Kontrollen af fjernskrivebord har to dele. Den første er vejen ind: Kan fjernskrivebord nås direkte fra internettet, eller kun gennem VPN eller en gateway, og kræves MFA? Den anden er det, en bruger kan nå, når forbindelsen er åben: Hvad kan man komme videre til fra en delt terminalserver?
Den første del har klare anbefalinger fra SAMSIK og CISA. Den anden er praksis, og den behandles som sådan.
Vejen ind
I sin ransomwarevejledning fra april 2023 skriver SAMSIK: “Anvendelse af fjernadgangsløsninger som eksempelvis Remote Desktop Services bør altid foregå igennem VPN eller RDP Gateway”. SAMSIK anbefaler også, at fjernadgang altid kræver MFA, og at konti låses ved gentagne forkerte loginforsøg.
CISA siger i sin vejledning mod ransomware fra september 2023, at fjernskrivebord ikke skal være eksponeret på internettet. CISA anbefaler at gennemgå nettet for systemer med fjernskrivebord, lukke porte, der ikke bruges, låse konti efter et antal forsøg, bruge MFA og logge loginforsøg.
Microsoft beskriver gatewayen til fjernskrivebord som en løsning, der giver adgang til interne ressourcer udefra gennem en krypteret tunnel. Den bruger et offentligt betroet certifikat, autentificering og politikker, der styrer, hvem der må forbinde, og hvilke ressourcer de må nå.
Alle tre er anbefalinger. SAMSIK’s er dansk og konkret, og den er en god målestok.
Kontrollen af vejen ind
Kontrollen har fire spørgsmål:
- Står fjernskrivebordets port åben mod internettet på nogen adresse?
- Hvis der er en gateway, kræver den MFA, og hvem må bruge den?
- Hvilke interne maskiner må gatewayen sende brugerne videre til?
- Låses konti efter gentagne forkerte forsøg, og bliver loginforsøg logget?
Det første spørgsmål besvares fra to sider. Indefra læses firewallens regler for adresseoversættelse og indgående trafik. Udefra kan det måles, hvilke porte der svarer. Den samlede liste over porte, der svarer udefra, hører til i opgørelsen af åbne tjenester.
Det tredje spørgsmål er let at overse. En gateway, der tillader forbindelse til alle maskiner på nettet, giver bredere adgang end en, der kun tillader terminalserverne.
Fjernskrivebord internt
Fjernskrivebord bruges også inde på nettet, fx af driften til at administrere servere. Microsoft anbefaler, at fjernskrivebord til domænecontrollere kun tillades fra autoriserede brugere og systemer, fx springservere. Samme tanke kan bruges på andre vigtige servere. Det er en tolkning at udvide anbefalingen, men den er nærliggende.
Kontrollen er at læse, hvilke maskiner der kan åbne fjernskrivebord til serverne, i den lokale firewall og i netværkets regler. Kan alle klienter forbinde til alle servere, er det et fund målt mod Microsofts anbefaling for domænecontrollere. Læsningen af reglerne på selve serverne er beskrevet under værtsbaserede firewalls.
Hvad en bruger kan nå fra en delt server
En terminalserver deles af mange brugere. Det følgende har ingen læst primærkilde og er praksis. En gennemgang kan stille disse spørgsmål:
- Hvilke programmer kan brugerne starte, ud over dem de skal bruge?
- Kan brugerne åbne en kommandofortolker eller et administrationsværktøj?
- Kan de se andre brugeres filer eller sessioner?
- Hvilke net og servere kan terminalserveren nå videre?
- Har nogen brugere lokale administratorrettigheder på terminalserveren?
Det fjerde spørgsmål er det vigtigste. Terminalserveren bliver et udgangspunkt for alt, den kan nå. Som målestok kan bilaget til forordning 2024/2690 bruges. Efter punkt 6.8.2, litra e, holdes trafikken mellem zoner og inde i dem på det, der er brug for. Bilaget gælder de udbydere af digitale tjenester, forordningen nævner. At bruge punktet som målestok for terminalservere er vores tolkning.
Rettighederne på terminalserveren svarer til dem på klienterne. Kontrollen af programkontrol og scriptsprog er beskrevet i klienternes opsætning, og den gælder også her.
Leverandørens vej ind
Mange leverandører får adgang til fjernskrivebord for at supportere et system. Den adgang er ofte oprettet for sig, med sin egen regel i firewallen og sin egen konto. Kontrollen er den samme som for jeres egne brugere: gennem VPN eller gateway, med MFA og med en konto, der kan føres tilbage til en person hos leverandøren. Fjernsupport generelt har sit eget kontrolpunkt, men reglen for fjernskrivebord bør stå i samme opgørelse som resten.
Udtrækket
Grundlaget er firewallreglerne for indgående trafik, gatewayens opsætning med politikker for forbindelser og ressourcer, kontolåsningens indstillinger og et udtræk af loggen med loginforsøg. For terminalserverne kommer listen over installerede programmer, de lokale administratorer og de netregler, der gælder for terminalservernes net.
Hvad det kræver, og hvad det koster at lade være
Det kræver adgang til firewall, gateway og terminalservere og en person, der kender opsætningen. Kontrollen af vejen ind er kort. Kontrollen af det, brugerne kan nå, tager længere tid, fordi den kræver forståelse af, hvad terminalserverne bruges til.
Fjernskrivebord, der står åbent mod internettet uden MFA, er en dør, alle kan prøve. En terminalserver med adgang til hele nettet gør én kompromitteret bruger til en adgang til alt.
Det skal I lade være med
- At åbne fjernskrivebord direkte mod internettet · gå gennem VPN eller gateway med MFA.
- At lade gatewayen sende brugere videre til alle maskiner · begræns til de ressourcer, de skal bruge.
- At give terminalserveren samme netadgang som driftens egne maskiner · begræns den til det nødvendige.
Det skal gennemgangen kunne vise
- ☐ At fjernskrivebordets port ikke er åben mod internettet, vist fra regler og måling.
- ☐ Gatewayens krav til MFA og politikker for forbindelser og ressourcer.
- ☐ Kontolåsning og logning af loginforsøg.
- ☐ Hvilke maskiner der kan åbne fjernskrivebord til servere.
- ☐ Programmer, rettigheder og netadgang på terminalserverne.
Kilder
- SAMSIK (Center for Cybersikkerhed), Reducer risikoen for ransomware (april 2023), side 9, læst 13. november 2026.
- CISA m.fl., #StopRansomware Guide (september 2023), læst 13. november 2026.
- Microsoft Learn, Remote Desktop Services, access from anywhere, læst 13. november 2026.
- Microsoft Learn, Securing domain controllers against attack, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 6.8.2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Kontrollér i firewallens regler, at fjernskrivebordets port ikke er åbnet mod internettet på nogen adresse.
Læs også: MFA-dækning · Klienter uden for styringen
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
