ইন্টারনেটে আরডিপি খোলা রাখা কি বিপজ্জনক?

আমি প্রায়ই মতামত পড়েছি যে ইন্টারনেটের জন্য একটি RDP (রিমোট ডেস্কটপ প্রোটোকল) পোর্ট খোলা রাখা খুবই অনিরাপদ এবং করা উচিত নয়। কিন্তু আপনাকে VPN এর মাধ্যমে RDP-তে অ্যাক্সেস দিতে হবে, অথবা শুধুমাত্র নির্দিষ্ট "সাদা" আইপি ঠিকানা থেকে।

আমি ছোট ফার্মগুলির জন্য বেশ কয়েকটি উইন্ডোজ সার্ভার পরিচালনা করি যেখানে আমাকে অ্যাকাউন্টেন্টদের জন্য উইন্ডোজ সার্ভারে দূরবর্তী অ্যাক্সেস প্রদানের দায়িত্ব দেওয়া হয়েছে। এই হল আধুনিক প্রবণতা - ঘরে বসে কাজ করা। খুব দ্রুত, আমি বুঝতে পেরেছি যে VPN অ্যাকাউন্ট্যান্টদের কষ্ট দেওয়া একটি অকৃতজ্ঞ কাজ, এবং সাদা তালিকার জন্য সমস্ত আইপি সংগ্রহ করা কাজ করবে না, কারণ মানুষের আইপি ঠিকানাগুলি গতিশীল।

অতএব, আমি সহজতম রুট নিয়েছি - আরডিপি পোর্টটিকে বাইরের দিকে ফরোয়ার্ড করেছি। অ্যাক্সেস পেতে, অ্যাকাউন্ট্যান্টদের এখন আরডিপি চালাতে হবে এবং হোস্টনাম (পোর্ট সহ), ব্যবহারকারীর নাম এবং পাসওয়ার্ড লিখতে হবে।

এই নিবন্ধে আমি আমার অভিজ্ঞতা (ইতিবাচক এবং তাই ইতিবাচক নয়) এবং সুপারিশ শেয়ার করব।

ঝুঁকি

আরডিপি পোর্ট খুলে কী ঝুঁকি নিচ্ছেন?

1) সংবেদনশীল তথ্য অননুমোদিত অ্যাক্সেস
যদি কেউ RDP পাসওয়ার্ড অনুমান করে, তাহলে তারা এমন ডেটা পেতে সক্ষম হবে যা আপনি ব্যক্তিগত রাখতে চান: অ্যাকাউন্টের স্থিতি, ব্যালেন্স, গ্রাহক ডেটা, ...

2) ডেটা ক্ষতি
উদাহরণস্বরূপ, একটি ransomware ভাইরাসের ফলে।
অথবা একটি আক্রমণকারী দ্বারা একটি ইচ্ছাকৃত পদক্ষেপ.

3) ওয়ার্কস্টেশনের ক্ষতি
শ্রমিকদের কাজ করতে হবে, কিন্তু সিস্টেমটি আপস করা হয়েছে এবং পুনরায় ইনস্টল/পুনরুদ্ধার/কনফিগার করা প্রয়োজন।

4) স্থানীয় নেটওয়ার্কের আপস
যদি একজন আক্রমণকারী একটি উইন্ডোজ কম্পিউটারে অ্যাক্সেস অর্জন করে থাকে, তাহলে এই কম্পিউটার থেকে সে ইন্টারনেট থেকে বাইরে থেকে অ্যাক্সেসযোগ্য সিস্টেমগুলি অ্যাক্সেস করতে সক্ষম হবে। উদাহরণস্বরূপ, শেয়ার ফাইল করা, নেটওয়ার্ক প্রিন্টার ইত্যাদি।

আমার একটি কেস ছিল যেখানে উইন্ডোজ সার্ভার একটি র্যানসমওয়্যার ধরেছিল

এবং এই র‍্যানসমওয়্যারটি প্রথমে C: ড্রাইভে থাকা বেশিরভাগ ফাইল এনক্রিপ্ট করেছিল এবং তারপরে নেটওয়ার্কে NAS-এ ফাইলগুলিকে এনক্রিপ্ট করা শুরু করেছিল৷ যেহেতু NAS Synology ছিল, স্ন্যাপশট কনফিগার করা সহ, আমি 5 মিনিটের মধ্যে NAS পুনরুদ্ধার করেছি এবং স্ক্র্যাচ থেকে উইন্ডোজ সার্ভার পুনরায় ইনস্টল করেছি।

পর্যবেক্ষণ এবং সুপারিশ

আমি উইন্ডোজ সার্ভার ব্যবহার করে নিরীক্ষণ করি Winlogbeat, যা ইলাস্টিক সার্চে লগ পাঠায়। কিবানার বেশ কয়েকটি ভিজ্যুয়ালাইজেশন রয়েছে এবং আমি একটি কাস্টম ড্যাশবোর্ডও সেট আপ করেছি।
নিরীক্ষণ নিজেই রক্ষা করে না, তবে এটি প্রয়োজনীয় ব্যবস্থা নির্ধারণে সহায়তা করে।

এখানে কিছু পর্যবেক্ষণ আছে:
ক) আরডিপি নৃশংসভাবে বাধ্য হবে।
একটি সার্ভারে, আমি স্ট্যান্ডার্ড পোর্ট 3389 এ আরডিপি ইনস্টল করেছি না, তবে 443-এ - ভাল, আমি নিজেকে HTTPS হিসাবে ছদ্মবেশ ধারণ করব। এটি সম্ভবত স্ট্যান্ডার্ড থেকে পোর্ট পরিবর্তন করা মূল্যবান, তবে এটি খুব বেশি ভাল করবে না। এখানে এই সার্ভার থেকে পরিসংখ্যান আছে:

এটি দেখা যায় যে এক সপ্তাহে RDP-এর মাধ্যমে লগ ইন করার প্রায় 400 ব্যর্থ প্রচেষ্টা ছিল।
এটি দেখা যায় যে 55 আইপি ঠিকানা থেকে লগ ইন করার চেষ্টা করা হয়েছে (কিছু আইপি ঠিকানা ইতিমধ্যেই আমার দ্বারা অবরুদ্ধ ছিল)।

এটি সরাসরি উপসংহার প্রস্তাব করে যে আপনাকে fail2ban সেট করতে হবে, কিন্তু

উইন্ডোজের জন্য এমন কোন ইউটিলিটি নেই।

গিথুবে কয়েকটি পরিত্যক্ত প্রকল্প রয়েছে যা এটি করে বলে মনে হচ্ছে, তবে আমি সেগুলি ইনস্টল করার চেষ্টাও করিনি:
https://github.com/glasnt/wail2ban
https://github.com/EvanAnderson/ts_block

প্রদত্ত ইউটিলিটিগুলিও রয়েছে, তবে আমি সেগুলি বিবেচনা করিনি।

আপনি যদি এই উদ্দেশ্যে একটি ওপেন সোর্স ইউটিলিটি জানেন তবে দয়া করে মন্তব্যে শেয়ার করুন৷

আপডেট: মন্তব্যগুলি প্রস্তাব করেছে যে পোর্ট 443 একটি খারাপ পছন্দ, এবং উচ্চ পোর্ট (32000+) বেছে নেওয়া ভাল, কারণ 443 প্রায়শই স্ক্যান করা হয় এবং এই পোর্টে RDP চিনতে সমস্যা হয় না৷

খ) কিছু ব্যবহারকারীর নাম আছে যা আক্রমণকারীরা পছন্দ করে
দেখা যায় বিভিন্ন নামের অভিধানে অনুসন্ধান চালানো হয়।
কিন্তু আমি যা লক্ষ্য করেছি তা এখানে: একটি উল্লেখযোগ্য সংখ্যক প্রচেষ্টা সার্ভারের নাম লগইন হিসাবে ব্যবহার করছে। সুপারিশ: কম্পিউটার এবং ব্যবহারকারীর জন্য একই নাম ব্যবহার করবেন না। তদুপরি, কখনও কখনও মনে হয় যে তারা সার্ভারের নামটি কোনওভাবে পার্স করার চেষ্টা করছে: উদাহরণস্বরূপ, DESKTOP-DFTHD7C নামের একটি সিস্টেমের জন্য, DFTHD7C নাম দিয়ে লগ ইন করার সর্বাধিক প্রচেষ্টা করা হয়:

তদনুসারে, আপনার যদি একটি ডেস্কটপ-মারিয়া কম্পিউটার থাকে, আপনি সম্ভবত MARIA ব্যবহারকারী হিসাবে লগ ইন করার চেষ্টা করবেন৷

আরেকটি জিনিস আমি লগ থেকে লক্ষ্য করেছি: বেশিরভাগ সিস্টেমে, লগ ইন করার বেশিরভাগ প্রচেষ্টা "প্রশাসক" নামে হয়। এবং এটি কারণ ছাড়া নয়, কারণ উইন্ডোজের অনেক সংস্করণে এই ব্যবহারকারী বিদ্যমান। তাছাড়া, এটি মুছে ফেলা যাবে না। এটি আক্রমণকারীদের জন্য কাজটি সহজ করে: একটি নাম এবং পাসওয়ার্ড অনুমান করার পরিবর্তে, আপনাকে শুধুমাত্র পাসওয়ার্ডটি অনুমান করতে হবে।
যাইহোক, যে সিস্টেমটি র‍্যানসমওয়্যারটি ধরেছিল তার ব্যবহারকারীর প্রশাসক এবং পাসওয়ার্ড ছিল Murmansk#9। আমি এখনও নিশ্চিত নই যে কীভাবে সেই সিস্টেমটি হ্যাক করা হয়েছিল, কারণ আমি সেই ঘটনার পরেই পর্যবেক্ষণ শুরু করেছি, তবে আমি মনে করি যে ওভারকিল সম্ভবত।
তাই যদি প্রশাসক ব্যবহারকারী মুছে ফেলা না যায়, তাহলে আপনার কি করা উচিত? আপনি এটি পুনঃনামকরণ করতে পারেন!

এই অনুচ্ছেদ থেকে সুপারিশ:

• কম্পিউটারের নামে ব্যবহারকারীর নাম ব্যবহার করবেন না
• নিশ্চিত করুন যে সিস্টেমে কোনো প্রশাসক ব্যবহারকারী নেই
• শক্তিশালী পাসওয়ার্ড ব্যবহার করুন

সুতরাং, আমি আমার নিয়ন্ত্রণে থাকা বেশ কয়েকটি উইন্ডোজ সার্ভারকে প্রায় কয়েক বছর ধরে জবরদস্তি করা হচ্ছে, এবং সফলতা ছাড়াই দেখছি।

আমি কিভাবে জানি এটা ব্যর্থ?
কারণ উপরের স্ক্রিনশটগুলিতে আপনি দেখতে পাচ্ছেন যে সফল RDP কলগুলির লগ রয়েছে, যার মধ্যে তথ্য রয়েছে:

• যে আইপি থেকে
• কোন কম্পিউটার থেকে (হোস্টনাম)
• ইউজার নেম
• জিওআইপি তথ্য

এবং আমি সেখানে নিয়মিত পরীক্ষা করি - কোন অসঙ্গতি পাওয়া যায়নি।

যাইহোক, যদি একটি নির্দিষ্ট আইপিকে বিশেষভাবে কঠোরভাবে বাধ্য করা হয়, তাহলে আপনি PowerShell-এ এভাবে পৃথক আইপি (বা সাবনেট) ব্লক করতে পারেন:

New-NetFirewallRule -Direction Inbound -DisplayName "fail2ban" -Name "fail2ban" -RemoteAddress ("185.143.0.0/16", "185.153.0.0/16", "193.188.0.0/16") -Action Block

উপায় দ্বারা, ইলাস্টিক, Winlogbeat ছাড়াও, এছাড়াও আছে অডিটবিট, যা সিস্টেমে ফাইল এবং প্রক্রিয়া নিরীক্ষণ করতে পারে। কিবানায় একটি SIEM (নিরাপত্তা তথ্য ও ইভেন্ট ম্যানেজমেন্ট) অ্যাপ্লিকেশনও রয়েছে। আমি উভয়ই চেষ্টা করেছি, কিন্তু খুব বেশি সুবিধা দেখতে পাইনি - দেখে মনে হচ্ছে অডিটবিট লিনাক্স সিস্টেমের জন্য আরও কার্যকর হবে, এবং SIEM আমাকে এখনও বোধগম্য কিছু দেখায়নি।

ঠিক আছে, চূড়ান্ত সুপারিশ:

• নিয়মিত স্বয়ংক্রিয় ব্যাকআপ করুন।
• একটি সময়মত পদ্ধতিতে নিরাপত্তা আপডেট ইনস্টল করুন

বোনাস: 50 জন ব্যবহারকারীর তালিকা যারা প্রায়শই RDP লগইন প্রচেষ্টার জন্য ব্যবহৃত হয়

"user.name: descending"
গণনা

dfthd7c (হোস্টনেম)
842941

winsrv1 (হোস্টনেম)
266525

প্রশাসক
180678

প্রশাসক
163842

প্রশাসক
53541

মাইকেল
23101

সার্ভার
21983

স্টিভ
21936

জন
21927

পল
21913

অভ্যর্থনা
21909

মাইক
21899

দপ্তর
21888

স্ক্যানার
21887

স্ক্যান
21867

ডেভিড
21865

ক্রিস
21860

মালিক
21855

পরিচালক
21852

প্রশাসক
21841

ব্রায়ান
21839

প্রশাসক
21837

ছাপ
21824

কর্মী
21806

প্রশাসন
12748

Root- র
7772

প্রশাসক
7325

সাপোর্ট
5577

সমর্থন
5418

USER কে
4558

অ্যাডমিন
2832

পরীক্ষা
1928

মাই এসকিএল
1664

অ্যাডমিন
1652

ভাল
1322

ব্যবহারকারী 1
1179

স্ক্যানার
1121

স্ক্যান
1032

অ্যাডমিনিস্ট্রেটর
842

অ্যাডমিন 1
525

ব্যাকআপ
518

মাইএসকিউএলএডমিন
518

গ্রহণ করুন TION
490

ব্যবহারকারী 2
466

টেম্প
452

SQLADMIN
450

ব্যবহারকারী 3
441

1
422

ম্যানেজার
418

OWNER এর
410

উত্স: www.habr.com