{"id":41229,"date":"2020-02-06T20:43:00","date_gmt":"2020-02-06T17:43:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/opasno-li-derzhat-otkrytym-rdp-v-internete"},"modified":"2020-02-06T20:43:00","modified_gmt":"2020-02-06T17:43:00","slug":"opasno-li-derzhat-otkrytym-rdp-v-internete","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/opasno-li-derzhat-otkrytym-rdp-v-internete","title":{"rendered":"Kas on oht hoida RDP-d avatud Internetis?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Sageli olen lugenud arvamust, et RDP (Remote Desktop Protocol) sadama avamine internetis on \u00fcsna ebaohutu, ja seda ei tohiks teha. Tuleb anda RDP juurdep\u00e4\u00e4s kas VPN-i kaudu v\u00f5i ainult teatud 'valgetelt' IP-aadressidelt.<\/p>\n

<\/p>\n

Haldan mitmeid Windows Servereid v\u00e4ikestele ettev\u00f5tetele, kus on mulle antud \u00fclesanne tagada kaugjuurdep\u00e4\u00e4s Windows Serverile raamatupidajatele. Selline kaasaegne trend - t\u00f6\u00f6 kodust. Aru sain, et raamatupidajate sundimine VPNi kasutama on t\u00e4namatu \u00fclesanne, ja k\u00f5ikide IP-aadresside kogumine valge nimekirja ei \u00f5nnestu, kuna inimestel on d\u00fcnaamilised IP-aadressid.<\/p>\n

<\/p>\n

Seet\u00f5ttu l\u00e4ksin k\u00f5ige lihtsamat teed - suunasin RDP pordi v\u00e4lja. N\u00fc\u00fcd saavad raamatupidajad RDP k\u00e4ivitada ja sisestada hosti nime (koos pordiga), kasutajanime ja parooli.<\/p>\n

<\/p>\n

Selles artiklis jagan oma kogemusi (positiivseid ja mitte niiv\u00f5rd) ning soovitusi.<\/p>\n

<\/a><\/noindex><\/p>\n

Riskid<\/h3>\n

<\/p>\n

Millega te riskite, kui avate RDP pordi?<\/p>\n

<\/p>\n

1) Volitamata ligip\u00e4\u00e4s tundlikele andmetele<\/b>
\nKui keegi suudab RDP parooli \u00e4ra arvata, saab ta ligip\u00e4\u00e4su andmetele, mida soovite hoida privaatsetena: kontoseisud, saldosummad, kliendiandmed, ...<\/p>\n

<\/p>\n

2) Andmete kaotus<\/b>
\nN\u00e4iteks on oht, et tuleb kr\u00fcpteeriv viirus.
\nV\u00f5i sihilik tegevus pahatahtlikult isikult.<\/p>\n

<\/p>\n

3) T\u00f6\u00f6jaama kaotus<\/b>
\nT\u00f6\u00f6tajad peavad t\u00f6\u00f6tama, aga s\u00fcsteem on kompromiteeritud ja vajab uuesti installimist \/ taastamist \/ konfigureerimist.<\/p>\n

<\/p>\n

4) Kohaliku v\u00f5rgu kompromiteerimine<\/b>
\nKui pahatahtlik isik on saanud juurdep\u00e4\u00e4su Windowsi arvutile, siis sellelt arvutilt saab ta ligi s\u00fcsteemidele, mis ei ole v\u00e4ljastpoolt, internetist juurdep\u00e4\u00e4setavad. N\u00e4iteks failiserveritele, v\u00f5rguprinteritele jne.<\/p>\n

\nMul oli juhtum, kui Windows Server sai kr\u00fcpteerija k\u00e4tte<\/b><\/p>\n

ja see kr\u00fcpteerija kr\u00fcpteeris esmalt enamus faile ketasl C: ja seej\u00e4rel hakkas kr\u00fcpteerima faile NASis \u00fcle v\u00f5rgu. Kuna NAS oli Synology, millel olid seadistatud snapshots, taastasin NASi 5 minutiga, kuid Windows Serverit pidin uuesti nullist installima.<\/p>\n

<\/p>\n

T\u00e4htsus ja soovitused<\/h3>\n

<\/p>\n

J\u00e4lgin Windows Servereid Winlogbeat<\/a><\/noindex>, mis saadavad logid ElasticSearchi. Kibanas on mitmed visualiseerimised ja olen endale seadnud ka kohandatud armatuurlaua.
\nIse monitorimine ei kaitse, kuid aitab m\u00e4\u00e4rata vajalikke meetmeid.<\/p>\n

<\/p>\n

Siin on m\u00f5ned t\u00e4helepanekud:
\na) RDP-d hakatakse bruteforce'ima.<\/b>
\n\u00dchel minu serveritest konfigureerisin RDP mitte standardportile 3389, vaid 443 \u2014 et varjata end HTTPS-i alla. Porti muutmine v\u00f5ib olla m\u00f5istlik, kuid sellest on v\u00e4he kasu. Siin on statistika sellelt serverilt:<\/p>\n

\n\"Kas<\/p>\n

On n\u00e4ha, et n\u00e4dala jooksul oli peaaegu 400 000 eba\u00f5nnestunud katset RDP-le sisse logida.
\nOn n\u00e4ha, et katsetamine toimus 55 001 IP-aadressilt (m\u00f5ned IP-aadressid olid juba minu poolt blokeeritud).<\/p>\n

<\/p>\n

Siit j\u00e4reldub, et peaksite kasutama fail2ban'i, kuid <\/p>\n

\nWindowsi jaoks ei ole sellist utiliiti.<\/b><\/p>\n

Githubis on paar h\u00fcljatud projekti, mis n\u00e4iliselt teevad seda, kuid ma isegi ei proovinud neid paigaldada:
\nhttps:\/\/github.com\/glasnt\/wail2ban<\/a><\/noindex>
\nhttps:\/\/github.com\/EvanAnderson\/ts_block<\/a><\/noindex><\/p>\n

<\/p>\n

On ka tasulisi t\u00f6\u00f6riistu, kuid neid ma ei kaalunud.<\/p>\n

<\/p>\n

Kui tead m\u00f5nda avatud t\u00f6\u00f6riista selle eesm\u00e4rgi jaoks, palun jaga kommentaarides.<\/p>\n

<\/p>\n

Uuenda<\/strong>: Kommenteerijad m\u00e4rkisid, et port 443 on halb valik, parem on valida k\u00f5rged pordid (32000+), kuna 443 skaneeritakse sagedamini ja RDP tuvastamine sel port on lihtne.<\/p>\n

<\/p>\n

Uuendus:<\/strong> Kommenteerijad teatasid, et selline t\u00f6\u00f6riist on olemas:
\nhttps:\/\/github.com\/digitalruby\/ipban<\/a><\/noindex><\/p>\n

<\/p>\n

b) On teatud kasutajanimesid, mida r\u00fcndajad eelistavad.<\/b>
\nOn n\u00e4ha, et s\u00f5naraamatust k\u00e4ib proovimine erinevate nimedega.
\nAga mida ma m\u00e4rkasin: m\u00e4rkimisv\u00e4\u00e4rne hulk katsetest k\u00e4ib serveri nime kasutamise kaudu sisselogimiseks. Soovitus: \u00e4rge kasutage sama nime arvuti ja kasutaja jaoks. Pealegi, m\u00f5nikord proovivad nad serveri nime kuidagi parseerida: n\u00e4iteks s\u00fcsteemi nimega DESKTOP-DFTHD7C puhul \u00fcritatakse k\u00f5ige rohkem siseneda nimega DFTHD7C:<\/p>\n

\n\"Kas<\/p>\n

Seega, kui teie arvuti nimi on DESKTOP-MARIA, siis t\u00f5en\u00e4oliselt tehakse katseid siseneda kasutajanimega MARIA.<\/p>\n

<\/p>\n

Lisaks m\u00e4rkasin logidest: enamikes s\u00fcsteemides on enamik sisselogimise katseid tehtud nimega 'administrator'. Ja see ei ole juhus, kuna paljudes Windowsi versioonides eksisteerib see kasutaja. Veelgi enam \u2014 seda ei saa kustutada. See lihtsustab r\u00fcndajate \u00fclesannet: parooli ja nime leidmise asemel tuleb ainult parool \u00e4ra arvata.
\nMuide, see s\u00fcsteem, mis p\u00fc\u00fcdis kr\u00fcpteerijat, oli kasutajaga Administrator ja parooliga Murmansk#9. Ma ei ole endiselt kindel, kuidas see s\u00fcsteem purunes, sest hakkasin seda j\u00e4lgima just p\u00e4rast seda juhtumit, kuid arvan, et paroolide proovimine \u2014 on v\u00e4ga t\u00f5en\u00e4oline.
\nKui kasutajat Administrator ei saa kustutada, siis mida teha? Sa saad selle \u00fcmber nimetada!<\/p>\n

<\/p>\n

Selle punkti soovitused: <\/p>\n

<\/p>\n