1। ভূমিকা

যেসব কোম্পানিতে দূরবর্তী অ্যাক্সেস সিস্টেম নেই তারা কয়েক মাস আগে জরুরিভাবে তাদের মোতায়েন করেছে। সমস্ত প্রশাসক এই ধরনের "তাপ" এর জন্য প্রস্তুত ছিলেন না, যার ফলে নিরাপত্তার ত্রুটি ঘটেছে: পরিষেবাগুলির ভুল কনফিগারেশন বা এমনকি পূর্বে আবিষ্কৃত দুর্বলতা সহ সফ্টওয়্যারের পুরানো সংস্করণগুলির ইনস্টলেশন। কারও কারও জন্য, এই বাদ দেওয়াগুলি ইতিমধ্যেই বুমেরেঞ্জ হয়েছে, অন্যরা আরও ভাগ্যবান ছিল, তবে প্রত্যেকের অবশ্যই সিদ্ধান্তে আসা উচিত। দূরবর্তী কাজের প্রতি আনুগত্য দ্রুতগতিতে বৃদ্ধি পেয়েছে, এবং আরও অনেক কোম্পানি চলমান ভিত্তিতে একটি গ্রহণযোগ্য বিন্যাস হিসাবে দূরবর্তী কাজকে গ্রহণ করছে।

সুতরাং, দূরবর্তী অ্যাক্সেস প্রদানের জন্য অনেকগুলি বিকল্প রয়েছে: বিভিন্ন VPN, RDS এবং VNC, TeamViewer এবং অন্যান্য। একটি কর্পোরেট নেটওয়ার্ক এবং এতে ডিভাইসগুলি নির্মাণের সুনির্দিষ্টতার উপর ভিত্তি করে প্রশাসকদের বেছে নেওয়ার জন্য প্রচুর আছে৷ ভিপিএন সলিউশনগুলি সবচেয়ে জনপ্রিয় থেকে যায়, তবে অনেক ছোট কোম্পানি আরডিএস (রিমোট ডেস্কটপ সার্ভিস) বেছে নেয়, সেগুলি মোতায়েন করা সহজ এবং দ্রুত।

এই নিবন্ধে আমরা RDS নিরাপত্তা সম্পর্কে আরও কথা বলব। আসুন পরিচিত দুর্বলতার একটি সংক্ষিপ্ত ওভারভিউ করা যাক, এবং অ্যাক্টিভ ডিরেক্টরির উপর ভিত্তি করে একটি নেটওয়ার্ক অবকাঠামোতে আক্রমণ শুরু করার জন্য বেশ কয়েকটি পরিস্থিতি বিবেচনা করুন। আমরা আশা করি আমাদের নিবন্ধটি কাউকে বাগ নিয়ে কাজ করতে এবং নিরাপত্তা উন্নত করতে সাহায্য করবে৷

2. সাম্প্রতিক RDS/RDP দুর্বলতা

যেকোনো সফ্টওয়্যারে ত্রুটি এবং দুর্বলতা রয়েছে যা আক্রমণকারীদের দ্বারা কাজে লাগানো যেতে পারে এবং RDS এর ব্যতিক্রম নয়। মাইক্রোসফ্ট ইদানীং ঘন ঘন নতুন দুর্বলতা রিপোর্ট করছে, তাই আমরা তাদের একটি সংক্ষিপ্ত ওভারভিউ দেওয়ার সিদ্ধান্ত নিয়েছি:

• জন্য CVE-2019-0787

এই দুর্বলতা ব্যবহারকারীদের ঝুঁকির মধ্যে রাখে যারা একটি আপস করা সার্ভারের সাথে সংযোগ স্থাপন করে। একজন আক্রমণকারী একটি ব্যবহারকারীর ডিভাইসের নিয়ন্ত্রণ অর্জন করতে পারে বা স্থায়ী দূরবর্তী অ্যাক্সেসের জন্য সিস্টেমে পা রাখতে পারে।

• জন্য CVE-2019-1181 / জন্য CVE-2019-1182 / জন্য CVE-2020-0609

দুর্বলতার এই গোষ্ঠীটি একটি অননুমোদিত আক্রমণকারীকে একটি বিশেষভাবে তৈরি করা অনুরোধ ব্যবহার করে RDS চলমান সার্ভারে দূরবর্তীভাবে নির্বিচারে কোড চালানোর অনুমতি দেয়। এগুলি কৃমি তৈরি করতেও ব্যবহার করা যেতে পারে - ম্যালওয়্যার যা স্বাধীনভাবে নেটওয়ার্কে প্রতিবেশী ডিভাইসগুলিকে সংক্রামিত করে৷ এইভাবে, এই দুর্বলতাগুলি পুরো কোম্পানির নেটওয়ার্ককে বিপদে ফেলতে পারে, এবং শুধুমাত্র সময়মত আপডেটগুলি তাদের বাঁচাতে পারে।

রিমোট অ্যাক্সেস সফ্টওয়্যার গবেষক এবং আক্রমণকারী উভয়ের কাছ থেকে মনোযোগ বৃদ্ধি পেয়েছে, তাই আমরা শীঘ্রই আরও অনুরূপ দুর্বলতা সম্পর্কে শুনতে পারি।

ভাল খবর হল যে সমস্ত দুর্বলতার জনসাধারণের শোষণ উপলব্ধ নয়। খারাপ খবরটি হ'ল বর্ণনার উপর ভিত্তি করে দুর্বলতার জন্য একটি শোষণ লিখতে বা প্যাচ ডিফিং (আমাদের সহকর্মীরা এটি সম্পর্কে লিখেছেন প্রবন্ধ) অতএব, আমরা সুপারিশ করি যে আপনি নিয়মিত সফ্টওয়্যার আপডেট করুন এবং আবিষ্কৃত দুর্বলতা সম্পর্কে নতুন বার্তাগুলির উপস্থিতি পর্যবেক্ষণ করুন।

3. আক্রমণ

আমরা নিবন্ধের দ্বিতীয় অংশে চলে যাই, যেখানে আমরা দেখাব কিভাবে সক্রিয় ডিরেক্টরির উপর ভিত্তি করে নেটওয়ার্ক পরিকাঠামোতে আক্রমণ শুরু হয়।

বর্ণিত পদ্ধতিগুলি আক্রমণকারীর নিম্নলিখিত মডেলের জন্য প্রযোজ্য: একজন আক্রমণকারী যার একটি ব্যবহারকারীর অ্যাকাউন্ট আছে এবং রিমোট ডেস্কটপ গেটওয়েতে অ্যাক্সেস রয়েছে - একটি টার্মিনাল সার্ভার (প্রায়শই এটি অ্যাক্সেসযোগ্য, উদাহরণস্বরূপ, একটি বাহ্যিক নেটওয়ার্ক থেকে)। এই পদ্ধতিগুলি ব্যবহার করে, আক্রমণকারী অবকাঠামোতে আক্রমণ চালিয়ে যেতে এবং নেটওয়ার্কে তার উপস্থিতি একত্রিত করতে সক্ষম হবে।

প্রতিটি নির্দিষ্ট ক্ষেত্রে নেটওয়ার্ক কনফিগারেশন ভিন্ন হতে পারে, তবে বর্ণিত কৌশলগুলি বেশ সর্বজনীন।

একটি সীমাবদ্ধ পরিবেশ ছেড়ে যাওয়ার এবং সুযোগ-সুবিধা বৃদ্ধির উদাহরণ

রিমোট ডেস্কটপ গেটওয়ে অ্যাক্সেস করার সময়, একজন আক্রমণকারী সম্ভবত কিছু ধরণের সীমাবদ্ধ পরিবেশের সম্মুখীন হবে। আপনি যখন একটি টার্মিনাল সার্ভারের সাথে সংযোগ করেন, তখন এটিতে একটি অ্যাপ্লিকেশন চালু হয়: অভ্যন্তরীণ সংস্থান, এক্সপ্লোরার, অফিস প্যাকেজ বা অন্য কোনো সফ্টওয়্যারের জন্য রিমোট ডেস্কটপ প্রোটোকলের মাধ্যমে সংযোগ করার জন্য একটি উইন্ডো।

আক্রমণকারীর লক্ষ্য হবে এক্সিকিউট কমান্ডে অ্যাক্সেস লাভ করা, অর্থাৎ cmd বা পাওয়ারশেল চালু করা। বেশ কিছু ক্লাসিক উইন্ডোজ স্যান্ডবক্স এস্কেপ কৌশল এতে সাহায্য করতে পারে। আসুন তাদের আরও বিবেচনা করি।

অপশন 1. আক্রমণকারীর রিমোট ডেস্কটপ গেটওয়ের মধ্যে রিমোট ডেস্কটপ সংযোগ উইন্ডোতে অ্যাক্সেস রয়েছে:

"বিকল্প দেখান" মেনু খোলে। সংযোগ কনফিগারেশন ফাইল ম্যানিপুলেট করার জন্য বিকল্প উপস্থিত হয়:

এই উইন্ডো থেকে আপনি "ওপেন" বা "সেভ" বোতামের যেকোনো একটিতে ক্লিক করে সহজেই এক্সপ্লোরার অ্যাক্সেস করতে পারেন:

এক্সপ্লোরার খোলে। এটির "অ্যাড্রেস বার" এটিকে অনুমোদিত এক্সিকিউটেবল ফাইলগুলি লঞ্চ করা এবং সেইসাথে ফাইল সিস্টেমের তালিকা করা সম্ভব করে তোলে। সিস্টেম ড্রাইভগুলি লুকানো থাকে এবং সরাসরি অ্যাক্সেস করা যায় না এমন ক্ষেত্রে এটি আক্রমণকারীর জন্য দরকারী হতে পারে:

→ ডেমো ভিডিও

একটি অনুরূপ দৃশ্য পুনরুত্পাদন করা যেতে পারে, উদাহরণস্বরূপ, দূরবর্তী সফ্টওয়্যার হিসাবে Microsoft Office স্যুট থেকে Excel ব্যবহার করার সময়।

→ ডেমো ভিডিও

উপরন্তু, এই অফিস স্যুট ব্যবহৃত ম্যাক্রো সম্পর্কে ভুলবেন না. আমাদের সহকর্মীরা এতে ম্যাক্রো নিরাপত্তার সমস্যা দেখেছেন প্রবন্ধ.

অপশন 2. আগের সংস্করণের মতো একই ইনপুট ব্যবহার করে, আক্রমণকারী একই অ্যাকাউন্টের অধীনে দূরবর্তী ডেস্কটপে বেশ কয়েকটি সংযোগ চালু করে। আপনি যখন পুনরায় সংযোগ করবেন, প্রথমটি বন্ধ হয়ে যাবে এবং একটি ত্রুটি বিজ্ঞপ্তি সহ একটি উইন্ডো পর্দায় উপস্থিত হবে৷ এই উইন্ডোতে সহায়তা বোতামটি সার্ভারে ইন্টারনেট এক্সপ্লোরারকে কল করবে, যার পরে আক্রমণকারী এক্সপ্লোরারে যেতে পারে।

→ ডেমো ভিডিও

অপশন 3. যদি এক্সিকিউটেবল ফাইলগুলি চালু করার উপর নিষেধাজ্ঞাগুলি কনফিগার করা হয়, তাহলে একজন আক্রমণকারী এমন পরিস্থিতির সম্মুখীন হতে পারে যেখানে গোষ্ঠী নীতিগুলি প্রশাসককে cmd.exe চালানো থেকে নিষিদ্ধ করে৷

cmd.exe /K <command> এর মত বিষয়বস্তু সহ দূরবর্তী ডেস্কটপে ব্যাট ফাইল চালানোর মাধ্যমে এটির কাছাকাছি যাওয়ার একটি উপায় রয়েছে। cmd শুরু করার সময় একটি ত্রুটি এবং একটি ব্যাট ফাইল চালানোর একটি সফল উদাহরণ নীচের চিত্রে দেখানো হয়েছে।

অপশন 4. এক্সিকিউটেবল ফাইলের নামের উপর ভিত্তি করে ব্ল্যাকলিস্ট ব্যবহার করে অ্যাপ্লিকেশান লঞ্চ করা নিষেধ করা একটি নিরাময় নয়; সেগুলিকে ঠেকানো যেতে পারে।

নিম্নলিখিত পরিস্থিতি বিবেচনা করুন: আমরা কমান্ড লাইনে অ্যাক্সেস অক্ষম করেছি, গ্রুপ নীতিগুলি ব্যবহার করে ইন্টারনেট এক্সপ্লোরার এবং পাওয়ারশেল চালু করতে বাধা দিয়েছি। আক্রমণকারী সাহায্যের জন্য কল করার চেষ্টা করে - কোন সাড়া নেই। একটি মডেল উইন্ডোর কনটেক্সট মেনুর মাধ্যমে পাওয়ারশেল চালু করার চেষ্টা করা হচ্ছে, যা শিফট কী টিপে বলা হয় - একটি বার্তা নির্দেশ করে যে প্রশাসক দ্বারা লঞ্চ করা নিষিদ্ধ। অ্যাড্রেস বারের মাধ্যমে পাওয়ারশেল চালু করার চেষ্টা করে - আবার কোনও প্রতিক্রিয়া নেই। কিভাবে সীমাবদ্ধতা বাইপাস?

C:WindowsSystem32WindowsPowerShellv1.0 ফোল্ডার থেকে powershell.exe ব্যবহারকারী ফোল্ডারে অনুলিপি করা, powershell.exe ছাড়া অন্য কিছুতে নাম পরিবর্তন করা এবং লঞ্চ বিকল্পটি উপস্থিত হবে।

ডিফল্টরূপে, একটি দূরবর্তী ডেস্কটপে সংযোগ করার সময়, ক্লায়েন্টের স্থানীয় ডিস্কগুলিতে অ্যাক্সেস সরবরাহ করা হয়, যেখান থেকে একজন আক্রমণকারী powershell.exe কপি করতে পারে এবং এটির নাম পরিবর্তন করার পরে এটি চালাতে পারে।

→ ডেমো ভিডিও

আমরা বিধিনিষেধগুলিকে বাইপাস করার কয়েকটি উপায় দিয়েছি; আপনি আরও অনেক পরিস্থিতি নিয়ে আসতে পারেন, তবে সেগুলির মধ্যে একটি জিনিস মিল রয়েছে: Windows Explorer-এ অ্যাক্সেস। অনেকগুলি অ্যাপ্লিকেশন রয়েছে যা স্ট্যান্ডার্ড উইন্ডোজ ফাইল ম্যানিপুলেশন সরঞ্জামগুলি ব্যবহার করে এবং যখন একটি সীমিত পরিবেশে স্থাপন করা হয়, অনুরূপ কৌশলগুলি ব্যবহার করা যেতে পারে।

4. সুপারিশ এবং উপসংহার

আমরা দেখতে পাচ্ছি, এমনকি একটি সীমিত পরিবেশেও আক্রমণের বিকাশের জায়গা রয়েছে। যাইহোক, আপনি আক্রমণকারীর জন্য জীবন আরও কঠিন করতে পারেন। আমরা সাধারণ সুপারিশ প্রদান করি যা আমাদের বিবেচনা করা বিকল্প এবং অন্যান্য ক্ষেত্রে উভয় ক্ষেত্রেই কার্যকর হবে।

• গ্রুপ নীতি ব্যবহার করে কালো/সাদা তালিকায় সীমাবদ্ধ প্রোগ্রাম চালু করুন।
  বেশিরভাগ ক্ষেত্রে, তবে, কোড চালানো সম্ভব। আমরা আপনাকে এই প্রকল্পের সাথে নিজেকে পরিচিত করার পরামর্শ দিই ললবাস, ফাইল ম্যানিপুলেট করার এবং সিস্টেমে কোড এক্সিকিউট করার অনথিভুক্ত উপায় সম্পর্কে ধারণা থাকা।
  আমরা উভয় ধরনের বিধিনিষেধ একত্রিত করার পরামর্শ দিই: উদাহরণস্বরূপ, আপনি মাইক্রোসফ্ট দ্বারা স্বাক্ষরিত এক্সিকিউটেবল ফাইলগুলি লঞ্চ করার অনুমতি দিতে পারেন, তবে cmd.exe চালু করা সীমাবদ্ধ করুন৷
• ইন্টারনেট এক্সপ্লোরার সেটিংস ট্যাবগুলি অক্ষম করুন (রেজিস্ট্রিতে স্থানীয়ভাবে করা যেতে পারে)।
• regedit এর মাধ্যমে উইন্ডোজ বিল্ট-ইন সহায়তা অক্ষম করুন।
• দূরবর্তী সংযোগের জন্য স্থানীয় ডিস্ক মাউন্ট করার ক্ষমতা অক্ষম করুন যদি এই ধরনের সীমাবদ্ধতা ব্যবহারকারীদের জন্য গুরুত্বপূর্ণ না হয়।
• দূরবর্তী মেশিনের স্থানীয় ড্রাইভে অ্যাক্সেস সীমিত করুন, শুধুমাত্র ব্যবহারকারীর ফোল্ডারগুলিতে অ্যাক্সেস রেখে।

আমরা আশা করি আপনি এটি অন্তত আকর্ষণীয় পেয়েছেন এবং সর্বাধিক, এই নিবন্ধটি আপনার কোম্পানির দূরবর্তী কাজকে নিরাপদ করতে সাহায্য করবে।

উত্স: www.habr.com