{"id":41229,"date":"2020-02-06T20:43:00","date_gmt":"2020-02-06T17:43:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/opasno-li-derzhat-otkrytym-rdp-v-internete"},"modified":"2020-02-06T20:43:00","modified_gmt":"2020-02-06T17:43:00","slug":"opasno-li-derzhat-otkrytym-rdp-v-internete","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/opasno-li-derzhat-otkrytym-rdp-v-internete","title":{"rendered":"Kas on oht, et hoida RDP avatuna Internetis?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Sageli olen lugenud arvamust, et RDP (Remote Desktop Protocol) pordi avamine Internetis on \u00fcsna ebaohutu ja seda ei tohiks teha. RDP juurde p\u00e4\u00e4semine tuleks pakkuda kas VPN-i kaudu v\u00f5i ainult teatud \"valgete\" IP-aadresside kaudu.<\/p>\n

<\/p>\n

Haldan mitut Windows Serverit v\u00e4ikestele ettev\u00f5tetele, kellele on antud \u00fclesanne tagada kaugjuurdep\u00e4\u00e4s Windows Serverile raamatupidajatele. Selline kaasaegne trend on t\u00f6\u00f6tamine kodus. Suhteliselt kiiresti m\u00f5istsin, et raamatupidajate piinamine VPN-iga on t\u00e4namatu tegevus ning k\u00f5ikide IP-de valge nimekirja kogumine ei \u00f5nnestu, sest inimestel on d\u00fcnaamilised IP-aadressid.<\/p>\n

<\/p>\n

Seet\u00f5ttu l\u00e4ksin k\u00f5ige lihtsama teed \u2014 suunasin RDP pordi v\u00e4ljapoole. N\u00fc\u00fcd peavad raamatupidajad RDP-d k\u00e4ivitama ja sisestama hostinime (sealhulgas port), kasutajanime ja parooli.<\/p>\n

<\/p>\n

Selles artiklis jagan kogemusi (positiivseid ja mitte nii positiivseid) ning soovitusi.<\/p>\n

<\/a><\/noindex><\/p>\n

Riskid<\/h3>\n

<\/p>\n

Milliseid riske te v\u00f5tate, kui avate RDP pordi?<\/p>\n

<\/p>\n

1) Autoriseerimata juurdep\u00e4\u00e4s tundlikele andmetele<\/b>
\nKui keegi suudab RDP parooli murda, saab ta ligip\u00e4\u00e4su andmetele, mida soovite privaatsena hoida: arve seisu, bilansid, klientide andmed, \u2026<\/p>\n

<\/p>\n

2) Andmete kaotus<\/b>
\nN\u00e4iteks v\u00f5ib kr\u00fcptoviru t\u00f6\u00f6 tulemusena.
\nV\u00f5i kurjategija sihip\u00e4rase tegevuse t\u00f5ttu.<\/p>\n

<\/p>\n

3) T\u00f6\u00f6stusjaama kaotus<\/b>
\nT\u00f6\u00f6tajad peavad t\u00f6\u00f6tama, kuid s\u00fcsteem on kompromiteeritud, tuleb uuesti installida \/ taastada \/ konfigureerida.<\/p>\n

<\/p>\n

4) Kohaliku v\u00f5rgu kompromiteerimine<\/b>
\nKui kurjategija p\u00e4\u00e4seb Windowsi arvutisse, siis juba sellelt arvutilt saab ta juurdep\u00e4\u00e4su s\u00fcsteemidele, mis pole v\u00e4ljastpoolt, Internetist, ligip\u00e4\u00e4setavad. N\u00e4iteks failiserveritele, v\u00f5rguprinteritele jne.<\/p>\n

\nMul oli juhtum, kus Windows Server sai kr\u00fcptoviru.<\/b><\/p>\n

see kr\u00fcptovirus kr\u00fcptis k\u00f5igepealt peaaegu k\u00f5ik failid C: kettal, seej\u00e4rel hakkas see kr\u00fcptima faile NAS-is \u00fcle v\u00f5rgu. Kuna NAS oli Synology ja seal olid seadistatud snapshots, siis taastasin NAS-i 5 minutiga, kuid Windows Serveri pidin uuesti installima.<\/p>\n

<\/p>\n

J\u00e4reldused ja Soovitused<\/h3>\n

<\/p>\n

J\u00e4lgin Windows Servereid kasutades Winlogbeat<\/a><\/noindex>, mis saadab logisid ElasticSearchi. Kibanas on m\u00f5ned visualiseerimised, ja ma olen endale seadistanud kohandatud juhtpaneeli.
\nIse j\u00e4lgimine ei kaitse, aga aitab m\u00e4\u00e4rata vajalikke meetmeid.<\/p>\n

<\/p>\n

Siin on m\u00f5ned t\u00e4helepanekud:
\na) RDP-d proovivad bruteforce'ida.<\/b>
\n\u00dchel minu serveritest panin RDP mitte standardporti 3389, vaid 443 \u2014 nii nagu maskeeriksin ennast HTTPS-ina. Porti vale standardist muuta on ilmselt m\u00f5tet, kuid sellest ei ole palju kasu. Siin on statistika sellelt serverilt:<\/p>\n

\n\"Kas<\/p>\n

N\u00e4ha on, et n\u00e4dala jooksul oli peaaegu 400 000 eba\u00f5nnestunud katset RDP-le sisse logida.
\nN\u00e4ha on, et sisenemiseks oli 55 001 IP-aadressi (m\u00f5ned IP-aadressid olid juba blokeeritud).<\/p>\n

<\/p>\n

Siit tuleb j\u00e4reldus, et peaksite seadma fail2ban-i, kuid <\/p>\n

\nWindowsile ei ole sellist utiliiti.<\/b><\/p>\n

On paar h\u00fcljatud projekti GitHubis, mis n\u00e4iliselt teevad seda, kuid ma ei ole neid isegi proovinud installida:
\nhttps:\/\/github.com\/glasnt\/wail2ban<\/a><\/noindex>
\nhttps:\/\/github.com\/EvanAnderson\/ts_block<\/a><\/noindex><\/p>\n

<\/p>\n

Veel on tasulisi t\u00f6\u00f6riistu, kuid ma ei ole neid kaalunud.<\/p>\n

<\/p>\n

Kui tead m\u00f5nda avatud t\u00f6\u00f6riista selle eesm\u00e4rgi jaoks \u2014 jaga palun kommentaarides.<\/p>\n

<\/p>\n

Uuendus<\/strong>: Kommentaarides \u00f6eldi, et port 443 \u2014 ei ole hea valik, parem on valida k\u00f5rged portid (32000+), sest 443 skaneeritakse sagedamini, ja RDP tuvastamine sellel pordil ei ole probleem.<\/p>\n

<\/p>\n

Uuendus:<\/strong> Kommentaarides \u00f6eldi, et selline t\u00f6\u00f6riist on olemas:
\nhttps:\/\/github.com\/digitalruby\/ipban<\/a><\/noindex><\/p>\n

<\/p>\n

b) On kindlad kasutajanimeid, mida kurjategijad eelistavad<\/b>
\nN\u00e4ha on, et \u00fcritatakse s\u00f5nastiku abil proovida erinevaid nimesid.
\nKuid mida ma m\u00e4rkasin: m\u00e4rkimisv\u00e4\u00e4rne hulk sisenemisv\u00f5tteid tuleneb serveri nime kasutamisest sisselogimisena. Soovitus: \u00e4rge kasutage sama nime arvuti ja kasutaja jaoks. M\u00f5nikord tundub, nagu prooviks serverinime mingil moel lahendada: n\u00e4iteks s\u00fcsteemiga, mille nimi on DESKTOP-DFTHD7C, on rohkem sisenemiskatseid nimega DFTHD7C.<\/p>\n

\n\"Kas<\/p>\n

Seega, kui teil on arvuti nimega DESKTOP-MARIA, siis t\u00f5en\u00e4oliselt katsetatakse sisenemist kasutajana MARIA.<\/p>\n

<\/p>\n

Samuti olen m\u00e4rkmeid teinud logidest: enamikus s\u00fcsteemides on enamik sissep\u00e4\u00e4sukatsetest tehtud nimega \"administrator\". Ja see ei ole juhus, sest paljudes Windowsi versioonides eksisteerib see kasutaja. Veelgi enam - seda ei saa kustutada. See lihtsustab r\u00fcndajate \u00fclesannet: nime ja parooli proovimise asemel tuleb ainult parooli proovida.
\nMuide, see s\u00fcsteem, mis p\u00fc\u00fcti kr\u00fcptima, oli Administratori kasutaja ja parool Murmansk#9. Ma ei ole endiselt kindel, kuidas seda s\u00fcsteemi h\u00e4kitud sai, kuna hakkasin j\u00e4lgima just p\u00e4rast seda juhtumit, kuid arvan, et paroolide proovimine on t\u00f5en\u00e4oline.
\nNii et kui kasutaja Administrator ei saa kustutada, siis mida teha? Seda saab \u00fcmber nimetada!<\/p>\n

<\/p>\n

Soovitused selle punkti jaoks: <\/p>\n

<\/p>\n