Configuration Manager中远程控制的安全性和隐私性

适用于: Configuration Manager(current branch)

本主题包含Configuration Manager中远程控制的安全和隐私信息。

远程控制的安全最佳做法

使用远程控制管理客户端计算机时，请使用以下安全最佳做法。

安全最佳做法	更多信息
连接到远程计算机时，如果使用 NTLM 而不是 Kerberos 身份验证，请不要继续。	当Configuration Manager检测到使用 NTLM 而不是 Kerberos 对远程控制会话进行身份验证时，会看到一条提示，警告无法验证远程计算机的标识。 请勿继续执行远程控制会话。 NTLM 身份验证是比 Kerberos 更弱的身份验证协议，很容易重播和模拟。
不要在远程控制查看器中启用剪贴板共享。	剪贴板支持可执行文件和文本等对象，并且可以在远程控制会话期间由主计算机上的用户用来在原始计算机上运行程序。
远程管理计算机时，请勿为特权帐户输入密码。	观察键盘输入的软件可以捕获密码。 或者，如果正在客户端计算机上运行的程序不是远程控制用户假定的程序，则程序可能正在捕获密码。 需要帐户和密码时，最终用户应输入它们。
在远程控制会话期间锁定键盘和鼠标。	如果Configuration Manager检测到远程控制连接已终止，Configuration Manager会自动锁定键盘和鼠标，以便用户无法控制打开的远程控制会话。 但是，如果远程控制服务终止，此检测可能不会立即发生，也不会发生。 在“ConfigMgr 远程控制”窗口中选择“锁定远程键盘和鼠标”操作。
不允许用户在软件中心配置远程控制设置。	不要启用客户端设置 ，用户可以在软件中心更改策略或通知设置 ，以帮助防止用户被监视。 如果一个用户对其进行更改，则可以允许远程查看同一计算机上的其他用户。 此设置适用于计算机，不适用于登录用户。
启用 域 Windows 防火墙配置文件。	启用客户端设置 “在客户端上启用远程控制”防火墙例外配置文件 “，然后选择”适用于 Intranet 计算机的 域 Windows 防火墙”。
如果在远程控制会话期间注销并以其他用户身份登录，请确保在断开远程控制会话连接之前注销。	如果未在此方案中注销，会话将保持打开状态。
不要向用户授予本地管理员权限。	当你向用户授予本地管理员权限时，他们可能能够接管远程控制会话或泄露你的凭据。
使用组策略或Configuration Manager配置远程协助设置，但不能同时配置这两种设置。	可以使用Configuration Manager和组策略对远程协助设置进行配置更改。 在客户端上刷新组策略时，默认情况下，它会通过仅更改服务器上已更改的策略来优化进程。 Configuration Manager更改本地安全策略中的设置，除非强制组策略更新，否则这些设置可能不会被覆盖。 在这两个位置设置策略可能会导致结果不一致。 选择以下方法之一来配置远程协助设置。
启用客户端设置 提示用户获取远程控制权限。	尽管可以通过一些方法绕过此客户端设置来提示用户确认远程控制会话，但启用此设置以减少用户在处理机密任务时被监视的可能性。 此外，教育用户验证远程控制会话期间显示的帐户名称，并在他们怀疑帐户未经授权时断开会话连接。
限制“允许的查看者”列表。	用户无需本地管理员权限即可使用远程控制。

远程控制的安全问题

使用远程控制管理客户端计算机存在以下安全问题：

• 不要认为远程控制审核消息可靠。

  如果启动远程控制会话，然后使用备用凭据登录，则原始帐户会发送审核消息，而不是使用备用凭据的帐户。

  如果复制用于远程控制的二进制文件而不是安装 Configuration Manager 控制台，然后在命令提示符下运行远程控制，则不会发送审核消息。

远程控制的隐私信息

通过远程控制，可以查看Configuration Manager客户端计算机上的活动会话，并可能查看这些计算机上存储的任何信息。 默认情况下，不启用远程控制。

尽管你可以将远程控制配置为在远程控制会话开始前提供醒目的通知并获取用户的同意，但它也可以监视未经其许可或意识的用户。 可以配置“仅查看”访问级别，以便远程控件或完全控制上无法更改任何内容。 连接管理员的帐户显示在远程控制会话中，以帮助用户识别谁正在连接到其计算机。

默认情况下，Configuration Manager授予本地管理员组远程控制权限。

在配置远程控制之前，请考虑隐私要求。