セキュリティと制御のための RDP セッションの監視

01RDP セッション監視とは何ですか?

RDP セッション監視は、リモート デスクトップ セッション内のアクティビティを観察および確認するプロセスです。接続記録とライブ画面の表示、セッション記録、および関連アクティビティ レポートを組み合わせて、サインイン後に何が起こったかを示します。これにより、IT チームはトラブルシューティング、ポリシーの適用、インシデント調査のための証拠を得ることができます。

認証および接続ログは、収集されたイベントに応じて、誰が、いつ、どこから、どのくらいの時間接続したかを確立するのに役立ちます。これらの詳細は便利ですが、大きなギャップが残ります。 2 時間の RDP セッションは、承認されたメンテナンス、生産的なリモート作業、無関係なサイトを閲覧する従業員、または正規の資格情報を使用した攻撃者を表す可能性があります。

Windows 監査証跡の場合、ログオン タイプ 10 (RemoteInteractive) の成功したログオン イベント 4624 は、リモート デスクトップまたはターミナル サービスのログオンを識別します。これは相関関係の開始点としては便利ですが、デスクトップの記録ではありません。フィールドとその意味については、Microsoft のイベント 4624 リファレンスを参照してください。

セッションレベルの監視がそのギャップを埋めます。 ライブ画面表示では、修正可能な状態で何が起こっているかが表示されます。 画面とアクティビティの記録は、マネージャーまたはセキュリティ管理者が後で調査する必要がある場合に確認可能な記録を提供します。 アプリケーション、ウェブサイト、プロセスのレポートにより、検索可能なコンテキストが追加されます。ファイル監査レコードとキーストローク ログは、設定および正当化されている場合にその証拠を補足し、インシデント後に思い出すのが難しい詳細を再構築するのに役立ちます。

相関関係の例: アカウント A が 09:10 にホスト H にサインインし、セッション記録には 09:14 のアプリケーションが表示されます。ホスト、アカウント、タイムゾーン、および使用可能なセッション識別子をソース全体で照合します。 Windows ログオン識別子は、自動的にはレコーダーのセッション キーにはなりません。同時セッションまたは共有資格情報により帰属が妨げられる場合は、不確実性を記録します。

02Net Monitor for Employees Pro を使用して RDP セッションを監視する方法

Net Monitor for Employees Pro は、個々のターミナル サービス (TS/RDP) セッションの監視をサポートします。モニタリング エージェントは、セッションをホストする RDP サーバーに属します。構成には、RDP セッション監視セットアップ ガイド を使用します。

• 1.コンソールをインストールします。ネットワーク内の管理者のコンピュータに監視コンソールをセットアップします。
• 2. RDP サーバーにエージェントをインストールします。セッション ホストのローカル ネットワークのインストール手順に従います。
• 3.サーバーをコンソールに追加します。Advanced Optionsで、このコンピュータはターミナル サーバー (TS、RDP) ですを選択します。サーバーを一度追加します。セッションは自動的に表示されます。
• 4.許可されたテスト セッションを検証します。正しいユーザー セッションが表示されていることを確認し、ロールアウトを延長する前に、選択した録画設定、タイムスタンプ、ストレージ、レビューアー アクセスをテストします。

インターネット経由のモニタリングの場合、文書化されている Use direct or cloud connection オプションにより、クラウド接続を通じて TS/RDP セッションにアクセスできるようになります。これにはサブスクリプションベースのクラウドライセンスが必要です。分散した IT チームのアクセスを計画する場合は、クラウド接続手順を確認してください。

03RDP モニタリングの範囲を定義します

すべての RDP 接続に同じレベルの監視が必要なわけではありません。パスワードをリセットするために接続するヘルプ デスク技術者は、財務サーバーにアクセスする管理者とは異なります。また、リモート オフィスのワークステーションを 1 日中使用する従業員とも異なります。監視は、役割、セッションを通じて利用可能なデータ、およびアクセスされるシステムのリスクと一致する必要があります。

最も強力な制御が必要なシステムを特定することから始めます。顧客情報、給与データ、知的財産、財務記録、または管理ツールを含むサーバーが優先される必要があります。次に、通常のセッションがどのようなものかを役割ごとに定義します。予想されるアプリケーション、作業時間、接続場所、一般的なセッションの長さ、承認されたファイル転送動作はすべてベースラインを作成します。

ベースラインがないと、モニタリングによりノイズが発生します。開発者や会計士にとって、月末にセッションが長くなるのは普通のことかもしれません。午前 2 時にサーバーに短時間接続した場合は、正当な緊急サポートである場合もあれば、即時の審査が必要な場合もあります。イベントが日常的なものであるか、危険なものであるかはコンテキストによって決まります。

RDP ライブモニタリングとセッション記録の比較

RDP ライブ監視は、即時の運用制御をサポートします。管理者は、不正なプログラムが起動されたり、ユーザーが機密ファイルをコピーしようとしたり、リモート ワーカーがエラーによって繰り返しブロックされたりするのを目にすることがあります。合意された応答手順に従って、管理者はユーザーに連絡したり、適切な管理ツールを使用してセッションを終了したり、エンドポイントをロックしたり、別の定義されたアクションを実行したりできます。

記録とログは説明責任と調査のために行われます。これにより、承認されたレビュー担当者が一連のアクションを検証し、関係するファイルやアプリケーションを特定し、元の画面の状態が失われたときに証拠を保存することができます。どちらの機能も重要です。記録のないライブ表示では監査証跡が残りません。ライブ可視性のない記録は、一分一秒が重要なときに封じ込めを遅らせる可能性があります。

04データを収集する前に RDP モニタリング ポリシーを構築する

テクノロジーはポリシーに代わるものではありません。リモート デスクトップ セッションを記録したり、詳細なアクティビティ データを収集したりする前に、許可された使用、通知、記録へのアクセス、保存に関する明確なルールを設定してください。従業員と請負業者は、会社所有のシステムとリモート アクセス セッションが会社のポリシーに基づいて監視される可能性があることを理解する必要があります。要件は州、業界、契約、管轄区域によって異なるため、法律顧問を利用してポリシーと通知プロセスを確認してください。

英国の職場については、ICO の労働者監視ガイダンスでは、明確な目的、透明性、必要かつ適切な監視の重要性が説明されています。 1 つのポリシーがすべての場所に適合すると仮定するのではなく、従業員に関連する要件を適用します。

ポリシーには、誰が RDP を使用できるか、どのデバイスが承認されるか、いつアクセスが許可されるか、およびどのようなアクティビティが禁止されるかを記載する必要があります。また、誰が録画とレポートを閲覧できるのかも定義する必要があります。セキュリティ管理者は部門マネージャーよりも幅広いアクセス権を必要とする場合がありますが、マネージャーは自分のチームのレポートのみを必要とする場合があります。監視記録へのアクセスを制限することで従業員を保護し、機密の証拠が新たな内部リスクになるのを防ぎます。

保持には実際的な判断が必要です。すべての記録を永久に保存すると、保管コストが発生し、保護する必要がある機密データの量が増加します。記録の保存期間が短すぎると、数週間後に問題が発見されたときに証拠が残らないままビジネスが放置される可能性があります。運用上のニーズ、調査のタイムライン、ストレージ容量、適用される義務に基づいて保存期間を設定します。

05RDP セッション監査証跡で取得する内容

最強の RDP 監視プログラムは、管理者が 1 日中画面を見続ける必要がなく、有用な証拠をキャプチャします。ビジネスやセキュリティの質問に答えるシグナルに焦点を当て、それらをユーザー、ホスト、時間ごとに関連付けます。

ほとんどの組織にとって、これは次のカテゴリを収集することを意味します。

• ユーザー、エンドポイント、ソースデバイス、開始時刻、終了時刻、セッション期間などの接続の詳細。
• 視覚的な検証が必要なシステムのアクティビティまたは記録を画面に表示します。
• アプリケーション、Web サイト、およびプロセスのアクティビティにより、不正なツール、妨害、または不審な実行が公開されます。
• 機密情報がコピーまたはエクスポートされる可能性があるファイル アクティビティおよびリモート転送動作。
• 異常な時間帯、繰り返されるサインインの失敗、禁止されたアプリケーション、デバイスの変更、制限された場所へのアクセスなど、高リスクのイベントに関するアラート。

Windows または既存の ID およびセキュリティ ツールから接続イベントとサインイン イベントを収集し、それらをセッション記録およびアクティビティ レポートと比較します。ファイル監査とセキュリティ アラートは、環境で有効になっているツールと監査設定によって異なります。インシデント発生時に情報源に頼る前に、各情報源が実際に取得した証拠を確認してください。

すべてのアラートを同様に緊急なものとして扱うことは避けてください。価値の低い通知を何百も受け取る管理者は、最終的には重要なイベントを見逃すことになります。明らかなリスクに関連する条件を優先します。たとえば、承認された時間外のアクセス、特権アカウントによる不慣れなプログラムの起動、ユーザーによるセキュリティ ソフトウェアの無効化、保護されたデータを含むシステムからの繰り返しの転送などです。

06RDP の可視性とエンドポイント コントロールをペアにする

問題を確認することは役に立ちます。定義された応答により、その可視性が実用的になります。 RDP セッション監視は、IT が明確な管理プロセスを通じて機能できるエンドポイント制御に接続されている場合に最も効果的です。

ユーザーがリモート セッション中に未承認の Web サイトまたはアプリケーションにアクセスした場合は、サイトをブロックするか、アプリケーションの実行を禁止します。エンドポイントが侵害されたと思われる場合は、インシデント手順に従ってアクセスを切断し、コンピューターをロックするか、シャットダウンしてください。サポート技術者が構成を修正する必要がある場合は、ユーザーの応答を待たずに、必要なファイルを転送するか、承認されたコマンドを実行するか、マシンをリモートで再起動します。

制御は慎重に適用する必要があります。ビジネス目的を確認せずにプログラムをブロックすると、特に特殊なソフトウェアや従来のソフトウェアを使用している組織では、正当な作業が中断される可能性があります。制限を導入する場合は、パイロット グループと文書化された例外を使用します。目標は、新たなサービス デスクのバックログを生み出すことではなく、回避可能なリスクと無駄な時間を取り除くことです。

07RDP の記録とアクティビティ ログを保護します

RDP の記録、スクリーンショット、アクティビティ ログには機密情報が含まれる場合があります。機密性の高いビジネス記録として扱ってください。管理アクセスを制限し、強力なアカウント制御を使用し、セキュリティと保持の要件に合ったストレージに記録を保存します。必要に応じて録音暗号化を設定し、証拠の確認を許可されたアカウントでアクセスをテストします。

ストレージ要件を記録ガイドに記録してください。 RDP の場合、同じホスト上で許可された 2 つのセッションの取得をテストし、レビュー担当者がユーザーと時間範囲を区別できることを確認します。共有サーバー名だけでは、アクションを担当するセッションを識別できません。

ストレージの選択は環境によって異なります。内部ストレージはより厳密なローカル制御を提供しますが、クラウド ストレージは分散した IT チームの容量計画とアクセスを簡素化できます。いずれの場合も、復元手順をテストし、調査が行われたときに記録が権限のあるレビュー担当者に利用可能な状態のままであることを確認します。

08RDP セッション記録を管理上の決定に変える

監視の価値は、収集されるデータの量ではありません。そのデータに基づいて決定されるのです。関係するシステムのリスク レベルに合わせたスケジュールで、アクティビティ レポートを確認します。繰り返し発生するパターンを探します。たとえば、ビジネス以外のアプリケーションでの過剰な時間、失敗したタスクの繰り返し、営業時間外のアクセス、禁止されたソフトウェア、異常なファイル アクティビティなどです。

問題が発生した場合は、推測する前に事実を調査してください。記録により、見かけのアイドル時間が実際にはフリーズしたアプリケーションによって引き起こされたことが示される場合があります。異常な接続は、承認されたメンテナンス期間である可能性があります。証拠はビジネスを保護するだけでなく、公正で防御可能な経営上の決定もサポートします。

Net Monitor for Employees Pro は、管理者がライブ画面の表示、記録、フィルタリングされたアクティビティ レポート、およびリモート エンドポイント制御を 1 つの運用システムに統合するのに役立ちます。会社のデバイスの限られたグループで制御された無料トライアル評価は、チームが確認する必要があるもの、必要なストレージ容量、セッションの証拠が既存のセキュリティ アラートとどのように連携するかを確認するための実用的な方法です。

最も有用な RDP 監視プログラムは、チームが迅速に行動できるものです。明確なポリシー、焦点を絞ったアラート、保護されたレコード、およびリモート セッションが生産性、データ、または運用を危険にさらす場合に介入するための定義された権限などです。

09RDP セッション監視: よくある質問

Windows ログには、RDP セッションで発生したすべてのことが表示されますか?

いいえ。ログオン イベントと接続イベントは、アクセスとタイミングを特定するのに役立ちますが、リモート デスクトップを視覚的に再現することはできません。調査で画面上のアクションの順序とコンテキストが必要な場合は、これらのイベントを許可された画面記録およびアクティビティ レポートと組み合わせます。

RDP セッションのモニタリング エージェントはどこにインストールする必要がありますか?

Net Monitor for Employees Pro の場合は、ターミナル サービス/RDP サーバーにエージェントをインストールします。ターミナルサーバーオプションを有効にして、そのサーバーをコンソールに追加します。 RDP セットアップ ヘルプの説明に従って、個々のセッションが自動的に表示されます。

RDP セッション記録はどのくらいの期間保存する必要がありますか?

調査のニーズ、契約上および法的義務、データの機密性、およびストレージ容量に基づいて、文書化された保存期間を設定します。インシデントのさらなる検討が必要な場合は、アクセスを制限し、取得をテストし、関連する記録を保存します。すべての録音に対して無期限のデフォルトを設定しないでください。