RDP ഇന്റർനെറ്റിൽ തുറന്നിടുന്നത് അപകടകരമാണോ?

ഒരു RDP (റിമോട്ട് ഡെസ്‌ക്‌ടോപ്പ് പ്രോട്ടോക്കോൾ) പോർട്ട് ഇൻറർനെറ്റിനായി തുറന്നിടുന്നത് വളരെ സുരക്ഷിതമല്ലെന്നും അത് ചെയ്യാൻ പാടില്ലെന്നുമുള്ള അഭിപ്രായം ഞാൻ പലപ്പോഴും വായിച്ചിട്ടുണ്ട്. എന്നാൽ നിങ്ങൾ ഒരു VPN വഴിയോ അല്ലെങ്കിൽ ചില "വൈറ്റ്" IP വിലാസങ്ങളിൽ നിന്നോ മാത്രം RDP-യിലേക്ക് ആക്സസ് നൽകേണ്ടതുണ്ട്.

അക്കൗണ്ടന്റുമാർക്ക് വിൻഡോസ് സെർവറിലേക്ക് റിമോട്ട് ആക്‌സസ് നൽകുന്നതിന് എന്നെ ചുമതലപ്പെടുത്തിയിരിക്കുന്ന ചെറിയ സ്ഥാപനങ്ങൾക്കായി ഞാൻ നിരവധി വിൻഡോസ് സെർവറുകൾ നിയന്ത്രിക്കുന്നു. ഇതാണ് ആധുനിക പ്രവണത - വീട്ടിലിരുന്ന് ജോലി ചെയ്യുക. വളരെ വേഗം, VPN അക്കൗണ്ടന്റുമാരെ പീഡിപ്പിക്കുന്നത് നന്ദിയില്ലാത്ത ജോലിയാണെന്ന് ഞാൻ മനസ്സിലാക്കി, വൈറ്റ് ലിസ്റ്റിനായി എല്ലാ ഐപികളും ശേഖരിക്കുന്നത് പ്രവർത്തിക്കില്ല, കാരണം ആളുകളുടെ ഐപി വിലാസങ്ങൾ ചലനാത്മകമാണ്.

അതിനാൽ, ഞാൻ ഏറ്റവും ലളിതമായ വഴി സ്വീകരിച്ചു - RDP പോർട്ട് പുറത്തേക്ക് കൈമാറി. ആക്‌സസ് നേടുന്നതിന്, അക്കൗണ്ടന്റുകൾ ഇപ്പോൾ RDP പ്രവർത്തിപ്പിച്ച് ഹോസ്റ്റ്നാമം (പോർട്ട് ഉൾപ്പെടെ), ഉപയോക്തൃനാമവും പാസ്‌വേഡും നൽകേണ്ടതുണ്ട്.

ഈ ലേഖനത്തിൽ ഞാൻ എന്റെ അനുഭവവും (പോസിറ്റീവ്, അത്ര പോസിറ്റീവ് അല്ല) ശുപാർശകളും പങ്കിടും.

അപകടസാധ്യതകൾ

RDP പോർട്ട് തുറക്കുന്നതിലൂടെ നിങ്ങൾ എന്താണ് അപകടപ്പെടുത്തുന്നത്?

1) സെൻസിറ്റീവ് ഡാറ്റയിലേക്കുള്ള അനധികൃത ആക്സസ്
ആർ‌ഡി‌പി പാസ്‌വേഡ് ആരെങ്കിലും ഊഹിച്ചാൽ, നിങ്ങൾ സ്വകാര്യമായി സൂക്ഷിക്കാൻ ആഗ്രഹിക്കുന്ന ഡാറ്റ അവർക്ക് നേടാനാകും: അക്കൗണ്ട് നില, ബാലൻസുകൾ, ഉപഭോക്തൃ ഡാറ്റ, ...

2) ഡാറ്റ നഷ്ടം
ഉദാഹരണത്തിന്, ഒരു ransomware വൈറസിന്റെ ഫലമായി.
അല്ലെങ്കിൽ ഒരു ആക്രമണകാരിയുടെ ബോധപൂർവമായ നടപടി.

3) വർക്ക് സ്റ്റേഷന്റെ നഷ്ടം
തൊഴിലാളികൾ ജോലി ചെയ്യേണ്ടതുണ്ട്, പക്ഷേ സിസ്റ്റം വിട്ടുവീഴ്ച ചെയ്യപ്പെടുകയും വീണ്ടും ഇൻസ്റ്റാൾ ചെയ്യുക/പുനഃസ്ഥാപിക്കുക/കോൺഫിഗർ ചെയ്യുകയും വേണം.

4) പ്രാദേശിക നെറ്റ്‌വർക്കിന്റെ വിട്ടുവീഴ്ച
ഒരു ആക്രമണകാരിക്ക് ഒരു വിൻഡോസ് കമ്പ്യൂട്ടറിലേക്ക് ആക്‌സസ് ലഭിച്ചിട്ടുണ്ടെങ്കിൽ, ഈ കമ്പ്യൂട്ടറിൽ നിന്ന് അയാൾക്ക് പുറത്തുനിന്നും ഇന്റർനെറ്റിൽ നിന്നും ആക്‌സസ് ചെയ്യാൻ കഴിയാത്ത സിസ്റ്റങ്ങൾ ആക്‌സസ് ചെയ്യാൻ കഴിയും. ഉദാഹരണത്തിന്, ഷെയറുകൾ ഫയൽ ചെയ്യാൻ, നെറ്റ്‌വർക്ക് പ്രിന്ററുകളിലേക്ക് മുതലായവ.

വിൻഡോസ് സെർവർ ഒരു ransomware പിടികൂടിയ ഒരു കേസ് എനിക്കുണ്ടായിരുന്നു

ഈ ransomware ആദ്യം C: ഡ്രൈവിലെ മിക്ക ഫയലുകളും എൻക്രിപ്റ്റ് ചെയ്യുകയും പിന്നീട് നെറ്റ്‌വർക്കിലൂടെ NAS-ലെ ഫയലുകൾ എൻക്രിപ്റ്റ് ചെയ്യുകയും ചെയ്തു. NAS Synology ആയിരുന്നതിനാൽ, സ്നാപ്പ്ഷോട്ടുകൾ ക്രമീകരിച്ചുകൊണ്ട്, 5 മിനിറ്റിനുള്ളിൽ ഞാൻ NAS പുനഃസ്ഥാപിക്കുകയും ആദ്യം മുതൽ Windows Server വീണ്ടും ഇൻസ്റ്റാൾ ചെയ്യുകയും ചെയ്തു.

നിരീക്ഷണങ്ങളും ശുപാർശകളും

ഞാൻ ഉപയോഗിക്കുന്നത് വിൻഡോസ് സെർവറുകൾ നിരീക്ഷിക്കുന്നു വിൻലോഗ്ബീറ്റ്, അത് ഇലാസ്റ്റിക് സെർച്ചിലേക്ക് ലോഗുകൾ അയയ്ക്കുന്നു. കിബാനയ്ക്ക് നിരവധി ദൃശ്യവൽക്കരണങ്ങളുണ്ട്, കൂടാതെ ഞാൻ ഒരു ഇഷ്‌ടാനുസൃത ഡാഷ്‌ബോർഡും സജ്ജീകരിച്ചു.
നിരീക്ഷണം സ്വയം പരിരക്ഷിക്കുന്നില്ല, പക്ഷേ ആവശ്യമായ നടപടികൾ നിർണ്ണയിക്കാൻ ഇത് സഹായിക്കുന്നു.

ചില നിരീക്ഷണങ്ങൾ ഇതാ:
a) RDP മൃഗീയമായി നിർബന്ധിതമാക്കപ്പെടും.
സെർവറുകളിൽ ഒന്നിൽ, ഞാൻ RDP ഇൻസ്റ്റാൾ ചെയ്തത് സ്റ്റാൻഡേർഡ് പോർട്ട് 3389-ലല്ല, 443-ലാണ് - ശരി, ഞാൻ എച്ച്ടിടിപിഎസ് ആയി വേഷമിടും. സ്റ്റാൻഡേർഡ് ഒന്നിൽ നിന്ന് പോർട്ട് മാറ്റുന്നത് മൂല്യവത്താണ്, പക്ഷേ ഇത് വലിയ ഗുണം ചെയ്യില്ല. ഈ സെർവറിൽ നിന്നുള്ള സ്ഥിതിവിവരക്കണക്കുകൾ ഇതാ:

RDP വഴി ലോഗിൻ ചെയ്യാനുള്ള ഏകദേശം 400 ശ്രമങ്ങൾ ഒരാഴ്ചയ്ക്കുള്ളിൽ നടന്നതായി കാണാൻ കഴിയും.
55 ഐപി വിലാസങ്ങളിൽ നിന്ന് ലോഗിൻ ചെയ്യാനുള്ള ശ്രമങ്ങൾ നടന്നതായി കാണാൻ കഴിയും (ചില ഐപി വിലാസങ്ങൾ ഞാൻ ഇതിനകം തടഞ്ഞിരുന്നു).

നിങ്ങൾ fail2ban സജ്ജീകരിക്കേണ്ടതുണ്ടെന്ന നിഗമനം ഇത് നേരിട്ട് സൂചിപ്പിക്കുന്നു, പക്ഷേ

വിൻഡോസിനായി അത്തരമൊരു യൂട്ടിലിറ്റി ഇല്ല.

Github-ൽ ഉപേക്ഷിക്കപ്പെട്ട രണ്ട് പ്രോജക്ടുകൾ ഉണ്ട്, അത് ചെയ്യാൻ തോന്നുന്നു, പക്ഷേ ഞാൻ അവ ഇൻസ്റ്റാൾ ചെയ്യാൻ പോലും ശ്രമിച്ചിട്ടില്ല:
https://github.com/glasnt/wail2ban
https://github.com/EvanAnderson/ts_block

പണമടച്ചുള്ള യൂട്ടിലിറ്റികളും ഉണ്ട്, പക്ഷേ ഞാൻ അവ പരിഗണിച്ചിട്ടില്ല.

ഈ ആവശ്യത്തിനായി നിങ്ങൾക്ക് ഒരു ഓപ്പൺ സോഴ്സ് യൂട്ടിലിറ്റി അറിയാമെങ്കിൽ, ദയവായി അത് അഭിപ്രായങ്ങളിൽ പങ്കിടുക.

അപ്ഡേറ്റ്: പോർട്ട് 443 ഒരു മോശം തിരഞ്ഞെടുപ്പാണെന്നും ഉയർന്ന പോർട്ടുകൾ (32000+) തിരഞ്ഞെടുക്കുന്നതാണ് നല്ലതെന്നും അഭിപ്രായങ്ങൾ നിർദ്ദേശിച്ചു, കാരണം 443 കൂടുതൽ തവണ സ്കാൻ ചെയ്യുന്നു, ഈ പോർട്ടിൽ RDP തിരിച്ചറിയുന്നത് ഒരു പ്രശ്നമല്ല.

b) ആക്രമണകാരികൾ ഇഷ്ടപ്പെടുന്ന ചില ഉപയോക്തൃനാമങ്ങളുണ്ട്
വ്യത്യസ്ത പേരുകളുള്ള നിഘണ്ടുവിൽ തിരച്ചിൽ നടത്തുന്നതായി കാണാം.
എന്നാൽ ഇവിടെ ഞാൻ ശ്രദ്ധിച്ചത് ഇതാണ്: ഗണ്യമായ എണ്ണം ശ്രമങ്ങൾ സെർവർ നാമം ഒരു ലോഗിൻ ആയി ഉപയോഗിക്കുന്നു. ശുപാർശ: കമ്പ്യൂട്ടറിനും ഉപയോക്താവിനും ഒരേ പേര് ഉപയോഗിക്കരുത്. മാത്രമല്ല, ചിലപ്പോൾ അവർ എങ്ങനെയെങ്കിലും സെർവറിന്റെ പേര് പാഴ്‌സ് ചെയ്യാൻ ശ്രമിക്കുന്നതായി തോന്നുന്നു: ഉദാഹരണത്തിന്, DESKTOP-DFTHD7C എന്ന പേരുള്ള ഒരു സിസ്റ്റത്തിന്, ലോഗിൻ ചെയ്യാനുള്ള ഏറ്റവും കൂടുതൽ ശ്രമങ്ങൾ DFTHD7C എന്ന പേരിലാണ്:

അതനുസരിച്ച്, നിങ്ങൾക്ക് ഒരു ഡെസ്ക്ടോപ്പ്-മരിയ കമ്പ്യൂട്ടർ ഉണ്ടെങ്കിൽ, നിങ്ങൾ ഒരുപക്ഷേ മരിയ ഉപയോക്താവായി ലോഗിൻ ചെയ്യാൻ ശ്രമിക്കുന്നു.

ലോഗുകളിൽ നിന്ന് ഞാൻ ശ്രദ്ധിച്ച മറ്റൊരു കാര്യം: മിക്ക സിസ്റ്റങ്ങളിലും, ലോഗിൻ ചെയ്യാനുള്ള മിക്ക ശ്രമങ്ങളും "അഡ്മിനിസ്ട്രേറ്റർ" എന്ന പേരിലാണ്. ഇത് കാരണമില്ലാതെയല്ല, കാരണം വിൻഡോസിന്റെ പല പതിപ്പുകളിലും ഈ ഉപയോക്താവ് നിലവിലുണ്ട്. മാത്രമല്ല, ഇത് ഇല്ലാതാക്കാൻ കഴിയില്ല. ഇത് ആക്രമണകാരികൾക്കുള്ള ചുമതല ലളിതമാക്കുന്നു: ഒരു പേരും പാസ്‌വേഡും ഊഹിക്കുന്നതിനുപകരം, നിങ്ങൾ പാസ്‌വേഡ് ഊഹിച്ചാൽ മതി.
വഴിയിൽ, ransomware പിടികൂടിയ സിസ്റ്റത്തിൽ യൂസർ അഡ്മിനിസ്ട്രേറ്ററും മർമാൻസ്ക്#9 എന്ന പാസ്‌വേഡും ഉണ്ടായിരുന്നു. ആ സിസ്റ്റം എങ്ങനെ ഹാക്ക് ചെയ്യപ്പെട്ടുവെന്ന് എനിക്ക് ഇപ്പോഴും ഉറപ്പില്ല, കാരണം ആ സംഭവത്തിന് ശേഷം ഞാൻ നിരീക്ഷിക്കാൻ തുടങ്ങി, പക്ഷേ അമിതമായി കൊല്ലാൻ സാധ്യതയുണ്ടെന്ന് ഞാൻ കരുതുന്നു.
അഡ്മിനിസ്ട്രേറ്റർ ഉപയോക്താവിനെ ഇല്ലാതാക്കാൻ കഴിയുന്നില്ലെങ്കിൽ, നിങ്ങൾ എന്തുചെയ്യണം? നിങ്ങൾക്ക് അതിന്റെ പേര് മാറ്റാം!

ഈ ഖണ്ഡികയിൽ നിന്നുള്ള ശുപാർശകൾ:

• കമ്പ്യൂട്ടർ നാമത്തിൽ ഉപയോക്തൃനാമം ഉപയോഗിക്കരുത്
• സിസ്റ്റത്തിൽ അഡ്മിനിസ്ട്രേറ്റർ ഉപയോക്താവ് ഇല്ലെന്ന് ഉറപ്പാക്കുക
• ശക്തമായ പാസ്‌വേഡുകൾ ഉപയോഗിക്കുക

അതിനാൽ, എന്റെ നിയന്ത്രണത്തിലുള്ള നിരവധി വിൻഡോസ് സെർവറുകൾ ഇപ്പോൾ ഏകദേശം രണ്ട് വർഷമായി ക്രൂരമായി നിർബന്ധിതമാകുന്നത് ഞാൻ നിരീക്ഷിക്കുന്നു, വിജയിക്കാതെ.

അത് വിജയിച്ചില്ലെന്ന് എനിക്കെങ്ങനെ അറിയാം?
കാരണം മുകളിലുള്ള സ്ക്രീൻഷോട്ടുകളിൽ നിങ്ങൾക്ക് വിജയകരമായ RDP കോളുകളുടെ ലോഗുകൾ ഉണ്ടെന്ന് കാണാൻ കഴിയും, അതിൽ വിവരങ്ങൾ അടങ്ങിയിരിക്കുന്നു:

• അതിൽ നിന്ന് ഐ.പി
• ഏത് കമ്പ്യൂട്ടറിൽ നിന്നാണ് (ഹോസ്റ്റ് നാമം)
• ഉപയോക്തൃനാമം
• ജിയോഐപി വിവരങ്ങൾ

ഞാൻ അവിടെ പതിവായി പരിശോധിക്കുന്നു - അപാകതകളൊന്നും കണ്ടെത്തിയില്ല.

വഴിയിൽ, ഒരു പ്രത്യേക ഐപി കഠിനമായി നിർബന്ധിതമാക്കുകയാണെങ്കിൽ, പവർഷെല്ലിൽ ഇതുപോലുള്ള വ്യക്തിഗത ഐപികൾ (അല്ലെങ്കിൽ സബ്‌നെറ്റുകൾ) നിങ്ങൾക്ക് തടയാനാകും:

New-NetFirewallRule -Direction Inbound -DisplayName "fail2ban" -Name "fail2ban" -RemoteAddress ("185.143.0.0/16", "185.153.0.0/16", "193.188.0.0/16") -Action Block

വഴിയിൽ, ഇലാസ്റ്റിക്, വിൻലോഗ്ബീറ്റിനു പുറമേ, ഉണ്ട് ഓഡിറ്റ് ബീറ്റ്, സിസ്റ്റത്തിലെ ഫയലുകളും പ്രക്രിയകളും നിരീക്ഷിക്കാൻ ഇതിന് കഴിയും. കിബാനയിൽ ഒരു SIEM (സെക്യൂരിറ്റി ഇൻഫർമേഷൻ & ഇവന്റ് മാനേജ്മെന്റ്) ആപ്ലിക്കേഷനും ഉണ്ട്. ഞാൻ രണ്ടും പരീക്ഷിച്ചു, പക്ഷേ കാര്യമായ പ്രയോജനം കണ്ടില്ല - ലിനക്സ് സിസ്റ്റങ്ങൾക്ക് ഓഡിറ്റ്ബീറ്റ് കൂടുതൽ ഉപയോഗപ്രദമാകുമെന്ന് തോന്നുന്നു, കൂടാതെ SIEM ഇതുവരെ എനിക്ക് മനസ്സിലാക്കാവുന്നതൊന്നും കാണിച്ചിട്ടില്ല.

ശരി, അന്തിമ ശുപാർശകൾ:

• സാധാരണ യാന്ത്രിക ബാക്കപ്പുകൾ ഉണ്ടാക്കുക.
• സുരക്ഷാ അപ്‌ഡേറ്റുകൾ സമയബന്ധിതമായി ഇൻസ്റ്റാൾ ചെയ്യുക

ബോണസ്: RDP ലോഗിൻ ശ്രമങ്ങൾക്കായി ഏറ്റവും കൂടുതൽ ഉപയോഗിച്ചിരുന്ന 50 ഉപയോക്താക്കളുടെ ലിസ്റ്റ്

"user.name: descending"
എണ്ണുക

dfthd7c (ഹോസ്റ്റ് നാമം)
842941

winsrv1 (ഹോസ്റ്റ് നാമം)
266525

അഡ്മിനിസ്ട്രേറ്റർ
180678

അഡ്മിനിസ്ട്രേറ്റർ
163842

അഡ്മിനിസ്ട്രേറ്റർ
53541

മൈക്കിൾ
23101

സെർവർ
21983

steve
21936

യോഹന്നാൻ
21927

പൌൾ
21913

സ്വീകരണം
21909

മൈക്ക്
21899

ഓഫീസ്
21888

സ്കാനർ
21887

സ്കാൻ
21867

ഡേവിഡ്
21865

ക്രിസ്
21860

ഉടമ
21855

മാനേജർ
21852

അഡ്മിനിസ്ട്രേറ്റർ
21841

ബ്രയാൻ
21839

അഡ്മിനിസ്ട്രേറ്റർ
21837

അടയാളം
21824

സ്റ്റാഫ്
21806

അഡ്മിൻ
12748

ROOT
7772

അഡ്മിനിസ്ട്രഡർ
7325

പിന്തുണ
5577

പിന്തുണ
5418

USER
4558

അഡ്മിൻ
2832

ടെസ്റ്റ്
1928

MySQL
1664

അഡ്മിൻ
1652

അതിഥി
1322

USER1
1179

സ്കാനർ
1121

സ്കാൻ
1032

അഡ്മിനിസ്ട്രേറ്റർ
842

അഡ്മിൻ1
525

ബാക്കപ്പ്
518

MySqlAdmin
518

സ്വീകാര്യത
490

USER2
466

TEMP
452

സ്ക്ലാഡ്മിൻ
450

USER3
441

1
422

മാനേജർ
418

ഉടമ
410

അവലംബം: www.habr.com