{"id":41229,"date":"2020-02-06T20:43:00","date_gmt":"2020-02-06T17:43:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/opasno-li-derzhat-otkrytym-rdp-v-internete"},"modified":"2020-02-06T20:43:00","modified_gmt":"2020-02-06T17:43:00","slug":"opasno-li-derzhat-otkrytym-rdp-v-internete","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/opasno-li-derzhat-otkrytym-rdp-v-internete","title":{"rendered":"Er det farligt at have RDP \u00e5bent p\u00e5 internettet?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Jeg har ofte l\u00e6st meninger om, at det er ret usikkert at holde RDP (Remote Desktop Protocol) porten \u00e5ben p\u00e5 internettet, og at man ikke b\u00f8r g\u00f8re det. Man b\u00f8r give adgang til RDP enten via VPN eller kun fra bestemte \"hvide\" IP-adresser.<\/p>\n

<\/p>\n

Jeg administrerer flere Windows Servere for sm\u00e5 virksomheder, hvor jeg har f\u00e5et til opgave at sikre fjernadgang til Windows Server for revisorer. Det er en moderne trend \u2013 arbejde hjemmefra. Jeg inds\u00e5 hurtigt, at det ikke er en taknemmelig opgave at p\u00e5tvinge revisorer at bruge VPN, og at man ikke kan samle alle IP-adresser til en hvid liste, fordi folk har dynamiske IP-adresser.<\/p>\n

<\/p>\n

Derfor valgte jeg den simpleste l\u00f8sning \u2013 \u00e5bnede RDP-porten udadtil. Nu skal revisorerne bare starte RDP og indtaste hostname (inklusive port), brugernavn og adgangskode for at f\u00e5 adgang.<\/p>\n

<\/p>\n

I denne artikel vil jeg dele mine erfaringer (b\u00e5de positive og negative) og anbefalinger.<\/p>\n

<\/a><\/noindex><\/p>\n

Risici<\/h3>\n

<\/p>\n

Hvilke risici l\u00f8ber du ved at \u00e5bne RDP-porten?<\/p>\n

<\/p>\n

1) Uautoriseret adgang til f\u00f8lsomme data<\/b>
\nHvis nogen f\u00e5r fat i RDP-adgangskoden, kan de f\u00e5 adgang til de data, du \u00f8nsker at holde private: kontostatus, saldi, kundedata, \u2026<\/p>\n

<\/p>\n

2) Datatab<\/b>
\nFor eksempel som f\u00f8lge af en ransomware-viruss angreb.
\nEller ved et m\u00e5lrettet angreb fra en hacker.<\/p>\n

<\/p>\n

3) Tab af arbejdsstation<\/b>
\nMedarbejdere har brug for at arbejde, men systemet er blevet kompromitteret, s\u00e5 det skal geninstalleres \/ gendannes \/ konfigureres.<\/p>\n

<\/p>\n

4) Kompromittering af det lokale netv\u00e6rk<\/b>
\nHvis en hacker f\u00e5r adgang til en Windows-computer, kan de allerede fra den computer f\u00e5 adgang til systemer, der ikke er tilg\u00e6ngelige udefra, fra internettet. For eksempel til filshares, netv\u00e6rksprintere osv.<\/p>\n

\nJeg har haft et tilf\u00e6lde, hvor en Windows Server blev ramt af ransomware<\/b><\/p>\n

og denne ransomware krypterede f\u00f8rst de fleste filer p\u00e5 C:-drevet, og begyndte derefter at kryptere filer p\u00e5 NAS over netv\u00e6rket. Da NAS'en var en Synology med konfigurerede snapshots, kunne jeg gendanne NAS'en p\u00e5 5 minutter, mens jeg geninstallerede Windows Server fra bunden.<\/p>\n

<\/p>\n

Observationer og anbefalinger<\/h3>\n

<\/p>\n

Jeg overv\u00e5ger Windows Servere med Winlogbeat<\/a><\/noindex>, som sender logs til ElasticSearch. I Kibana er der flere visualiseringer, og jeg har ogs\u00e5 opsat et tilpasset dashboard.
\nSelv overv\u00e5gningen beskytter ikke, men hj\u00e6lper med at bestemme de n\u00f8dvendige foranstaltninger.<\/p>\n

<\/p>\n

Her er nogle observationer:
\na) RDP vil blive bruteforced.<\/b>
\nP\u00e5 en af serverne har jeg sat RDP til at k\u00f8re ikke p\u00e5 standardport 3389, men p\u00e5 443 \u2014 s\u00e5 jeg kan skjule mig som HTTPS. Det er nok en god id\u00e9 at \u00e6ndre standardporten, men det hj\u00e6lper ikke meget. Her er statistikken fra denne server:<\/p>\n

\n\"Er<\/p>\n

Det kan ses, at der i l\u00f8bet af ugen var n\u00e6sten 400.000 mislykkede fors\u00f8g p\u00e5 at tilg\u00e5 RDP.
\nDet kan ses, at der har v\u00e6ret fors\u00f8g p\u00e5 at tilg\u00e5 fra 55.001 IP-adresser (nogle IP-adresser var allerede blokeret af mig).<\/p>\n

<\/p>\n

Her er der en klar konklusion, at det er n\u00f8dvendigt at installere fail2ban, men <\/p>\n

\nDer findes ikke nogen s\u00e5dan v\u00e6rkt\u00f8j til Windows.<\/b><\/p>\n

Der er et par forladte projekter p\u00e5 GitHub, som angiveligt g\u00f8r dette, men jeg har ikke engang pr\u00f8vet at installere dem:
\nhttps:\/\/github.com\/glasnt\/wail2ban<\/a><\/noindex>
\nhttps:\/\/github.com\/EvanAnderson\/ts_block<\/a><\/noindex><\/p>\n

<\/p>\n

Der er ogs\u00e5 betalte v\u00e6rkt\u00f8jer, men jeg har ikke overvejet dem.<\/p>\n

<\/p>\n

Hvis du kender et \u00e5bent v\u00e6rkt\u00f8j til dette form\u00e5l, s\u00e5 del det i kommentarerne.<\/p>\n

<\/p>\n

Opdater<\/strong>: I kommentarerne blev jeg oplyst om, at port 443 er et d\u00e5rligt valg, og at det er bedre at v\u00e6lge h\u00f8je porte (32000+), fordi 443 scannes oftere, og det er ikke et problem at genkende RDP p\u00e5 denne port.<\/p>\n

<\/p>\n

Opdatering:<\/strong> I kommentarerne blev jeg informeret om, at der findes et s\u00e5dant v\u00e6rkt\u00f8j:
\nhttps:\/\/github.com\/digitalruby\/ipban<\/a><\/noindex><\/p>\n

<\/p>\n

b) Der er bestemte brugernavne, som angribere foretr\u00e6kker<\/b>
\nDet kan ses, at der er et ordforr\u00e5d, der bliver brugt til at brute force.
\nMen her er hvad jeg bem\u00e6rkede: en betydelig m\u00e6ngde af fors\u00f8gene bruger serverens navn som login. Anbefalingen er: brug ikke det samme navn til computeren og brugeren. Desuden ser det nogle gange ud til, at serverens navn fors\u00f8ges parsered: for eksempel for et system med navnet DESKTOP-DFTHD7C er der flest fors\u00f8g p\u00e5 at tilg\u00e5 med navnet DFTHD7C:<\/p>\n

\n\"Er<\/p>\n

Hvis du har en computer, der hedder DESKTOP-MARIA, s\u00e5 vil der sandsynligvis komme fors\u00f8g p\u00e5 at tilg\u00e5 under brugeren MARIA.<\/p>\n

<\/p>\n

En anden ting, jeg bem\u00e6rkede fra logfilerne: p\u00e5 de fleste systemer er de fleste indlogningsfors\u00f8g med navnet \"administrator\". Og det er ikke uden grund, for i mange versioner af Windows eksisterer denne bruger. Desuden kan den ikke slettes. Dette g\u00f8r det lettere for angribere: i stedet for at skulle finde b\u00e5de navn og kodeord er det nok bare at finde kodeordet.
\nFor resten, det system, som jeg havde, som blev ramt af ransomware, havde brugeren Administrator og adgangskoden Murmansk#9. Jeg er stadig ikke sikker p\u00e5, hvordan det system blev hacket, fordi jeg f\u00f8rst begyndte at overv\u00e5ge efter denne h\u00e6ndelse, men jeg tror, at brute forcing er muligt.
\nS\u00e5 hvis brugeren Administrator ikke kan slettes, hvad skal man s\u00e5 g\u00f8re? Man kan \u00e6ndre navnet!<\/p>\n

<\/p>\n

Anbefalingerne fra dette punkt: <\/p>\n

<\/p>\n