האם מסוכן להשאיר RDP פתוח באינטרנט?

לא פעם קראתי את הדעה ששמירה על יציאת RDP (Remote Desktop Protocol) פתוחה לאינטרנט היא מאוד לא בטוחה ואסור לעשות זאת. אבל אתה צריך לתת גישה ל-RDP או דרך VPN, או רק מכתובות IP "לבנות" מסוימות.

אני מנהל מספר שרתי Windows עבור חברות קטנות שבהן הוטל עלי לספק גישה מרחוק לשרת Windows עבור רואי חשבון. זהו הטרנד המודרני - עבודה מהבית. די מהר הבנתי שלייסור רואי חשבון VPN זו משימה חסרת תודה, ואיסוף כל כתובות ה-IP עבור הרשימה הלבנה לא יעבוד, כי כתובות ה-IP של אנשים הן דינמיות.

לכן, לקחתי את המסלול הפשוט ביותר - העברתי את יציאת ה-RDP החוצה. כדי לקבל גישה, רואי חשבון צריכים כעת להפעיל RDP ולהזין את שם המארח (כולל יציאה), שם משתמש וסיסמה.

במאמר זה אחלוק מניסיוני (חיובי ולא כל כך חיובי) ובהמלצות.

סיכונים

במה אתה מסתכן בפתיחת יציאת RDP?

1) גישה לא מורשית לנתונים רגישים
אם מישהו מנחש את סיסמת ה-RDP, הוא יוכל להשיג נתונים שאתה רוצה לשמור על פרטיות: מצב חשבון, יתרות, נתוני לקוחות, ...

2) אובדן נתונים
למשל, כתוצאה מוירוס כופר.
או פעולה מכוונת של תוקף.

3) אובדן תחנת עבודה
העובדים צריכים לעבוד, אבל המערכת נפגעת ויש להתקין/לשחזר/להגדיר אותה מחדש.

4) התפשרות של הרשת המקומית
אם תוקף השיג גישה למחשב Windows, אז ממחשב זה הוא יוכל לגשת למערכות שאינן נגישות מבחוץ, מהאינטרנט. לדוגמה, לשיתוף קבצים, למדפסות רשת וכו'.

היה לי מקרה שבו Windows Server תפס תוכנת כופר

ותוכנת הכופר הזו הצפנה תחילה את רוב הקבצים בכונן C: ולאחר מכן התחילה להצפין את הקבצים ב-NAS דרך הרשת. מכיוון שה-NAS היה Synology, עם תצורת תמונות, שחזרתי את ה-NAS תוך 5 דקות, והתקנתי מחדש את Windows Server מאפס.

תצפיות והמלצות

אני מפקח על שרתי Windows באמצעות Winlogbeat, אשר שולחים יומנים אל ElasticSearch. ל-Kibana יש כמה הדמיות, ואני גם הקמתי לוח מחוונים מותאם אישית.
הניטור עצמו אינו מגן, אך הוא עוזר לקבוע את האמצעים הדרושים.

הנה כמה תצפיות:
א) RDP יהיה בכוח גס.
באחד השרתים, התקנתי RDP לא על היציאה הסטנדרטית 3389, אלא על 443 - ובכן, אני אתחפש ל-HTTPS. סביר להניח שכדאי לשנות את הפורט מהסטנדרטי, אבל זה לא יועיל הרבה. להלן הנתונים הסטטיסטיים מהשרת הזה:

ניתן לראות שבתוך שבוע היו כמעט 400 ניסיונות לא מוצלחים להיכנס דרך RDP.
ניתן לראות שהיו ניסיונות כניסה מ-55 כתובות IP (כמה כתובות IP כבר נחסמו על ידי).

זה מצביע ישירות על המסקנה שאתה צריך להגדיר fail2ban, אבל

אין כלי עזר כזה עבור Windows.

יש כמה פרויקטים נטושים ב-Github שנראה שהם עושים זאת, אבל אפילו לא ניסיתי להתקין אותם:
https://github.com/glasnt/wail2ban
https://github.com/EvanAnderson/ts_block

יש גם שירותים בתשלום, אבל לא שקלתי אותם.

אם אתה מכיר כלי עזר בקוד פתוח למטרה זו, אנא שתף ​​אותו בתגובות.

עדכון: ההערות העלו שיציאה 443 היא בחירה גרועה, ועדיף לבחור ביציאות גבוהות (32000+), כי 443 נסרק לעתים קרובות יותר, וזיהוי RDP ביציאה זו אינה בעיה.

ב) ישנם שמות משתמש מסוימים שתוקפים מעדיפים
ניתן לראות שהחיפוש מתבצע במילון בעל שמות שונים.
אבל הנה מה ששמתי לב: מספר לא מבוטל של ניסיונות משתמש בשם השרת ככניסה. המלצה: אין להשתמש באותו שם עבור המחשב והמשתמש. יתר על כן, לפעמים זה נראה כאילו הם מנסים לנתח את שם השרת איכשהו: לדוגמה, עבור מערכת עם השם DESKTOP-DFTHD7C, רוב הניסיונות להיכנס הם עם השם DFTHD7C:

בהתאם לכך, אם יש לך מחשב DESKTOP-MARIA, כנראה שתנסה להיכנס כמשתמש MARIA.

דבר נוסף ששמתי לב אליו מהלוגים: ברוב המערכות, רוב ניסיונות הכניסה הם עם השם "מנהל". וזה לא בלי סיבה, כי בהרבה גרסאות של Windows, המשתמש הזה קיים. יתר על כן, לא ניתן למחוק אותו. זה מפשט את המשימה עבור התוקפים: במקום לנחש שם וסיסמה, אתה רק צריך לנחש את הסיסמה.
אגב, למערכת שתפסה את תוכנת הכופר היה המשתמש Administrator והסיסמה Murmansk#9. אני עדיין לא בטוח איך המערכת הזו נפרצה, כי התחלתי לעקוב אחרי התקרית ההיא, אבל אני חושב שסביר להניח שהיתר מוגזם.
אז אם לא ניתן למחוק את משתמש ה-Administrator, אז מה עליך לעשות? אתה יכול לשנות את השם שלו!

המלצות מפסקה זו:

• אל תשתמש בשם המשתמש בשם המחשב
• ודא שאין משתמש מנהל במערכת
• להשתמש בסיסמאות חזקות

אז, אני צופה במספר שרתי Windows שבשליטתי כשהם סובלים מכוח גס כבר כמה שנים, וללא הצלחה.

איך אני יודע שזה לא מוצלח?
כי בצילומי המסך למעלה ניתן לראות שיש יומנים של שיחות RDP מוצלחות, המכילות את המידע:

• מאיזה IP
• מאיזה מחשב (שם מארח)
• имя пользователя
• מידע GeoIP

ואני בודק שם באופן קבוע - לא נמצאו חריגות.

אגב, אם IP מסויים נדחף בצורה חזקה במיוחד, אז אתה יכול לחסום כתובות IP בודדות (או רשתות משנה) כך ב-PowerShell:

New-NetFirewallRule -Direction Inbound -DisplayName "fail2ban" -Name "fail2ban" -RemoteAddress ("185.143.0.0/16", "185.153.0.0/16", "193.188.0.0/16") -Action Block

אגב, ל- Elastic, בנוסף ל-Winlogbeat, יש גם Auditbeat, שיכול לנטר קבצים ותהליכים במערכת. יש גם אפליקציית SIEM (Security Information & Event Management) בקיבנה. ניסיתי את שניהם, אבל לא ראיתי הרבה תועלת - נראה ש- Auditbeat יהיה שימושי יותר עבור מערכות לינוקס, ו-SIEM עדיין לא הראה לי שום דבר מובן.

ובכן, המלצות אחרונות:

• בצע גיבויים אוטומטיים קבועים.
• להתקין עדכוני אבטחה בזמן

בונוס: רשימה של 50 משתמשים ששימשו לרוב עבור ניסיונות כניסה ל-RDP

"user.name: Descending"
לִסְפּוֹר

dfthd7c (שם מארח)
842941

winsrv1 (שם מארח)
266525

מנהל
180678

מנהל
163842

מנהל
53541

מיכאל
23101

שרת
21983

סטיב
21936

john
21927

פול
21913

קבלה
21909

מייק
21899

משרד
21888

סורק
21887

סריקה
21867

דוד
21865

כריס
21860

בעלים
21855

מנהל
21852

administrateur
21841

בריאן
21839

מנהל
21837

סימן
21824

סגל
21806

אדמין
12748

שורש
7772

מנהל
7325

תמיכה
5577

תמיכה
5418

משתמש
4558

מנהל
2832

מבחן
1928

MySql
1664

Admin
1652

GUEST
1322

משתמש 1
1179

סורק
1121

לִסְרוֹק
1032

מנהל
842

ADMIN1
525

BACKUP
518

MySqlAdmin
518

קבלה
490

משתמש 2
466

TEMP
452

SQLADMIN
450

משתמש 3
441

1
422

MANAGER
418

בעלים
410

מקור: www.habr.com