ผู้ใช้ผู้ดูแลระบบทุกคนมีข้อกังวลอย่างแท้จริงอย่างหนึ่ง นั่นคือ การรักษาความปลอดภัยข้อมูลประจำตัวผ่านการเชื่อมต่อเดสก์ท็อป ระยะไกล ^(Desktop)เนื่องจากมัลแวร์สามารถหาทางไปยังคอมพิวเตอร์เครื่องอื่นผ่านการเชื่อมต่อเดสก์ท็อปและอาจเป็นภัยคุกคามต่อข้อมูลของคุณ นั่นคือเหตุผลที่ระบบปฏิบัติการ Windows^{(Windows OS)}แสดงคำเตือนว่า " ตรวจสอบให้แน่ใจว่าคุณเชื่อถือพีซีเครื่องนี้ การเชื่อมต่อกับคอมพิวเตอร์ที่ไม่น่าเชื่อถืออาจเป็นอันตรายต่อพีซีของคุณ^{(Make sure you trust this PC, connecting to an untrusted computer might harm your PC)} " เมื่อคุณพยายามเชื่อมต่อกับเดสก์ท็อประยะไกล

ในบทความนี้ เราจะมาดูกันว่าคุณลักษณะRemote Credential Guardซึ่งเปิดตัวใน  Windows 10สามารถช่วยปกป้องข้อมูลรับรองเดสก์ท็อประยะไกลในWindows 10 EnterpriseและWindows Serverได้อย่างไร

Remote Credential GuardในWindows 10

คุณลักษณะนี้ออกแบบมาเพื่อกำจัดภัยคุกคามก่อนที่จะพัฒนาไปสู่สถานการณ์ที่ร้ายแรง ช่วยปกป้องข้อมูลประจำตัวของคุณผ่านการ เชื่อมต่อ เดสก์ท็อป^(Desktop) ระยะไกล โดยเปลี่ยนเส้นทาง คำขอ Kerberosกลับไปยังอุปกรณ์ที่ขอการเชื่อมต่อ นอกจากนี้ยังมอบประสบการณ์การลงชื่อเพียงครั้งเดียวสำหรับเซสชันเดสก์ท็อประยะไกล^{(Remote Desktop)}

ในกรณีที่มีเหตุร้ายที่อุปกรณ์เป้าหมายถูกบุกรุก ข้อมูลประจำตัวของผู้ใช้จะไม่ถูกเปิดเผยเนื่องจากทั้งอนุพันธ์ข้อมูลประจำตัวและหนังสือรับรองจะไม่ถูกส่งไปยังอุปกรณ์เป้าหมาย

วิธีการดำเนินการของRemote Credential Guardนั้นคล้ายกันมากกับการป้องกันที่Credential Guard นำเสนอ บนเครื่องในเครื่อง ยกเว้นCredential Guardยังปกป้องข้อมูลรับรองของโดเมนที่จัดเก็บไว้ผ่านทางCredential Manager^{(Credential Manager)}

บุคคลสามารถใช้Remote Credential Guardด้วยวิธีต่อไปนี้ -

1. เนื่องจาก ข้อมูลประจำตัวของ ผู้ดูแลระบบ^{(Administrator)}มีสิทธิพิเศษสูง จึงต้องได้รับการปกป้อง ด้วยการใช้Remote Credential Guardคุณสามารถมั่นใจได้ว่าข้อมูลประจำตัวของคุณได้รับการปกป้องเนื่องจากไม่อนุญาตให้ข้อมูลประจำตัวผ่านเครือข่ายไปยังอุปกรณ์เป้าหมาย
2. พนักงาน Helpdesk^(Helpdesk)ในองค์กรของคุณจะต้องเชื่อมต่อกับอุปกรณ์ที่เข้าร่วมโดเมนซึ่งอาจถูกบุกรุก ด้วยRemote Credential Guardพนักงานฝ่ายช่วยเหลือสามารถใช้RDPเพื่อเชื่อมต่อกับอุปกรณ์เป้าหมายโดยไม่กระทบต่อข้อมูลประจำตัวของพวกเขาต่อมัลแวร์

ข้อกำหนดด้านฮาร์ดแวร์และซอฟต์แวร์

เพื่อให้การทำงานที่ราบรื่นของRemote Credential Guardตรวจสอบให้แน่ใจว่าได้ปฏิบัติตามข้อกำหนดต่อไปนี้ของ ไคลเอ็นต์ เดสก์ท็อประยะไกล^{(Remote Desktop)}และเซิร์ฟเวอร์

1. ไคลเอ็นต์เดสก์ท็อประยะไกล^{(Remote Desktop Client)}และเซิร์ฟเวอร์ต้องเข้าร่วมกับโดเมน Active Directory
2. อุปกรณ์ทั้งสองต้องเข้าร่วมโดเมนเดียวกัน หรือ เซิร์ฟเวอร์ เดสก์ท็อประยะไกล^{(Remote Desktop)}ต้องเข้าร่วมโดเมนที่มีความสัมพันธ์ที่เชื่อถือได้กับโดเมนของอุปกรณ์ไคลเอ็นต์
3. ควรเปิดใช้งานการตรวจสอบสิทธิ์Kerberos
4. ไคลเอ็นต์เด สก์ท็อประยะไกล^{(Remote Desktop)}ต้องใช้งานอย่างน้อยWindows 10เวอร์ชัน 1607 หรือWindows Server 2016^{(Windows Server 2016)}
5. แอ ป Remote Desktop Universal Windows Platformไม่รองรับRemote Credential Guardดังนั้น ให้ใช้แอปRemote Desktopคลาสสิก ของ Windows

เปิดใช้งานRemote Credential Guardผ่านRegistry

ในการเปิดใช้ งาน Remote Credential Guardบนอุปกรณ์เป้าหมาย ให้เปิดRegistry Editorและไปที่คีย์ต่อไปนี้:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

เพิ่มค่า DWORD ใหม่ชื่อDisableRestrictedAdmin ตั้งค่าของการตั้งค่ารีจิสทรีนี้เป็น0เพื่อเปิดใช้Remote Credential Guard^{(Remote Credential Guard)}

ปิดตัวแก้ไขรีจิสทรี

คุณสามารถเปิดใช้ งาน Remote Credential Guardได้โดยเรียกใช้คำสั่งต่อไปนี้จาก CMD ที่ยกระดับ:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

เปิดRemote Credential Guardโดยใช้Group Policy

เป็นไปได้ที่จะใช้Remote Credential Guardบนอุปกรณ์ไคลเอนต์โดยการตั้งค่าGroup Policyหรือโดยใช้พารามิเตอร์ด้วยRemote Desktop^{(Remote Desktop Connection)} Connection

จากคอนโซลการจัดการนโยบายกลุ่ม^{(Group Policy Management Console)}ให้ไปที่Computer ^(.)Computer Configuration > Administrative Templates > System > Credentials Delegation

ตอนนี้ ดับเบิลคลิกจำกัดการมอบหมายข้อมูลประจำตัวไปยังเซิร์ฟเวอร์ระยะไกล^{(Restrict delegation of credentials to remote servers)}เพื่อเปิดกล่องคุณสมบัติ

ใน กล่อง ใช้โหมดที่จำกัดต่อไปนี้^{(Use the following restricted mode)}เลือกRequire Remote Credential Guard นอกจากนี้ยังมีตัวเลือกโหมดผู้ดูแลระบบที่จำกัด อีกด้วย ^{(Restricted Admin mode)}สิ่งสำคัญคือเมื่อ ไม่สามารถใช้ Remote Credential Guardได้ จะใช้โหมดผู้ดูแลระบบที่จำกัด^{(Restricted Admin)}

ไม่ว่าในกรณีใดโหมดRemote Credential GuardและRestricted Admin จะส่งข้อมูลรับรองเป็นข้อความที่ชัดเจนไปยัง เซิร์ฟเวอร์Remote Desktop

อนุญาต Remote Credential Guard^{(Allow Remote Credential Guard)}โดยเลือกตัวเลือก ' Prefer Remote Credential Guard '

คลิกตกลง^{(Click OK)}และออกจากคอนโซลการจัดการนโยบาย^{(Group Policy Management Console)}กลุ่ม

จากพรอมต์คำสั่ง ให้เรียกใช้gpupdate.exe /forceเพื่อให้แน่ใจว่ามีการใช้วัตถุนโยบายกลุ่ม^{(Group Policy)}

ใช้ Remote Credential Guard^{(Use Remote Credential Guard)}พร้อมพารามิเตอร์ใน การเชื่อมต่อ เดสก์ท็อประยะ^{(Remote Desktop)}ไกล

ถ้าคุณไม่ได้ใช้นโยบายกลุ่ม^{(Group Policy)}ในองค์กรของคุณ คุณสามารถเพิ่มพารามิเตอร์ remoteGuard เมื่อคุณเริ่มการ เชื่อมต่อ เดสก์ท็อป^{(Desktop Connection)} ระยะไกล เพื่อเปิดRemote Credential Guardสำหรับการเชื่อมต่อนั้น

mstsc.exe /remoteGuard

สิ่งที่คุณควรจำไว้เมื่อใช้Remote Credential Guard

1. ^{(Remote Credential Guard)}ไม่สามารถใช้Remote Credential Guard เพื่อเชื่อมต่อกับอุปกรณ์ ที่ เข้าร่วม Azure Active Directory
2. Remote Desktop Credential Guardใช้งานได้กับโปรโตคอลRDP เท่านั้น^(RDP)
3. Remote Credential Guardไม่รวมการอ้างสิทธิ์อุปกรณ์ ตัวอย่างเช่น หากคุณกำลังพยายามเข้าถึงไฟล์เซิร์ฟเวอร์จากรีโมตและเซิร์ฟเวอร์ไฟล์ต้องการการอ้างสิทธิ์อุปกรณ์ การเข้าถึงจะถูกปฏิเสธ
4. เซิร์ฟเวอร์และไคลเอ็นต์ต้องตรวจสอบสิทธิ์โดยใช้Kerberos
5. โดเมนต้องมีความสัมพันธ์ที่เชื่อถือได้ หรือทั้งไคลเอ็นต์และเซิร์ฟเวอร์ต้องเข้าร่วมในโดเมนเดียวกัน
6. Remote Desktop Gateway เข้ากันไม่ ได้กับRemote Credential Guard
7. ไม่มีข้อมูลประจำตัวรั่วไหลไปยังอุปกรณ์เป้าหมาย อย่างไรก็ตาม อุปกรณ์เป้าหมายยังคงได้รับKerberos Service Ticketsด้วยตัวมันเอง
8. สุดท้าย คุณต้องใช้ข้อมูลประจำตัวของผู้ใช้ที่เข้าสู่ระบบอุปกรณ์ ไม่อนุญาตให้ใช้ข้อมูลประจำตัวที่บันทึกไว้หรือข้อมูลประจำตัวที่แตกต่างจากของคุณ

คุณสามารถอ่านเพิ่มเติมเกี่ยวกับเรื่องนี้ได้ที่Technet

ที่เกี่ยวข้อง^(Related) : วิธีเพิ่มจำนวนการเชื่อมต่อเดสก์ท็อประยะไกล^{(increase the number of Remote Desktop Connections)}ใน Windows 10

Remote Credential Guard protects Remote Desktop credentials

All system administrator users have one very genuine concern – securing credentіals over a Remotе Desktop connection. This is because malware сan find its way to any other computer over the desktop connection and pose a potential threat to yоur data. That is why Windows OS flashes a warnіng “Make sure you trust this PC, connecting to an untrusted computer might harm your PC” when you try to connect to a remote desktop.

In this post, we will see how the Remote Credential Guard feature, which has been introduced in Windows 10, can help protect remote desktop credentials in Windows 10 Enterprise and Windows Server.

Remote Credential Guard in Windows 10

The feature is designed to eliminate threats before it develops into a serious situation. It helps you protect your credentials over a Remote Desktop connection by redirecting the Kerberos requests back to the device that’s requesting the connection. It also provides single sign-on experiences for Remote Desktop sessions.

In the event of any misfortune where the target device is compromised, credentials of the user are not exposed because both credential and credential derivatives are never sent to the target device.

The modus operandi of Remote Credential Guard is very similar to the protection offered by Credential Guard on a local machine except for Credential Guard also protects stored domain credentials via the Credential Manager.

An individual can use Remote Credential Guard in the following ways-

1. Since Administrator credentials are highly privileged, they must be protected. By using Remote Credential Guard, you can be assured that your credentials are protected as it does not allow credentials to pass over the network to the target device.
2. Helpdesk employees in your organization must connect to domain-joined devices that could be compromised. With Remote Credential Guard, the helpdesk employee can use RDP to connect to the target device without compromising their credentials to malware.

Hardware and software requirements

To enable smooth functioning of the Remote Credential Guard, ensure the following requirements of Remote Desktop client and server are met.

1. The Remote Desktop Client and server must be joined to an Active Directory domain
2. Both devices must either joined to the same domain, or the Remote Desktop server must be joined to a domain with a trust relationship to the client device’s domain.
3. The Kerberos authentication should have been enabled.
4. The Remote Desktop client must be running at least Windows 10, version 1607 or Windows Server 2016.
5. The Remote Desktop Universal Windows Platform app doesn’t support Remote Credential Guard so, use Remote Desktop classic Windows app.

Enable Remote Credential Guard via Registry

To enable Remote Credential Guard on the target device, open Registry Editor and go to the following key:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Add a new DWORD value named DisableRestrictedAdmin. Set the value of this registry setting to 0 to turn on Remote Credential Guard.

Close the Registry Editor.

You can enable Remote Credential Guard by running the following command from an elevated CMD:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Turn on Remote Credential Guard by using Group Policy

It is possible to use Remote Credential Guard on the client device by setting a Group Policy or by using a parameter with Remote Desktop Connection.

From the Group Policy Management Console, navigate to Computer Configuration > Administrative Templates > System > Credentials Delegation.

Now, double-click Restrict delegation of credentials to remote servers to open its Properties box.

Now in the Use the following restricted mode box, choose Require Remote Credential Guard. The other option Restricted Admin mode is also present. Its significance is that when Remote Credential Guard cannot be used, it will use Restricted Admin mode.

In any case, neither Remote Credential Guard nor Restricted Admin mode will send credentials in clear text to the Remote Desktop server.

Allow Remote Credential Guard, by choosing ‘Prefer Remote Credential Guard’ option.

Click OK and exit the Group Policy Management Console.

Now, from a command prompt, run gpupdate.exe /force to ensure that the Group Policy object is applied.

Use Remote Credential Guard with a parameter to Remote Desktop Connection

If you don’t use Group Policy in your organization, you can add the remoteGuard parameter when you start Remote Desktop Connection to turn on Remote Credential Guard for that connection.

mstsc.exe /remoteGuard

Things you should keep in mind when using Remote Credential Guard

1. Remote Credential Guard cannot be used to connect to a device that is joined to Azure Active Directory.
2. Remote Desktop Credential Guard only works with the RDP protocol.
3. Remote Credential Guard does not include device claims. For example, if you’re trying to access a file server from the remote and the file server requires device claim, access will be denied.
4. The server and client must authenticate using Kerberos.
5. The domains must have a trust relationship, or both the client and the server must be joined to the same domain.
6. Remote Desktop Gateway is not compatible with Remote Credential Guard.
7. No credentials are leaked to the target device . However, the target device still acquires the Kerberos Service Tickets on its own.
8. Lastly, you must use the credentials of the user who is logged into the device. Using saved credentials or credentials that are different than yours are not permitted.

You can read more on this at Technet.

Related: How to increase the number of Remote Desktop Connections in Windows 10.

Related posts

• เพิ่มจำนวน Remote Desktop Connections ใน Windows 11/10

• รหัส Windows ติดหลังจากเปลี่ยนจาก Remote Desktop session

• ไม่สามารถคัดลอก Paste ใน Remote Desktop Session ใน Windows 10

• RDP connection authentication error; ไม่รองรับ Function ไม่ได้รับการร้องขอ

• Create Remote Desktop Connection shortcut ใน Windows 11/10

• เปิดใช้งานบน Remote Desktop Windows 10 อายุต่ำกว่า 2 นาที

• Ulterius: ฟรี Remote Desktop software เพื่อจัดการคอมพิวเตอร์จากระยะไกล

• Connect iPhone ถึง Windows 10 PC โดยใช้ Microsoft Remote Desktop

• Remote Desktop option Greyed Out บน Windows 10

• Ammyy Admin: แบบพกพา Secure Zero-Config Remote Desktop Software

• เปลี่ยน listening port สำหรับ Remote Desktop

• วิธีการส่ง Ctrl+Alt+Delete ใน Remote Desktop Session

• Remove History รายการจาก Remote Desktop Connection ใน Windows 11/10

• ข้อผิดพลาดที่ล้มเหลว logon attempt ขณะเชื่อมต่อ Remote Desktop

• วิธีกำหนดค่าเดสก์ท็อประยะไกลผ่านเราเตอร์

• ในการลงชื่อเข้าใช้จากระยะไกลคุณต้องลงชื่อเข้าใช้ผ่าน Remote Desktop Services

• Command Line Parameters สำหรับ Remote Desktop Connections

• เปิดใช้งาน Remote Desktop ใช้ Command Prompt or PowerShell

• Fix Remote Desktop ไม่พบ computer error ใน Windows 11/10

• วิธีใช้เดสก์ท็อประยะไกลใน Windows 10