente.
Argomenti correlati:
