リモートデスクトップのセキュリティ：安全なリモートアクセスのための12のベストプラクティス

要点

リモートデスクトップ セキュリティは、暗号化だけでなく、認証、認可、エンドポイントセキュリティ、ネットワーク設計、運用上の対策に左右されます。安全なリモートデスクトップ環境では、強力で固有の認証情報、最小権限、最新のソフトウェア、保護されたエンドポイント、プロトコルとリスクに適したネットワーク設計を使用します。

素のRDPやVNCを公開インターネットへ直接公開しないでください。MFA、端末制限、接続ログは、選択した製品が対応している場合に使用し、これらの機能がすべての製品に備わっているわけではない点を認識しておきます。

リモートデスクトップのセキュリティが重要な理由

リモートアクセスを使うと、離れた場所から画面を表示し、アプリケーションを操作し、データを転送し、コンピューターを管理できます。この到達性は便利ですが、アクセスが侵害されると、攻撃者が正規ユーザーと同じ操作能力を得るおそれがあります。

暗号化を正しく実装すれば通信中のデータを保護できますが、盗まれたパスワード、過剰な権限を持つアカウント、感染したエンドポイント、偽のサポート依頼は解決できません。効果的なリモートアクセス セキュリティでは、予防策に監視、復旧、迅速なアクセス取り消しを重ねます。

リモートデスクトップ セキュリティの12のベストプラクティス

1. 強力で固有の認証情報を使う。他のアカウント、コンピューター、リモートアクセス環境で使い回さない長いパスワードを作成し、承認済みのパスワードマネージャーに保存します。
2. 選択した製品が対応している場合はMFAを有効にする。多要素認証はパスワードだけに依存する状態を軽減できますが、すべての製品やワークフローが対応しているわけではありません。
3. 最小権限を適用する。各利用者に、業務に必要なシステム、機能、OS権限だけを与えます。リモートアクセスを自動的に管理者アクセスにしてはいけません。
4. 対応している場合は許可するユーザーと端末を制限する。利用可能で適切なら、指定ユーザー、管理対象グループ、端末承認、許可リストを使用します。認可を定期的に見直します。
5. OSとリモートアクセスソフトを最新に保つ。管理された手順で、操作側と接続先のコンピューター、リモートアクセスアプリ、関連するセキュリティツールへ修正を適用します。
6. 操作端末を適切に保護・暗号化する。特に携帯端末では、画面ロック、安全なサインイン、適切な端末全体の暗号化、エンドポイント保護、物理的な対策を使用します。
7. 無人アクセス用認証情報を保護し、不要なアクセスを取り消す。継続的な認証情報は承認済みの場所に保管します。退職者、廃止端末、完了した作業用のアクセスを削除します。
8. 素のRDPやVNCを公開インターネットへ直接公開しない。直接公開するためにRDPポート3389やVNCポートを開放・転送してはいけません。スキャンや認証情報への攻撃を招きます。
9. 必要に応じて適切に保護されたネットワーク構成を使う。遠隔接続が必要なRDPやVNCは、承認・管理されたVPNまたはゲートウェイの背後に置きます。VPNが提供するのは保護されたネットワーク接続であり、それ自体がデスクトップ操作を提供するわけではありません。
10. 提供されている場合は接続ログや監査ログを確認する。見覚えのないユーザー、端末、時刻、繰り返される失敗を探し、速やかに調査します。ログ取得と保存の機能は製品に依存します。
11. 予期しないサポート依頼を確認する。認証情報、ID、アクセスを渡す前に、信頼できる経路で依頼者と目的を確認します。緊急性を理由にソーシャルエンジニアリング対策を省略してはいけません。
12. 取り消しと復旧をテストする。退職、紛失、侵害の際に手順が機能するよう、アカウントの無効化、端末の削除、認証情報のローテーション、正規アクセスの復旧を実践します。

これらのベストプラクティスは、バックアップ、エンドポイント保護、アカウントセキュリティ、更新の代わりではなく、それらを補完します。システムの機密性と不正アクセスの影響に合わせて対策を選びます。

無人リモートアクセスを安全にする方法

無人アクセスは事前に承認されるため、リモートコンピューター側で接続のたびに承認する人は必要ありません。継続的な認証情報や承認を長期間使える鍵として扱い、固有にして安全に保管し、使用者を制限し、目的が終わったらローテーションまたは取り消します。

• 所有者、承認済みユーザー、業務目的、レビュー日を記録する。
• 製品が対応している場合は権限と承認端末を制限する。
• 両方のエンドポイントを保護し、最新に保つ。
• MFAと接続記録が利用できる場合は有効化・確認する。
• 認証情報のローテーション、端末紛失時の対応、緊急の取り消しをテストする。

リモートコンピューター自体も物理面と運用面で保護する必要があります。無人アクセス セキュリティは、画面ロック、エンドポイントセキュリティ、バックアップ、ローカルアクセス制御を不要にするものではありません。

RDPとVNCのセキュリティ

Microsoft RDPとVNCはプロトコルまたはプロトコル群であり、完全なセキュリティ戦略ではありません。実装、認証方法、導入要件は異なります。使用するサーバー、クライアント、OS、ゲートウェイそれぞれの最新文書に従ってください。

素のRDPやVNCをインターネットへ直接公開せず、RDP 3389やVNCポートの公開開放・転送を推奨してはいけません。信頼できるネットワークの外から接続する必要がある場合は、適切に保護されたVPN、ゲートウェイ、その他の管理された構成を使用し、アクセスを制限・監視します。VPNが提供するのはネットワーク接続であり、リモートデスクトップ操作ではありません。これがRDP セキュリティの重要な原則です。

WindowsとMacのリモートアクセス セキュリティ

WindowsとmacOSではどちらも、安全なアカウント、サポート対象のソフトウェア、迅速な更新、適切な端末暗号化とエンドポイント保護が必要です。権限や内蔵リモートアクセス機能は異なり、組織の管理ポリシーによって要件が追加される場合があります。

選択した製品が両側のOSバージョンに対応することを確認します。画面操作、アクセシビリティ、ファイル、管理に必要な権限だけを付与し、正当な理由がなくなったら削除します。制御が同じように機能すると決めつけず、Windows間、Mac間、クロスプラットフォームの実際のワークフローをテストします。

Distant Desktopの接続セキュリティへの取り組み

Distant DesktopはWindowsとmacOSに対応し、Microsoft RDPではなく独自のリモートアクセスワークフローを使用します。通常の接続では、接続先コンピューターのIDとパスワードを使用します。これらは権限を持つ人だけに共有し、他のアクセス認証情報と同様に保護してください。

Distant DesktopはAESベースの保護を使用し、映像、音声、ファイル転送にはSRTPが使用されます。無人アクセス、ファイル転送、クリップボード機能に対応しています。こうした接続保護も、保護されたアカウントとエンドポイント、適切な認可、更新、バックアップを含む広範なセキュリティ対策の中で使用する必要があります。

リモートアクセス セキュリティチェックリスト

• 各リモートアクセス用認証情報は強力かつ固有で、安全に保管されている。
• 選択した製品が対応している場合はMFAを有効にしている。
• ユーザー、端末、権限を現在の業務上の必要性に限定している。
• OSとリモートアクセスソフトがサポート対象で、更新されている。
• 操作側と接続先の端末をロックし、適切に暗号化・保護している。
• 無人アクセス用認証情報と不要になった承認を見直し、取り消している。
• 素のRDPやVNCを公開インターネットへ直接公開していない。
• 必要なVPNまたはゲートウェイ構成を承認し、保護・保守している。
• 利用可能な接続ログや監査ログで不審な動作を確認している。
• 従業員は予期しないサポート依頼を信頼できる経路で確認している。
• バックアップ、エンドポイント保護、アカウントセキュリティを維持している。
• 端末紛失、退職、認証情報のローテーション、取り消し、復旧をテストしている。