Режим «Инкогнито» в RDP – Эффективное решение для обеспечения безопасности
Удаленный рабочий стол Microsoft (RDP) является неотъемлемой частью современной IT-инфраструктуры, позволяя пользователям подключаться к удаленным компьютерам. Однако удобство использования сопряжено с определенными рисками безопасности. В условиях растущих киберугроз Microsoft внедрила специальную функцию безопасности в RDP, известную как «режим инкогнито». Этот режим активируется с помощью параметра /public и предотвращает сохранение следов RDP-сессии в системе.
В этой статье мы подробно рассмотрим, как работает режим «инкогнито», его значение для кибербезопасности и цифровой криминалистики, а также способы его практического применения.
Официальное название этой функции — Public Mode. Он активируется при запуске mstsc.exe (Microsoft Terminal Services Client) с параметром /public. После этого никакие конфиденциальные данные в ходе RDP-сеанса не сохраняются.
При включенном Public Mode исключается сохранение следующих данных:
🔹 Настройки подключения – Файл %USERPROFILE%\Documents\Default.rdp обычно хранит параметры RDP, но в режиме «инкогнито» запись в этот файл блокируется.
🔹 Кэширование учетных данных – В нормальном режиме диспетчер учетных данных Windows сохраняет пароли RDP-сессий в TERMSRV/. В Public Mode эта функция отключается, и пользователю необходимо вводить учетные данные при каждом подключении.
🔹 Кэш битмапов – Для повышения производительности RDP хранит фрагменты экрана в каталоге %LOCALAPPDATA%\Microsoft\Terminal Server Client\Cache. В режиме «инкогнито» этот кэш отключается.
🔹 Очистка критически важных записей в реестре Windows –
- Список последних серверов – Ветка реестра HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default перестает обновляться, что означает отсутствие записей о последних 10 подключениях.
- Подсказки имен пользователей – Ветка HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers\UsernameHint больше не сохраняет учетные данные пользователей.
- Исключения для сертификатов – Доверенные сертификаты для серверов RDP больше не фиксируются в реестре HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers.
Преимущества и недостатки режима «инкогнито»
✅ Преимущества:
✔ Защита от криминалистического анализа – при подключении злоумышленников через RDP не остается IP-адресов или DNS-записей.
✔ Повышенная безопасность – учетные данные, кэшированные файлы и реестровые записи не сохраняются.
✔ Подходит для публичных терминалов – режим незаменим в киосках самообслуживания и для временного доступа сторонних пользователей.
❌ Недостатки:
✖ Требуется повторный ввод учетных данных при каждом подключении.
✖ Отсутствие списка последних серверов затрудняет повторное подключение.
✖ Отключение кэша битмапов может снизить производительность при высокой задержке сети.
📌 Использование Network Level Authentication (NLA) – рекомендуется включать Public Mode в сочетании с NLA для дополнительной защиты.
📌 Применение Privileged Access Management (PAM) – системы управления привилегированным доступом позволяют организовать временную аутентификацию пользователей.
📌 Периодическая проверка RDP-реестра и файла Default.rdp – IT-отделы должны регулярно анализировать настройки RDP, чтобы исключить вредоносные изменения.
📌 Мониторинг активности RDP – системы безопасности должны отслеживать подозрительные подключения и попытки брутфорса.
В 2024 году 32% атак методом брутфорса приходились на RDP, что делает этот протокол одной из главных целей киберпреступников. Public Mode служит важной мерой защиты, предотвращая утечку учетных данных и цифровых следов RDP.
Однако использование этого режима требует баланса между безопасностью и удобством работы. Крупные компании, государственные учреждения и высокорисковые IT-среды должны обязательно его внедрить. С ростом популярности удаленной работы контроль за RDP-сессиями становится важнейшей частью кибербезопасности.
