Sophos UTM: RDP Sicherheit umstellen

Sophos UTM: RDP Sicherheit umstellen

Das BSI (Bundesministerium für Sicherheit in der Informationstechnik) RDP (Remotedesktop Protokoll) nicht mehr für extern freizugeben, doch nun hat sich die Lage verschlechtert – es ist eine Lücke gefunden wurden, welche eine Remotecode Execution erlaubt OHNE ANMELDUNG!

Es betrifft zwar „nur“ Systeme wie Windows 7 und Server 2008 R2 und diese Lücke wird auch schon über das Windowsupdate geschlossen – jedoch kann jederzeit wieder eine solche Lücke entdeckt werden.

Möglichkeiten zur Sicherheit wären:

  • RDP deaktivieren
  • RDP Zugriff nur auf bestimmte Adressen erlauben
  • RDP erst nach VPN Einwahl erlauben

Eine weitere Möglichkeit wäre jedoch auch bei Nutzung des Sophos UTM mit der Advanced Network Option (VPN Lizenz) den RDP Zugriff nur noch über das sogenannte HTML 5 VPN Portal anzubieten über das Userportal:

Dazu muss erst in der Sophos UTM unter Managemt > User Portal diese eingerichtet und aktiviert werden.

Danach kann man dann unter Remote Access > HTML 5 VPN Portal dieses aktivieren und einen Server wie folgt freigeben (Beispiel):

Weitere Informationen:


Windows: Eigenes RDP Zertifikat verwenden

Tags :

Kategorie: Allgemein , Diverse , Server , Support

Wenn man ein eigens Zertifikat hat, wie z.B. eins für Exchange/OWA, dann kann man dieses ebenfalls dem RDP Dienst zuordnen – so erhält man keine Ferhlermeldung beim Remotezugriff per RDP.

Unter Windows Server 2008 (R2) ging es noch einfach mit der GUI, aber Server 2012 jedoch nicht mehr, dies kann man jedoch mit der Powershell anpassen.

Dazu eine MMC erstellen mit dem SnapIn Zertifikate (Computerkonto) und dort dann das bestehende Exchangezertifikat in die Kategorie Remotedesktop kopieren.

Das bestehende Zertifikat abfragen mit dem folgenden Befehl:

wmic /namespace:\\root\cimv2\TerminalServices PATH Win32_TSGeneralSetting Get SSLCertificateSHA1Hash

Dann das Exchangezertifikat in der MMC öffnen und aus den Eigenschaften den Thumbprint kopieren.

wmic /namespace:\\root\cimv2\TerminalServices PATH Win32_TSGeneralSetting Set SSLCertificateSHA1Hash=thumbprint

Statt Thumbprint geben Sie den Thumbprint aus den Eigenschaften ein, ohne Leerzeichen.

Starten Sie die Remotedesktopdienste neu – sollten sie immer noch eine Fehlermeldung erhalten, starten Sie bitte den Server neu.

Quelle: http://www.it-training-grote.de/download/RDS-2012R2-SelfSignedCertificate.pdf


Server 2012 (R2): Terminalserver ohne AD verwenden

Einen Terminalserver ohne AD kann man wie folgt verwenden:

  • Terminallizenserver muss installiert sein (z.B. auf dem Terminalserver selber).
  • Gehen Sie auf einen der Terminalserver und starten Sie eine Powershell.
  • Geben Sie die folgenden Befehle ein:

$obj = gwmi -namespace „Root/CIMV2/TerminalServices“
$obj.ChangeMode(value)  <- Hinweis: Value = 2 für jedes Gerät; Value = 4 für jeden User
$obj.SetSpecifiedLicenseServerList(„Lizenzservername“)

Mit $obj.GetSpecifiedLicenseServerList() können Sie den Status prüfen.

 

Weitere Informationen