Jak zabezpieczyć RDP: 7 sposobów na bezpieczny pulpit zdalny

1. Skonfiguruj silne uwierzytelnianie

Przy zabezpieczaniu RDP pierwszą i najważniejszą linią obrony jest silne uwierzytelnianie. Słabe hasła narażają połączenie na zautomatyzowane ataki, których celem jest odgadnięcie danych logowania. Wzmacniając uwierzytelnianie, znacznie zmniejszasz ryzyko włamania.

Twórz silne i niepowtarzalne hasła

Hasło jest kluczem do twojego połączenia RDP, a słabe hasła to główny cel ataków brute force. Aby się chronić, twórz hasła o długości co najmniej 8 znaków, łączące wielkie i małe litery, cyfry oraz znaki specjalne. Unikaj słów łatwych do odgadnięcia, danych osobowych i przewidywalnych schematów.

Dobrym sposobem jest fraza hasłowa (passphrase), czyli kilka przypadkowych słów połączonych w bezpieczne, a zarazem łatwe do zapamiętania hasło. Na przykład fraza „Coffee!Mountain$Dance92” jest silna, a mimo to łatwo ją zapamiętać. Równie ważne: nigdy nie używaj tego samego hasła do różnych kont. Jeśli jedno konto zostanie przejęte, dzięki niepowtarzalnym hasłom pozostałe będą bezpieczne.

Zarządzanie wieloma silnymi hasłami bywa trudne, dlatego warto korzystać z menedżera haseł. Takie narzędzia bezpiecznie przechowują dane logowania, generują złożone hasła i ułatwiają logowanie. Z menedżerem haseł utrzymasz wysoki poziom bezpieczeństwa bez zapamiętywania wielu haseł.

Gdy hasła są już bezpieczne, czas dodać kolejną warstwę ochrony: uwierzytelnianie wieloskładnikowe.

Włącz uwierzytelnianie wieloskładnikowe (MFA)

Silne hasła są niezbędne, ale w połączeniu z uwierzytelnianiem wieloskładnikowym (MFA) zapewniają jeszcze lepszą ochronę. MFA wymaga drugiego sposobu potwierdzenia tożsamości, dzięki czemu atakującym znacznie trudniej uzyskać dostęp – nawet jeśli znają twoje hasło. Według Microsoftu MFA może zablokować ponad 99,9% ataków, których celem jest przejęcie konta. [5]

Drugim składnikiem mogą być kody z aplikacji mobilnej, SMS-y, połączenia telefoniczne, biometria lub tokeny sprzętowe. Dla wygody rozważ metody, które ograniczają ręczne wpisywanie, takie jak potwierdzenie przez połączenie telefoniczne lub powiadomienie w aplikacji. Jeśli na przykład korzystasz z MFA w Microsoft Entra ID z rozszerzeniem NPS, możesz wybrać automatyczne połączenia telefoniczne lub powiadomienia push, aby usprawnić logowanie.

Brak MFA może mieć poważne konsekwencje. Przykładem jest incydent ransomware w firmie LabCorp: według CSO Online w lipcu 2018 roku, po ataku brute force na RDP, ransomware zdążył rozprzestrzenić się na 7000 systemów i 1900 serwerów, zanim firma w ciągu 50 minut opanowała sytuację. [6] Ten przypadek pokazuje, jak ważne jest MFA w zapobieganiu tak szybkim i niszczycielskim włamaniom.

MFA możesz zintegrować ze środowiskiem RDP na kilka sposobów: użyć Microsoft Entra ID z rozszerzeniem NPS, rozwiązań MFA innych firm, bramy RDP z wbudowanym MFA albo VPN z obsługą MFA. MFA to nie tylko bezpieczeństwo: pomaga też organizacjom spełnić wymogi regulacji i standardów takich jak HIPAA, PCI DSS czy RODO.

Aby jeszcze lepiej zabezpieczyć konfigurację MFA, zadbaj o mocniejsze szyfrowanie: używaj TLS 1.2 lub nowszego i włącz uwierzytelnianie na poziomie sieci (NLA). Narzędzia do zbierania logów i monitorowania pomogą ci też śledzić próby dostępu i wykrywać podejrzaną aktywność.

2. Aktualizuj oprogramowanie RDP

Korzystanie z nieaktualnego oprogramowania przypomina wyjście z domu bez zamknięcia drzwi na klucz – atakujący dokładnie wiedzą, gdzie szukać słabych punktów. Jeśli oprogramowanie RDP nie jest aktualne, w praktyce dajesz cyberprzestępcom gotową mapę luk do wykorzystania. Instalowanie najnowszych poprawek zabezpieczeń jest kluczowe, bo atakujący bez przerwy szukają nowych luk.

Ryzyko związane z nieaktualnym oprogramowaniem RDP jest jak najbardziej realne. Przykładem jest luka CVE-2022-21893, wykryta w styczniu 2022 roku. Według serwisu Threatpost pozwalała ona atakującemu – bez podwyższonych uprawnień – dostać się do systemów plików innych połączonych użytkowników. [8] Otwierała drogę do wycieku danych ze schowka i z systemu plików, co mogło prowadzić do naruszenia prywatności, nieuprawnionego przemieszczania się po sieci lub eskalacji uprawnień. To tylko jeden przypadek, który pokazuje, że regularne aktualizacje to nie opcja, tylko konieczność.

Aktualizacje nie tylko łatają luki, ale też zapewniają obsługę nowoczesnych protokołów szyfrowania. Bez nich nawet połączenie, które wydaje się bezpieczne, może być poważnie narażone na atak.

Włącz automatyczne aktualizacje

Najprostszy sposób na bezpieczeństwo? Włącz automatyczne aktualizacje. Poprawki będą wtedy instalowane, gdy tylko się pojawią, co skraca do minimum czas, w którym system jest podatny na atak. Konfiguracja zależy od używanego klienta RDP, ale cel jest zawsze ten sam: oprogramowanie ma być bezpieczne przez cały czas.

W przypadku klienta Microsoft Remote Desktop (wersja MSI) możesz ręcznie sprawdzić dostępność aktualizacji: otwórz aplikację Remote Desktop, kliknij trzy kropki w prawym górnym rogu i wybierz „About”. Klient poszuka wtedy aktualizacji, a jeśli jakaś będzie dostępna, wystarczy kliknąć „Install update”, aby ją zainstalować.

Administratorzy mogą precyzyjnie ustawić sposób aktualizacji w rejestrze. Wartość AutomaticUpdates w kluczu rejestru HKLM\Software\Microsoft\MSRDC\Policies pozwala wybrać, jak klient obsługuje aktualizacje:

• Wartość 0: całkowicie wyłącza automatyczne aktualizacje i powiadomienia.
• Wartość 1: włącza powiadomienia, ale aktualizację musi zainstalować użytkownik.
• Wartość 2 (domyślna): przy instalacji dla pojedynczego użytkownika (per-user) klient aktualizuje się po cichu w tle, gdy jest zamknięty, a powiadomienia pokazuje tylko wtedy, gdy działa. Przy instalacji dla całego komputera (per-machine) klient wyświetla tylko powiadomienia. [2]

Aplikacja Microsoft Remote Desktop z Microsoft Store nie jest już obsługiwana: wsparcie dla niej zakończyło się we wrześniu 2025 roku i nie można jej pobrać ani zainstalować. W połączeniach z Azure Virtual Desktop i Windows 365 zastępuje ją Windows App. Zmiana nie dotyczy połączeń z usługami pulpitu zdalnego (Remote Desktop Services) ani ze zdalnymi komputerami. Ponadto 27 marca 2026 roku Microsoft zakończył wsparcie klienta MSI w środowiskach chmury publicznej. [1]

Zaletą wbudowanej w Windows obsługi RDP jest to, że jej aktualizacje przychodzą razem ze zwykłymi aktualizacjami systemu. Zyskujesz w ten sposób kolejną warstwę ochrony bez dodatkowego wysiłku.

Sprawdzaj klienty RDP innych firm

Jeśli korzystasz z klientów RDP innych firm, obowiązują te same zasady: muszą być aktualne i nadal wspierane. W przeciwieństwie do oprogramowania RDP wbudowanego w system wiele aplikacji klienckich innych firm nie aktualizuje się automatycznie, więc musisz samodzielnie sprawdzać, czy masz najnowsze wersje. Nieobsługiwane lub nieaktualne oprogramowanie nie dostaje poprawek zabezpieczeń, przez co znane luki pozostają otwarte bez końca.

Przy wyborze klienta RDP innej firmy stawiaj na taki, który spełnia współczesne standardy bezpieczeństwa. Sprawdź, czy klient obsługuje aktualne protokoły szyfrowania i uwierzytelnianie na poziomie sieci (NLA). Starszym lub zaniedbanym programom często brakuje tych kluczowych zabezpieczeń, co naraża twój system na ryzyko.

Aby ograniczyć ryzyko, zmniejsz liczbę klientów RDP używanych w twoim środowisku. Postawienie na jednego, dobrze utrzymywanego klienta upraszcza zarządzanie aktualizacjami i ogranicza liczbę potencjalnych wektorów ataku. Jeśli w klientach innych firm zostaną wykryte luki, w pierwszej kolejności łataj te, dla których istnieją publicznie dostępne exploity. Są one szczególnie groźne, bo atakujący mają już narzędzia, aby je wykorzystać.

3. Kontroluj dostęp sieciowy za pomocą reguł zapory

Ustawienie zapory tak, aby blokowała nieuprawnione połączenia RDP, to kluczowy krok w zabezpieczaniu sieci. Solidna konfiguracja zapory zapewnia ważną warstwę ochrony usług RDP. Według danych zespołu reagowania na incydenty firmy Sophos nadużycia RDP wystąpiły w 90% ataków, którymi zespół ten zajmował się w 2023 roku.

Firmy powinny odciąć RDP od publicznego internetu, aby zmniejszyć ryzyko, że staną się celem cyberprzestępców.

– Ryan Gregory, Coalition

Zapora może ograniczyć dostęp do portów, na których nasłuchuje pulpit zdalny, na przykład do domyślnego portu TCP 3389. Prawidłowa konfiguracja pozwala zablokować nieuprawniony ruch z zewnątrz i jednocześnie umożliwić zatwierdzonym użytkownikom łączenie się z siecią.

Zezwalaj na dostęp tylko z zaufanych adresów IP

Ograniczenie dostępu przez RDP do określonych adresów IP lub segmentów sieci znacznie zmniejsza powierzchnię ataku. Oto jak to skonfigurować w zaporze Windows:

• Otwórz Windows Security (Zabezpieczenia Windows) i przejdź do Firewall and Network Protection > Advanced Settings (Zapora i ochrona sieci > Ustawienia zaawansowane).
• Znajdź regułę „Remote Desktop – User Mode (TCP-In)” i zmień ją tak, aby przepuszczała tylko połączenia z zatwierdzonych adresów IP.

Aby ustalić, którym zewnętrznym adresom IP przyznać dostęp, skorzystaj z narzędzia do sprawdzania adresu IP.

Regularnie przeglądaj i aktualizuj listę zaufanych adresów IP, bo konfiguracja sieci może się z czasem zmieniać. Wystawianie portów RDP do całego internetu nigdy nie jest dobrym pomysłem. Filtrowanie adresów IP w połączeniu z uważnym monitorowaniem to solidna podstawa twoich zabezpieczeń.

Zmień domyślny port RDP

Innym skutecznym sposobem na poprawę bezpieczeństwa jest zmiana domyślnego portu RDP (3389). Nie zastępuje ona innych zabezpieczeń, ale może zmniejszyć narażenie na ataki automatycznych skanerów. Eksperci zalecają wybór portu z zakresu od 49152 do 65535, aby uniknąć konfliktów z innymi usługami.

Oto jak zmienić port RDP:

W Edytorze rejestru

1. Otwórz Registry Editor (Edytor rejestru).

2. Przejdź do klucza:

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

3. Znajdź wartość PortNumber, kliknij ją dwukrotnie, wybierz Decimal (Dziesiętny) i wpisz nowy numer portu.

4. Kliknij OK i uruchom ponownie usługę pulpitu zdalnego (lub cały komputer), aby zmiany zaczęły obowiązywać.

W PowerShellu

• Sprawdź bieżący port poleceniem:

  Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -name "PortNumber"

• Zmień port poleceniem:

  Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -name "PortNumber" -Value <new_port>

• Dodaj reguły zapory dla nowego portu:

  New-NetFirewallRule -DisplayName "RDP New Port TCP" -Profile Public -Direction Inbound -Action Allow -Protocol TCP -LocalPort <new_port>  
  New-NetFirewallRule -DisplayName "RDP New Port UDP" -Profile Public -Direction Inbound -Action Allow -Protocol UDP -LocalPort <new_port>  

Po zmianie portu utwórz w zaporze Windows odpowiadającą mu regułę ruchu przychodzącego. Przetestuj nowy port, łącząc się z adresem w formacie IP_address:new_port (np. 192.168.1.1:50123), a następnie sprawdź tym poleceniem, czy port jest aktywny:

netstat -an | find "<new_port>"

Dodaj kolejną warstwę dzięki NAT

Do zabezpieczenia RDP możesz też wykorzystać translację adresów sieciowych (NAT). NAT pozwala przekierować port zewnętrzny na wewnętrzny port RDP, co dodatkowo ukrywa usługę i utrudnia atakującym znalezienie twojego połączenia. W połączeniu z regułami zapory takie podejście wzmacnia całą twoją strategię bezpieczeństwa RDP.

4. Łącz się bezpiecznie przez VPN

VPN tworzy szyfrowany tunel między twoim urządzeniem a siecią, dzięki czemu przechwycone dane pozostają nieczytelne. Nawiązanie połączenia VPN przed rozpoczęciem sesji RDP to dodatkowa ochrona przed cyberatakami. Poniżej opisujemy, jak skonfigurować dostęp przez VPN do pulpitu zdalnego.

Jak skonfigurować dostęp do RDP przez VPN

Wybór rozwiązania VPN

Dostęp przez VPN możesz zorganizować na dwa główne sposoby. Usługa VPN dla firm, na przykład hostowane rozwiązania OpenVPN, łączy twoje urządzenia i serwer w jedną sieć prywatną bez większej konfiguracji. Aplikacje VPN dla użytkowników indywidualnych, takie jak TunnelBear i Proton VPN, to inny rodzaj produktu: kierują ruch z twojej przeglądarki przez serwery dostawcy i nie zapewniają ci prywatnego połączenia z własnym serwerem, więc w ten sposób nie chronią RDP.

Własny serwer VPN

Jeśli chcesz mieć większą kontrolę nad bezpieczeństwem, świetnym rozwiązaniem jest własny serwer VPN. Zarządzając nim samodzielnie, możesz dostosować ustawienia szyfrowania, kontrolować dostęp użytkowników i wdrożyć zabezpieczenia dopasowane do swoich potrzeb. Na początek użyj serwera z Linuksem i dostępem root, takiego jak VPS Linux; nasz poradnik WireGuard przeprowadzi cię przez cały proces. Konfiguracja zwykle obejmuje:

• Połączenie się z VPS przez SSH.
• Instalację oprogramowania serwera VPN, na przykład OpenVPN.
• Konfigurację dostępu dla twoich urządzeń.

Przy konfiguracji serwera wybierz lokalizację blisko regionu docelowego, aby poprawić wydajność. Zawsze używaj silnego szyfrowania, na przykład AES-256, aby chronić dane.

Najważniejsze ustawienia bezpieczeństwa

Gdy VPN już działa, wykonaj te ważne kroki, aby go dodatkowo zabezpieczyć:

• Włącz uwierzytelnianie dwuskładnikowe (2FA) dla wszystkich sesji VPN.
• Ogranicz dostęp do VPN wyłącznie do zatwierdzonych urządzeń.
• Dostosuj reguły zapory tak, aby bezproblemowo współpracowały z VPN i blokowały nieuprawniony dostęp.
• Korzystaj z narzędzi takich jak Fail2Ban, wyłącz logowanie na konto root i regularnie przeglądaj logi pod kątem nietypowej aktywności.
• Zmień domyślne porty, aby atakującym trudniej było znaleźć twój serwer VPN.

Łączenie przez VPN

5. Skonfiguruj bramę RDP

Brama RDP (RD Gateway) to ważny punkt kontrolny, który dodaje kolejną warstwę zabezpieczeń do twojej sieci. Dzięki niej cały dostęp z zewnątrz do systemów wewnętrznych jest ściśle kontrolowany: brama uwierzytelnia użytkowników i szyfruje ruch, zanim udzieli dostępu do konkretnych zasobów.

Jak brama RDP zwiększa bezpieczeństwo

Brama RDP przesyła ruch pulpitu zdalnego przez HTTPS na porcie 443 zamiast przez standardowy port RDP 3389. Tunelowanie RDP w HTTPS chroni poufne dane przed atakami typu man-in-the-middle, a sieć wewnętrzna pozostaje osłonięta. Użytkownicy mogą korzystać tylko z zasobów, do których mają uprawnienia, co znacznie zmniejsza ryzyko wykorzystania luk.

RD Gateway enkapsuluje protokół RDP (Remote Desktop Protocol) w RPC, a RPC w HTTP przesyłanym przez połączenie SSL (Secure Sockets Layer). – Microsoft

Kolejną ważną zaletą jest scentralizowane uwierzytelnianie i audyt. Brama rejestruje i monitoruje każdą próbę połączenia, dzięki czemu łatwiej śledzić aktywność użytkowników i wychwycić nietypowe zachowania. Aby bezpieczeństwo było jak najwyższe, kluczowa jest prawidłowa konfiguracja zasad bramy.

Jak prawidłowo skonfigurować bramę

Aby w pełni wykorzystać bramę RDP, skonfiguruj zasady autoryzacji połączeń (Connection Authorization Policies, CAP) i zasady autoryzacji zasobów (Resource Authorization Policies, RAP):

• Zasady CAP: określają, kto może się połączyć: które grupy użytkowników (i opcjonalnie które komputery) mogą korzystać z bramy, jaka metoda logowania obowiązuje (hasło lub karta inteligentna) i które urządzenia lokalne można przekierować. Blokada konta po nieudanych próbach logowania to osobne ustawienie zasad grupy, a zakresy źródłowych adresów IP ogranicza się w zaporze.
• Zasady RAP: decydują, do jakich zasobów użytkownicy mają dostęp po połączeniu. Zgodnie z zasadą najmniejszych uprawnień możesz ograniczyć dostęp każdego użytkownika tylko do niezbędnych mu zasobów, co zmniejsza ryzyko szkód w razie przejęcia konta.

Inne ważne kroki:

• Włącz MFA: uwierzytelnianie wieloskładnikowe przy dostępie do bramy wzmacnia bezpieczeństwo.
• Używaj zaufanych certyfikatów SSL: uzyskaj certyfikaty od uznanych wystawców, takich jak DigiCert, GlobalSign czy Let's Encrypt. Wymuś TLS 1.2 lub nowszy, wyłącz słabe algorytmy szyfrowania i regularnie odnawiaj certyfikaty, aby połączenia pozostały bezpieczne.
• Ogranicz dostęp: po wdrożeniu bramy zezwól na dostęp tylko wybranym użytkownikom i systemom. Upewnij się, że wszystkie usługi pulpitu zdalnego przyjmują połączenia wyłącznie przez bramę RDP.
• Monitoruj logi: rejestruj wszystkie próby połączenia i regularnie je przeglądaj, aby wykrywać nieprawidłowości.

Serwer RD Gateway pośredniczy między klientem zdalnym a hostem sesji pulpitu zdalnego (RDSH) i zapewnia dodatkową warstwę zabezpieczeń: uwierzytelnia użytkownika i szyfruje ruch. – Limitless Technology

6. Dodaj szyfrowanie i tunelowanie

Aby chronić sesje RDP przed przechwyceniem i nieuprawnionym monitorowaniem, niezbędne są technologie szyfrowania i tunelowania. Kilka warstw szyfrowania tworzy skuteczną ochronę przed podsłuchem i innymi atakami. Kluczowym krokiem jest wzmocnienie uwierzytelniania, na przykład włączenie uwierzytelniania na poziomie sieci (NLA).

Włącz uwierzytelnianie na poziomie sieci (NLA)

Uwierzytelnianie na poziomie sieci (NLA) dodaje kolejną warstwę ochrony, bo wymaga od użytkowników uwierzytelnienia się, zanim rozpocznie się sesja pulpitu zdalnego. Nieuprawnieni użytkownicy nie dotrą więc nawet do ekranu logowania, dlatego NLA to kluczowa bariera bezpieczeństwa.

NLA pomaga ograniczyć ryzyko ataków brute force, prób ataków typu odmowa usługi (DoS) i kradzieży danych logowania podczas nawiązywania połączenia. Poprawia też wykorzystanie zasobów, bo nieuprawnione próby połączenia nie zużywają pamięci ani CPU serwera. NLA obsługuje logowanie jednokrotne NT (Single Sign-On, SSO), dzięki czemu uprawnieni użytkownicy logują się wygodniej.

Aby zapewnić maksymalne bezpieczeństwo, zawsze włączaj NLA dla połączeń RDP. Jeśli problemy ze zgodnością zmuszą cię do jego wyłączenia, zrekompensuj to innymi zabezpieczeniami, takimi jak silne hasła, odpowiednio skonfigurowana zapora i ścisła kontrola dostępu.

Korzystaj z tunelowania SSH lub IPsec

Tunelowanie SSH to kolejny skuteczny sposób na zabezpieczenie sesji RDP. Gdy ruch RDP przechodzi przez szyfrowany tunel SSH, dane są dodatkowo chronione podczas przesyłania.

Firma CloudThat, partner AWS i Microsoftu, opublikowała poradnik, jak skonfigurować dostęp RDP przez tunel SSH w programie PuTTY. Proces krok po kroku obejmuje:

• Wpisanie w PuTTY danych serwera SSH (np. nazwa hosta, port 22, połączenie SSH).
• Skonfigurowanie tunelu, który przekierowuje port lokalny (np. 127.0.0.1:9999) na wewnętrzny port RDP (localhost:3389).
• Utrzymanie aktywnej sesji SSH i połączenie się przez RDP z adresem „localhost:9999”.

Chrissy LeMaire, MVP w kategorii SQL i PowerShell, ujęła to tak:

Jeśli wystawiasz do sieci niezabezpieczone protokoły, rozważ, proszę, oddanie ich w czułe objęcia SSH.

Dla większego bezpieczeństwa używaj niestandardowych portów SSH i własnych przekierowań portów wewnętrznych, aby twoja konfiguracja była mniej przewidywalna. Odkąd OpenSSH jest wbudowany w Windows 10, wdrożenie tej metody stało się jeszcze prostsze. Możesz ją też rozbudować o host bastionowy (bastion host) lub serwer przesiadkowy (jump server), który pełni funkcję dodatkowego punktu kontrolnego i pilnuje dostępu do wrażliwych zasobów w zabezpieczonej sieci. Taka wielowarstwowa strategia tunelowania znacznie wzmacnia bezpieczeństwo RDP.

7. Stosuj zasady Zero Trust

Współczesne bezpieczeństwo RDP nie może się opierać wyłącznie na szyfrowaniu i kontroli dostępu. Aby naprawdę poradzić sobie z zagrożeniami wewnętrznymi, potrzebne jest podejście Zero Trust. Model ten opiera się na prostej, ale skutecznej regule: „Nigdy nie ufaj, zawsze weryfikuj”.

Zero Trust ma szczególne znaczenie przy połączeniach RDP, bo przejęte dane logowania to częsta droga do zdalnych systemów. W przeciwieństwie do tradycyjnych modeli bezpieczeństwa, opartych na ochronie granic sieci, Zero Trust wymaga potwierdzenia tożsamości od każdego użytkownika i urządzenia, niezależnie od ich lokalizacji.

Podstawowe zasady Zero Trust

Zero Trust wzmacnia bezpieczeństwo RDP dzięki trzem podstawowym zasadom:

Stosując te zasady, znacznie wzmocnisz bezpieczeństwo RDP.

Wymagaj ciągłej weryfikacji

W tradycyjnych konfiguracjach RDP użytkownik jest uwierzytelniany tylko przy logowaniu. Zero Trust działa bardziej proaktywnie i wymaga ciągłego uwierzytelniania i weryfikacji przez całą sesję. Dzięki temu nawet w trakcie aktywnej sesji każde działanie jest monitorowane i weryfikowane.

Wyobraź sobie na przykład, że użytkownik, który zwykle pracuje z Nowego Jorku, nagle zaczyna pobierać poufne pliki, łącząc się z nieznanego adresu IP. System Zero Trust oznaczy taką aktywność jako podejrzaną i zażąda dodatkowej weryfikacji, co pozwoli wychwycić potencjalne zagrożenie, zanim się rozwinie.

Przyznawaj minimalne niezbędne uprawnienia

Kolejnym filarem Zero Trust jest zasada najmniejszych uprawnień. Oznacza ona, że użytkownicy i aplikacje powinni mieć dostęp tylko do zasobów, bez których naprawdę nie mogą wykonywać swoich zadań. Jak ujął to Hubert Brychczynski:

Zero Trust oznacza, że każda osoba w organizacji może być potencjalnym wektorem ataku – celowo lub nie.

Jak egzekwować zasadę najmniejszych uprawnień:

• Ogranicz dostęp każdego użytkownika do zasobów niezbędnych w jego roli.
• Odbieraj nadmiarowe i nieużywane uprawnienia.
• Utrzymuj liczbę kont uprzywilejowanych na absolutnym minimum.
• Dopilnuj, aby uprawnienia NTFS i uprawnienia udostępniania były zgodne z zasadą najmniejszych uprawnień.

Do centralnego zarządzania uprawnieniami dostępu i ich kontroli używaj narzędzi takich jak Active Directory i grupy Microsoft Entra ID. Ogranicz dostęp przez RDP do zatwierdzonej z góry listy adresów IP i kont użytkowników. Zablokuj też bezpośredni dostęp przez RDP z sieci zewnętrznych i wymagaj, by pierwszym krokiem było połączenie VPN.

Aby jeszcze lepiej ograniczyć skutki ewentualnego włamania, wdróż mikrosegmentację. Polega ona na podzieleniu infrastruktury na mniejsze segmenty, co ogranicza atakującym możliwość przemieszczania się wewnątrz sieci (lateral movement). Połącz ją z zasadami najmniejszych uprawnień i ciągłym monitorowaniem całego ruchu sieciowego, aby zachować wgląd w to, co dzieje się w sieci, i wcześnie wykrywać zagrożenia.