Является ли решение для тонких клиентов служб терминалов или RDP небезопасным?

По сути, ваши опасения верны - в традиционных службах удаленных рабочих столов Windows Server у вас есть общее имущество. Это проблема не только из-за вирусов, но вы должны помнить, что любой пользователь может повлиять на всех остальных пользователей коробки множеством способов - ЦП, ОЗУ, дисковый ввод-вывод, использование и т. Д.

На все эти вопросы нет простого ответа, хотя есть инструменты, которые можно смягчить. Однако вернемся к исходному вопросу - ответ заключается в том, чтобы убедиться, что вы используете аудио / видео, пользуетесь преимуществами сетевой безопасности и такими инструментами, как групповая политика, для блокировки пользовательской среды. Я работал с сотнями терминальных серверов, и при правильных мерах предосторожности вирусы не должны быть проблемой.

Однако стоит помнить о преимуществах для тонких клиентов. Если вы правильно масштабируете свою инфраструктуру, пользователи никогда не должны заметить, что сервер снят с производства. Совместите это с передовой практикой аварийного восстановления и мониторингом, и весь комплексный ремонт станет полностью прозрачным.

Является ли решение для тонких клиентов служб терминалов или RDP небезопасным?

Во многих отношениях среда терминального сервера в точности похожа на типичный настольный компьютер с точки зрения безопасности. Но в некотором роде все иначе.

• Ваши пользователи не являются администраторами / опытными пользователями
  • Они не могут устанавливать программное обеспечение. Таким образом, у вас есть хорошо изученный ограниченный набор программного обеспечения, к которому вы можете применять исправления. Подпишитесь на рассылку всех продавцов и так далее.
  • Сделать кого-то из вышестоящих администраторов / опытных пользователей, потому что они много ныть, просто не вариант. Если вы предоставите любому администратору доступ конечного пользователя, ваши терминальные серверы имеют чрезвычайно высокий шанс быть быстро уничтоженным для всех. Вы быстро научитесь никогда не делать исключений на терминальных серверах.
• Вам нужно поддерживать / контролировать меньшее количество систем, и они, скорее всего, похожи / идентичны.
  • Вам не нужно иметь дело с неясными различиями оборудования, вы можете автоматизировать процедуры установки / обновления. У вас должно быть достаточно серверов в вашем пуле, чтобы вы могли вытащить один из фермы, чтобы обновить его, протестировать и снова подключить к сети, как только будут выпущены исправления для критических проблем. Вы можете обновить TS каждого участника и быть уверенным, что у вас все обновлено с помощью последних исправлений.
  • Вы можете и должны настроить свою систему мониторинга для сбора статистики ЦП, памяти, ввода-вывода для ваших серверов терминалов, чтобы вы могли контролировать производительность. Типичное заражение, вероятно, будет быстро замечено, поскольку оно потребляет системные ресурсы.
• Поскольку вы используете хорошо идентифицированный и ограниченный набор инструментов для создания белого списка программного обеспечения, это может оказаться возможным. Как в политики ограниченного использования программ, или Faronics Anti-EXE или что-то подобное.
  • Подход с использованием белого списка означает, что вы явно одобряете каждую запускаемую программу. Подавляющее большинство вредоносных программ просто не смогут пройти через белый список
• Вы будете использовать перемещаемые профили и перенаправленные папки, чтобы хранить данные конечного пользователя на файловом сервере.
  • Поскольку все ваши данные находятся где-то в другом месте, если сервер терминалов оказывается поврежденным, вы просто восстанавливаете его. Опять же, наличие запасного сервера в вашей ферме упрощает эту задачу.
• Ваши терминальные серверы почти наверняка будут 64-битными системами. Это означает, что вы можете включить все расширенные функции DEP, рандомизации памяти и т. Д. Они не надежны, но уменьшают поверхность атаки

Хотя я, безусловно, могу согласиться с тем, что существует потенциальный риск того, что конечный пользователь получит что-то, что использует ошибку эскалации, а затем уничтожает всю систему. Я ни разу не видел, чтобы это происходило на самом деле за те ~ 10 лет, которые я поддерживал среды TS для пары школ. Время от времени что-то проникало и уничтожало профиль пользователя, но вредоносное ПО, уничтожающее всю систему, еще не произошло.

Системы, которые поддерживаются должным образом, с очень плотно закрытым доступом и приличной установкой антивирусной программы, будут защищать вашу систему большую часть времени. Обслуживание серверов будет проще, чем обслуживание множества рабочих столов.