home

หน้าแรก
 Computer >> บทช่วยสอนคอมพิวเตอร์ >  >> ระบบ >> Windows

Remote Credential Guard ปกป้องข้อมูลประจำตัว Remote Desktop ใน Windows 10

ผู้ดูแลระบบทุกคนมีความกังวลเรื่องความปลอดภัยของข้อมูลประจำตัว (credentials) ผ่านการเชื่อมต่อ Remote Desktop เนื่องจากมัลแวร์อาจแพร่กระจายไปยังคอมพิวเตอร์อื่นผ่านการเชื่อมต่อเดสก์ท็อปและเป็นภัยคุกคามข้อมูล นั่นคือเหตุที่ Windows แสดงคำเตือน "Make sure you trust this PC, connecting to an untrusted computer might harm your PC" เมื่อพยายามเชื่อมต่อ Remote Desktop

ในบทความนี้ จะแนะนำฟีเจอร์ Remote Credential Guard ที่เพิ่มเข้ามาใน Windows 10 ช่วยปกป้องข้อมูลประจำตัว Remote Desktop ใน Windows 10 Enterprise และ Windows Server

Remote Credential Guard ใน Windows 10

ฟีเจอร์นี้ออกแบบมาเพื่อกำจัดภัยคุกคามก่อนที่จะรุนแรง ช่วยปกป้องข้อมูลประจำตัวผ่านการเชื่อมต่อ Remote Desktop โดยเปลี่ยนเส้นทางคำขอ Kerberos กลับไปยังอุปกรณ์ที่ร้องขอการเชื่อมต่อ ยังให้ประสบการณ์ Single Sign-On สำหรับเซสชัน Remote Desktop ด้วย

ในกรณีอุปกรณ์ปลายทางถูกโจมตี ข้อมูลประจำตัวของผู้ใช้จะไม่ถูกเปิดเผย เนื่องจากข้อมูลประจำตัวและอนุพันธ์ของมันไม่เคยถูกส่งไปยังอุปกรณ์ปลายทาง

Remote Credential Guard ปกป้องข้อมูลประจำตัว Remote Desktop ใน Windows 10

หลักการทำงานของ Remote Credential Guard คล้ายกับการปกป้องของ Credential Guard บนเครื่องท้องถิ่น ยกเว้น Credential Guard ยังปกป้องข้อมูลโดเมนที่จัดเก็บไว้ผ่าน Credential Manager

สามารถใช้ Remote Credential Guard ได้ดังนี้:

  1. ข้อมูลประจำตัวของ Administrator มีสิทธิ์สูง ต้องได้รับการปกป้อง โดยใช้ Remote Credential Guard จะมั่นใจได้ว่าข้อมูลประจำตัวปลอดภัย เพราะไม่ให้ข้อมูลผ่านเครือข่ายไปยังอุปกรณ์ปลายทาง
  2. พนักงาน Helpdesk ในองค์กรต้องเชื่อมต่ออุปกรณ์ที่เข้าร่วมโดเมนซึ่งอาจถูกโจมตี ด้วย Remote Credential Guard พนักงาน Helpdesk สามารถใช้ RDP เชื่อมต่ออุปกรณ์ปลายทางโดยไม่เสียสละข้อมูลประจำตัวให้มัลแวร์

ข้อกำหนดฮาร์ดแวร์และซอฟต์แวร์

เพื่อให้ Remote Credential Guard ทำงานได้อย่างราบรื่น ต้องตรวจสอบข้อกำหนดของ Remote Desktop client และ server ดังนี้:

  1. Remote Desktop Client และ server ต้องเข้าร่วม Active Directory domain
  2. ทั้งสองอุปกรณ์ต้องอยู่ในโดเมนเดียวกัน หรือ Remote Desktop server ต้องอยู่ในโดเมนที่มีความไว้วางใจ (trust relationship) กับโดเมนของ client
  3. ต้องเปิดใช้งานการรับรองความถูกต้อง Kerberos
  4. Remote Desktop client ต้องรัน Windows 10 เวอร์ชัน 1607 ขึ้นไป หรือ Windows Server 2016
  5. แอป Remote Desktop Universal Windows Platform ไม่รองรับ Remote Credential Guard ให้ใช้แอป Remote Desktop แบบคลาสสิก (Windows app)

เปิดใช้งาน Remote Credential Guard ผ่าน Registry

เพื่อเปิดใช้งาน Remote Credential Guard บนอุปกรณ์ปลายทาง ให้เปิด Registry Editor ไปที่คีย์ต่อไปนี้:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

เพิ่มค่า DWORD ใหม่ชื่อ DisableRestrictedAdmin ตั้งค่าเป็น 0 เพื่อเปิดใช้งาน Remote Credential Guard

ปิด Registry Editor

สามารถเปิดใช้งานได้โดยรันคำสั่งต่อไปนี้จาก CMD แบบผู้ดูแลระบบ:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

เปิดใช้งาน Remote Credential Guard ด้วย Group Policy

สามารถใช้ Remote Credential Guard บนอุปกรณ์ client โดยตั้งค่า Group Policy หรือใช้พารามิเตอร์กับ Remote Desktop Connection

จาก Group Policy Management Console ไปที่ Computer Configuration > Administrative Templates > System > Credentials Delegation.

ดับเบิลคลิก Restrict delegation of credentials to remote servers เพื่อเปิดกล่อง Properties

ในกล่อง Use the following restricted mode เลือก Require Remote Credential Guard. ตัวเลือก Restricted Admin mode ก็มีอยู่ด้วย นัยสำคัญคือเมื่อไม่สามารถใช้ Remote Credential Guard ได้ จะใช้ Restricted Admin mode แทน

ในทุกกรณี ไม่ว่าจะเป็น Remote Credential Guard หรือ Restricted Admin mode จะไม่ส่งข้อมูลประจำตัวเป็นข้อความธรรมดา (clear text) ไปยัง Remote Desktop server

อนุญาต Remote Credential Guard โดยเลือกตัวเลือก 'Prefer Remote Credential Guard'

คลิก OK และปิด Group Policy Management Console

Remote Credential Guard ปกป้องข้อมูลประจำตัว Remote Desktop ใน Windows 10

จาก command prompt ให้รัน gpupdate.exe /force เพื่อให้แน่ใจว่า Group Policy object ถูกนำไปใช้

ใช้ Remote Credential Guard ด้วยพารามิเตอร์ Remote Desktop Connection

หากไม่ใช้ Group Policy ในองค์กร สามารถเพิ่มพารามิเตอร์ remoteGuard เมื่อเริ่ม Remote Desktop Connection เพื่อเปิดใช้งาน Remote Credential Guard สำหรับการเชื่อมต่อครั้งนั้น

mstsc.exe /remoteGuard

สิ่งที่ควรระวังเมื่อใช้ Remote Credential Guard

  1. Remote Credential Guard ไม่สามารถใช้เชื่อมต่ออุปกรณ์ที่เข้าร่วม Azure Active Directory ได้
  2. Remote Desktop Credential Guard ทำงานกับโปรโตคอล RDP เท่านั้น
  3. Remote Credential Guard ไม่รวม device claims ตัวอย่างเช่น หากพยายามเข้าถึงไฟล์เซิร์ฟเวอร์จากระยะไกลและไฟล์เซิร์ฟเวอร์ต้องการ device claim การเข้าถึงจะถูกปฏิเสธ
  4. เซิร์ฟเวอร์และ client ต้องรับรองความถูกต้องด้วย Kerberos
  5. โดเมนต้องมีความไว้วางใจกัน หรือ client และ server ต้องเข้าร่วมโดเมนเดียวกัน
  6. Remote Desktop Gateway ไม่รองรับ Remote Credential Guard
  7. ไม่มีข้อมูลประจำตัวรั่วไหลไปยังอุปกรณ์ปลายทาง แต่อุปกรณ์ปลายทางยังได้รับ Kerberos Service Tickets เอง
  8. ต้องใช้ข้อมูลประจำตัวของผู้ใช้ที่ล็อกอินอยู่บนอุปกรณ์ ไม่อนุญาตให้ใช้ saved credentials หรือข้อมูลประจำตัวที่ต่างจากของคุณ

อ่านเพิ่มเติมได้ที่ Technet

เกี่ยวข้อง: วิธีเพิ่มจำนวนการเชื่อมต่อ Remote Desktop ใน Windows 10

Remote Credential Guard ปกป้องข้อมูลประจำตัว Remote Desktop ใน Windows 10