Remote Desktop ควรใช้ VPN หรือวิธีอื่น

Remote Desktop สะดวกในแบบที่ทำให้อันตราย คลิกเดียวก็ควบคุมเครื่อง Windows ได้เต็มรูปแบบจากที่ไหนก็ได้ ผู้โจมตีจึงทุ่มเวลาหาทางเข้าผ่านช่องทางนี้เป็นพิเศษ หลายปีที่ผ่านมา คอมพิวเตอร์ที่เปิดพอร์ต Remote Desktop ออกอินเทอร์เน็ตตรง ๆ เป็นจุดเริ่มต้นที่พบบ่อยที่สุดอย่างหนึ่งของแรนซัมแวร์และการยึดบัญชี คู่มือความปลอดภัยเกือบทุกฉบับจึงเริ่มด้วยคำแนะนำเดียวกัน คืออย่าเปิดออกอินเทอร์เน็ตตรง ๆ

บทความนี้ตอบคำถามที่ตามมา ถ้า Remote Desktop ต้องไม่หันหน้าเข้าหาอินเทอร์เน็ตสาธารณะ แล้วควรมีอะไรมาคั่นไว้ข้างหน้า VPN เป็นคำตอบแบบดั้งเดิม แต่ไม่ใช่คำตอบเดียว และสำหรับบางทีมก็ไม่ใช่คำตอบที่ดีที่สุด เราจะเปรียบเทียบ VPN กับ gateway, jump host และการเข้าถึงตามตัวตน แล้วปิดท้ายด้วยเช็กลิสต์การเสริมความแข็งแรงที่ทำได้ทันที บทความนี้ไม่สอนวิธีโจมตีหรือสแกนระบบของผู้อื่น

ทำไม Remote Desktop เป็นเป้าหมายยอดนิยม

Remote Desktop ใช้โปรโตคอลที่รู้จักกันดีบนพอร์ตที่รู้จักกันดี จึงหาเจอง่าย เครื่องสแกนอัตโนมัติกวาดทั้งอินเทอร์เน็ตตลอดเวลาและจดรายชื่อเครื่องที่ตอบกลับ จากนั้นก็มีเรื่องผิดพลาดที่เกิดซ้ำแล้วซ้ำอีก

• รหัสผ่านอ่อนหรือใช้ซ้ำ หน้าล็อกอินที่เปิดสู่สาธารณะถูกลองเป็นพันครั้งด้วยรายการรหัสผ่านยอดนิยมและรหัสที่หลุดมาก่อน ถ้ามีบัญชีเดียวที่อ่อน สุดท้ายก็ถูกหาเจอ
• ช่องโหว่ที่รู้จัก บริการเข้าถึงระยะไกลเคยมีช่องโหว่ร้ายแรงที่ให้ผู้โจมตีลงมือได้ก่อนล็อกอิน เครื่องที่ไม่ได้อัปเดตและเข้าถึงได้จากอินเทอร์เน็ตจึงเป็นเป้าหมาย
• สิทธิ์มากเกินไป บัญชีที่ใช้กับ Remote Desktop หลายบัญชีเป็นผู้ดูแลระบบ ข้อมูลล็อกอินที่ถูกขโมยเพียงชุดเดียวจึงหมายถึงการควบคุมเครื่องทั้งหมด
• ไม่มีปัจจัยที่สอง รูปแบบเดิมถามแค่ชื่อกับรหัสผ่าน ใครรู้ทั้งสองอย่างก็นั่งที่โต๊ะคุณได้
• มองไม่เห็นอะไร สำนักงานเล็กแทบไม่เปิดดูบันทึกการล็อกอิน การโจมตีที่สำเร็จจึงอยู่ได้หลายสัปดาห์ก่อนจะมีคนสังเกต

เรื่องทั้งหมดนี้ไม่เกี่ยวกับการเข้ารหัสของเซสชันเอง ตัวโปรโตคอลเข้ารหัสอยู่แล้ว ปัญหาคือประตูหน้าอยู่ในที่สาธารณะ กุญแจเป็นแค่รหัสผ่าน และห้องข้างหลังมีกุญแจของทุกอย่างในเครือข่าย

เป้าหมายของวิธีที่ปลอดภัยทุกแบบจึงเหมือนกัน คือย้ายประตูหน้าออกจากอินเทอร์เน็ตสาธารณะ ตรวจว่าใครมาเคาะก่อนถึงประตู ให้สิทธิ์เท่าที่จำเป็น และบันทึกสิ่งที่เกิดขึ้น

ทางเลือกที่ 1 วาง VPN ไว้หน้า Remote Desktop

เมื่อใช้ VPN พอร์ต Remote Desktop จะไม่ถูกเผยแพร่สู่อินเทอร์เน็ตเลย พนักงานต้องเชื่อมต่อกับเซิร์ฟเวอร์ VPN ที่ออฟฟิศหรือผู้ให้บริการไอทีดูแลก่อน ซึ่งให้ที่อยู่ในเครือข่ายส่วนตัว จากนั้นจึงเปิด Remote Desktop ไปยังที่อยู่ภายในของเครื่องตนเองได้

ทำได้ดีในเรื่อง

• เอาพอร์ตที่เปิดอยู่ออกจากการสแกนสาธารณะ
• เข้ารหัสเส้นทางระหว่างผู้ใช้ระยะไกลกับออฟฟิศ ซึ่งช่วยเวลาใช้เครือข่ายโรงแรมหรือร้านกาแฟด้วย
• มีจุดเดียวสำหรับตั้งกฎการล็อกอิน เช่น ใบรับรองร่วมกับปัจจัยที่สอง
• ใช้ได้กับหลายแอปพร้อมกัน ไม่ใช่แค่ Remote Desktop เช่น โฟลเดอร์ร่วม เครื่องพิมพ์ และเว็บภายใน

จุดอ่อน

• VPN เป็นสะพาน ไม่ใช่ตัวกรอง เมื่อเชื่อมต่อแล้ว อุปกรณ์มักมองเห็นเครือข่ายภายในทั้งหมด แล็ปท็อปที่ถูกยึดจึงพาผู้โจมตีไปถึงทุกอย่างหลังอุโมงค์ หากไม่มีกฎเพิ่ม
• เซิร์ฟเวอร์ VPN กลายเป็นประตูหน้าใหม่ ต้องอัปเดต เฝ้าดู และป้องกันด้วยการยืนยันตัวตนหลายขั้นตอน เพราะเป็นสิ่งเดียวที่หันออกอินเทอร์เน็ตตอนนี้
• ต้องมีคนดูแล ต้องจัดการบัญชี ใบรับรอง และการอัปเดต ทีมเล็กบางทีตั้งครั้งเดียวแล้วลืม
• สุขภาพของเครื่องผู้ใช้ คอมพิวเตอร์ที่บ้านของพนักงานอาจไม่มีใครดูแลและมีมัลแวร์ติดมากับอุโมงค์

VPN เหมาะกับออฟฟิศเดียว ทีมเล็ก และมีคนหรือผู้ให้บริการรับผิดชอบการอัปเดตเซิร์ฟเวอร์ VPN อ่าน VPN ธุรกิจกับ VPN ส่วนตัว เพื่อดูว่า VPN ที่คุณจะตั้งไว้ทำงานนี้เป็นผลิตภัณฑ์คนละแบบกับแอปสำหรับผู้ใช้ทั่วไปบนมือถือ

ทางเลือกที่ 2 Remote Desktop Gateway

gateway คือเซิร์ฟเวอร์ที่รับเซสชัน Remote Desktop ผ่าน HTTPS แล้วส่งต่อเข้าไปข้างใน ผู้ใช้ล็อกอินเข้า gateway ก่อน แล้ว gateway ตรวจนโยบาย เช่น ใครเข้าเครื่องไหนได้ และจากอุปกรณ์ประเภทใด ถ้าผ่านก็ส่งต่อเซสชันให้

ทำได้ดีในเรื่อง

• มีแค่ gateway ที่หันออกอินเทอร์เน็ต ไม่ใช่เดสก์ท็อปทุกเครื่อง
• นโยบายผูกกับผู้ใช้และเครื่องปลายทาง คนที่เข้าเซิร์ฟเวอร์หนึ่งได้จึงไม่ได้เข้าอีกเครื่องโดยอัตโนมัติ
• ใช้ HTTPS บนพอร์ตปกติ จึงทำงานบนเครือข่ายที่กั้นทราฟฟิกชนิดอื่น
• ใช้ร่วมกับการยืนยันตัวตนหลายขั้นตอนและบันทึกทุกเซสชันได้

จุดอ่อน

• สร้างมาเพื่อ Remote Desktop ถ้าพนักงานต้องใช้โฟลเดอร์ร่วมหรือเว็บภายในด้วย ก็ยังต้องมีทางอื่น
• gateway ต้องมีใบรับรองที่ถูกต้อง อัปเดตสม่ำเสมอ และตั้งค่าอย่างระมัดระวัง
• gateway ที่ตั้งค่าผิดอาจกลายเป็นช่องโหว่ที่กว้างกว่าสิ่งที่มันมาแทน

gateway เหมาะกับบริษัทที่ความต้องการระยะไกลหลักคือเข้าเดสก์ท็อปหรือเซิร์ฟเวอร์ Windows ไม่กี่เครื่อง และมีโครงสร้าง Windows อยู่แล้ว

ทางเลือกที่ 3 jump host หรือ bastion

jump host คือเครื่องเล็กที่ถูกทำให้แข็งแรง มีหน้าที่เดียวคือเป็นหินก้าวผ่าน ผู้ใช้ล็อกอินเข้าเครื่องนี้ก่อน โดยมักใช้การยืนยันตัวตนหลายขั้นตอน แล้วจึงเปิดเซสชันไปยังเครื่องจริง เครื่องจริงรับการเชื่อมต่อจากที่อยู่ของ jump host เท่านั้น

ทำได้ดีในเรื่อง

• พื้นที่ถูกโจมตีเล็กมาก เพราะ jump host รันบริการน้อย
• มีจุดเดียวสำหรับบันทึกเซสชันและตรวจว่าใครเชื่อมต่อ
• อธิบายและตรวจสอบง่าย ทุกเส้นทางผ่านประตูเดียว

จุดอ่อน

• เป็นอีกเครื่องที่ต้องอัปเดต ถ้าถูกยึด ผู้โจมตีก็ผ่านกำแพงแรกไปแล้ว
• เพิ่มหนึ่งขั้นให้ผู้ใช้ทุกคน ซึ่งทำให้คนอยากหาทางลัด
• ปกป้องทางเข้าสู่เครื่อง แต่ไม่ได้เข้ารหัสเส้นทางจากเครือข่ายบ้านของผู้ใช้ถึง jump host เอง โดยปกติจึงจับคู่กับ VPN หรือโปรโตคอล gateway ที่เข้ารหัส

jump host มักใช้ร่วมกับชั้นอื่นมากกว่าใช้เดี่ยว ๆ และนิยมในทีมที่ดูแลเซิร์ฟเวอร์เป็นงานประจำ

ทางเลือกที่ 4 การเข้าถึงตามตัวตน หรือ zero trust

แทนที่จะพาผู้ใช้เข้าเครือข่าย การเข้าถึงตามตัวตนถามคำถามอีกแบบทุกครั้งที่ขอเชื่อมต่อ คนนี้คือใคร ใช้อุปกรณ์อะไร และเครื่องนี้ได้รับอนุญาตให้เข้าแอปพลิเคชันนี้ ณ ตอนนี้หรือไม่ ผู้ใช้ได้การเชื่อมต่อไปยังแอปหนึ่งหรือเครื่องหนึ่ง ไม่ใช่ทั้งเครือข่าย

ทำได้ดีในเรื่อง

• จำกัดสิ่งที่บัญชีที่ถูกขโมยหรือแล็ปท็อปที่ถูกยึดเข้าถึงได้
• ทำให้อุปกรณ์มีความหมาย การเข้าถึงอาจต้องใช้อุปกรณ์ที่อัปเดตและมีการจัดการ
• เหมาะกับสภาพแวดล้อมผสม ทั้งคลาวด์ ออฟฟิศ และคนทำงานที่บ้าน
• สร้างบันทึกที่มีประโยชน์ว่าใครเข้าถึงอะไร

จุดอ่อน

• ต้องมีระบบตัวตนและการวางแผน จึงใช้แรงมากกว่าการเปิด VPN
• สำหรับธุรกิจเล็กที่มีออฟฟิศเดียวและสองเครื่อง ต้นทุนการตั้งค่าอาจไม่คุ้ม
• ไม่ได้ลบความจำเป็นในการอัปเดตเครื่องปลายทาง

หลักการอธิบายไว้ใน เอกสาร zero trust architecture ของ NIST และบทความเปรียบเทียบ zero trust กับ VPN อธิบายความต่างด้วยภาษาง่าย ๆ

เปรียบเทียบสี่ทางเลือก

คำถาม	VPN	Gateway	Jump host	การเข้าถึงตามตัวตน
เอา RDP ออกจากอินเทอร์เน็ตเปิด	ได้	ได้	ได้	ได้
ครอบคลุมแอปนอกจาก RDP	ได้	ส่วนใหญ่ไม่	บางส่วน	ได้ ตามแต่ละแอป
ล็อกอินที่ถูกขโมยเข้าถึงอะไรได้	มักทั้งเครือข่าย	เฉพาะเครื่องที่อนุญาต	เฉพาะเครื่องที่อนุญาต	เฉพาะแอปที่อนุญาต
ทีม 2 ถึง 5 คน	เหมาะ	บางกรณี	ไม่ค่อย	บางกรณี ถ้าเป็นบริการโฮสต์
บริษัทที่กำลังโต	ต้องเพิ่มกฎ	ดี	ดีในฐานะชั้นหนึ่ง	เหมาะมาก
แรงในการดูแล	ปานกลาง	ปานกลาง	ปานกลาง	ปานกลางถึงสูงตอนเริ่ม
จุดอ่อนทั่วไป	เครือข่ายแบนข้างหลัง	ระดับแพตช์ของ gateway	ระดับแพตช์ของ jump host	ความผิดพลาดในนโยบาย

ไม่มีทางเลือกไหนวิเศษ คำตอบขึ้นกับจำนวนคนที่เชื่อมต่อ จำนวนเครื่อง และคนที่มีเวลาดูแล สตูดิโอออกแบบสองคนกับสำนักงานบัญชีหกสิบคนไม่ควรได้คำตอบเดียวกัน

เช็กลิสต์เสริมความแข็งแรงที่ใช้ได้กับทุกทางเลือก

ไม่ว่าอะไรจะอยู่หน้า Remote Desktop เครื่องที่อยู่ข้างหลังต้องมีพื้นฐานเดียวกัน

1. อย่าเปิดพอร์ต RDP ออกอินเทอร์เน็ต ยืนยันจากภายนอก เช่น ทดสอบจากอินเทอร์เน็ตมือถือที่ไม่ได้อยู่ในเครือข่ายคุณ อ่าน การทำ port forwarding บน VPN เพื่อดูว่าพอร์ตที่เปิดทำงานอย่างไรและเสี่ยงอย่างไร
2. เปิด network level authentication บังคับให้ผู้ใช้ยืนยันตัวตนก่อนสร้างเซสชันเต็มรูปแบบ ลดสิ่งที่ผู้มาเยือนที่ยังไม่ผ่านการยืนยันแตะต้องได้
3. บังคับการยืนยันตัวตนหลายขั้นตอน ที่ประตูหน้า ไม่ว่าจะเป็น VPN, gateway หรือระบบตัวตน คำแนะนำของ CISA เรื่องการยืนยันตัวตนหลายขั้นตอน และบทความเรื่อง การยืนยันตัวตนสองขั้นตอน อธิบายตัวเลือกไว้
4. ใช้รหัสผ่านที่ไม่ซ้ำและยาว และเลิกใช้บัญชีร่วม แต่ละคนควรมีล็อกอินชื่อของตัวเอง
5. จำกัดว่าใครใช้ Remote Desktop ได้ อนุญาตเฉพาะสมาชิกกลุ่มหนึ่ง และผู้ดูแลระบบควรใช้บัญชีแอดมินแยกต่างหากเมื่อจำเป็นเท่านั้น
6. อัปเดตให้เร็ว โดยเฉพาะระบบปฏิบัติการ gateway และเซิร์ฟเวอร์ VPN
7. ตั้งกฎล็อกบัญชี เมื่อใส่รหัสผิดซ้ำ เพื่อให้ผู้โจมตีช้าลง
8. อ่านบันทึก เปิดการบันทึกการล็อกอินและความล้มเหลว แล้วตรวจตามกำหนด การพยายามล้มเหลวที่พุ่งขึ้นกะทันหันเป็นข้อมูลที่มีประโยชน์
9. ปิดการส่งต่อคลิปบอร์ดและไดรฟ์ เมื่อไม่จำเป็น เพื่อไม่ให้เซสชันพาไฟล์เข้าออกได้ง่าย ๆ
10. สำรองข้อมูลแบบออฟไลน์ ถ้าเกิดเรื่องจริง ข้อมูลสำรองที่ผู้โจมตีเข้าไม่ถึงเปลี่ยนภัยพิบัติให้เป็นเรื่องไม่สะดวก

แนวทางความปลอดภัยการทำงานทางไกลของ NIST วางเหตุผลของมาตรการเหล่านี้ไว้ และ คู่มือ IPsec VPN ของ NIST ครอบคลุมด้าน VPN สำหรับผู้ที่ต้องการรายละเอียด

สามสถานการณ์กับคำตอบที่สมเหตุสมผล

สตูดิโอออกแบบสองคนกับพีซีเครื่องเดียวที่ออฟฟิศ ลัดดากับต้องการเข้าเครื่องแรง ๆ ที่สตูดิโอจากบ้าน คำตอบที่ถูกที่สุดและสมเหตุสมผลคือ VPN บนเราเตอร์ของสตูดิโอ ล็อกอินป้องกันด้วยปัจจัยที่สอง และ Remote Desktop เข้าถึงได้เฉพาะที่อยู่ภายใน พวกเขาอัปเดตเราเตอร์และพีซีทุกเดือน และไม่ forward พอร์ต RDP แม้บทสอนบางอันจะบอกว่าเร็วกว่า

สำนักงานบัญชียี่สิบคนกับเซิร์ฟเวอร์ Windows สามเครื่อง พนักงานต้องใช้โปรแกรมบัญชีและโฟลเดอร์ร่วม เจ้าของกังวลเรื่องข้อมูลลูกค้า gateway พร้อมการยืนยันตัวตนหลายขั้นตอนให้พนักงานเข้าเซิร์ฟเวอร์ที่ใช้โดยเฉพาะ ส่วน VPN เก็บไว้สำหรับเครื่องพิมพ์และไดรฟ์ร่วม หุ้นส่วนที่ระบุชื่อได้รับสรุปการล็อกอินผิดปกติทุกเดือน

บริษัทที่กำลังโตและมีพนักงานระยะไกลใช้แล็ปท็อปหลายแบบ นักพัฒนา การเงิน และซัพพอร์ตทำงานจากหลายประเทศ บางคนใช้อุปกรณ์ส่วนตัว การเข้าถึงตามตัวตนพร้อมการตรวจอุปกรณ์ช่วยไม่ให้ทุกคนอยู่ในเครือข่ายแบนเดียวกัน Remote Desktop เหลือไว้สำหรับกรณีที่จำเป็นไม่กี่กรณี หลังการล็อกอินเดียวกัน

ทุกกรณีมีรูปแบบเดียวกัน ลดสิ่งที่เปิดเผย ตรวจตัวตนให้เข้ม และให้สิทธิ์น้อยที่สุดที่ทำงานได้

ข้อผิดพลาดที่พบบ่อย

• forward พอร์ต 3389 "แค่สัปดาห์เดียว" กฎชั่วคราวขึ้นชื่อเรื่องกลายเป็นถาวร ถือว่า RDP ที่เปิดออกภายนอกทุกกรณีคือเหตุการณ์ที่รอเกิด
• คิดว่า VPN ทำให้พีซีปลอดภัย มันแค่ย้ายประตูหน้า รหัสผ่านอ่อนและเครื่องที่ไม่อัปเดตยังอยู่
• ใช้แอป VPN สำหรับผู้ใช้ทั่วไปแล้วหวังว่าจะเข้าออฟฟิศได้ แอป VPN ที่ขายให้บุคคลทั่วไปส่งทราฟฟิกอินเทอร์เน็ตของคุณผ่านผู้ให้บริการ ไม่ได้เชื่อมคุณกับเครือข่ายที่องค์กรของคุณดูแล ถ้าต้องการเข้าออฟฟิศของตัวเอง ต้องมี VPN หรือ gateway ที่ออฟฟิศควบคุม
• ใช้ล็อกอินผู้ดูแลระบบร่วมกัน เสียความรับผิดชอบและไม่รู้ว่าใครทำอะไร
• ละเลยเครื่องปลายทางฝั่งผู้ใช้ ผู้ใช้ระยะไกลที่แล็ปท็อปติดมัลแวร์พาปัญหาเข้าอุโมงค์ได้ ต้องอัปเดตและป้องกันเครื่องลูกข่าย
• ข้ามการสำรองข้อมูล การเข้าถึงระยะไกลเป็นเส้นทางยอดนิยมของแรนซัมแวร์ ข้อมูลสำรองออฟไลน์ที่ทดสอบแล้วคือตาข่ายนิรภัยจริง

สรุป

ไม่ควรให้เข้าถึง Remote Desktop ได้ตรง ๆ จากอินเทอร์เน็ต VPN เอาพอร์ตที่เปิดอยู่ออกและเข้ารหัสเส้นทาง จึงเป็นคำตอบที่สมเหตุสมผลและคุ้นเคยสำหรับออฟฟิศเล็ก แต่ล็อกอินที่ถูกขโมยอาจเห็นเครือข่ายภายในได้กว้าง ส่วน gateway, jump host และการเข้าถึงตามตัวตนต่างก็จำกัดสิ่งที่ผู้ใช้เข้าถึงและสิ่งที่ผู้โจมตีใช้ได้ โดยแลกกับการออกแบบที่ใช้แรงมากขึ้น ไม่ว่าเลือกอะไร ให้เพิ่มการยืนยันตัวตนหลายขั้นตอน บัญชีรายบุคคล การอัปเดต กฎล็อกบัญชี การเก็บบันทึก และการสำรองข้อมูลแบบออฟไลน์

หากคุณกำลังดู VPN ส่วนตัวไว้ใช้บนเครือข่ายสาธารณะระหว่างทำงานระยะไกล สามารถเปรียบเทียบตัวเลือกได้ที่ หน้าราคา โดยจำไว้ว่ามันปกป้องทราฟฟิกของคุณเอง ไม่ได้มาแทนระบบเข้าถึงที่องค์กรของคุณดูแล