私は管理の専門知識がほとんどない開発者で、1 台の専用 Web サーバーをリモートで管理しています。
当サイトの最近の独立したセキュリティ監査では、「RDP はインターネットに公開されておらず、リモート アクセスには VPN などの堅牢な管理ソリューションが検討される必要があります。RDP を使用する場合は、クライアントが中間者攻撃を受けないように、サーバー認証用に構成する必要があります。」と推奨されています。
いろいろ調べてみると、ネットワークレベル認証は良いことだと思われるので、「NLA を使用したリモート デスクトップからの接続のみを許可する「本日サーバー上で」オプションをオンにしました。
このアクションは中間者攻撃のリスクを軽減するのに十分でしょうか? それとも、他に実行すべき重要な手順がありますか? VPN が不可欠な場合、どのように実行すればよいでしょうか?
答え1
本当にそうすべきだないNLA がオンであっても、RDP は世界中に公開されます。NLA は MITM 攻撃を削減しますが、RDP アクセスにデフォルトの自己署名証明書を使用している場合は、それほど安全ではありません。
RDP を世界に公開しない主な理由の 1 つは、自動的なパスワード クラッキングの試みを防ぐためです。インターネットに接続するインターフェイスから RDP を削除すると、ランダムで自動化されたブルート フォース攻撃を完全に軽減できます。リモート アクセス用に VPN のようなものを設置することは、強く推奨され、役立ちます。
VPN を実装する方法は多数あります。たとえば、Windows には IPSEC VPN が組み込まれています。SSL VPN ルートを使用する場合は、OpenVPN Access Server も最大 2 人の同時ユーザーまで無料で使用できます。
VPN の設定方法について非常に具体的な指示が必要な場合は、オプションを調査し、テクノロジを選択し、ドキュメントを読んでから、実装に関する懸念や問題について新しい質問を開始する必要があります。単に「VPN を実装するにはどうすればよいですか」と尋ねるだけでは、Server Fault では範囲が広すぎます。
答え2
ユーザーがブラウザで SSL 警告を無視できるのと同じように、中間者攻撃の回避は依然としてユーザーの責任です。
この変更によって達成されたのは、NLA (およびそれが提供するサーバー ID 検証) をサポートしていない古いクライアントの接続を防止することだけです。
RDP バージョン 6 クライアントの場合、昨日と同じように攻撃に対して脆弱です。中間者攻撃が成功するために必要なのは、ユーザーがサーバー ID ダイアログ ボックスをクリックすることだけです。
答え3
いいえ、NLA はリモート デスクトップ サーバーの攻撃対象領域を最小限に抑えるように設計されています。中間者攻撃からの保護は、有効な証明書を使用してリモート デスクトップ サーバー接続を構成するときに行われます。ただし、サーバーまたは証明書が信頼されていないか有効でない場合に表示される警告をユーザーが無視すると、悪意のあるリモート デスクトップ サーバーに接続されてしまう可能性があります。この脆弱性はリモート デスクトップ サーバーとは無関係です。
から：
リモート デスクトップ サービス接続のネットワーク レベル認証を構成する
http://technet.microsoft.com/en-us/library/cc732713.aspx
「ネットワーク レベル認証は、リモート デスクトップ接続を確立してログオン画面が表示される前にユーザー認証を完了します。これは、悪意のあるユーザーや悪意のあるソフトウェアからリモート コンピューター [リモート デスクトップ サーバー] を保護するのに役立つ、より安全な認証方法です。ネットワーク レベル認証の利点は次のとおりです。
「最初に必要なリモート コンピュータ [リモート デスクトップ サーバー] リソースが少なくなります。リモート コンピュータは、以前のバージョンのように完全なリモート デスクトップ接続を開始するのではなく、ユーザーを認証する前に限られた数のリソースを使用します。
「サービス拒否攻撃のリスクを軽減することで、セキュリティの強化に役立ちます。」