Bieži esmu lasÄ«jis viedokli, ka atvÄrt RDP (attÄlinÄtÄs darbvirsmas protokolu) portu internetÄ - tas ir diezgan nedroÅ”i, un to nevajadzÄtu darÄ«t. JÄnodroÅ”ina piekļuve RDP caur VPN vai tikai no noteiktiem "baltajiem" IP adresÄm.
Es administrÄju vairÄkus Windows Serverus mazÄm firmÄm, kuru uzdevums ir nodroÅ”inÄt attÄlinÄto piekļuvi Windows Serveram grÄmatvežiem. Å Äds mÅ«sdienÄ«gs trends - darbs no mÄjÄm. Pietiekami Ätri sapratu, ka grÄmatvežus mocÄ«t ar VPN ir neiespÄjami, un savÄkt visus IP baltajam sarakstam neizdosies, jo cilvÄkiem IP adreses ir dinamiskas.
TÄdÄļ es izvÄlÄjos visvienkÄrÅ”Äko ceļu - atvÄru RDP portu uz Äru. Tagad grÄmatvežu piekļuve ir vienkÄrÅ”a - nepiecieÅ”ams palaist RDP un ievadÄ«t saimniekdatora nosaukumu (iekļaujot portu), lietotÄjvÄrdu un paroli.
Å ajÄ rakstÄ es dalÄ«Å”os ar pieredzi (gan pozitÄ«vu, gan ne tik ļoti) un ieteikumiem.
Riski
KÄda veida riskam jÅ«s pakļaujat atverot RDP portu?
1) NeautorizÄta piekļuve sensitÄ«viem datiem
Ja kÄds uzmin RDP paroli, viÅÅ” var iegÅ«t datus, kurus vÄlaties turÄt privÄtus: konta atlikumus, bilances, klientu datus, ā¦
2) Datu zudums
PiemÄram, vÄ«rusa-Å”ifrÄtÄja darbÄ«bas rezultÄtÄ.
Vai arÄ« ar ļaunprÄtÄ«gas personas mÄrÄ·tiecÄ«gu rÄ«cÄ«bu.
3) Darbstaciju zudums
Darbiniekiem ir jÄdara darbs, bet sistÄma ir apdraudÄta, nepiecieÅ”ama pÄreinstallÄÅ”ana / atjaunoÅ”ana / konfigurÄÅ”ana.
4) VietÄjÄs tÄ«kla kompromitÄcija
Ja ļaunprÄtÄ«ga persona piekļuva Windows datoram, tad no Ŕī datora viÅÅ” var piekļūt sistÄmÄm, kas nav pieejamas no Ärpuses, no interneta. PiemÄram, failu koplietoÅ”anai, tÄ«kla printeriem utt.
Man bija gadÄ«jums, kad Windows Server saÄ·Ära Å”ifrÄtÄju
un Å”is Å”ifrÄtÄjs vispirms aizvÄra lielÄko daļu failu diska C:, pÄc tam sÄka Å”ifrÄt failus uz NAS pa tÄ«klu. TÄ kÄ NAS bija Synology ar iestatÄ«tiem snapshots, es NAS atjaunoju 5 minÅ«tÄs, bet Windows Serveru pÄrinstalÄju no jauna.
NovÄrojumi un ieteikumi
Es monitorÄju Windows Serverus ar , kas sÅ«ta žurnÄlus uz ElasticSearch. Kibana ir vairÄkas vizualizÄcijas, un es vÄl esmu iestatÄ«jis sev pielÄgotu informÄcijas paneli.
Pats monitoring nepasargÄ, bet palÄ«dz saprast nepiecieÅ”amos pasÄkumus.
Å eit ir dažas novÄroÅ”anas:
a) RDP tiks brutÄlÄ spÄkÄ uzbrukt.
VienÄ no serveriem es RDP pÄrvietoju nevis uz standarta portu 3389, bet uz 443 ā nu, tÄ teikt, maskÄjos zem HTTPS. Portu mainÄ«t no standarta, iespÄjams, ir vÄrts, bet no tÄ ir maz jÄgas. LÅ«k, statistika no Ŕī servera:
Redzams, ka nedÄļas laikÄ bija gandrÄ«z 400 000 neveiksmÄ«gu mÄÄ£inÄjumu piekļūt RDP.
Redzams, ka mÄÄ£inÄjumi piekļūt bija no 55 001 IP adresÄm (dažas IP adreses es jau biju bloÄ·Äjis).
Å eit tieÅ”i nÄk prÄtÄ secinÄjums, ka vajag uzstÄdÄ«t fail2ban, bet
Windows tam nav tÄdas utilÄ«tas.
Ir pÄris pamestu projektu uz GitHub, kas, Ŕķiet, to dara, bet es pat neesmu mÄÄ£inÄjis tos uzstÄdÄ«t:
Ir arÄ« maksas utilÄ«tas, bet es tÄs neesmu apsvÄris.
Ja jÅ«s zinÄt atvÄrtu utilÄ«tu Å”im mÄrÄ·im ā lÅ«dzu, dalieties komentÄros.
AtjauninÄt: KomentÄros man ieteica, ka ports 443 ā nav labÄkais izvÄles variants, bet labÄk izvÄlÄties augstus portus (32000+), jo 443 biežÄk tiek skanÄts, un atpazÄ«t RDP Å”ajÄ portÄ ā nav problÄma.
AtjauninÄjums: KomentÄros man uzrakstÄ«ja, ka tÄda utilÄ«ta pastÄv:
b) Ir noteikti lietotÄjvÄrdi, kurus uzbrucÄji dod priekÅ”roku
Redzams, ka notiek vÄrdnÄ«cas uzlauÅ”ana ar dažÄdiem vÄrdiem.
Bet, ko es novÄroju: ievÄrojama daļa mÄÄ£inÄjumu ā ir servera nosaukuma izmantoÅ”ana kÄ pieteikÅ”anÄs vÄrds. Ieteikums: neizmantojiet vienÄdu vÄrdu datoram un lietotÄjam. TurklÄt dažkÄrt izskatÄs, ka servera nosaukumu mÄÄ£ina kaut kÄ analizÄt: piemÄram, sistÄmai ar nosaukumu DESKTOP-DFTHD7C visvairÄk mÄÄ£inÄja piekļūt ar nosaukumu DFTHD7C:
AttiecÄ«gi, ja jums bÅ«s dators DESKTOP-MARIA, tad, iespÄjams, bÅ«s mÄÄ£inÄjumi piekļūt ar lietotÄju MARIA.
VÄl ko es pamanÄ«ju no žurnÄliem: lielÄkajÄ daÄ¼Ä sistÄmu, lielÄkÄ daļa mÄÄ£inÄjumu piekļūt ā ir ar vÄrdu "administrator". Un tas nav nejauÅ”i, jo daudzas Windows versijas, Å”is lietotÄjs pastÄv. VairÄk nekÄ ā to nevar dzÄst. Tas atvieglo uzbrucÄju uzdevumu: vietÄ, lai izvÄlÄtos vÄrdu un paroli, ir nepiecieÅ”ams tikai izvÄlÄties paroli.
Starpcitu, tÄ sistÄma, kas man nozaga Å”ifrÄtÄju, bija ar lietotÄju Administrator un paroli Murmansk#9. Es joprojÄm neesmu pÄrliecinÄts, kÄ Å”Ä« sistÄma tika uzlauzta, jo es sÄku uzraudzÄ«t tieÅ”i pÄc Ŕī gadÄ«juma, bet domÄju, ka uzlauÅ”ana ā ir iespÄjama.
TÄtad, ja lietotÄju Administrator nevar dzÄst, ko darÄ«t? To var pÄrdÄvÄt!
Ieteikumi no Ŕī punkta:
- neizmantojiet lietotÄja vÄrdu datora nosaukumÄ
- pÄrliecinieties, ka sistÄmÄ nav Administratora lietotÄja
- izmantojiet droÅ”us parolÄs
TÄdÄ veidÄ es novÄroju, kÄ daži Windows Server tiek brutÄli uzbrÅ«koÅ”i jau kÄdu laiku, un bez panÄkumiem.
KÄ es zinu, ka bez panÄkumiem?
Jo iepriekÅ” redzamajos ekrÄnuzÅÄmumos ir redzami veiksmÄ«gi RDP piekļuves žurnÄli, kuros ir informÄcija:
- no kura IP
- no kura datora (hostname)
- lietotÄja vÄrds
- GeoIP informÄcija
Un es tur regulÄri raudzÄ«jos ā anomÄlijas nav konstatÄtas.
Starpcitu, ja no kÄda IP tiek veikti Ä«paÅ”i intensÄ«vi brutÄlie uzbrukumi, tad var aizliegt atseviŔķus IP (vai apakÅ”netus) PowerShell Å”ÄdÄ veidÄ:
New-NetFirewallRule -Direction Inbound -DisplayName "fail2ban" -Name "fail2ban" -RemoteAddress ("185.143.0.0/16", "185.153.0.0/16", "193.188.0.0/16") -Action BlockTurklÄt Elastic, papildus Winlogbeat vÄl ir , kas var sekot lÄ«dzi failiem un procesiem sistÄmÄ. TÄpat ir SIEM (Security Information & Event Management) lietotne Kibana. Es izmÄÄ£inÄju abus, bet Ä«sti ieguvumu nesaskatÄ«ju ā Ŕķiet, ka Auditbeat bÅ«s noderÄ«gÄks Linux sistÄmÄm, bet SIEM man pagaidÄm neko saprotamu neparÄdÄ«ja.
Un noslÄdzoÅ”Äs rekomendÄcijas:
- veiciet regulÄras automÄtiskas dublÄÅ”anas.
- laicÄ«gi instalÄjiet droŔības atjauninÄjumus
Bonuss: saraksts ar 50 lietotÄjiem, kuri visbiežÄk tika izmantoti RDP piekļuves mÄÄ£inÄjumiem
"user.name: Descending"
Skaits
dfthd7c (hostname)
842941
winsrv1 (hostname)
266525
ADMINISTRATOR
180678
administrator
163842
Administrator
53541
michael
23101
serveris
21983
steve
21936
john
21927
paul
21913
reception
21909
mike
21899
office
21888
scanner
21887
scan
21867
david
21865
chris
21860
īpaŔnieks
21855
manager
21852
administrateur
21841
brian
21839
administrador
21837
mark
21824
staff
21806
ADMIN
12748
ROOT
7772
ADMINISTRADOR
7325
SUPPORT
5577
SOPORTE
5418
LIETOTÄJS
4558
admin
2832
TEST
1928
MySql
1664
Admin
1652
GUEST
1322
USER1
1179
SCANNER
1121
SCAN
1032
ADMINISTRATEUR
842
ADMIN1
525
BACKUP
518
MySqlAdmin
518
RECEPTION
490
USER2
466
TEMP
452
SQLADMIN
450
USER3
441
1
422
MANAGER
418
OWNER
410
Avots: habr.com
Russian
Italian
German
Polish
Estonian
Albanian
Bulgarian
Croatian
Czech
Danish
Dutch
English
French
Hungarian
Latvian
Norwegian
Portuguese
Romanian
Slovak
Slovenian
Spanish
Swedish