Каковы риски того, что сеанс RDP будет открыт для приложения Producton или сервера SQL?

Есть проблемы безопасности

Например, злоумышленник, получивший любой уровень доступа к серверу жертвы, может выполнить атаку MIMIKATZ и получить учетные данные в виде открытого текста, которые остаются в памяти, когда сеанс активен. То же самое можно сделать для активных ключей Kerberos, срок действия которых еще не истек.

Кроме того, некоторые антивирусные решения отказываются обновляться, когда сеанс находится в режиме ОТКЛЮЧЕНО.

Эти два элемента пришли на ум, я уверен, что есть и другие.

Поскольку вы позволяете им входить в систему как администраторы, я предполагаю, что у них нет реальных проблем с безопасностью, поэтому, кроме этого, единственная проблема - это надежность. Даже там, в общем, проблем с этим, вероятно, не много.

Что касается открытых соединений, предотвращающих перезагрузку, я сегодня сделал новое сообщение, которое решило бы следующее: как перезагрузить сервер, если вы не локальны для него?

Большая проблема для меня заключается в том, что, как вы сказали, они используют одно из ваших ограниченных соединений. Предполагая, что вы не так, как я говорю в следующем параграфе, я определенно настроил бы политику локального компьютера, если у вас есть проблемы и вы хотите ограничить сеансы. Откройте gpedit.msc, перейдите в "Конфигурация компьютера"> "Административные шаблоны"> "Компоненты Windows"> "Службы терминалов"> "Сеансы" и настройте любые временные ограничения.

Если вам нужно оправдать ограничение сессии начальством, вы можете просто сказать им, что не можете управлять сервером, если нет соединений. В качестве альтернативы, вы можете купить 5 терминальных серверных лицензий и сделать его TS. Я фактически сделал это для сервера SQL, который имеет один из моих клиентов.

Есть несколько проблем:

1. Когда кто-то входит на сервер с тем же именем пользователя, он / она получает открытую сессию. Этот человек может затем увидеть некоторые данные, которые ему не разрешено видеть. Особенно, если окно с результатом запроса все еще открыто.
2. Таким образом, никто не знает, что происходит в этом открытом окне. (Например, если запрос выполняется в течение нескольких часов.) Если теперь кто-то еще должен войти на сервер и не имеет открытого сеанса, он кого-то выгнает. И это может затем сломать базу данных, потому что запрос прерывается.

По сути, нет никаких "проблем", кроме как высосать ресурсы на сервере, которые не нужно использовать. Кроме того, когда пользователь вошел в систему, Windowa не будет автоматически перезагружать систему (для обновления Windows). этот аргумент может быть использован для реализации временных ограничений для сеансов RDP. Однако вы можете сделать еще один шаг и представить случай, когда у них нет делового входа на сервер.

Вам не нужно запускать SQL-запросы, войдя на сервер. SQL Server Management Studio работает прямо на локальной рабочей станции. В окна встроены средства удаленного управления, которые можно использовать для управления самим сервером.

Больше всего беспокоит то, что вы говорите, что они все входят в систему как администратор. Это плохая идея по целому ряду причин. Пользователям должны быть предоставлены необходимые разрешения с использованием их собственных учетных записей.