Kas on oht hoida RDP-d avatud Internetis?

Tihti lugesin arvamust, et RDP (Remote Desktop Protocol) pordi avamine internetis on üsna ohtlik ja seda ei tohiks teha. RDP juurde pääsemiseks tuleks kasutada kas VPNi või lubada ligipääs ainult teatud "valgete" IP-aadresside kaudu.

Haldan mitmeid Windows Servereid väikestele ettevõtetele, kus on mulle antud ülesanne tagada kaugjuurdepääs Windows Serverile raamatupidajatele. Selline kaasaegne trend - töö kodust. Aru sain, et raamatupidajate sundimine VPNi kasutama on tänamatu ülesanne, ja kõikide IP-aadresside kogumine valge nimekirja ei õnnestu, kuna inimestel on dünaamilised IP-aadressid.

Seetõttu läksin kõige lihtsamat teed - suunasin RDP pordi välja. Nüüd saavad raamatupidajad RDP käivitada ja sisestada hosti nime (koos pordiga), kasutajanime ja parooli.

Selles artiklis jagan oma kogemusi (positiivseid ja mitte niivõrd) ning soovitusi.

Riskid

Millega te riskite, kui avate RDP pordi?

1) Volitamata ligipääs tundlikele andmetele
Kui keegi peab RDP parooli kinni, saab ta ligipääsu andmetele, mida soovite hoida privaatsetena: kontode seisud, jäägid, kliendiandmed jne.

2) Andmete kaotus
Näiteks on oht, et tuleb krüpteeriv viirus.
Või sihilik tegevus pahatahtlikult isikult.

3) Tööjaama kaotus
Töötajad peavad töötama, aga süsteem on kompromiteeritud ja vajab uuesti installimist / taastamist / konfigureerimist.

4) Kohaliku võrgu kompromiteerimine
Kui pahatahtlik isik on saanud juurdepääsu Windowsi arvutile, siis sellelt arvutilt saab ta ligi süsteemidele, mis ei ole väljastpoolt, internetist juurdepääsetavad. Näiteks failiserveritele, võrguprinteritele jne.

Mul oli juhtum, kui Windows Server sai krüpteerija kätte

ja see krüpteerija krüpteeris esmalt enamus faile ketasl C: ja seejärel hakkas krüpteerima faile NASis üle võrgu. Kuna NAS oli Synology, millel olid seadistatud snapshots, taastasin NASi 5 minutiga, kuid Windows Serverit pidin uuesti nullist installima.

Tähtsus ja soovitused

Jälgin Windows Servereid Winlogbeat, mis saadavad logid ElasticSearchi. Kibanas on mitmed visualiseerimised ja olen endale seadnud ka kohandatud armatuurlaua.
Ise monitorimine ei kaitse, kuid aitab määrata vajalikke meetmeid.

Siin on mõned tähelepanekud:
a) RDP-d hakatakse bruteforce'ima.
Ühel minu serveritest konfigureerisin RDP mitte standardportile 3389, vaid 443 — et varjata end HTTPS-i alla. Porti muutmine võib olla mõistlik, kuid sellest on vähe kasu. Siin on statistika sellelt serverilt:

On näha, et nädala jooksul oli peaaegu 400 000 ebaõnnestunud katset RDP-le sisse logida.
On näha, et katsetamine toimus 55 001 IP-aadressilt (mõned IP-aadressid olid juba minu poolt blokeeritud).

Siit järeldub, et peaksite kasutama fail2ban'i, kuid

Windowsile sellist tööriista ei ole.

Githubis on paar hüljatud projekti, mis näiliselt teevad seda, kuid ma isegi ei proovinud neid paigaldada:
https://github.com/glasnt/wail2ban
https://github.com/EvanAnderson/ts_block

On ka tasulisi tööriistu, kuid neid ma ei kaalunud.

Kui tead mõnda avatud tööriista selle eesmärgi jaoks, palun jaga kommentaarides.

Uuenda: Kommenteerijad märkisid, et port 443 on halb valik, parem on valida kõrged pordid (32000+), kuna 443 skaneeritakse sagedamini ja RDP tuvastamine sel port on lihtne.

Uuendus: Kommenteerijad teatasid, et selline tööriist on olemas:
https://github.com/digitalruby/ipban

b) On teatud kasutajanimesid, mida ründajad eelistavad.
On näha, et sõnaraamatust käib proovimine erinevate nimedega.
Aga mida ma märkasin: märkimisväärne hulk katsetest käib serveri nime kasutamise kaudu sisselogimiseks. Soovitus: ärge kasutage sama nime arvuti ja kasutaja jaoks. Pealegi, mõnikord proovivad nad serveri nime kuidagi parseerida: näiteks süsteemi nimega DESKTOP-DFTHD7C puhul üritatakse kõige rohkem siseneda nimega DFTHD7C:

Seega, kui teie arvuti nimi on DESKTOP-MARIA, siis tõenäoliselt tehakse katseid siseneda kasutajanimega MARIA.

Samuti märkasin logidest: enamus katseid siseneda toimusid nimega "administrator". Ja see pole asjata, kuna paljusid Windowsi versioone iseloomustab, et see kasutaja eksisteerib. Veelgi enam — seda ei saa kustutada. See lihtsustab ründajate ülesannet: nime ja parooli proovimise asemel tuleb valida ainult õige parool.
Muide, see süsteem, mis püüdis krüpteerijat, oli kasutajaga Administrator ja parooliga Murmansk#9. Ma ei ole endiselt kindel, kuidas see süsteem purunes, sest hakkasin seda jälgima just pärast seda juhtumit, kuid arvan, et paroolide proovimine — on väga tõenäoline.
Kui kasutajat Administrator ei saa kustutada, siis mida teha? Sa saad selle ümber nimetada!

Selle punkti soovitused:

• ärge kasutage kasutajanime arvuti nimes.
• veenduge, et süsteemis ei ole kasutajat Administrator
• kasutage usaldusväärseid paroole

N niimoodi jälgin, kuidas mitu Windows Serverit minu kontrolli all on juba paar aastat bruteforced ja ilma eduta.

Kust ma tean, et ilma eduta?
Sest ülaltoodud ekraanipiltidel on näha, et on olemas RDP kaudu sissetulekuaegade logid, milles on teave:

• millise IP-lt
• milliselt arvutilt (hostname)
• kasutajanimi
• GeoIP teave

Ja ma vaatan regulaarselt sinna — anomaaliaid ei leitud.

Muide, kui mingilt IP-lt bruteforcitakse eriti usinalt, siis saab eraldi IP-sid (või alamvõrke) PowerShellis näiteks nii blokeerida:

New-NetFirewallRule -Direction Inbound -DisplayName "fail2ban" -Name "fail2ban" -RemoteAddress ("185.143.0.0/16", "185.153.0.0/16", "193.188.0.0/16") -Action Block

Muide, Elasticu kõrval on Winlogbeatiga ka Auditbeat, mis saab jälgida süsteemi faile ja protsesse. Samuti on Kibanas SIEM (Security Information & Event Management) rakendus. Olen proovinud mõlemat, kuid ei näinud erilist kasu — tundub, et Auditbeat on Linuxi süsteemide jaoks kasulikum, ent SIEM ei ole mulle veel midagi arusaadavat näidanud.

Ja lõppsoovitused:

• tehke regulaarseid automaatseid varukoopiaid.
• paigaldage turvapaigad õigeaegselt

Boonus: 50 kasutaja nimekiri, keda on sagedamini kasutatud RDP sissetuleku katsetes

"user.name: Descending"
Arv

dfthd7c (hostname)
842941

winsrv1 (hostname)
266525

ADMINISTRATOR
180678

administrateur
163842

Administrator
53541

michael
23101

server
21983

steve
21936

john
21927

paul
21913

reception
21909

mike
21899

office
21888

scanner
21887

scan
21867

david
21865

chris
21860

omanik
21855

manager
21852

administrateur
21841

brian
21839

administrador
21837

mark
21824

staff
21806

ADMIN
12748

ROOT
7772

ADMINISTRADOR
7325

SUPPORT
5577

SOPORTE
5418

KASUTAJA
4558

admin
2832

TEST
1928

MySql
1664

Admin
1652

GUEST
1322

USER1
1179

SCANNER
1121

SCAN
1032

ADMINISTRATEUR
842

ADMIN1
525

BACKUP
518

MySqlAdmin
518

RECEPTION
490

USER2
466

TEMP
452

SQLADMIN
450

USER3
441

1
422

MANAGER
418

OWNER
410

Allikas: habr.com