Безопасность данных на терминальном сервере: что настроить в RDS

Защита терминального сервера держится на трёх вещах: посторонний не должен попасть в сессию, сотрудник не должен вынести данные через саму сессию, а пользователи не должны видеть файлы друг друга. Терминальный сервер собирает все данные и все рабочие места в одной машине. Контролировать это проще, но и цена ошибки выше: один открытый порт или одна папка с правами «для всех» касаются сразу всей компании.

Часто считают, что с терминальным сервером данные «никуда не уходят». Это не так. RDP-клиент по умолчанию передаёт в сессию буфер обмена и принтеры, а локальные диски и флешки пользователь подключает одной галочкой в настройках подключения, и сервер это по умолчанию разрешает. Выгрузку клиентской базы можно перетащить мышкой на домашний ноутбук, если это не запрещено политикой. Ниже по порядку разобрано, что настроить в Windows Server с ролью RDS (службы удалённых рабочих столов): от входа до журналов. Если сервер ещё не выбран, начните с разбора, как выбрать терминальный сервер под своё число пользователей.

Что терминальный сервер меняет в защите

Терминальная архитектура сама по себе ничего не защищает. Она даёт одно место, где защиту удобно включить, и одно место, где её отсутствие бьёт по всем сразу. Обе стороны стоит видеть заранее:

Физическая сторона (доступ в серверную, климат) - отдельная тема. Учтите только, что при отключении света ИБП нужен не одному серверу: без коммутатора и роутера сессии всё равно оборвутся. Требования к помещению собраны в статье про основы безопасности серверной.

Вход: RDP не должен смотреть в интернет

Чаще всего терминальный сервер в небольшой компании взламывают через порт 3389, проброшенный на роутере наружу. Боты постоянно сканируют интернет и перебирают пароли к RDP, так что неудачные входы в журнале такого сервера появляются почти сразу после открытия порта. Сложный пароль от перебора спасает, но не от уязвимостей самого протокола и не от пароля, утёкшего с домашнего компьютера сотрудника.

Что сделать на входе:

• снаружи пускать только через VPN или шлюз удалённых рабочих столов (RD Gateway): шлюз принимает подключения по HTTPS на 443-м порту и проверяет пользователя до того, как тот доберётся до сервера;
• оставить включённой проверку подлинности на уровне сети (NLA): пароль проверяется до создания сессии, и сервер не рисует экран входа каждому боту;
• включить блокировку учётной записи после серии неудачных попыток;
• добавить второй фактор на шлюзе или VPN. Российские системы двухфакторной аутентификации, например MULTIFACTOR, подключаются к RD Gateway через сервер политик сети (NPS) по протоколу RADIUS;
• выпустить для RDP сертификат своего центра сертификации или публичный вместо самоподписанного. Иначе пользователи привыкают жать «Да» на предупреждение и не заметят, если их подключение перехватят.

Перебор паролей, политику блокировки и разбор журналов неудачных входов мы подробно описали в статье о том, как обеспечить безопасность Windows Server. Развёртывание шлюза - в материале про сервер удалённых рабочих столов.

Как данные уходят через саму сессию: диски, буфер, принтеры

Сотрудник, который уже вошёл на сервер, может вынести данные через RDP-подключение. В стандартном клиенте Windows буфер обмена и принтеры включены сразу, локальные диски и флешки включаются галочкой на вкладке «Локальные ресурсы». Закрывается это групповой политикой на стороне сервера. Галочки в клиенте не в счёт: пользователь меняет их сам.

Нужные политики лежат в разделе «Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Службы удалённых рабочих столов → Узел сеансов удалённых рабочих столов → Перенаправление устройств и ресурсов». Если сервер работает в коллекции сеансов, то же выключается в её свойствах в диспетчере серверов, на вкладке «Параметры клиента».

Политикой не закрыть снимок экрана телефоном и ручное переписывание. Если данные настолько ценны, нужна DLP-система (контроль утечек) и юридическая часть: режим коммерческой тайны и подпись сотрудников под ним. Водяные знаки и защита от снимков экрана у Microsoft есть только в облачном Azure Virtual Desktop, который в России недоступен.

Управление доступом и контроль действий

На терминальном сервере сотрудники разных отделов работают на одной машине, и права доступа заменяют стену между отделами. Если файл лежит вне профиля и права на него не настроены, его откроет любой, кто вошёл на сервер.

Обычно это случается в предсказуемых местах. Папка C:\Temp или «Обмен» в корне диска, куда сохраняют выгрузки из 1С. Файлы, которые администратор положил на системный диск «на минутку». Ярлыки к сетевым папкам, разложенные на общий рабочий стол. Всё, что создано в корне системного диска, по умолчанию наследует права, при которых группа «Пользователи» может это читать. Так зарплатная выгрузка становится видна складу.

Порядок настройки:

1. Вынести терминальные серверы в отдельное подразделение Active Directory и вешать политики на него. Пользовательские ограничения применять в режиме замыкания («Настройка режима обработки замыкания пользовательской групповой политики»): тогда они действуют только при входе на терминальный сервер и не трогают ноутбуки тех же сотрудников.
2. Данные отделов держать в отдельных папках с правами по группам AD, не по фамилиям. Рядовым пользователям хватает права «Изменение». С «Полным доступом» человек сам поменяет права на папку.
3. Скрыть системный диск в проводнике политиками «Скрыть выбранные диски из окна "Мой компьютер"» и «Запретить доступ к дискам через "Мой компьютер"». Это скорее порядок в интерфейсе: из командной строки и программ со своим окном выбора файлов диск по-прежнему доступен. Настоящая граница - права NTFS из предыдущего пункта.
4. Ограничить запуск программ белым списком, чтобы в сессии работало только то, что нужно для работы. Как это сделать в своей редакции Windows, разобрано в статье про белые списки запуска программ.
5. Проверить права на папку с профилями. Где профили лежат и почему тормозит вход, рассказано в статье про управление профилями пользователей на терминальном сервере.

Теперь про контроль действий. Встроенными средствами администратор видит, кто и когда вошёл, с какого адреса и сколько длилась сессия (это журналы, о них ниже), какие программы запущены в каждой сессии (диспетчер задач, вкладка «Пользователи»), и может подключиться к экрану пользователя. Какие файлы сотрудник открывал и менял, видно, только если заранее включить аудит файловой системы. Запись экрана, перехват печати и контроль переписки Windows не делает, для этого ставят DLP или системы контроля сотрудников.

Брошенные сессии: тайм-ауты и блокировка экрана

Отключённая сессия на терминальном сервере продолжает жить: программы открыты, файлы заблокированы, 1С держит лицензию. Сотрудник закрыл окно RDP крестиком вместо выхода - и сессия ждёт его сколько угодно, ограничения по умолчанию нет. Любой, кто знает его пароль, вернётся ровно туда, где он остановился, со всеми открытыми документами.

Лимиты задаются в разделе «Узел сеансов удалённых рабочих столов → Ограничение сеансов по времени». Для отключённых сеансов политика «Задать ограничение по времени для отключённых сеансов»: обычно ставят от часа до конца рабочего дня. Если поставить меньше, человек потеряет несохранённую работу при обрыве связи, а если больше, сервер будет копить сессии, которые никому не нужны. Для бездействующих - «Задать ограничение по времени для активных, но бездействующих сеансов служб удалённых рабочих столов». И отдельно пользовательская политика заставки с паролем на 10-15 минут: отошёл от стола - сессия заблокирована.

Администраторы и теневое подключение

Учётная запись администратора терминального сервера видит данные всех пользователей, поэтому повседневная работа идёт под обычной учёткой, а администраторская нужна только для обслуживания. Под администратором домена на терминальный сервер не входят вовсе. Его учётные данные остаются в памяти сервера, и если сервер взломан, их оттуда достанут - на этом построены типовые атаки с захватом всего домена.

Теневое подключение - встроенный способ посмотреть экран пользователя или помочь ему. Администратор узнаёт номер сессии командой quser и подключается: mstsc /shadow:3 /control. Без ключа /control будет только просмотр. Ключ /noConsentPrompt подключает без вопроса пользователю, но сработает, только если это разрешено политикой «Установить правила удалённого управления сеансами пользователей служб удалённых рабочих столов» в подразделе «Подключения». По умолчанию пользователь видит запрос и может отказать.

Для поддержки хватает режима с разрешением пользователя. Режим без запроса формально решает задачу контроля, но тайное наблюдение за экраном - уже вопрос трудового права. Контроль рабочих мест закрепляют локальным актом и знакомят с ним сотрудников под подпись, а формулировки лучше согласовать с юристом.

Журналы: кто, когда и откуда подключался

Все входы по RDP Windows записывает в журналы сама. Нужно знать, где смотреть, и не дать журналам перезаписаться за несколько дней.

Журнал «Безопасность» по умолчанию ограничен 20 МБ, и на сервере с десятками пользователей старые записи вытесняются быстро. Увеличьте его размер или пересылайте события на отдельный сервер: встроенной пересылкой событий Windows или в SIEM. Тогда записи не сотрёт и злоумышленник, получивший права администратора. Кто какие файлы открывал и удалял, по этим журналам не увидеть, это аудит файлов на файловом сервере, его включают отдельно.

Резервное копирование и восстановление

Терминальный сервер с данными всей компании - первая цель шифровальщика. Попав в одну сессию, вредонос шифрует всё, до чего дотягивается этот пользователь, включая общие папки. Получив права администратора, удаляет теневые копии и шифрует подключённые сетевые диски с бэкапами.

Отсюда несколько правил:

• хотя бы одна копия должна быть недоступна из домена: отдельный сервер резервного копирования со своими учётными записями, хранилище с защитой от изменения или съёмный носитель;
• теневые копии тома удобны, чтобы вернуть случайно удалённый файл, но бэкапом не считаются: шифровальщики удаляют их одной командой;
• кроме данных, сохраните описание конфигурации: роли, сервер лицензирования RDS, настройки коллекции, пути к профилям. Без него восстановление растягивается на дни;
• раз в квартал восстанавливайте из копии реальный файл и реальную базу 1С. Если из копии ни разу не восстанавливались, вы узнаете, что она битая, в день аварии.

Сколько данных допустимо потерять и как быстро нужно вернуться к работе, считают заранее, и от этих двух чисел зависит схема копирования. Подробно - в статье RPO и RTO простыми словами.

Соответствие законодательным требованиям

Если на терминальном сервере работают с персональными данными клиентов или сотрудников (1С: Зарплата, CRM, базы покупателей), сервер входит в информационную систему персональных данных и подпадает под 152-ФЗ. Отдельного закона про терминальные серверы нет, требования те же, что к любой такой системе.

Что требуется на деле. Определить уровень защищённости персональных данных по постановлению правительства № 1119 и выполнить меры из приказа ФСТЭК № 21. Оценить эффективность этих мер до ввода системы в работу и потом повторять не реже раза в три года: самостоятельно или с лицензиатом ФСТЭК. Терминальная архитектура здесь помогает, потому что персональные данные лежат в одном месте и доступ к ним виден в одних журналах.

Штрафы за нарушения выросли заметно. С 30 мая 2025 года за утечку персональных данных тысячи и более человек организация платит от 3 до 20 млн рублей в зависимости от числа записей и вида данных, а за повторную - оборотный штраф от 1 до 3% годовой выручки (статья 13.11 КоАП). За то, что компания не уведомила Роскомнадзор о начале обработки персональных данных, грозит 100-300 тыс. рублей даже без всякой утечки.

Частая путаница - «сертифицировать сервер в ФСТЭК». ФСТЭК сертифицирует средства защиты, а не компании и не серверы. Если модель угроз требует сертифицированной защиты от несанкционированного доступа, для терминальных серверов есть продукты, которые умеют работать с терминальными сессиями: Secret Net Studio, Dallas Lock, «Аккорд-Win64 TSE» от ОКБ САПР (последний сделан именно под терминальный доступ). Для госорганов и учреждений с 1 марта 2026 года действует приказ ФСТЭК № 117: критические уязвимости нужно устранять за 24 часа, так что обновления терминального сервера больше нельзя откладывать до ежемесячного окна.

Если терминальный сервер переводят на отечественный стек, вариант - Astra Linux (у самой ОС есть сертификат ФСТЭК) с Termidesk Terminal и сервером терминального доступа STAL.

С чего начать, если сервер уже работает

Порядок, при котором опасное закрывается в первый же день:

1. Проверить, не проброшен ли 3389 наружу на роутере. Если проброшен - закрыть и дать удалённым сотрудникам VPN или шлюз.
2. Убедиться, что NLA включена и работает блокировка после неудачных попыток входа.
3. Выключить политикой перенаправление дисков и USB-устройств, буфер обмена - по ситуации.
4. Пройтись по корню системного диска и общим папкам: что лежит вне профилей и кто может это читать.
5. Задать тайм-аут отключённых сессий и блокировку экрана.
6. Развести учётки администраторов. Администратор домена на терминальный сервер не входит.
7. Увеличить журнал «Безопасность» и настроить пересылку событий.
8. Проверить, что хотя бы одна резервная копия недоступна из домена, и восстановить из неё один файл.

Частые вопросы

Можно ли скопировать файлы с терминального сервера на флешку?

Да, если на сервере не запрещено перенаправление дисков. Пользователь отмечает в RDP-клиенте локальные диски, флешка появляется внутри сессии как обычный диск, и файлы копируются перетаскиванием. Запрещается это политикой «Не разрешать перенаправление дисков» на сервере.

Как запретить копирование через буфер обмена в RDP?

Политикой «Не разрешать перенаправление буфера обмена» в разделе «Перенаправление устройств и ресурсов». На Windows Server 2022 с обновлением от июля 2024 года и на Windows Server 2025 можно запретить только копирование из сессии на компьютер пользователя, оставив вставку внутрь сессии.

Безопасно ли открыть RDP в интернет, если пароль сложный?

Нет. Пароль защищает от перебора, но не от уязвимостей протокола: в 2019 году через уязвимость BlueKeep старые версии Windows Server захватывали по RDP вообще без пароля. Снаружи подключайтесь через VPN или шлюз удалённых рабочих столов.

Как посмотреть, кто подключался к терминальному серверу?

В журнале «Безопасность» искать события 4624 с типом входа 10, в журнале TerminalServices-LocalSessionManager/Operational - события 21 и 25 с именем и IP-адресом. Кто подключён прямо сейчас, показывает команда quser.