इंटरनेटवर आरडीपी उघडे ठेवणे धोकादायक आहे का?

इंटरनेटसाठी आरडीपी (रिमोट डेस्कटॉप प्रोटोकॉल) पोर्ट उघडे ठेवणे अत्यंत असुरक्षित आहे आणि ते करू नये असे मत मी अनेकदा वाचले आहे. परंतु तुम्हाला एकतर VPN द्वारे किंवा फक्त ठराविक “पांढऱ्या” IP पत्त्यांवरून RDP मध्ये प्रवेश देणे आवश्यक आहे.

मी छोट्या कंपन्यांसाठी अनेक Windows सर्व्हर प्रशासित करतो जेथे मला अकाउंटंटसाठी Windows सर्व्हरवर दूरस्थ प्रवेश प्रदान करण्याचे काम सोपवले गेले आहे. हा आधुनिक ट्रेंड आहे - घरून काम करणे. खूप लवकर, मला समजले की व्हीपीएन अकाउंटंटला त्रास देणे हे एक कृतघ्न कार्य आहे आणि व्हाईट लिस्टसाठी सर्व आयपी गोळा करणे कार्य करणार नाही, कारण लोकांचे आयपी पत्ते डायनॅमिक आहेत.

म्हणून, मी सर्वात सोपा मार्ग घेतला - आरडीपी पोर्ट बाहेरील बाजूस अग्रेषित केला. प्रवेश मिळवण्यासाठी, अकाउंटंटना आता RDP चालवावा लागेल आणि होस्टनाव (पोर्टसह), वापरकर्तानाव आणि पासवर्ड टाकावा लागेल.

या लेखात मी माझा अनुभव (सकारात्मक आणि तितक्या सकारात्मक नाही) आणि शिफारसी सामायिक करेन.

जोखीम

RDP पोर्ट उघडून तुम्ही काय धोका पत्करत आहात?

1) संवेदनशील डेटावर अनधिकृत प्रवेश
जर एखाद्याने RDP पासवर्डचा अंदाज लावला, तर ते तुम्हाला खाजगी ठेवू इच्छित असलेला डेटा प्राप्त करण्यास सक्षम असतील: खाते स्थिती, शिल्लक, ग्राहक डेटा, ...

2) डेटा गमावणे
उदाहरणार्थ, रॅन्समवेअर व्हायरसचा परिणाम म्हणून.
किंवा हल्लेखोराने जाणीवपूर्वक केलेली कृती.

3) वर्कस्टेशनचे नुकसान
कामगारांना काम करणे आवश्यक आहे, परंतु सिस्टममध्ये तडजोड झाली आहे आणि ती पुन्हा स्थापित/पुनर्संचयित/कॉन्फिगर करणे आवश्यक आहे.

4) स्थानिक नेटवर्कची तडजोड
जर एखाद्या आक्रमणकर्त्याने विंडोज संगणकावर प्रवेश मिळवला असेल, तर या संगणकावरून तो इंटरनेटवरून, बाहेरून प्रवेश न करता येणार्‍या सिस्टममध्ये प्रवेश करण्यास सक्षम असेल. उदाहरणार्थ, शेअर्स फाइल करण्यासाठी, नेटवर्क प्रिंटरवर इ.

माझ्याकडे विंडोज सर्व्हरने रॅन्समवेअर पकडला होता

आणि या रॅन्समवेअरने प्रथम C: ड्राइव्हवरील बहुतेक फायली एनक्रिप्ट केल्या आणि नंतर नेटवर्कवर NAS वरील फाइल्स एनक्रिप्ट करणे सुरू केले. NAS हे Synology असल्याने, स्नॅपशॉट्स कॉन्फिगर करून, मी 5 मिनिटांत NAS पुनर्संचयित केले, आणि सुरवातीपासून विंडोज सर्व्हर पुन्हा स्थापित केले.

निरीक्षणे आणि शिफारसी

मी वापरून विंडोज सर्व्हरचे निरीक्षण करतो Winlogbeat, जे ElasticSearch ला लॉग पाठवते. किबाना मध्ये अनेक व्हिज्युअलायझेशन आहेत आणि मी एक सानुकूल डॅशबोर्ड देखील सेट केला आहे.
निरीक्षण स्वतःच संरक्षण करत नाही, परंतु ते आवश्यक उपाय निर्धारित करण्यात मदत करते.

येथे काही निरीक्षणे आहेत:
अ) आरडीपीला क्रूर सक्ती केली जाईल.
एका सर्व्हरवर, मी मानक पोर्ट 3389 वर RDP स्थापित केला नाही, परंतु 443 वर - ठीक आहे, मी स्वतःला HTTPS म्हणून वेषात घेईन. मानक वरून पोर्ट बदलणे कदाचित फायदेशीर आहे, परंतु ते फारसे चांगले करणार नाही. या सर्व्हरची आकडेवारी येथे आहे:

हे पाहिले जाऊ शकते की एका आठवड्यात RDP द्वारे लॉग इन करण्याचे जवळजवळ 400 अयशस्वी प्रयत्न झाले.
असे दिसून येते की 55 IP पत्त्यांमधून लॉग इन करण्याचा प्रयत्न केला गेला होता (काही IP पत्ते माझ्याद्वारे आधीच अवरोधित केले गेले होते).

हे थेट निष्कर्ष सूचित करते की आपल्याला fail2ban सेट करणे आवश्यक आहे, परंतु

विंडोजसाठी अशी कोणतीही उपयुक्तता नाही.

गिथबवर असे काही बेबंद प्रकल्प आहेत जे असे करतात असे दिसते, परंतु मी ते स्थापित करण्याचा प्रयत्न देखील केला नाही:
https://github.com/glasnt/wail2ban
https://github.com/EvanAnderson/ts_block

सशुल्क उपयुक्तता देखील आहेत, परंतु मी त्यांचा विचार केला नाही.

जर तुम्हाला या उद्देशासाठी ओपन सोर्स उपयुक्तता माहित असेल, तर कृपया ती टिप्पण्यांमध्ये सामायिक करा.

सुधारणा: टिप्पण्यांनी सुचवले की पोर्ट 443 ही एक वाईट निवड आहे, आणि उच्च पोर्ट (32000+) निवडणे चांगले आहे, कारण 443 अधिक वेळा स्कॅन केले जाते आणि या पोर्टवर RDP ओळखणे ही समस्या नाही.

b) काही विशिष्ट वापरकर्तानावे आहेत ज्यांना हल्लेखोर प्राधान्य देतात
हे पाहिले जाऊ शकते की शोध वेगवेगळ्या नावांसह शब्दकोशात केला जातो.
परंतु माझ्या लक्षात आले ते येथे आहे: बरेच प्रयत्न लॉगिन म्हणून सर्व्हरचे नाव वापरत आहेत. शिफारस: संगणक आणि वापरकर्त्यासाठी समान नाव वापरू नका. शिवाय, काहीवेळा असे दिसते की ते सर्व्हरचे नाव कसे तरी पार्स करण्याचा प्रयत्न करीत आहेत: उदाहरणार्थ, DESKTOP-DFTHD7C नावाच्या सिस्टमसाठी, लॉग इन करण्याचा सर्वाधिक प्रयत्न DFTHD7C नावाने केला जातो:

त्यानुसार, तुमच्याकडे DESKTOP-MARIA संगणक असल्यास, तुम्ही कदाचित MARIA वापरकर्ता म्हणून लॉग इन करण्याचा प्रयत्न करत असाल.

लॉगमधून मला आणखी एक गोष्ट लक्षात आली: बर्‍याच सिस्टमवर, लॉग इन करण्याचे बहुतेक प्रयत्न "प्रशासक" नावाने केले जातात. आणि हे विनाकारण नाही, कारण विंडोजच्या अनेक आवृत्त्यांमध्ये हा वापरकर्ता अस्तित्वात आहे. शिवाय, ते हटविले जाऊ शकत नाही. हे हल्लेखोरांसाठी कार्य सुलभ करते: नाव आणि पासवर्डचा अंदाज लावण्याऐवजी, तुम्हाला फक्त पासवर्डचा अंदाज लावावा लागेल.
तसे, ज्या सिस्टमने रॅन्समवेअर पकडले त्यामध्ये वापरकर्ता प्रशासक आणि पासवर्ड मर्मान्स्क#9 होता. मला अजूनही खात्री नाही की ती प्रणाली कशी हॅक झाली, कारण मी त्या घटनेनंतर निरीक्षण सुरू केले, परंतु मला वाटते की ओव्हरकिल होण्याची शक्यता आहे.
त्यामुळे जर प्रशासक वापरकर्ता हटविला जाऊ शकत नाही, तर तुम्ही काय करावे? तुम्ही त्याचे नाव बदलू शकता!

या परिच्छेदातील शिफारसी:

• संगणकाच्या नावात वापरकर्तानाव वापरू नका
• सिस्टमवर प्रशासक वापरकर्ता नाही याची खात्री करा
• मजबूत पासवर्ड वापरा

म्हणून, मी माझ्या नियंत्रणाखालील अनेक विंडोज सर्व्हरला जवळजवळ दोन वर्षांपासून क्रूर-फोर्स्ड होताना पाहत आहे, आणि त्यात यश येत नाही.

ते अयशस्वी आहे हे मला कसे कळेल?
कारण वरील स्क्रीनशॉटमध्ये तुम्ही पाहू शकता की यशस्वी RDP कॉलचे लॉग आहेत, ज्यात माहिती आहे:

• ज्या आयपी वरून
• कोणत्या संगणकावरून (होस्टनाव)
• वापरकर्तानाव
• GeoIP माहिती

आणि मी तेथे नियमितपणे तपासतो - कोणतीही विसंगती आढळली नाही.

तसे, जर एखाद्या विशिष्ट आयपीवर कठोरपणे सक्ती केली जात असेल, तर तुम्ही पॉवरशेलमध्ये वैयक्तिक आयपी (किंवा सबनेट) ब्लॉक करू शकता:

New-NetFirewallRule -Direction Inbound -DisplayName "fail2ban" -Name "fail2ban" -RemoteAddress ("185.143.0.0/16", "185.153.0.0/16", "193.188.0.0/16") -Action Block

तसे, लवचिक, Winlogbeat व्यतिरिक्त, देखील आहे ऑडिटबीट, जे सिस्टमवरील फाइल्स आणि प्रक्रियांचे निरीक्षण करू शकते. किबाना मध्ये एक SIEM (सुरक्षा माहिती आणि कार्यक्रम व्यवस्थापन) अनुप्रयोग देखील आहे. मी दोन्ही प्रयत्न केले, परंतु जास्त फायदा दिसला नाही - असे दिसते की लिनक्स सिस्टमसाठी ऑडिटबीट अधिक उपयुक्त असेल आणि SIEM ने मला अद्याप समजण्यासारखे काहीही दाखवले नाही.

बरं, अंतिम शिफारसी:

• नियमित स्वयंचलित बॅकअप घ्या.
• सुरक्षितता अद्यतने वेळेवर स्थापित करा

बोनस: RDP लॉगिन प्रयत्नांसाठी बहुतेकदा वापरल्या गेलेल्या 50 वापरकर्त्यांची यादी

"user.name: उतरत्या"
मोजा

dfthd7c (होस्टनाव)
842941

winsrv1 (होस्टनाव)
266525

प्रशासक
180678

प्रशासक
163842

प्रशासक
53541

माइकल
23101

सर्व्हर
21983

स्टीव्ह
21936

जॉन
21927

पॉल
21913

रिसेप्शन
21909

माईक
21899

कार्यालय
21888

स्कॅनर
21887

स्कॅन करा
21867

डेव्हिड
21865

ख्रिस
21860

मालक
21855

व्यवस्थापक
21852

प्रशासक
21841

ब्रायन
21839

प्रशासक
21837

चिन्ह
21824

कर्मचारी
21806

प्रशासक
12748

मूळ
7772

प्रशासक
7325

आधारभूत
5577

समर्थन
5418

यूजर
4558

प्रशासन
2832

चाचणी
1928

MySQL
1664

प्रशासन
1652

चांगले
1322

USER1
1179

स्कॅनर
1121

स्कॅन
1032

प्रशासक
842

ADMIN1
525

बॅकअप
518

MySqlAdmin
518

प्राप्त करा
490

USER2
466

टेम्प
452

SQLADMIN
450

USER3
441

1
422

व्यवस्थापक
418

मालक
410

स्त्रोत: www.habr.com