terminal服务或RDP瘦客户机解决scheme是否安全？

您的疑虑基本上是正确的 – 在传统的Windows Server远程桌面服务中，您拥有共享的资产。 这不仅仅是因为病毒造成的一个问题，但是您应该记住，任何用户都可以通过多种方式影响盒子上的其他人 – CPU，RAM，磁盘I / O和使用等。

所有这些问题都没有简单的答案，尽pipe有一些工具可以缓解。 回到原来的问题，答案是确保您使用A / V，利用基于networking的安全性并使用组策略等工具来locking用户环境。 我已经和数以百计的terminal服务器合作过了，如果采取正确的预防措施，病毒应该几乎不成问题。

尽pipe如此，瘦客户机的优势还是值得考虑的。 如果您正确地扩展您的基础设施，用户不应该注意到服务器正在生产。 结合良好的灾难恢复实践和监测，整个端到端的修复可以是完全透明的。

terminal服务或RDP瘦客户机解决scheme是否不安全？

在许多方面，terminal服务器环境就像安全angular度的典型桌面一样。 但在某些方面，情况则不同。

• 您的用户不是pipe理员/权力用户
  • 他们不能安装软件。 所以你有一个很好的理解有限的软件select，你可以保持补丁应用。 订阅所有供应商的邮件列表等。
  • 让一些高级pipe理员/高级用户，因为他们简单地抱怨不是一种select。 如果你给任何最终用户pipe理员访问你的terminal服务器有一个很快的机会被迅速抛弃每个人。 你很快就学会了永远不要在terminal服务器上做例外。
• 您需要维护/监视的系统数量较less，而且很可能是相似/相同的。
  • 你不必处理模糊的硬件差异，你可以自动安装/更新程序。 您的池中应该有足够的服务器，以便在发布针对关键问题的修补程序时立即从服务器场中取出一个服务器进行更新，testing并恢复在线状态。 您可以让每个成员的TS更新，并有一个非常高的确定性，你有最新的补丁更新的一切。
  • 您可以并且应该设置您的监控系统来收集terminal服务器的CPU，内存和I / O状态，以便监控性能。 典型的感染可能会很快被注意到，因为它会消耗系统资源。
• 由于您正在运行一个很好的标识，并且有限的一套软件白名单工具可能是可行的。 如在软件限制政策 ，或Faronics反EXE或类似的东西。
  • 白名单的方法意味着你明确的批准每一个可以运行的程序。 绝大多数恶意软件根本无法超越白名单
• 您将使用漫游configuration文件和redirect文件夹将最终用户数据保留在文件服务器上。
  • 由于您的所有数据都在其他地方，因此如果terminal服务器被丢弃，您只需重build它。 再次，在你的农场有一个备用的服务器使得这个很容易。
• 你的terminal服务器几乎肯定是64位系统。 这意味着您可以启用所有高级的DEP，内存随机化function等等。 这些并不是万无一失的，但它们减less了攻击面

虽然我当然可以同意，最终用户可能会冒险利用升级漏洞，然后破坏整个系统。 我从来没有见过这种情况发生在大约10年的时间里，我一直在为一些学校维护TS环境。 偶尔会有东西进入并抛弃用户configuration文件，但是整个系统的恶意软件还没有发生。

正确维护的系统以及非常严格的locking访问，安装体面的反恶意软件程序将大部分时间保护您的系统。 维护服务器比维护许多台式机更容易。