क्या आरडीपी को इंटरनेट पर खुला रखना खतरनाक है?

मैंने अक्सर यह राय पढ़ी है कि आरडीपी (रिमोट डेस्कटॉप प्रोटोकॉल) पोर्ट को इंटरनेट के लिए खुला रखना बहुत असुरक्षित है और ऐसा नहीं किया जाना चाहिए। लेकिन आपको आरडीपी तक पहुंच या तो वीपीएन के माध्यम से, या केवल कुछ "सफेद" आईपी पते से देनी होगी।

मैं छोटी फर्मों के लिए कई विंडोज़ सर्वरों का प्रबंधन करता हूँ जहाँ मुझे एकाउंटेंटों के लिए विंडोज़ सर्वर तक दूरस्थ पहुँच प्रदान करने का काम सौंपा गया है। यह आधुनिक चलन है - घर से काम करना। बहुत जल्दी, मुझे एहसास हुआ कि वीपीएन अकाउंटेंट को परेशान करना एक धन्यवादहीन काम है, और श्वेत सूची के लिए सभी आईपी इकट्ठा करने से काम नहीं चलेगा, क्योंकि लोगों के आईपी पते गतिशील हैं।

इसलिए, मैंने सबसे सरल रास्ता अपनाया - आरडीपी पोर्ट को बाहर की ओर अग्रेषित किया। पहुंच प्राप्त करने के लिए, अकाउंटेंट को अब आरडीपी चलाने और होस्टनाम (पोर्ट सहित), उपयोगकर्ता नाम और पासवर्ड दर्ज करने की आवश्यकता है।

इस लेख में मैं अपना अनुभव (सकारात्मक और इतना सकारात्मक नहीं) और सिफारिशें साझा करूंगा।

जोखिम

आरडीपी पोर्ट खोलकर आप क्या जोखिम उठा रहे हैं?

1) संवेदनशील डेटा तक अनधिकृत पहुंच
यदि कोई आरडीपी पासवर्ड का अनुमान लगाता है, तो वे वह डेटा प्राप्त करने में सक्षम होंगे जिसे आप निजी रखना चाहते हैं: खाता स्थिति, शेष राशि, ग्राहक डेटा, ...

2) डेटा हानि
उदाहरण के लिए, रैंसमवेयर वायरस के परिणामस्वरूप।
या किसी हमलावर द्वारा जानबूझकर की गई कार्रवाई.

3) कार्य केंद्र का नुकसान
श्रमिकों को काम करने की ज़रूरत है, लेकिन सिस्टम से समझौता हो गया है और इसे पुनः स्थापित/पुनर्स्थापित/कॉन्फ़िगर करने की आवश्यकता है।

4) स्थानीय नेटवर्क से समझौता
यदि किसी हमलावर ने विंडोज़ कंप्यूटर तक पहुंच प्राप्त कर ली है, तो इस कंप्यूटर से वह इंटरनेट से उन सिस्टमों तक पहुंच प्राप्त कर सकेगा जो बाहर से पहुंच योग्य नहीं हैं। उदाहरण के लिए, शेयर फ़ाइल करना, नेटवर्क प्रिंटर आदि।

मेरे पास एक मामला था जहां विंडोज सर्वर ने रैंसमवेयर पकड़ा था

और इस रैंसमवेयर ने पहले C: ड्राइव पर अधिकांश फ़ाइलों को एन्क्रिप्ट किया और फिर नेटवर्क पर NAS पर फ़ाइलों को एन्क्रिप्ट करना शुरू कर दिया। चूंकि NAS Synology था, स्नैपशॉट कॉन्फ़िगर के साथ, मैंने 5 मिनट में NAS को पुनर्स्थापित किया, और विंडोज़ सर्वर को स्क्रैच से पुनः इंस्टॉल किया।

टिप्पणियाँ और सिफ़ारिशें

मैं विंडोज़ सर्वर का उपयोग करके निगरानी करता हूँ विनलॉगबीट, जो ElasticSearch को लॉग भेजता है। किबाना में कई विज़ुअलाइज़ेशन हैं, और मैंने एक कस्टम डैशबोर्ड भी स्थापित किया है।
निगरानी स्वयं सुरक्षा नहीं करती, बल्कि यह आवश्यक उपाय निर्धारित करने में मदद करती है।

यहां कुछ अवलोकन दिए गए हैं:
ए) आरडीपी को क्रूर तरीके से मजबूर किया जाएगा।
सर्वरों में से एक पर, मैंने आरडीपी को मानक पोर्ट 3389 पर नहीं, बल्कि 443 पर स्थापित किया - ठीक है, मैं खुद को HTTPS के रूप में प्रच्छन्न करूंगा। शायद पोर्ट को मानक पोर्ट से बदलना उचित होगा, लेकिन यह बहुत अच्छा नहीं करेगा। इस सर्वर से आँकड़े इस प्रकार हैं:

यह देखा जा सकता है कि एक सप्ताह में आरडीपी के माध्यम से लॉग इन करने के लगभग 400 असफल प्रयास हुए।
यह देखा जा सकता है कि 55 आईपी पतों से लॉग इन करने का प्रयास किया गया था (कुछ आईपी पते मेरे द्वारा पहले ही ब्लॉक कर दिए गए थे)।

यह सीधे तौर पर यह निष्कर्ष सुझाता है कि आपको असफल2बान सेट करने की आवश्यकता है, लेकिन

विंडोज़ के लिए ऐसी कोई उपयोगिता नहीं है।

जीथब पर कुछ परित्यक्त परियोजनाएँ हैं जो ऐसा करती प्रतीत होती हैं, लेकिन मैंने उन्हें स्थापित करने का प्रयास भी नहीं किया है:
https://github.com/glasnt/wail2ban
https://github.com/EvanAnderson/ts_block

सशुल्क उपयोगिताएँ भी हैं, लेकिन मैंने उन पर विचार नहीं किया है।

यदि आप इस उद्देश्य के लिए एक ओपन सोर्स उपयोगिता जानते हैं, तो कृपया इसे टिप्पणियों में साझा करें।

अपडेट: टिप्पणियों में सुझाव दिया गया कि पोर्ट 443 एक खराब विकल्प है, और उच्च पोर्ट (32000+) चुनना बेहतर है, क्योंकि 443 को अधिक बार स्कैन किया जाता है, और इस पोर्ट पर आरडीपी को पहचानना कोई समस्या नहीं है।

बी) कुछ निश्चित उपयोगकर्ता नाम हैं जिन्हें हमलावर पसंद करते हैं
यह देखा जा सकता है कि खोज विभिन्न नामों वाले शब्दकोश में की जाती है।
लेकिन यहाँ मैंने देखा है: बड़ी संख्या में प्रयास लॉगिन के रूप में सर्वर नाम का उपयोग कर रहे हैं। सिफ़ारिश: कंप्यूटर और उपयोगकर्ता के लिए एक ही नाम का उपयोग न करें। इसके अलावा, कभी-कभी ऐसा लगता है कि वे किसी तरह सर्वर नाम को पार्स करने की कोशिश कर रहे हैं: उदाहरण के लिए, DESKTOP-DFTHD7C नाम वाले सिस्टम के लिए, लॉग इन करने के सबसे अधिक प्रयास DFTHD7C नाम से होते हैं:

तदनुसार, यदि आपके पास डेस्कटॉप-मारिया कंप्यूटर है, तो आप संभवतः मारिया उपयोगकर्ता के रूप में लॉग इन करने का प्रयास कर रहे होंगे।

एक और बात जो मैंने लॉग से देखी: अधिकांश सिस्टम पर, लॉग इन करने के अधिकांश प्रयास "प्रशासक" नाम से होते हैं। और यह अकारण नहीं है, क्योंकि विंडोज़ के कई संस्करणों में यह उपयोगकर्ता मौजूद है। इसके अलावा, इसे हटाया नहीं जा सकता. यह हमलावरों के लिए कार्य को सरल बनाता है: नाम और पासवर्ड का अनुमान लगाने के बजाय, आपको केवल पासवर्ड का अनुमान लगाने की आवश्यकता है।
वैसे, रैंसमवेयर को पकड़ने वाले सिस्टम में उपयोगकर्ता प्रशासक और पासवर्ड मरमंस्क#9 था। मुझे अभी भी यकीन नहीं है कि वह सिस्टम कैसे हैक किया गया था, क्योंकि मैंने उस घटना के तुरंत बाद निगरानी शुरू कर दी थी, लेकिन मुझे लगता है कि अतिशयोक्ति की संभावना है।
तो यदि प्रशासक उपयोगकर्ता को हटाया नहीं जा सकता, तो आपको क्या करना चाहिए? आप इसका नाम बदल सकते हैं!

इस अनुच्छेद से सिफ़ारिशें:

• कंप्यूटर नाम में उपयोगकर्ता नाम का प्रयोग न करें
• सुनिश्चित करें कि सिस्टम पर कोई प्रशासक उपयोगकर्ता नहीं है
• मजबूत पासवर्ड का प्रयोग करें

इसलिए, मैं लगभग कुछ वर्षों से अपने नियंत्रण में कई विंडोज़ सर्वरों को क्रूर होते हुए देख रहा हूँ, और सफलता नहीं मिल रही है।

मुझे कैसे पता चलेगा कि यह असफल है?
क्योंकि ऊपर दिए गए स्क्रीनशॉट में आप देख सकते हैं कि सफल आरडीपी कॉल के लॉग हैं, जिनमें जानकारी शामिल है:

• किस आईपी से
• किस कंप्यूटर से (होस्टनाम)
• उपयोगकर्ता नाम
• जियोआईपी जानकारी

और मैं वहां नियमित रूप से जांच करता हूं - कोई विसंगति नहीं पाई गई है।

वैसे, यदि किसी विशेष आईपी पर विशेष रूप से कठोर दबाव डाला जा रहा है, तो आप पावरशेल में इस तरह से व्यक्तिगत आईपी (या सबनेट) को ब्लॉक कर सकते हैं:

New-NetFirewallRule -Direction Inbound -DisplayName "fail2ban" -Name "fail2ban" -RemoteAddress ("185.143.0.0/16", "185.153.0.0/16", "193.188.0.0/16") -Action Block

वैसे, विनलॉगबीट के अलावा इलास्टिक भी है ऑडिटबीट, जो सिस्टम पर फ़ाइलों और प्रक्रियाओं की निगरानी कर सकता है। किबाना में एक सिएम (सुरक्षा सूचना एवं इवेंट मैनेजमेंट) एप्लिकेशन भी है। मैंने दोनों को आज़माया, लेकिन ज़्यादा फ़ायदा नहीं हुआ - ऐसा लगता है कि ऑडिटबीट लिनक्स सिस्टम के लिए अधिक उपयोगी होगा, और एसआईईएम ने अभी तक मुझे कुछ भी समझ में नहीं आया है।

खैर, अंतिम सिफारिशें:

• नियमित स्वचालित बैकअप बनाएं.
• समयबद्ध तरीके से सुरक्षा अद्यतन स्थापित करें

बोनस: 50 उपयोगकर्ताओं की सूची जिनका उपयोग आरडीपी लॉगिन प्रयासों के लिए सबसे अधिक बार किया गया था

"उपयोगकर्ता नाम: अवरोही"
गिनती

dfthd7c (होस्टनाम)
842941

Winsrv1 (होस्टनाम)
266525

प्रशासक
180678

प्रशासक
163842

प्रशासक
53541

माइकल
23101

सर्वर
21983

स्टीव
21936

जॉन
21927

पॉल
21913

स्वागत
21909

माइक
21899

पद
21888

स्कैनर
21887

स्कैन
21867

डेविड
21865

क्रिस
21860

मालिक
21855

प्रबंधक
21852

administrateur
21841

ब्रायन
21839

व्यवस्थापक
21837

निशान
21824

स्टाफ़
21806

व्यवस्थापक
12748

जड़
7772

व्यवस्थापक
7325

समर्थन
5577

समर्थन
5418

USER
4558

व्यवस्थापक
2832

टेस्ट
1928

मूल्यांकन करें
1664

व्यवस्थापक
1652

अतिथि
1322

User 1
1179

स्कैनर
1121

स्कैन
1032

प्रशासक
842

व्यवस्थापक1
525

बैकअप
518

MySqlAdmin
518

संकेत नहीं
490

User 2
466

अस्थायी
452

SQLADMIN
450

User 3
441

1
422

पोर्टफोलियो
418

मालिक
410

स्रोत: www.habr.com