1. ບົດແນະ ນຳ

ບໍລິສັດທີ່ບໍ່ມີລະບົບການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກຢູ່ໃນສະຖານທີ່ໄດ້ນໍາໃຊ້ຢ່າງຮີບດ່ວນໃນສອງສາມເດືອນກ່ອນຫນ້ານີ້. ບໍ່ແມ່ນຜູ້ບໍລິຫານທຸກຄົນໄດ້ກຽມພ້ອມສໍາລັບ "ຄວາມຮ້ອນ" ດັ່ງກ່າວ, ເຊິ່ງເຮັດໃຫ້ເກີດຄວາມລົ້ມເຫຼວຂອງຄວາມປອດໄພ: ການຕັ້ງຄ່າການບໍລິການທີ່ບໍ່ຖືກຕ້ອງຫຼືແມ້ກະທັ້ງການຕິດຕັ້ງຊອບແວເວີຊັນລ້າສະໄຫມທີ່ມີຊ່ອງຫວ່າງທີ່ຄົ້ນພົບກ່ອນຫນ້ານີ້. ສໍາລັບບາງຄົນ, ການລະເວັ້ນເຫຼົ່ານີ້ໄດ້ boomeranged ແລ້ວ, ຄົນອື່ນໂຊກດີກວ່າ, ແຕ່ທຸກຄົນຄວນສະຫຼຸບຢ່າງແນ່ນອນ. ຄວາມສັດຊື່ຕໍ່ການເຮັດວຽກຫ່າງໄກສອກຫຼີກໄດ້ເພີ່ມຂຶ້ນຢ່າງຫຼວງຫຼາຍ, ແລະຫຼາຍບໍລິສັດກໍາລັງຍອມຮັບການເຮັດວຽກຫ່າງໄກສອກຫຼີກເປັນຮູບແບບທີ່ຍອມຮັບຢ່າງຕໍ່ເນື່ອງ.

ດັ່ງນັ້ນ, ມີຫຼາຍທາງເລືອກໃນການສະຫນອງການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກ: VPNs ຕ່າງໆ, RDS ແລະ VNC, TeamViewer ແລະອື່ນໆ. ຜູ້ບໍລິຫານມີຫຼາຍທາງເລືອກ, ໂດຍອີງໃສ່ສະເພາະຂອງການສ້າງເຄືອຂ່າຍຂອງບໍລິສັດແລະອຸປະກອນໃນມັນ. ວິທີແກ້ໄຂ VPN ຍັງຄົງເປັນທີ່ນິຍົມທີ່ສຸດ, ຢ່າງໃດກໍຕາມ, ຫຼາຍບໍລິສັດຂະຫນາດນ້ອຍເລືອກ RDS (Remote Desktop Services), ພວກເຂົາເຈົ້າແມ່ນງ່າຍດາຍແລະໄວກວ່າທີ່ຈະນໍາໃຊ້.

ໃນບົດຄວາມນີ້ພວກເຮົາຈະສົນທະນາເພີ່ມເຕີມກ່ຽວກັບຄວາມປອດໄພ RDS. ຂໍໃຫ້ສະຫຼຸບໂດຍຫຍໍ້ກ່ຽວກັບຊ່ອງໂຫວ່ທີ່ຮູ້ຈັກ, ແລະຍັງພິຈາລະນາສະຖານະການຈໍານວນຫນຶ່ງສໍາລັບການເປີດຕົວການໂຈມຕີກ່ຽວກັບໂຄງສ້າງເຄືອຂ່າຍໂດຍອີງໃສ່ Active Directory. ພວກເຮົາຫວັງວ່າບົດຄວາມຂອງພວກເຮົາຈະຊ່ວຍໃຫ້ຜູ້ໃດຜູ້ຫນຶ່ງເຮັດວຽກກ່ຽວກັບແມງໄມ້ແລະປັບປຸງຄວາມປອດໄພ.

2. ຊ່ອງໂຫວ່ RDS/RDP ຫຼ້າສຸດ

ຊອບແວໃດນຶ່ງມີຂໍ້ຜິດພາດ ແລະຈຸດອ່ອນທີ່ສາມາດຖືກຂູດຮີດໂດຍຜູ້ໂຈມຕີ, ແລະ RDS ບໍ່ມີຂໍ້ຍົກເວັ້ນ. Microsoft ໄດ້ລາຍງານຊ່ອງໂຫວ່ໃໝ່ເລື້ອຍໆໃນຫວ່າງບໍ່ດົນມານີ້, ດັ່ງນັ້ນພວກເຮົາຈຶ່ງຕັດສິນໃຈສະເໜີພາບລວມສັ້ນໆໃຫ້ເຂົາເຈົ້າ:

• CVE-2019-0787

ຊ່ອງໂຫວ່ນີ້ເຮັດໃຫ້ຜູ້ໃຊ້ທີ່ເຊື່ອມຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍທີ່ຖືກທໍາລາຍມີຄວາມສ່ຽງ. ຜູ້ໂຈມຕີສາມາດຄວບຄຸມອຸປະກອນຂອງຜູ້ໃຊ້ ຫຼືມີຈຸດຢືນຢູ່ໃນລະບົບເພື່ອໃຫ້ມີການເຂົ້າເຖິງທາງໄກແບບຖາວອນ.

• CVE-2019-1181 / CVE-2019-1182 / CVE-2020-0609

ກຸ່ມຂອງຊ່ອງໂຫວ່ນີ້ອະນຸຍາດໃຫ້ຜູ້ໂຈມຕີທີ່ບໍ່ໄດ້ຮັບການຢືນຢັນສາມາດປະຕິບັດລະຫັດທີ່ຕົນເອງມັກຈາກໄລຍະໄກໃນເຊີບເວີທີ່ແລ່ນ RDS ໂດຍໃຊ້ຄໍາຮ້ອງຂໍທີ່ສ້າງຂຶ້ນພິເສດ. ພວກມັນຍັງສາມາດຖືກໃຊ້ເພື່ອສ້າງແມ່ພະຍາດ—ມັນແວທີ່ຕິດເຊື້ອອຸປະກອນໃກ້ຄຽງຢູ່ໃນເຄືອຂ່າຍຢ່າງເປັນອິດສະຫຼະ. ດັ່ງນັ້ນ, ຊ່ອງໂຫວ່ເຫຼົ່ານີ້ສາມາດເປັນອັນຕະລາຍຕໍ່ເຄືອຂ່າຍຂອງບໍລິສັດທັງໝົດ, ແລະມີພຽງແຕ່ການປັບປຸງໃຫ້ທັນເວລາເທົ່ານັ້ນທີ່ສາມາດບັນທຶກພວກມັນໄດ້.

ຊອບແວການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກໄດ້ຮັບຄວາມສົນໃຈເພີ່ມຂຶ້ນຈາກທັງນັກຄົ້ນຄວ້າແລະຜູ້ໂຈມຕີ, ດັ່ງນັ້ນພວກເຮົາອາດຈະໄດ້ຍິນກ່ຽວກັບຊ່ອງໂຫວ່ທີ່ຄ້າຍຄືກັນຫຼາຍໃນໄວໆນີ້.

ຂ່າວດີແມ່ນວ່າບໍ່ແມ່ນຊ່ອງໂຫວ່ທັງໝົດທີ່ມີການຂູດຮີດສາທາລະນະ. ຂ່າວຮ້າຍແມ່ນວ່າມັນຈະບໍ່ເປັນເລື່ອງຍາກສໍາລັບຜູ້ໂຈມຕີທີ່ມີຄວາມຊໍານານໃນການຂຽນການຂູດຮີດສໍາລັບຊ່ອງໂຫວ່ໂດຍອີງໃສ່ຄໍາອະທິບາຍ, ຫຼືການນໍາໃຊ້ເຕັກນິກເຊັ່ນ Patch Diffing (ເພື່ອນຮ່ວມງານຂອງພວກເຮົາຂຽນກ່ຽວກັບມັນຢູ່ໃນ. ບົດຄວາມ). ດັ່ງນັ້ນ, ພວກເຮົາແນະນໍາໃຫ້ທ່ານປັບປຸງຊອບແວເປັນປະຈໍາແລະຕິດຕາມຮູບລັກສະນະຂອງຂໍ້ຄວາມໃຫມ່ກ່ຽວກັບຈຸດອ່ອນທີ່ຄົ້ນພົບ.

3. ການໂຈມຕີ

ພວກເຮົາກ້າວໄປສູ່ພາກທີສອງຂອງບົດຄວາມ, ບ່ອນທີ່ພວກເຮົາຈະສະແດງວິທີການໂຈມຕີໂຄງສ້າງເຄືອຂ່າຍໂດຍອີງໃສ່ Active Directory ເລີ່ມຕົ້ນ.

ວິທີການທີ່ອະທິບາຍແມ່ນໃຊ້ໄດ້ກັບຕົວແບບການໂຈມຕີຕໍ່ໄປນີ້: ຜູ້ໂຈມຕີທີ່ມີບັນຊີຜູ້ໃຊ້ແລະມີການເຂົ້າເຖິງ Remote Desktop Gateway - terminal server (ເລື້ອຍໆມັນສາມາດເຂົ້າເຖິງໄດ້, ຕົວຢ່າງ, ຈາກເຄືອຂ່າຍພາຍນອກ). ໂດຍການນໍາໃຊ້ວິທີການເຫຼົ່ານີ້, ຜູ້ໂຈມຕີຈະສາມາດສືບຕໍ່ການໂຈມຕີພື້ນຖານໂຄງລ່າງແລະລວບລວມການປະກົດຕົວຂອງລາວຢູ່ໃນເຄືອຂ່າຍ.

ການຕັ້ງຄ່າເຄືອຂ່າຍໃນແຕ່ລະກໍລະນີສະເພາະອາດຈະແຕກຕ່າງກັນ, ແຕ່ເຕັກນິກການອະທິບາຍແມ່ນຂ້ອນຂ້າງທົ່ວໄປ.

ຕົວຢ່າງຂອງການອອກຈາກສະພາບແວດລ້ອມທີ່ຈໍາກັດແລະການເພີ່ມສິດທິພິເສດ

ເມື່ອເຂົ້າເຖິງ Remote Desktop Gateway, ຜູ້ໂຈມຕີອາດຈະພົບກັບສະພາບແວດລ້ອມທີ່ຈຳກັດບາງປະເພດ. ເມື່ອທ່ານເຊື່ອມຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍຂອງ terminal, ແອັບພລິເຄຊັນຈະເປີດຕົວໃນມັນ: ປ່ອງຢ້ຽມສໍາລັບການເຊື່ອມຕໍ່ຜ່ານໂປໂຕຄອນ Remote Desktop ສໍາລັບຊັບພະຍາກອນພາຍໃນ, Explorer, ຊຸດຫ້ອງການຫຼືຊອບແວອື່ນໆ.

ເປົ້າໝາຍຂອງຜູ້ໂຈມຕີຈະເປັນການເຂົ້າເຖິງຄຳສັ່ງຄຳສັ່ງ, ນັ້ນຄືການເປີດ cmd ຫຼື powershell. ເຕັກນິກການຫລົບຫນີ sandbox ຂອງ Windows ຄລາສສິກຈໍານວນຫນຶ່ງສາມາດຊ່ວຍໃນເລື່ອງນີ້. ໃຫ້ພິຈາລະນາພວກເຂົາຕື່ມອີກ.

Option 1. ຜູ້ໂຈມຕີມີການເຂົ້າເຖິງປ່ອງຢ້ຽມການເຊື່ອມຕໍ່ Remote Desktop ພາຍໃນ Remote Desktop Gateway:

ເມນູ "ສະແດງຕົວເລືອກ" ເປີດ. ຕົວເລືອກປາກົດສໍາລັບການຈັດການໄຟລ໌ການຕັ້ງຄ່າການເຊື່ອມຕໍ່:

ຈາກປ່ອງຢ້ຽມນີ້ທ່ານສາມາດເຂົ້າເຖິງ Explorer ໄດ້ຢ່າງງ່າຍດາຍໂດຍການຄລິກໃສ່ປຸ່ມ "Open" ຫຼື "Save":

Explorer ເປີດ. "ແຖບທີ່ຢູ່" ຂອງມັນເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະເປີດໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້, ເຊັ່ນດຽວກັນກັບລາຍຊື່ລະບົບໄຟລ໌. ນີ້ສາມາດເປັນປະໂຫຍດສໍາລັບຜູ້ໂຈມຕີໃນກໍລະນີທີ່ drives ຂອງລະບົບຖືກເຊື່ອງໄວ້ແລະບໍ່ສາມາດເຂົ້າເຖິງໄດ້ໂດຍກົງ:

→ ວິດີໂອສາທິດ

ສະຖານະການທີ່ຄ້າຍຄືກັນສາມາດຜະລິດຄືນໄດ້, ຕົວຢ່າງ, ເມື່ອໃຊ້ Excel ຈາກຊຸດ Microsoft Office ເປັນຊອບແວທາງໄກ.

→ ວິດີໂອສາທິດ

ນອກຈາກນັ້ນ, ຢ່າລືມກ່ຽວກັບ macros ທີ່ໃຊ້ໃນຊຸດຫ້ອງການນີ້. ເພື່ອນຮ່ວມງານຂອງພວກເຮົາເບິ່ງບັນຫາຄວາມປອດໄພມະຫາພາກໃນເລື່ອງນີ້ ບົດຄວາມ.

Option 2. ການ​ນໍາ​ໃຊ້​ການ​ປ້ອນ​ຂໍ້​ມູນ​ດຽວ​ກັນ​ກັບ​ໃນ​ສະ​ບັບ​ທີ່​ຜ່ານ​ມາ​, ຜູ້​ໂຈມ​ຕີ​ເປີດ​ການ​ເຊື່ອມ​ຕໍ່​ຫຼາຍ​ກັບ desktop ຫ່າງ​ໄກ​ສອກ​ຫຼີກ​ພາຍ​ໃຕ້​ບັນ​ຊີ​ດຽວ​ກັນ​. ເມື່ອທ່ານເຊື່ອມຕໍ່ຄືນໃໝ່, ອັນທໍາອິດຈະຖືກປິດ, ແລະປ່ອງຢ້ຽມທີ່ມີການແຈ້ງເຕືອນຄວາມຜິດພາດຈະປາກົດຢູ່ໃນຫນ້າຈໍ. ປຸ່ມຊ່ວຍເຫຼືອຢູ່ໃນປ່ອງຢ້ຽມນີ້ຈະໂທຫາ Internet Explorer ໃນເຄື່ອງແມ່ຂ່າຍ, ຫຼັງຈາກນັ້ນຜູ້ໂຈມຕີສາມາດໄປຫາ Explorer.

→ ວິດີໂອສາທິດ

Option 3. ຖ້າຂໍ້ຈໍາກັດໃນການເປີດໄຟລ໌ປະຕິບັດໄດ້ຖືກກໍານົດ, ຜູ້ໂຈມຕີອາດຈະພົບກັບສະຖານະການທີ່ນະໂຍບາຍຂອງກຸ່ມຫ້າມຜູ້ບໍລິຫານເຮັດວຽກ cmd.exe.

ມີວິທີທີ່ຈະໄປປະມານນີ້ໂດຍການແລ່ນໄຟລ໌ bat ໃນ desktop ຫ່າງໄກສອກຫຼີກທີ່ມີເນື້ອຫາເຊັ່ນ cmd.exe /K <command>. ຂໍ້ຜິດພາດໃນເວລາທີ່ເລີ່ມຕົ້ນ cmd ແລະຕົວຢ່າງທີ່ປະສົບຜົນສໍາເລັດຂອງການປະຕິບັດໄຟລ໌ bat ແມ່ນສະແດງຢູ່ໃນຮູບຂ້າງລຸ່ມນີ້.

Option 4. ການຫ້າມການເປີດຕົວແອັບພລິເຄຊັນໂດຍໃຊ້ບັນຊີດໍາໂດຍອີງໃສ່ຊື່ຂອງໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ບໍ່ແມ່ນ panacea; ພວກເຂົາສາມາດຫລີກລ້ຽງໄດ້.

ພິຈາລະນາສະຖານະການຕໍ່ໄປນີ້: ພວກເຮົາໄດ້ປິດການເຂົ້າເຖິງເສັ້ນຄໍາສັ່ງ, ປ້ອງກັນການເປີດຕົວຂອງ Internet Explorer ແລະ PowerShell ໂດຍໃຊ້ນະໂຍບາຍກຸ່ມ. ຜູ້ໂຈມຕີພະຍາຍາມໂທຫາການຊ່ວຍເຫຼືອ - ບໍ່ມີການຕອບໂຕ້. ພະຍາຍາມເປີດ powershell ຜ່ານເມນູບໍລິບົດຂອງປ່ອງຢ້ຽມ modal, ຮຽກຮ້ອງໃຫ້ກົດປຸ່ມ Shift - ຂໍ້ຄວາມທີ່ຊີ້ບອກວ່າການເປີດຕົວແມ່ນຖືກຫ້າມໂດຍຜູ້ບໍລິຫານ. ພະຍາຍາມເປີດ powershell ຜ່ານແຖບທີ່ຢູ່ - ອີກເທື່ອຫນຶ່ງບໍ່ມີການຕອບສະຫນອງ. ວິທີການຂ້າມຂໍ້ຈໍາກັດ?

ມັນພຽງພໍທີ່ຈະຄັດລອກ powershell.exe ຈາກໂຟນເດີ C:WindowsSystem32WindowsPowerShellv1.0 ໄປຫາໂຟນເດີຜູ້ໃຊ້, ປ່ຽນຊື່ເປັນສິ່ງອື່ນທີ່ບໍ່ແມ່ນ powershell.exe, ແລະຕົວເລືອກການເປີດຕົວຈະປາກົດ.

ໂດຍຄ່າເລີ່ມຕົ້ນ, ເມື່ອເຊື່ອມຕໍ່ກັບ desktop ຫ່າງໄກສອກຫຼີກ, ການເຂົ້າເຖິງແຜ່ນທ້ອງຖິ່ນຂອງລູກຄ້າແມ່ນສະຫນອງໃຫ້, ຈາກບ່ອນທີ່ຜູ້ໂຈມຕີສາມາດຄັດລອກ powershell.exe ແລະດໍາເນີນການຫຼັງຈາກປ່ຽນຊື່ມັນ.

→ ວິດີໂອສາທິດ

ພວກເຮົາໄດ້ໃຫ້ພຽງແຕ່ສອງສາມວິທີທີ່ຈະຂ້າມຂໍ້ຈໍາກັດ; ທ່ານສາມາດພົບກັບສະຖານະການເພີ່ມເຕີມ, ແຕ່ພວກມັນທັງຫມົດມີສິ່ງດຽວຄື: ການເຂົ້າເຖິງ Windows Explorer. ມີຫຼາຍແອັບພລິເຄຊັນທີ່ໃຊ້ເຄື່ອງມືການຈັດການໄຟລ໌ Windows ມາດຕະຖານ, ແລະເມື່ອວາງໄວ້ໃນສະພາບແວດລ້ອມທີ່ຈໍາກັດ, ເຕັກນິກທີ່ຄ້າຍຄືກັນສາມາດນໍາໃຊ້ໄດ້.

4. ຄຳແນະນຳ ແລະ ບົດສະຫຼຸບ

ດັ່ງທີ່ພວກເຮົາສາມາດເຫັນໄດ້, ເຖິງແມ່ນວ່າຢູ່ໃນສະພາບແວດລ້ອມທີ່ຈໍາກັດມີບ່ອນຫວ່າງສໍາລັບການພັດທະນາການໂຈມຕີ. ຢ່າງໃດກໍຕາມ, ທ່ານສາມາດເຮັດໃຫ້ຊີວິດມີຄວາມຫຍຸ້ງຍາກຫຼາຍສໍາລັບຜູ້ໂຈມຕີ. ພວກເຮົາໃຫ້ຄໍາແນະນໍາທົ່ວໄປທີ່ຈະເປັນປະໂຫຍດທັງໃນທາງເລືອກທີ່ພວກເຮົາໄດ້ພິຈາລະນາແລະໃນກໍລະນີອື່ນໆ.

• ຈໍາກັດການເປີດຕົວໂຄງການເປັນລາຍການສີດໍາ / ສີຂາວໂດຍໃຊ້ນະໂຍບາຍກຸ່ມ.
  ໃນກໍລະນີຫຼາຍທີ່ສຸດ, ຢ່າງໃດກໍຕາມ, ມັນຍັງສາມາດດໍາເນີນການລະຫັດໄດ້. ພວກເຮົາແນະນໍາໃຫ້ທ່ານຄຸ້ນເຄີຍກັບໂຄງການ ລອລບາສ, ເພື່ອໃຫ້ມີຄວາມຄິດຂອງວິທີການທີ່ບໍ່ມີເອກະສານຂອງການຈັດການໄຟລ໌ແລະການປະຕິບັດລະຫັດໃນລະບົບ.
  ພວກເຮົາແນະນໍາໃຫ້ປະສົມປະສານທັງສອງປະເພດຂອງຂໍ້ຈໍາກັດ: ຕົວຢ່າງ, ທ່ານສາມາດອະນຸຍາດໃຫ້ເປີດຕົວໄຟລ໌ປະຕິບັດໄດ້ເຊັນໂດຍ Microsoft, ແຕ່ຈໍາກັດການເປີດຕົວຂອງ cmd.exe.
• ປິດໃຊ້ງານແຖບການຕັ້ງຄ່າ Internet Explorer (ສາມາດເຮັດໄດ້ຢູ່ໃນທ້ອງຖິ່ນໃນລີຈິດຊີ).
• ປິດໃຊ້ງານການຊ່ວຍເຫຼືອໃນຕົວຂອງ Windows ຜ່ານ regedit.
• ປິດການໃຊ້ງານຄວາມສາມາດໃນການຕິດຕັ້ງຮາດດິດທ້ອງຖິ່ນສໍາລັບການເຊື່ອມຕໍ່ທາງໄກຖ້າຂໍ້ຈໍາກັດດັ່ງກ່າວບໍ່ສໍາຄັນສໍາລັບຜູ້ໃຊ້.
• ຈໍາ​ກັດ​ການ​ເຂົ້າ​ເຖິງ​ການ​ຂັບ​ລົດ​ທ້ອງ​ຖິ່ນ​ຂອງ​ເຄື່ອງ​ຫ່າງ​ໄກ​ສອກ​ຫຼີກ​, ເຮັດ​ໃຫ້​ການ​ເຂົ້າ​ເຖິງ​ພຽງ​ແຕ່​ກັບ​ໂຟນ​ເດີ​ຜູ້​ໃຊ້​.

ພວກເຮົາຫວັງວ່າທ່ານຈະພົບເຫັນຢ່າງນ້ອຍທີ່ຫນ້າສົນໃຈ, ແລະສູງສຸດ, ບົດຄວາມນີ້ຈະຊ່ວຍເຮັດໃຫ້ການເຮັດວຽກທາງໄກຂອງບໍລິສັດຂອງທ່ານປອດໄພຂຶ້ນ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com