ProHoster > Blogs > Administrācija > Vai ir bīstami uzturēt atvērtu LAP internetā?

Vai ir bīstami uzturēt atvērtu LAP internetā?

Bieži esmu lasÄ«jis viedokli, ka atvērt RDP (Remote Desktop Protocol) portu internetam ir ļoti nedroÅ”i un to nevajadzētu darÄ«t. Bet jums ir jāpieŔķir piekļuve RDP vai nu caur VPN, vai tikai no noteiktām ā€œbaltajāmā€ IP adresēm.

Es administrēju vairākus Windows serverus maziem uzņēmumiem, kur man ir uzdots nodroÅ”ināt grāmatvežiem attālo piekļuvi Windows Server. Tāda ir mÅ«sdienu tendence ā€“ darbs no mājām. Diezgan ātri sapratu, ka mocÄ«t VPN grāmatvežus ir nepateicÄ«gs uzdevums, un savākt visus IP baltajam sarakstam nedarbosies, jo cilvēku IP adreses ir dinamiskas.

Tāpēc es izvēlējos vienkārŔāko ceļu - pārsÅ«tÄ«ju LAP portu uz āru. Lai piekļūtu, grāmatvežiem tagad ir jāpalaiž RDP un jāievada resursdatora nosaukums (ieskaitot portu), lietotājvārds un parole.

Šajā rakstā padalīŔos ar savu pieredzi (pozitīvo un ne tik pozitīvo) un ieteikumiem.

Riski

Ar ko jūs riskējat, atverot LAP portu?

1) Neatļauta piekļuve sensitīviem datiem
Ja kāds uzminēs LAP paroli, viņŔ varēs iegÅ«t datus, kurus vēlaties paturēt privātus: konta statusu, atlikumus, klientu datus, ...

2) Datu zudums
Piemēram, ransomware vīrusa rezultātā.
Vai arī uzbrucēja apzināta darbība.

3) Darbstacijas zudums
Darbiniekiem ir jāstrādā, bet sistēma ir apdraudēta un ir jāinstalē/jāatjauno/jākonfigurē no jauna.

4) Vietējā tÄ«kla kompromitÄ“Å”ana
Ja uzbrucējs ir ieguvis piekļuvi Windows datoram, tad no Ŕī datora viņŔ varēs piekļūt sistēmām, kas nav pieejamas no ārpuses, no interneta. Piemēram, failu koplietoÅ”anai, tÄ«kla printeriem utt.

Man bija gadījums, kad Windows Server noķēra izspiedējprogrammatūru

un Ŕī izspiedējprogrammatÅ«ra vispirms Å”ifrēja lielāko daļu failu C: diskdzinÄ« un pēc tam sāka Å”ifrēt failus NAS tÄ«klā. Tā kā NAS bija Synology, ar konfigurētiem momentuzņēmumiem, es atjaunoju NAS 5 minÅ«tēs un no jauna instalēju Windows Server.

Novērojumi un ieteikumi

Es uzraugu Windows serverus, izmantojot Winlogbeat, kas nosūta žurnālus ElasticSearch. Kibanai ir vairākas vizualizācijas, un es arī izveidoju pielāgotu informācijas paneli.
Uzraudzība pati par sevi neaizsargā, bet palīdz noteikt nepiecieŔamos pasākumus.

Šeit ir daži novērojumi:
a) LAP būs brutāli piespiedu kārtā.
Vienā no serveriem es instalēju RDP nevis standarta portā 3389, bet gan 443 - labi, es maskÄ“Å”os kā HTTPS. DroÅ”i vien ir vērts nomainÄ«t portu no standarta, bet tas neko daudz nedos. Å eit ir Ŕī servera statistika:

Vai ir bīstami uzturēt atvērtu LAP internetā?

Redzams, ka nedēļas laikā caur LAP bija gandrÄ«z 400 000 neveiksmÄ«gu pieteikÅ”anās mēģinājumu.
Redzams, ka bija mēģinājumi ielogoties no 55 001 IP adreses (dažas IP adreses jau biju bloķējis).

Tas tieŔi liek secināt, ka jums ir jāiestata fail2ban, bet

Operētājsistēmai Windows Ŕādas utilÄ«tas nav.

Å Ä·iet, ka vietnē Github ir daži pamesti projekti, kas, Ŕķiet, to dara, bet es pat neesmu mēģinājis tos instalēt:
https://github.com/glasnt/wail2ban
https://github.com/EvanAnderson/ts_block

Ir arī maksas komunālie maksājumi, bet es tos neesmu ņēmis vērā.

Ja zināt Å”im nolÅ«kam paredzētu atvērtā pirmkoda utilÄ«tu, lÅ«dzu, kopÄ«gojiet to komentāros.

Atjaunināt: Komentāros bija minēts, ka 443. ports ir slikta izvēle, un labāk izvēlēties augstas pieslēgvietas (32000+), jo 443 tiek skenēts biežāk, un atpazÄ«t RDP Å”ajā portā nav problēma.

b) Ir daži lietotājvārdi, kuriem uzbrucēji dod priekÅ”roku
Var redzēt, ka meklÄ“Å”ana tiek veikta vārdnÄ«cā ar dažādiem nosaukumiem.
Bet es pamanÄ«ju Ŕādu: ievērojams skaits mēģinājumu izmanto servera nosaukumu kā pieteikÅ”anos. Ieteikums: neizmantojiet vienu un to paÅ”u nosaukumu datoram un lietotājam. Turklāt dažreiz Ŕķiet, ka viņi mēģina kaut kā parsēt servera nosaukumu: piemēram, sistēmai ar nosaukumu DESKTOP-DFTHD7C visvairāk mēģinājumi pieteikties ir ar nosaukumu DFTHD7C:

Vai ir bīstami uzturēt atvērtu LAP internetā?

Attiecīgi, ja jums ir DESKTOP-MARIA dators, jūs, iespējams, mēģināsit pieteikties kā MARIA lietotājs.

Vēl viena lieta, ko pamanÄ«ju no žurnāliem: lielākajā daļā sistēmu lielākā daļa mēģinājumu pieteikties ir ar nosaukumu ā€œadministratorsā€. Un tas nav bez iemesla, jo daudzās Windows versijās Å”is lietotājs pastāv. Turklāt to nevar izdzēst. Tas vienkārÅ”o uzbrucēju uzdevumu: tā vietā, lai uzminētu vārdu un paroli, jums tikai jāuzmin parole.
Starp citu, sistēmai, kas noķēra izpirkuma programmu, bija lietotājs Administrators un parole Murmansk#9. Es joprojām neesmu pārliecināts, kā Ŕī sistēma tika uzlauzta, jo es sāku uzraudzÄ«bu tieÅ”i pēc Ŕī incidenta, taču es domāju, ka pārspÄ«lējums ir iespējams.
Tātad, ja administratora lietotāju nevar izdzēst, kas jums jādara? Jūs varat to pārdēvēt!

Ieteikumi no Ŕīs rindkopas:

  • neizmantojiet lietotājvārdu datora nosaukumā
  • pārliecinieties, vai sistēmā nav administratora lietotāja
  • izmantojiet spēcÄ«gas paroles

Tātad jau apmēram pāris gadus esmu vērojis, kā vairāki manā kontrolē esoÅ”ie Windows serveri tiek rupji piespiesti, un bez panākumiem.

Kā es varu zināt, ka tas ir neveiksmīgs?
Jo augstāk redzamajos ekrānuzņēmumos var redzēt, ka ir veiksmÄ«gu LAP zvanu žurnāli, kuros ir Ŕāda informācija:

  • no kura IP
  • no kura datora (resursdatora nosaukums)
  • lietotājvārds
  • GeoIP informācija

Un es tur regulāri pārbaudu - nekādas anomālijas nav konstatētas.

Starp citu, ja noteikta IP tiek veikta Ä«paÅ”i smagi, varat bloķēt atseviŔķus IP (vai apakÅ”tÄ«klus), piemēram, programmā PowerShell:

New-NetFirewallRule -Direction Inbound -DisplayName "fail2ban" -Name "fail2ban" -RemoteAddress ("185.143.0.0/16", "185.153.0.0/16", "193.188.0.0/16") -Action Block

Starp citu, Elastic, papildus Winlogbeat, ir arÄ« Auditbeat, kas var pārraudzÄ«t failus un procesus sistēmā. Kibanā ir arÄ« SIEM (Security Information & Event Management) lietojumprogramma. Es izmēģināju abus, bet neredzēju lielu labumu - Ŕķiet, ka Auditbeat bÅ«s noderÄ«gāks Linux sistēmām, un SIEM man vēl nav parādÄ«jis neko saprotamu.

Nu, pēdējie ieteikumi:

  • Regulāri veiciet automātiskas dublējumkopijas.
  • laicÄ«gi instalējiet droŔības atjauninājumus

Bonuss: saraksts ar 50 lietotājiem, kuri visbiežāk tika izmantoti LAP pieteikÅ”anās mēģinājumiem

"user.name: dilstoŔā secībā"
Skaitīt

dfthd7c (resursdatora nosaukums)
842941

winsrv1 (resursdatora nosaukums)
266525

ADMINISTRATORS
180678

administrators
163842

administrators
53541

michael
23101

serveris
21983

steve
21936

john
21927

paul
21913

uztverŔana
21909

slaistīties
21899

birojs
21888

skeneris
21887

meklēt
21867

david
21865

chris
21860

īpaŔnieks
21855

vadītājs
21852

administrateur
21841

brian
21839

administrators
21837

zīme
21824

personāls
21806

ADMINISTS
12748

ROOT
7772

ADMINISTRADORS
7325

ATBALSTS
5577

ATBALSTS
5418

LIETOTĀJA
4558

admin
2832

PĀRBAUDE
1928

mysql
1664

Admin
1652

VIESU
1322

LIETOTĀJS1
1179

SKANNERIS
1121

SCAN
1032

ADMINISTRATORS
842

ADMINISTORS1
525

BACKUP
518

MySqlAdmin
518

UZŅEMŠANA
490

LIETOTĀJS2
466

TEMP
452

SQLADMIN
450

LIETOTĀJS3
441

1
422

MANAGER
418

ÄŖPAÅ NIEKS
410

Avots: www.habr.com

Pievieno komentāru