弱用户身份验证和端口定位是远程桌面协议（RDP）中存在的两个主要漏洞。
阅读本文后，您将能够：
复制文章链接
RDP 或远程桌面协议是用于远程桌面会话的主要协议之一，远程会话是员工从其他设备访问其办公室台式计算机时使用的协议。大多数 Windows 操作系统随附 RDP，Mac 也支持 RDP。许多公司依托 RDP 来协助其员工实现居家办公。
漏洞指的是某一软件的构建存在缺陷或错误，使攻击者可以未经授权而进行访问。这就像是房屋大门上门闩安装不当导致犯罪分子闯入屋内。
下面列出了 RDP 中最重要的漏洞：
*在网络中，端口指的是为某些类型的连接指定的基于软件的逻辑位置。将不同的进程分配到不同的端口有助于计算机跟踪这些进程。例如，HTTP 流量始终流向端口 80，而 HTTPS 流量始终流向端口 443。
减少弱登录凭据的普遍性：
单点登录 (SSO)：许多企业已使用 SSO 服务来管理各种应用程序的用户登录。SSO 为企业提供了一种更简单的方法来强制使用强密码，以及实施双因素身份验证 (2FA) 等更加安全的措施。可将 RDP 远程访问移到 SSO 后面，来修复上述用户登录漏洞。例如，Cloudflare Zero Trust 可协助企业实现这个目标。
密码管理和实施：对于某些公司，将 RDP 移到 SSO 后面可能不是一种选择。但在最低程度上，他们应要求员工将其台式机密码重置为更强的密码。
防范基于端口的攻击：
锁定端口 3389：安全隧道软件有助于阻止攻击者发送到达端口 3389 的请求。使用安全隧道（例如Cloudflare Tunnel）后，将会拦截所有未通过隧道的请求。
防火墙规则：可以手动配置公司防火墙，以便只有来自列入白名单的IP 地址范围（例如，已知属于员工的设备）的流量才能通过端口 3389。但是，此方法需要大量人工操作。如果攻击者劫持了列入白名单的 IP 地址或员工设备被盗用，仍然容易受到攻击。此外，通常很难预先识别所有员工设备并将其列入允许名单，因而被阻止的员工会不断提出 IT 请求。
RDP 还有其他在技术上已得到修补的漏洞，但若不加以检查，这些漏洞仍然很严重。
RDP 中最严重的一个漏洞称为“BlueKeep”。BlueKeep（官方分类为CVE-2019-0708）是这样一个漏洞，如果攻击者向特定端口（通常为 3389）发送经特殊设计的请求，则攻击者可以在计算机上执行所需的任何代码。BlueKeep 具有蠕虫性质，这意味着它可以传播到网络中的所有计算机，无需用户采取任何行动。
最好的防御方法是禁用 RDP，除非有必要时。利用防火墙屏蔽端口 3389 也有帮助。微软最终于 2019 年发布了一个补丁程序来纠正此漏洞，系统管理员务必安装这个补丁程序。
像任何其他程序或协议一样，RDP 也具有其他几个漏洞，大多可通过始终使用协议的最新版本来消除。供应商通常会在他们发布的每个新版本软件中修补漏洞。
为了简化和保护 RDP 访问，Cloudflare 构建了一个快速执行的 RDP 代理，其中纳入了我们的 SASE 平台 Zero Trust 安全控制。Cloudflare 现在提供无客户端、基于浏览器的 RDP 访问：无需额外基础设施，也无需在客户端设备上进行额外的配置。进一步了解 Cloudflare 的 SASE 平台和 RDP 访问。
RDP 是一种通用技术标准，允许个人在不同地点使用计算机。公司经常使用此协议来帮助员工在居家工作时访问其办公室计算机。
两大主要风险是弱登录凭据和对端口 3389 的无限制访问。由于许多组织不通过集中式系统管理 RDP 密码，用户常常使用简单或重复使用的密码，而这些密码很容易被攻击者猜到。此外，由于 RDP 使用端口 3389，攻击者可以针对该特定端口发动攻击或实施未经授权的访问。
BlueKeep 是一个严重的安全性漏洞，正式标记为 CVE-2019-0708。该漏洞允许攻击者通过向 RDP 端口发送特定类型的请求来在计算机上运行未经授权的代码。该漏洞具有蠕虫性质，这意味着它可以传播至网络中的所有计算机，无需用户采取任何行动。
将 RDP 与 SSO 服务集成，让组织将远程访问置于更安全的登录流程之后。这使企业能够实施更强大的密码要求，并实施额外的安全层（例如双因素身份验证 （2FA），以便更有效地验证用户的身份。
组织可以使用安全隧道技术软件来保护此端口，阻止任何未通过指定的安全路径传输的请求。另一种方案是配置防火墙规则，仅允许来自特定可信 IP 地址的流量，但对于大型团队而言，此方法的手动管理难度较大。
Cloudflare 提供快速 RDP 代理，可将 Zero Trust 安全控制应用于每个连接。通过使用 Cloudflare Access 和安全隧道等工具，企业可将其 RDP 资源从公共互联网中隐藏，并确保只有经过身份验证且拥有相应权限的用户方可访问。