ProHoster > Er det farligt at have RDP Äbent pÄ internettet?

Er det farligt at have RDP Äbent pÄ internettet?

Jeg har ofte lÊst, at det er ret usikkert at have RDP (Remote Desktop Protocol) porten Äbent pÄ internettet, og at det ikke bÞr gÞres. Adgang til RDP bÞr enten gives via VPN eller kun fra bestemte "hvide" IP-adresser.

Jeg administrerer flere Windows Servere for smĂ„ virksomheder, hvor jeg har fĂ„et til opgave at sikre fjernadgang til Windows Server for revisorer. Det er en moderne trend – arbejde hjemmefra. Jeg indsĂ„ hurtigt, at det ikke er en taknemmelig opgave at pĂ„tvinge revisorer at bruge VPN, og at man ikke kan samle alle IP-adresser til en hvid liste, fordi folk har dynamiske IP-adresser.

Derfor valgte jeg den simpleste lĂžsning – Ă„bnede RDP-porten udadtil. Nu skal revisorerne bare starte RDP og indtaste hostname (inklusive port), brugernavn og adgangskode for at fĂ„ adgang.

I denne artikel vil jeg dele mine erfaringer (bÄde positive og negative) og anbefalinger.

Risici

Hvilke risici lĂžber du ved at Ă„bne RDP-porten?

1) Uautoriseret adgang til fĂžlsomme data
Hvis nogen hacker adgangskoden til RDP, kan de fÄ adgang til de oplysninger, du Þnsker at holde private: kontosaldi, balance, kundedata, 


2) Datatab
For eksempel som fĂžlge af en ransomware-viruss angreb.
Eller ved et mÄlrettet angreb fra en hacker.

3) Tab af arbejdsstation
Medarbejdere har brug for at arbejde, men systemet er blevet kompromitteret, sÄ det skal geninstalleres / gendannes / konfigureres.

4) Kompromittering af det lokale netvĂŠrk
Hvis en hacker fÄr adgang til en Windows-computer, kan de allerede fra den computer fÄ adgang til systemer, der ikke er tilgÊngelige udefra, fra internettet. For eksempel til filshares, netvÊrksprintere osv.

Jeg har haft et tilfĂŠlde, hvor en Windows Server blev ramt af ransomware

og denne ransomware krypterede fÞrst de fleste filer pÄ C:-drevet, og begyndte derefter at kryptere filer pÄ NAS over netvÊrket. Da NAS'en var en Synology med konfigurerede snapshots, kunne jeg gendanne NAS'en pÄ 5 minutter, mens jeg geninstallerede Windows Server fra bunden.

Observationer og anbefalinger

Jeg overvÄger Windows Servere med Winlogbeat, som sender logs til ElasticSearch. I Kibana er der flere visualiseringer, og jeg har ogsÄ opsat et tilpasset dashboard.
Selv overvÄgningen beskytter ikke, men hjÊlper med at bestemme de nÞdvendige foranstaltninger.

Her er nogle observationer:
a) RDP vil blive bruteforced.
PĂ„ en af serverne har jeg sat RDP til at kĂžre ikke pĂ„ standardport 3389, men pĂ„ 443 — sĂ„ jeg kan skjule mig som HTTPS. Det er nok en god idĂ© at ĂŠndre standardporten, men det hjĂŠlper ikke meget. Her er statistikken fra denne server:

Er det farligt at have RDP Äbent pÄ internettet?

Det kan ses, at der i lÞbet af ugen var nÊsten 400.000 mislykkede forsÞg pÄ at tilgÄ RDP.
Det kan ses, at der har vÊret forsÞg pÄ at tilgÄ fra 55.001 IP-adresser (nogle IP-adresser var allerede blokeret af mig).

Her er der en klar konklusion, at det er nĂždvendigt at installere fail2ban, men

der er ikke nogen tilsvarende vĂŠrktĂžj til Windows.

Der er et par forladte projekter pÄ GitHub, som angiveligt gÞr dette, men jeg har ikke engang prÞvet at installere dem:
https://github.com/glasnt/wail2ban
https://github.com/EvanAnderson/ts_block

Der er ogsÄ betalte vÊrktÞjer, men jeg har ikke overvejet dem.

Hvis du kender et Äbent vÊrktÞj til dette formÄl, sÄ del det i kommentarerne.

Opdater: I kommentarerne blev jeg oplyst om, at port 443 er et dÄrligt valg, og at det er bedre at vÊlge hÞje porte (32000+), fordi 443 scannes oftere, og det er ikke et problem at genkende RDP pÄ denne port.

Opdatering: I kommentarerne blev jeg informeret om, at der findes et sÄdant vÊrktÞj:
https://github.com/digitalruby/ipban

b) Der er bestemte brugernavne, som angribere foretrĂŠkker
Det kan ses, at der er et ordforrÄd, der bliver brugt til at brute force.
Men her er hvad jeg bemÊrkede: en betydelig mÊngde af forsÞgene bruger serverens navn som login. Anbefalingen er: brug ikke det samme navn til computeren og brugeren. Desuden ser det nogle gange ud til, at serverens navn forsÞges parsered: for eksempel for et system med navnet DESKTOP-DFTHD7C er der flest forsÞg pÄ at tilgÄ med navnet DFTHD7C:

Er det farligt at have RDP Äbent pÄ internettet?

Hvis du har en computer, der hedder DESKTOP-MARIA, sÄ vil der sandsynligvis komme forsÞg pÄ at tilgÄ under brugeren MARIA.

Desuden har jeg bemÊrket fra loggene: pÄ de fleste systemer er de fleste forsÞg pÄ at tilgÄ med navnet "administrator". Og det er ikke uden grund, fordi i mange versioner af Windows eksisterer denne bruger. Desuden kan den ikke slettes. Dette gÞr det lettere for angribere: i stedet for at skulle finde bÄde navn og adgangskode, skal de kun finde adgangskoden.
For resten, det system, som jeg havde, som blev ramt af ransomware, havde brugeren Administrator og adgangskoden Murmansk#9. Jeg er stadig ikke sikker pÄ, hvordan det system blev hacket, fordi jeg fÞrst begyndte at overvÄge efter denne hÊndelse, men jeg tror, at brute forcing er muligt.
SÄ hvis brugeren Administrator ikke kan slettes, hvad skal man sÄ gÞre? Man kan Êndre navnet!

Anbefalingerne fra dette punkt:

  • brug ikke brugernavnet i computernavnet
  • sĂžrg for, at der ikke er brugere med Administrator-rettigheder pĂ„ systemet
  • brug sikre adgangskoder

PÄ denne mÄde har jeg set, hvordan flere Windows Servere under min kontrol er blevet bruteforced i et par Är uden held.

Hvordan ved jeg, at det ikke har vĂŠret succesfuldt?
Fordi det pÄ de ovenstÄende skÊrmbilleder er tydeligt, at der findes logs med succesfulde RDP-login, som indeholder oplysninger om:

  • hvilket IP
  • hvilken computer (hostname)
  • brugername
  • GeoIP-information

Og jeg kigger regelmĂŠssigt pĂ„ det — der er ikke opdaget nogen anomalier.

For Þvrigt, hvis der bruteforces sÊrligt ihÊrdigt fra et bestemt IP, kan man blokere enkelte IP'er (eller subnets) sÄledes i PowerShell:

New-NetFirewallRule -Direction Inbound -DisplayName "fail2ban" -Name "fail2ban" -RemoteAddress ("185.143.0.0/16", "185.153.0.0/16", "193.188.0.0/16") -Action Block

For Ăžvrigt har Elastic, udover Winlogbeat, ogsĂ„ Auditbeat, som kan overvĂ„ge filer og processer pĂ„ systemet. Der er ogsĂ„ en SIEM (Security Information & Event Management) applikation i Kibana. Jeg har prĂžvet begge dele, men fandt ikke rigtig nogen fordele — det virker til, at Auditbeat vil vĂŠre mere nyttigt for Linux-systemer, mens SIEM ikke har vist mig noget klart endnu.

Her er mine endelige anbefalinger:

  • lav regelmĂŠssige automatiske sikkerhedskopier.
  • installĂ©r sikkerhedsopdateringer til tiden

Bonus: liste over 50 brugere, der ofte blev brugt til at prĂžve at logge ind via RDP

"user.name: Descending"
Antal

dfthd7c (hostname)
842941

winsrv1 (hostname)
266525

ADMINISTRATOR
180678

Administratoren
163842

Administrator
53541

michael
23101

server
21983

steve
21936

john
21927

paul
21913

reception
21909

mike
21899

office
21888

scanner
21887

scan
21867

david
21865

chris
21860

owner
21855

manager
21852

administrateur
21841

brian
21839

administrator
21837

mark
21824

staff
21806

ADMIN
12748

ROOT
7772

ADMINISTRADOR
7325

SUPPORT
5577

SOPORTE
5418

USER
4558

admin
2832

TEST
1928

MySql
1664

Admin
1652

GUEST
1322

USER1
1179

SCANNER
1121

SCAN
1032

ADMINISTRATEUR
842

ADMIN1
525

BACKUP
518

MySqlAdmin
518

RECEPTION
490

USER2
466

TEMP
452

SQLADMIN
450

USER3
441

1
422

MANAGER
418

OWNER
410

Kilde: habr.com

KĂžb pĂ„lidelig webhosting med DDoS-beskyttelse, VPS VDS-servere đŸ”„ KĂžb pĂ„lidelig webhosting med DDoS-beskyttelse, VPS VDS-servere | ProHoster