Da minha pesquisa, cheguei a entender que "Instalar o Terminal Server (Serviços de Área de Trabalho Remota) em um Controlador de Domínio (Active Directory)" é um pecado fundamental - aparentemente existem alguns riscos sérios de segurança.
Alguém poderia, por favor, elaborar e explicar os riscos?
Mais especificamente:
Como alguém comprometeria o servidor? Qual é o pior que poderia acontecer?
Entenda esses aspectos da minha configuração específica:
Nenhum arquivo está sendo armazenado no servidor. O diretório está sendo usado apenas para autorizar os usuários a usar os Serviços de Área de Trabalho Remota. O servidor será acessado por menos de 50 usuários.
Obrigado.
As coisas mais simples que eu posso pensar logo de cara: Iniciar um processo que preenche os discos rígidos ou a RAM e trava o servidor.
Táticas mais insidiosas usariam tudo, desde ataques de cache e banda lateral a malwares e kits de ferramentas de hackers para derivar toda e qualquer informação do AD, incluindo senhas potencialmente reversíveis, segurança e outras informações confidenciais.
Quando alguém se conecta a uma máquina por meio de uma área de trabalho remota, ela usa essa máquina exatamente como está sentada na frente dela. Fazer isso com um controlador de domínio seria como colocar seu controlador de domínio na mesa de um usuário (ou vários usuários) para uso em seu trabalho diário. Tudo o que seus usuários fazem que pode alterar o estado da máquina está acontecendo ali mesmo no sistema que hospeda seu diretório ativo. Esqueça os hackers maliciosos por um momento (não que eles também não sejam um problema) - as chances de que um de seus usuários acidentalmente quebre algo importante ou execute um aplicativo intensivo de recursos criando uma abordagem eficaz de negação de serviço 100%.
Uma configuração do Gateway de Área de Trabalho Remota deve ser executada na rede de perímetro. Isso permite riscos devido à própria natureza de qualquer tipo de porta de acesso remoto exposta ....
Portanto, se um invasor remoto puder comprometer seu Gateway de Área de Trabalho Remota, ele se encontrará dentro do seu DC.
Isso pode ser feito usando o homem nos ataques do meio e / ou forjando o certificado para nomear apenas um casal.
Você absolutamente NÃO DEVE instalar o seu Gateway de Área de Trabalho Remota no seu DC. Se você tem a energia no servidor atual para colocá-lo em uma VM que é melhor, ou em outra máquina física.
Veja a documentação a seguir. Achei isso muito útil na configuração de um Gateway RD básico