શું ઇન્ટરનેટ પર RDP ને ખુલ્લું રાખવું જોખમી છે?

મેં ઘણી વાર એવો અભિપ્રાય વાંચ્યો છે કે RDP (રિમોટ ડેસ્કટોપ પ્રોટોકોલ) પોર્ટને ઈન્ટરનેટ માટે ખુલ્લો રાખવું ખૂબ જ અસુરક્ષિત છે અને તે ન કરવું જોઈએ. પરંતુ તમારે VPN દ્વારા અથવા ફક્ત અમુક “સફેદ” IP સરનામાઓથી RDP ની ઍક્સેસ આપવાની જરૂર છે.

હું નાની કંપનીઓ માટે ઘણા Windows સર્વર્સનું સંચાલન કરું છું જ્યાં મને એકાઉન્ટન્ટ્સ માટે Windows સર્વરને રિમોટ એક્સેસ પ્રદાન કરવાનું કામ સોંપવામાં આવ્યું છે. આ આધુનિક વલણ છે - ઘરેથી કામ કરવું. ખૂબ જ ઝડપથી, મને સમજાયું કે VPN એકાઉન્ટન્ટ્સને ત્રાસ આપવો એ એક આભારહીન કાર્ય છે, અને વ્હાઇટ લિસ્ટ માટે તમામ IP એકત્રિત કરવાનું કામ કરશે નહીં, કારણ કે લોકોના IP સરનામાં ગતિશીલ છે.

તેથી, મેં સૌથી સરળ રસ્તો લીધો - આરડીપી પોર્ટને બહારની તરફ ફોરવર્ડ કર્યો. ઍક્સેસ મેળવવા માટે, એકાઉન્ટન્ટ્સને હવે RDP ચલાવવાની અને હોસ્ટનામ (પોર્ટ સહિત), વપરાશકર્તાનામ અને પાસવર્ડ દાખલ કરવાની જરૂર છે.

આ લેખમાં હું મારા અનુભવ (સકારાત્મક અને એટલા હકારાત્મક નથી) અને ભલામણો શેર કરીશ.

જોખમો

RDP પોર્ટ ખોલીને તમે શું જોખમ લઈ રહ્યા છો?

1) સંવેદનશીલ ડેટાની અનધિકૃત ઍક્સેસ
જો કોઈ વ્યક્તિ RDP પાસવર્ડનું અનુમાન લગાવે છે, તો તેઓ તે ડેટા મેળવી શકશે જેને તમે ખાનગી રાખવા માંગો છો: એકાઉન્ટ સ્ટેટસ, બેલેન્સ, ગ્રાહક ડેટા, ...

2) ડેટા નુકશાન
ઉદાહરણ તરીકે, રેન્સમવેર વાયરસના પરિણામે.
અથવા હુમલાખોર દ્વારા ઇરાદાપૂર્વકની ક્રિયા.

3) વર્કસ્ટેશનની ખોટ
કામદારોને કામ કરવાની જરૂર છે, પરંતુ સિસ્ટમ સાથે ચેડાં કરવામાં આવ્યા છે અને તેને પુનઃસ્થાપિત/પુનઃસ્થાપિત/રૂપરેખાંકિત કરવાની જરૂર છે.

4) સ્થાનિક નેટવર્કનું સમાધાન
જો કોઈ હુમલાખોરે વિન્ડોઝ કોમ્પ્યુટરની ઍક્સેસ મેળવી હોય, તો આ કોમ્પ્યુટરમાંથી તે ઈન્ટરનેટથી બહારથી અપ્રાપ્ય હોય તેવી સિસ્ટમને ઍક્સેસ કરી શકશે. ઉદાહરણ તરીકે, શેર ફાઇલ કરવા, નેટવર્ક પ્રિન્ટર્સ વગેરે.

મારી પાસે એક કેસ હતો જ્યાં Windows સર્વરે રેન્સમવેર પકડ્યું હતું

અને આ રેન્સમવેરે પહેલા C: ડ્રાઇવ પરની મોટાભાગની ફાઇલોને એનક્રિપ્ટ કરી અને પછી NAS પરની ફાઇલોને નેટવર્ક પર એનક્રિપ્ટ કરવાનું શરૂ કર્યું. NAS એ સિનોલોજી હોવાથી, સ્નેપશોટ રૂપરેખાંકિત સાથે, મેં NAS ને 5 મિનિટમાં પુનઃસ્થાપિત કર્યું, અને વિન્ડોઝ સર્વરને શરૂઆતથી પુનઃસ્થાપિત કર્યું.

અવલોકનો અને ભલામણો

હું વિન્ડોઝ સર્વર્સનો ઉપયોગ કરીને મોનિટર કરું છું વિનલોગબીટ, જે સ્થિતિસ્થાપક શોધને લોગ મોકલે છે. કિબાનામાં ઘણા વિઝ્યુલાઇઝેશન છે, અને મેં કસ્ટમ ડેશબોર્ડ પણ સેટ કર્યું છે.
દેખરેખ પોતે રક્ષણ કરતું નથી, પરંતુ તે જરૂરી પગલાં નક્કી કરવામાં મદદ કરે છે.

અહીં કેટલાક અવલોકનો છે:
a) RDP ને જડ દબાણ કરવામાં આવશે.
એક સર્વર પર, મેં સ્ટાન્ડર્ડ પોર્ટ 3389 પર નહીં, પરંતુ 443 પર RDP ઇન્સ્ટોલ કર્યું છે - સારું, હું મારી જાતને HTTPS તરીકે વેશપલટો કરીશ. તે સંભવતઃ સ્ટાન્ડર્ડમાંથી પોર્ટ બદલવા યોગ્ય છે, પરંતુ તે વધુ સારું કરશે નહીં. અહીં આ સર્વરના આંકડા છે:

તે જોઈ શકાય છે કે એક અઠવાડિયામાં RDP મારફત લૉગ ઇન કરવાના લગભગ 400 અસફળ પ્રયાસો થયા.
તે જોઈ શકાય છે કે 55 આઈપી એડ્રેસમાંથી લોગઈન કરવાનો પ્રયાસ કરવામાં આવ્યો હતો (કેટલાક આઈપી એડ્રેસ મારા દ્વારા પહેલાથી જ બ્લોક કરવામાં આવ્યા હતા).

આ સીધું નિષ્કર્ષ સૂચવે છે કે તમારે fail2ban સેટ કરવાની જરૂર છે, પરંતુ

વિન્ડોઝ માટે આવી કોઈ ઉપયોગિતા નથી.

ગીથબ પર કેટલાક ત્યજી દેવાયેલા પ્રોજેક્ટ્સ છે જે આ કરવા લાગે છે, પરંતુ મેં તેમને ઇન્સ્ટોલ કરવાનો પ્રયાસ પણ કર્યો નથી:
https://github.com/glasnt/wail2ban
https://github.com/EvanAnderson/ts_block

ત્યાં પેઇડ ઉપયોગિતાઓ પણ છે, પરંતુ મેં તેમને ધ્યાનમાં લીધા નથી.

જો તમે આ હેતુ માટે ઓપન સોર્સ યુટિલિટી જાણો છો, તો કૃપા કરીને તેને ટિપ્પણીઓમાં શેર કરો.

અપડેટ: ટિપ્પણીઓ સૂચવે છે કે પોર્ટ 443 એ ખરાબ પસંદગી છે, અને ઉચ્ચ પોર્ટ્સ (32000+) પસંદ કરવાનું વધુ સારું છે, કારણ કે 443 વધુ વખત સ્કેન કરવામાં આવે છે, અને આ પોર્ટ પર RDPને ઓળખવામાં કોઈ સમસ્યા નથી.

b) અમુક ચોક્કસ વપરાશકર્તાનામો છે જે હુમલાખોરો પસંદ કરે છે
તે જોઈ શકાય છે કે શોધ વિવિધ નામો સાથે શબ્દકોશમાં હાથ ધરવામાં આવે છે.
પરંતુ મેં જે નોંધ્યું તે અહીં છે: નોંધપાત્ર સંખ્યામાં પ્રયાસો સર્વર નામનો લોગિન તરીકે ઉપયોગ કરી રહ્યા છે. ભલામણ: કમ્પ્યુટર અને વપરાશકર્તા માટે સમાન નામનો ઉપયોગ કરશો નહીં. તદુપરાંત, કેટલીકવાર એવું લાગે છે કે તેઓ સર્વર નામને કોઈક રીતે પાર્સ કરવાનો પ્રયાસ કરી રહ્યાં છે: ઉદાહરણ તરીકે, DESKTOP-DFTHD7C નામવાળી સિસ્ટમ માટે, લોગ ઇન કરવાના સૌથી વધુ પ્રયાસો DFTHD7C નામ સાથે છે:

તદનુસાર, જો તમારી પાસે DESKTOP-MARIA કમ્પ્યુટર છે, તો તમે કદાચ MARIA વપરાશકર્તા તરીકે લૉગ ઇન કરવાનો પ્રયાસ કરશો.

બીજી વસ્તુ જે મેં લૉગ્સમાંથી નોંધી છે: મોટાભાગની સિસ્ટમો પર, લૉગ ઇન કરવાના મોટા ભાગના પ્રયાસો "એડમિનિસ્ટ્રેટર" નામથી થાય છે. અને આ કારણ વિના નથી, કારણ કે વિન્ડોઝના ઘણા સંસ્કરણોમાં, આ વપરાશકર્તા અસ્તિત્વમાં છે. વધુમાં, તે કાઢી શકાતું નથી. આ હુમલાખોરો માટે કાર્યને સરળ બનાવે છે: નામ અને પાસવર્ડનો અનુમાન લગાવવાને બદલે, તમારે ફક્ત પાસવર્ડનો અનુમાન લગાવવાની જરૂર છે.
બાય ધ વે, રેન્સમવેર પકડનાર સિસ્ટમમાં યુઝર એડમિનિસ્ટ્રેટર અને પાસવર્ડ Murmansk#9 હતો. મને હજુ પણ ખાતરી નથી કે તે સિસ્ટમ કેવી રીતે હેક કરવામાં આવી હતી, કારણ કે મેં તે ઘટના પછી જ મોનિટરિંગ કરવાનું શરૂ કર્યું, પરંતુ મને લાગે છે કે ઓવરકિલ થવાની સંભાવના છે.
તેથી જો એડમિનિસ્ટ્રેટર વપરાશકર્તાને કાઢી ન શકાય, તો તમારે શું કરવું જોઈએ? તમે તેનું નામ બદલી શકો છો!

આ ફકરામાંથી ભલામણો:

• કમ્પ્યુટરના નામમાં વપરાશકર્તાનામનો ઉપયોગ કરશો નહીં
• ખાતરી કરો કે સિસ્ટમ પર કોઈ એડમિનિસ્ટ્રેટર વપરાશકર્તા નથી
• મજબૂત પાસવર્ડનો ઉપયોગ કરો

તેથી, હું મારા નિયંત્રણ હેઠળના કેટલાક વિન્ડોઝ સર્વર્સને લગભગ થોડા વર્ષોથી જડ-બળજબરીથી જોઈ રહ્યો છું, અને સફળતા વિના.

હું કેવી રીતે જાણું કે તે અસફળ છે?
કારણ કે ઉપરના સ્ક્રીનશૉટ્સમાં તમે જોઈ શકો છો કે સફળ RDP કૉલના લૉગ્સ છે, જેમાં માહિતી છે:

• જેમાંથી આઈ.પી
• કયા કમ્પ્યુટરમાંથી (યજમાનનામ)
• વપરાશકર્તા નામ
• GeoIP માહિતી

અને હું ત્યાં નિયમિતપણે તપાસ કરું છું - કોઈ વિસંગતતાઓ મળી નથી.

જો કે, જો કોઈ ચોક્કસ IP ને ખાસ કરીને સખત દબાણ કરવામાં આવી રહ્યું હોય, તો તમે PowerShell માં આના જેવા વ્યક્તિગત IP (અથવા સબનેટ્સ) ને અવરોધિત કરી શકો છો:

New-NetFirewallRule -Direction Inbound -DisplayName "fail2ban" -Name "fail2ban" -RemoteAddress ("185.143.0.0/16", "185.153.0.0/16", "193.188.0.0/16") -Action Block

માર્ગ દ્વારા, વિનલોગબીટ ઉપરાંત સ્થિતિસ્થાપક, પણ ધરાવે છે ઓડિટબીટ, જે સિસ્ટમ પરની ફાઇલો અને પ્રક્રિયાઓનું નિરીક્ષણ કરી શકે છે. કિબાનામાં SIEM (સુરક્ષા માહિતી અને ઇવેન્ટ મેનેજમેન્ટ) એપ્લિકેશન પણ છે. મેં બંનેનો પ્રયાસ કર્યો, પરંતુ વધુ ફાયદો જોયો નહીં - એવું લાગે છે કે ઑડિટબીટ Linux સિસ્ટમ્સ માટે વધુ ઉપયોગી થશે, અને SIEM એ હજી સુધી મને કંઈપણ સમજી શકાય તેવું બતાવ્યું નથી.

સારું, અંતિમ ભલામણો:

• નિયમિત સ્વચાલિત બેકઅપ બનાવો.
• સમયસર સુરક્ષા અપડેટ્સ ઇન્સ્ટોલ કરો

બોનસ: RDP લૉગિન પ્રયાસો માટે મોટાભાગે ઉપયોગમાં લેવાતા 50 વપરાશકર્તાઓની સૂચિ

"user.name: ઉતરતા"
ગણક

dfthd7c (હોસ્ટનામ)
842941

winsrv1 (યજમાનનામ)
266525

એડમિનિસ્ટ્રેટર
180678

સંચાલક
163842

સંચાલક
53541

માઈકલ
23101

સર્વર
21983

સ્ટીવ
21936

જ્હોન
21927

પાઉલ
21913

સ્વાગત
21909

માઇક
21899

ઓફિસ
21888

સ્કેનર
21887

સ્કેન કરો
21867

ડેવિડ
21865

ક્રિસ
21860

માલિક
21855

મેનેજર
21852

સંચાલક
21841

બ્રાયન
21839

સંચાલક
21837

ચિહ્ન
21824

કર્મચારીઓ
21806

એડમિન
12748

રુટ
7772

એડમિનિસ્ટ્રેટર
7325

આધાર
5577

સપોર્ટ
5418

યુઝર
4558

સંચાલક
2832

ટેસ્ટ
1928

MySQL
1664

સંચાલન
1652

નમ્ર
1322

USER1
1179

સ્કેનર
1121

સ્કેન
1032

એડમિનિસ્ટ્રેટર
842

ADMIN1
525

બેકઅપ
518

MySqlAdmin
518

રીસેપ્શન
490

USER2
466

ટેમ્પ
452

SQLADMIN
450

USER3
441

1
422

મેનેજર
418

સ્વામી
410

સોર્સ: www.habr.com