Из своего исследования я пришел к выводу, что «установка сервера терминалов (служб удаленного рабочего стола) на контроллере домена (Active Directory)» - это кардинальный грех - очевидно, существуют серьезные риски для безопасности.
Не мог бы кто-нибудь уточнить и объяснить риски?
Более конкретно:
Как кто-то может взломать сервер? Что худшего могло случиться?
Поймите эти аспекты моей конкретной конфигурации:
На сервере нет файлов. Каталог используется только для авторизации пользователей на использование служб удаленных рабочих столов. К серверу будут обращаться менее 50 пользователей.
Спасибо.
Самые простые вещи, которые я могу придумать сразу же: запустить процесс, который заполняет жесткие диски или оперативную память и приводит к сбою сервера.
Более коварная тактика будет использовать все: от кеш-атак и атак по сторонним каналам до вредоносных программ и наборов инструментов взлома для получения любой информации из AD, включая потенциально обратимые пароли, безопасность и другую конфиденциальную информацию.
Когда кто-то подключается к машине через удаленный рабочий стол, они используют эту машину так же, как сидят перед ней. Выполнение этого с помощью контроллера домена было бы похоже на размещение контроллера домена за столом пользователя (или нескольких пользователей) для использования в их повседневной работе. Все, что делают ваши пользователи, что может изменить состояние машины, происходит прямо в системе, в которой размещен ваш активный каталог. Забудьте на мгновение о злонамеренных хакерах (не то чтобы они тоже не проблема) - шансы, что кто-то из ваших пользователей случайно ломает что-то важное или запускает ресурсоемкое приложение, создавая эффективный подход отказа в обслуживании на 100%.
Конфигурация шлюза удаленных рабочих столов должна выполняться в сети периметра. Это учитывает риски, связанные с самой природой любого открытого порта удаленного доступа.
Поэтому, если удаленный злоумышленник сможет взломать ваш шлюз удаленного рабочего стола, он окажется внутри вашего контроллера домена.
Это может быть выполнено с помощью атак «человек посередине» и / или подделки сертификата, чтобы указать только пару.
Вы категорически НЕ ДОЛЖНЫ устанавливать шлюз удаленного рабочего стола на свой DC. Если у вас есть питание на текущем сервере, чтобы поместить его в виртуальную машину, которая лучше, или на другую физическую машину.
Взгляните на следующую документацию. Я нашел это очень полезным при настройке основного шлюза удаленных рабочих столов