Предыстория: В нашей компании мы купили программное обеспечение для управления клиент-серверными процессами, с помощью которого клиент напрямую взаимодействует с SQL-сервером. По моему мнению, это серьезный недостаток безопасности, поскольку можно прочитать пароль SQL-сервера из реестра на всех клиентских компьютерах. Этот пользователь SQL имеет доступ ко всей базе данных. Программное обеспечение основано на пользователях, что, очевидно, является лишь плацебо и не добавляет безопасности. Производитель программного обеспечения знает о проблеме, но предлагает только модуль веб-доступа для предотвращения прямого взаимодействия с SQL-сервером, что обойдется дополнительно в ~5000$.
Поэтому я задался вопросом, хорошая ли это идея — настроить еще один Windows Server, на котором я устанавливаю клиентское ПО и публикую его как «RemoteApp». Я задался вопросом, будет ли этого достаточно, чтобы запретить пользователям запускать любые неопубликованные программы? Я знаю, что если клиентское ПО запустит какое-либо дополнительное ПО, пользователь также получит доступ к этому ПО. Это касается только программ для чтения PDF или других текстовых редакторов.
Учитывая эту информацию, могу ли я предположить, что невозможно считать ключи реестра и/или запустить какое-либо программное обеспечение (сетевой анализатор или что-то подобное), загруженное пользователем RemoteApp?
решение1
Да.
Вы можете управлять этим с помощью политик ограничения программного обеспечения и/или AppLocker на сервере RemoteApp. Вы определенно не хотите, чтобы клиент работал на рабочих станциях конечных пользователей из-за упомянутых вами проблем безопасности, если только эти проблемы безопасности не будут списаны руководством после тщательного и хорошо документированного обсуждения рисков.
Если вы хотите, можно предпринять дополнительные шаги для блокировки сервера RemoteApp. Например, я изменил оболочку по умолчанию пользователей RemoteApp с на , explorer.exeчтобы logoff.exeпредотвратить входы в систему RDP не через RemoteApp.
Вы правы внетожидая, что само RemoteApp предоставит уровень безопасности. Все, что он делает, это настраивает вид приложения для пользователя, чтобы оно выглядело так, как будто оно работает локально. Вам все равно нужно управлять конфигурацией безопасности сервера RemoteApp, как будто пользователи RemoteApp входят в систему обычным образом через RDP.