リモート デスクトップ サービス（RDS）接続の保護

攻撃から保護するために、以下のセキュリティ対策を実施してください。

1. 強力なパスワードを使用する

   リモート デスクトップにアクセスするすべてのアカウントで強力なパスワードを使用します。

2. ソフトウェアを更新する

   Microsoft Update の自動実行を有効にして監査することによって、クライアント ソフトウェアとサーバー ソフトウェアの両方の最新バージョンを実行します。

3. アカウント ロックアウト ポリシーを設定する

   特定の回数のログイン試行が失敗した場合に一定期間アカウントをロックすることによって、"ブルート フォース" 攻撃を防止できます。

4. 2 要素認証を使用する

   RD ゲートウェイは、スマートカードを使用したした 2 要素認証をサポートします。

5. リモート デスクトップのライセンス ポートを変更する

   デフォルトのリモート デスクトップ ポート（TCP 3389）へのアクセスを試みるネットワーク攻撃およびワームを防止します。

6. RD ゲートウェイを使用する

   RD ゲートウェイは、リモート デスクトップ ポートへのアクセスを制限する一方で、単一の "ゲートウェイ" サーバーを介したリモート デスクトップ接続をサポートします。RD ゲートウェイ サーバーを使用する場合、デスクトップおよびワークステーション上のすべてのリモート デスクトップ サービスは RD ゲートウェイを介してルーティングされます。RD ゲートウェイ サーバーは HTTPS（ポート 443）でリモート デスクトップ リクエストをリスンし、クライアントをターゲット マシン上のリモート デスクトップ サービスに接続します。手順については、http://technet.microsoft.com/ja-jp/library/cc770601.aspx を参照してください。

7. リモート デスクトップ サービス接続にネットワーク レベルの認証を設定する

   ネットワーク レベルの認証では、ユーザーはセッションを作成する前に RD セッション ホスト サーバーに対して認証される必要があります。ネットワーク レベルの認証を使用すると、RD セッション ホスト サーバーの可用性が向上します（RD セッション ホスト サーバーの差ビス拒否攻撃のリスクが削減されます）。詳細については、https://technet.microsoft.com/ja-jp/library/hh831778.aspx を参照してください。

8. サーバー認証および暗号化レベルを設定する

   デフォルトでは、ターミナル サービス セッションでは、ネイティブのリモート デスクトップ プロトコル（RDP）暗号化が使用されます。しかし、RDP では、ターミナル サーバーの ID を検証する認証は提供されません。サーバー認証にトランスポート層セキュリティ（TLS）1.0 を使用してターミナル サービス セッションのセキュリティを強化して、ターミナル サーバー通信を暗号化できます。セキュリティを強化するには、RDS およびクライアント コンピュータを TLS に対して正しく構成する必要があります。デフォルトでは、クライアントとサーバーの間の RDS 接続が最高のセキュリティ レベル（128 ビット）で暗号化され、転送されるデータの整合性と機密性が保証されます。