{"id":41229,"date":"2020-02-06T20:43:00","date_gmt":"2020-02-06T17:43:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/opasno-li-derzhat-otkrytym-rdp-v-internete"},"modified":"2020-02-06T20:43:00","modified_gmt":"2020-02-06T17:43:00","slug":"opasno-li-derzhat-otkrytym-rdp-v-internete","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/opasno-li-derzhat-otkrytym-rdp-v-internete","title":{"rendered":"Je nebezpe\u010dn\u00e9 m\u00edt otev\u0159en\u00e9 RDP na internetu?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

N\u011bkdy jsem \u010detl n\u00e1zor, \u017ee m\u00edt otev\u0159en\u00fd port RDP (Remote Desktop Protocol) na internetu je velmi nebezpe\u010dn\u00e9 a \u017ee by se to nem\u011blo d\u011blat. M\u011bli byste poskytovat p\u0159\u00edstup k RDP pouze p\u0159es VPN nebo pouze z ur\u010dit\u00fdch \"b\u00edl\u00fdch\" IP adres.<\/p>\n

<\/p>\n

Administruji n\u011bkolik Windows Server\u016f pro mal\u00e9 firmy, kde bylo m\u00fdm \u00fakolem zajistit vzd\u00e1len\u00fd p\u0159\u00edstup k Windows Serveru pro \u00fa\u010detn\u00ed. Takov\u00fdto modern\u00ed trend \u2013 pr\u00e1ce z domova. Pom\u011brn\u011b rychle jsem pochopil, \u017ee potr\u00e1pit \u00fa\u010detn\u00ed VPN je nevd\u011b\u010dn\u00e9, a \u017ee se mi nepoda\u0159\u00ed shrom\u00e1\u017edit v\u0161echny IP adresy pro b\u00edl\u00fd seznam, proto\u017ee adresy lid\u00ed jsou dynamick\u00e9.<\/p>\n

<\/p>\n

Proto jsem zvolil nejjednodu\u0161\u0161\u00ed cestu \u2013 p\u0159esunul jsem port RDP ven. Nyn\u00ed pro p\u0159\u00edstup pot\u0159ebuj\u00ed \u00fa\u010detn\u00ed spustit RDP a zadat n\u00e1zev hostitele (v\u010detn\u011b portu), u\u017eivatelsk\u00e9 jm\u00e9no a heslo.<\/p>\n

<\/p>\n

V tomto \u010dl\u00e1nku se pod\u011bl\u00edm o zku\u0161enosti (pozitivn\u00ed i negativn\u00ed) a doporu\u010den\u00ed.<\/p>\n

<\/a><\/noindex><\/p>\n

Rizika<\/h3>\n

<\/p>\n

Jak\u00e9 riziko podstupujete otev\u0159en\u00edm portu RDP?<\/p>\n

<\/p>\n

1) Neautorizovan\u00fd p\u0159\u00edstup k citliv\u00fdm \u00fadaj\u016fm<\/b>
\nPokud n\u011bkdo uh\u00e1dne heslo k RDP, m\u016f\u017ee z\u00edskat data, kter\u00e1 chcete uchov\u00e1vat v soukrom\u00ed: stavy \u00fa\u010dt\u016f, z\u016fstatky, \u00fadaje o klientech, \u2026<\/p>\n

<\/p>\n

2) Ztr\u00e1ta dat<\/b>
\nNap\u0159\u00edklad v d\u016fsledku \u010dinnosti ransomware.
\nNebo c\u00edlen\u00e9ho jedn\u00e1n\u00ed \u00fato\u010dn\u00edka.<\/p>\n

<\/p>\n

3) Ztr\u00e1ta pracovn\u00edho stanice<\/b>
\nZam\u011bstnanci mus\u00ed pracovat, a syst\u00e9m je kompromitov\u00e1n, je t\u0159eba ho p\u0159einstalovat \/ obnovit \/ konfigurovat.<\/p>\n

<\/p>\n

4) Kompromitace lok\u00e1ln\u00ed s\u00edt\u011b<\/b>
\nPokud \u00fato\u010dn\u00edk z\u00edskal p\u0159\u00edstup k Windows po\u010d\u00edta\u010di, pak z tohoto po\u010d\u00edta\u010de m\u016f\u017ee m\u00edt p\u0159\u00edstup k syst\u00e9m\u016fm, kter\u00e9 nejsou p\u0159\u00edstupn\u00e9 zven\u010d\u00ed, z Internetu. Nap\u0159\u00edklad k sd\u00edlen\u00fdm slo\u017ek\u00e1m, s\u00ed\u0165ov\u00fdm tisk\u00e1rn\u00e1m atd.<\/p>\n

\nM\u011bl jsem p\u0159\u00edpad, kdy Windows Server chytil ransomware<\/b><\/p>\n

a tento ransomware nejprve za\u0161ifroval v\u011bt\u0161inu soubor\u016f na disku C:, a pak za\u010dal \u0161ifrovat soubory na NAS p\u0159es s\u00ed\u0165. Proto\u017ee NAS byl Synology, s nastaven\u00fdmi snapshoty, tak jsem NAS obnovil za 5 minut, zat\u00edmco Windows Server jsem musel p\u0159einstalovat od za\u010d\u00e1tku.<\/p>\n

<\/p>\n

Pozorov\u00e1n\u00ed a Doporu\u010den\u00ed<\/h3>\n

<\/p>\n

Monitruji Windows Servery pomoc\u00ed Winlogbeat<\/a><\/noindex>, kter\u00e9 pos\u00edlaj\u00ed logy do ElasticSearch. V Kibana je n\u011bkolik vizualizac\u00ed a j\u00e1 jsem si tak\u00e9 nastavil vlastn\u00ed dashboard.
\nS\u00e1m monitoring nechr\u00e1n\u00ed, ale pom\u00e1h\u00e1 ur\u010dit pot\u0159ebn\u00e1 opat\u0159en\u00ed.<\/p>\n

<\/p>\n

Zde jsou n\u011bkter\u00e1 pozorov\u00e1n\u00ed:
\na) RDP se budou bruteforce.<\/b>
\nNa jednom ze server\u016f jsem RDP nastavil na port 443 m\u00edsto standardn\u00edho 3389 \u2014 abych se tak \u0159\u00edkaj\u00edc zamaskoval jako HTTPS. S zm\u011bnou portu z standardn\u00edho asi stoj\u00ed za to, ale moc to nepom\u016f\u017ee. Tady jsou statistiky z tohoto serveru:<\/p>\n

\n\"Je<\/p>\n

Vid\u00edte, \u017ee za t\u00fdden bylo t\u00e9m\u011b\u0159 400 000 ne\u00fasp\u011b\u0161n\u00fdch pokus\u016f o p\u0159ipojen\u00ed p\u0159es RDP.
\nBylo zaznamen\u00e1no pokusy o p\u0159ipojen\u00ed z 55 001 IP adres (n\u011bkter\u00e9 IP adresy jsem u\u017e zablokoval).<\/p>\n

<\/p>\n

Nab\u00edz\u00ed se z\u00e1v\u011br, \u017ee je t\u0159eba nasadit fail2ban, ale <\/p>\n

\npro Windows takov\u00e1 utilita nen\u00ed.<\/b><\/p>\n

Existuje p\u00e1r opu\u0161t\u011bn\u00fdch projekt\u016f na GitHubu, kter\u00e9 to pr\u00fd d\u011blaj\u00ed, ale ani jsem je nezkou\u0161el instalovat:
\nhttps:\/\/github.com\/glasnt\/wail2ban<\/a><\/noindex>
\nhttps:\/\/github.com\/EvanAnderson\/ts_block<\/a><\/noindex><\/p>\n

<\/p>\n

Jsou tak\u00e9 placen\u00e9 n\u00e1stroje, ale t\u011bmi jsem se nezab\u00fdval.<\/p>\n

<\/p>\n

Pokud zn\u00e1te n\u011bjak\u00fd otev\u0159en\u00fd n\u00e1stroj pro tento \u00fa\u010del \u2014 pod\u011blte se o n\u011bj v koment\u00e1\u0159\u00edch.<\/p>\n

<\/p>\n

Aktualizovat<\/strong>: V koment\u00e1\u0159\u00edch m\u011b upozornili, \u017ee port 443 je ne\u0161\u0165astn\u00e1 volba, lep\u0161\u00ed je zvolit vy\u0161\u0161\u00ed porty (32000+), proto\u017ee 443 je \u010dast\u011bji skenov\u00e1n a identifikovat RDP na tomto portu nen\u00ed probl\u00e9m.<\/p>\n

<\/p>\n

Update:<\/strong> V koment\u00e1\u0159\u00edch m\u011b informovali, \u017ee takov\u00fd n\u00e1stroj existuje:
\nhttps:\/\/github.com\/digitalruby\/ipban<\/a><\/noindex><\/p>\n

<\/p>\n

b) Existuj\u00ed ur\u010dit\u00e9 u\u017eivatelsk\u00e9 jm\u00e9na, kter\u00e1 \u00fato\u010dn\u00edci up\u0159ednost\u0148uj\u00ed<\/b>
\nVid\u00edte, \u017ee prob\u00edh\u00e1 slovn\u00edkov\u00fd \u00fatok s r\u016fzn\u00fdmi jm\u00e9ny.
\nAle co jsem si v\u0161iml: zna\u010dn\u00e9 mno\u017estv\u00ed pokus\u016f pou\u017e\u00edv\u00e1 n\u00e1zev serveru jako p\u0159ihla\u0161ovac\u00ed jm\u00e9no. Doporu\u010den\u00ed: nepou\u017e\u00edvejte stejn\u00e9 jm\u00e9no pro po\u010d\u00edta\u010d a pro u\u017eivatele. Nav\u00edc, n\u011bkdy se zd\u00e1, \u017ee se n\u00e1zev serveru pokou\u0161\u00ed n\u011bjak rozebrat: nap\u0159\u00edklad pro syst\u00e9m s n\u00e1zvem DESKTOP-DFTHD7C je nejv\u00edce pokus\u016f o p\u0159ihl\u00e1\u0161en\u00ed s n\u00e1zvem DFTHD7C:<\/p>\n

\n\"Je<\/p>\n

Pokud tedy m\u00e1te po\u010d\u00edta\u010d DESKTOP-MARIA, pravd\u011bpodobn\u011b budou prob\u00edhat pokusy o p\u0159ihl\u00e1\u0161en\u00ed pod u\u017eivatelsk\u00fdm jm\u00e9nem MARIA.<\/p>\n

<\/p>\n

Je\u0161t\u011b co jsem si v\u0161iml z log\u016f: na v\u011bt\u0161in\u011b syst\u00e9m\u016f je v\u011bt\u0161ina pokus\u016f o p\u0159ihl\u00e1\u0161en\u00ed s u\u017eivatelsk\u00fdm jm\u00e9nem \"administrator\". A to nen\u00ed n\u00e1hodou, proto\u017ee ve v\u011bt\u0161in\u011b verz\u00ed Windows tento u\u017eivatel existuje. Co v\u00edc, nelze jej odstranit. To zjednodu\u0161uje \u00fakol pro \u00fato\u010dn\u00edky: m\u00edsto uh\u00e1dnut\u00ed jm\u00e9na i hesla sta\u010d\u00ed uh\u00e1dnout pouze heslo.
\nMimochodem, ten syst\u00e9m, kter\u00fd chytil ransomware, m\u011bl u\u017eivatele Administrator a heslo Murmansk#9. St\u00e1le nejsem jist\u00fd, jak se ten syst\u00e9m dostal do probl\u00e9m\u016f, proto\u017ee jsem za\u010dal sledovat a\u017e po t\u00e9to ud\u00e1losti, ale mysl\u00edm, \u017ee slovn\u00edkov\u00fd \u00fatok je pravd\u011bpodobn\u00fd.
\nPokud tedy u\u017eivatele Administrator nelze odstranit, co s t\u00edm d\u011blat? M\u016f\u017ee se p\u0159ejmenovat!<\/p>\n

<\/p>\n

Doporu\u010den\u00ed z t\u00e9to \u010d\u00e1sti: <\/p>\n

<\/p>\n