1. परिचय

ज्या कंपन्यांकडे रिमोट ऍक्सेस सिस्टीम नाही त्यांनी त्यांना काही महिन्यांपूर्वी तातडीने तैनात केले. सर्व प्रशासक अशा "उष्णतेसाठी" तयार नव्हते, ज्याचा परिणाम सुरक्षा त्रुटींमध्ये झाला: सेवांचे चुकीचे कॉन्फिगरेशन किंवा पूर्वी शोधलेल्या भेद्यतेसह सॉफ्टवेअरच्या कालबाह्य आवृत्त्यांची स्थापना. काहींसाठी, या वगळण्या आधीच बुमरेंज झाल्या आहेत, इतर अधिक भाग्यवान होते, परंतु प्रत्येकाने निश्चितपणे निष्कर्ष काढला पाहिजे. रिमोट कामाची निष्ठा झपाट्याने वाढली आहे आणि अधिकाधिक कंपन्या रिमोट वर्क हे सतत स्वीकार्य स्वरूप म्हणून स्वीकारत आहेत.

तर, रिमोट ऍक्सेस प्रदान करण्यासाठी अनेक पर्याय आहेत: विविध VPN, RDS आणि VNC, TeamViewer आणि इतर. कॉर्पोरेट नेटवर्क आणि त्यामधील उपकरणे तयार करण्याच्या वैशिष्ट्यांवर आधारित, प्रशासकांकडे निवडण्यासाठी भरपूर आहेत. व्हीपीएन सोल्यूशन्स सर्वात लोकप्रिय आहेत, तथापि, अनेक लहान कंपन्या RDS (रिमोट डेस्कटॉप सेवा) निवडतात, ते उपयोजित करण्यासाठी सोपे आणि जलद आहेत.

या लेखात आम्ही RDS सुरक्षिततेबद्दल अधिक बोलू. चला ज्ञात असुरक्षिततेचे थोडक्यात विहंगावलोकन करूया आणि सक्रिय निर्देशिकावर आधारित नेटवर्क इन्फ्रास्ट्रक्चरवर हल्ला करण्यासाठी अनेक परिस्थितींचा विचार करूया. आम्हाला आशा आहे की आमचा लेख एखाद्याला दोषांवर काम करण्यास आणि सुरक्षितता सुधारण्यात मदत करेल.

2. अलीकडील RDS/RDP भेद्यता

कोणत्याही सॉफ्टवेअरमध्ये त्रुटी आणि असुरक्षा असतात ज्यांचा हल्लेखोरांकडून फायदा घेतला जाऊ शकतो आणि RDS हा अपवाद नाही. मायक्रोसॉफ्ट अलीकडे वारंवार नवीन असुरक्षा नोंदवत आहे, म्हणून आम्ही त्यांना थोडक्यात विहंगावलोकन देण्याचा निर्णय घेतला:

• सीव्हीई- 2019-0787

ही भेद्यता तडजोड केलेल्या सर्व्हरशी कनेक्ट करणार्‍या वापरकर्त्यांना धोक्यात आणते. हल्लेखोर वापरकर्त्याच्या डिव्हाइसवर नियंत्रण मिळवू शकतो किंवा कायमस्वरूपी रिमोट ऍक्सेस मिळवण्यासाठी सिस्टममध्ये पाय ठेवू शकतो.

• सीव्हीई- 2019-1181 / सीव्हीई- 2019-1182 / सीव्हीई- 2020-0609

भेद्यतेचा हा गट एका अनधिकृत आक्रमणकर्त्याला विशेष तयार केलेली विनंती वापरून RDS चालवणाऱ्या सर्व्हरवर अनियंत्रित कोड दूरस्थपणे कार्यान्वित करण्यास अनुमती देतो. ते वर्म्स-मालवेअर तयार करण्यासाठी देखील वापरले जाऊ शकतात जे नेटवर्कवरील शेजारच्या उपकरणांना स्वतंत्रपणे संक्रमित करतात. अशा प्रकारे, या असुरक्षा संपूर्ण कंपनीच्या नेटवर्कला धोक्यात आणू शकतात आणि केवळ वेळेवर अद्यतने त्यांना वाचवू शकतात.

रिमोट ऍक्सेस सॉफ्टवेअरने संशोधक आणि हल्लेखोर दोघांचे लक्ष वेधून घेतले आहे, त्यामुळे आम्ही लवकरच आणखी समान भेद्यतेबद्दल ऐकू शकतो.

चांगली बातमी अशी आहे की सर्व असुरक्षा सार्वजनिक शोषण उपलब्ध नसतात. वाईट बातमी अशी आहे की कौशल्य असलेल्या आक्रमणकर्त्याला वर्णनाच्या आधारे असुरक्षिततेसाठी शोषण लिहिणे किंवा पॅच डिफिंग सारख्या तंत्रांचा वापर करणे कठीण होणार नाही (आमच्या सहकाऱ्यांनी याबद्दल लिहिले लेख). म्हणून, आम्ही शिफारस करतो की आपण नियमितपणे सॉफ्टवेअर अद्यतनित करा आणि शोधलेल्या भेद्यतेबद्दल नवीन संदेशांच्या स्वरूपाचे निरीक्षण करा.

3. हल्ले

आम्ही लेखाच्या दुसर्‍या भागाकडे वळतो, जिथे आम्ही सक्रिय निर्देशिकावर आधारित नेटवर्क इन्फ्रास्ट्रक्चरवर हल्ले कसे सुरू होतात हे दर्शवू.

वर्णन केलेल्या पद्धती आक्रमणकर्त्याच्या खालील मॉडेलवर लागू आहेत: आक्रमणकर्ता ज्याचे वापरकर्ता खाते आहे आणि त्याला रिमोट डेस्कटॉप गेटवे - टर्मिनल सर्व्हरमध्ये प्रवेश आहे (बहुतेकदा ते प्रवेशयोग्य आहे, उदाहरणार्थ, बाह्य नेटवर्कवरून). या पद्धतींचा वापर करून, आक्रमणकर्ता पायाभूत सुविधांवर हल्ला सुरू ठेवण्यास आणि नेटवर्कवर त्याची उपस्थिती मजबूत करण्यास सक्षम असेल.

प्रत्येक विशिष्ट प्रकरणात नेटवर्क कॉन्फिगरेशन भिन्न असू शकते, परंतु वर्णन केलेली तंत्रे अगदी सार्वत्रिक आहेत.

प्रतिबंधित वातावरण सोडण्याची आणि विशेषाधिकार वाढवण्याची उदाहरणे

रिमोट डेस्कटॉप गेटवेमध्ये प्रवेश करताना, आक्रमणकर्त्याला काही प्रकारचे प्रतिबंधित वातावरण येऊ शकते. जेव्हा तुम्ही टर्मिनल सर्व्हरशी कनेक्ट करता, तेव्हा त्यावर एक अॅप्लिकेशन लॉन्च केले जाते: अंतर्गत संसाधनांसाठी, एक्सप्लोरर, ऑफिस पॅकेजेस किंवा इतर कोणत्याही सॉफ्टवेअरसाठी रिमोट डेस्कटॉप प्रोटोकॉलद्वारे कनेक्ट करण्यासाठी विंडो.

आक्रमणकर्त्याचे उद्दिष्ट कार्यान्वित आदेशांमध्ये प्रवेश मिळवणे, म्हणजेच cmd किंवा powershell लाँच करणे हे असेल. अनेक क्लासिक विंडोज सँडबॉक्स एस्केप तंत्र यामध्ये मदत करू शकतात. चला त्यांचा अधिक विचार करूया.

पर्याय 1. आक्रमणकर्त्याला रिमोट डेस्कटॉप गेटवेमधील रिमोट डेस्कटॉप कनेक्शन विंडोमध्ये प्रवेश आहे:

"पर्याय दर्शवा" मेनू उघडेल. कनेक्शन कॉन्फिगरेशन फाइल्स हाताळण्यासाठी पर्याय दिसतात:

या विंडोमधून तुम्ही कोणत्याही “ओपन” किंवा “सेव्ह” बटणावर क्लिक करून एक्सप्लोररमध्ये सहज प्रवेश करू शकता:

एक्सप्लोरर उघडतो. त्याचा "अॅड्रेस बार" अनुमत एक्झिक्युटेबल फाइल्स लाँच करणे तसेच फाइल सिस्टमची सूची करणे शक्य करते. हे आक्रमणकर्त्यासाठी उपयोगी असू शकते जेथे सिस्टम ड्राइव्ह लपलेले आहेत आणि थेट प्रवेश करणे शक्य नाही:

→ डेमो व्हिडिओ

एक समान परिस्थिती पुनरुत्पादित केली जाऊ शकते, उदाहरणार्थ, मायक्रोसॉफ्ट ऑफिस सूटमधून एक्सेल रिमोट सॉफ्टवेअर म्हणून वापरताना.

→ डेमो व्हिडिओ

याव्यतिरिक्त, या ऑफिस सूटमध्ये वापरल्या जाणार्या मॅक्रोबद्दल विसरू नका. आमच्या सहकाऱ्यांनी यामध्ये मॅक्रो सिक्युरिटीची समस्या पाहिली लेख.

पर्याय 2. मागील आवृत्ती प्रमाणेच इनपुट वापरून, आक्रमणकर्ता त्याच खात्याच्या अंतर्गत रिमोट डेस्कटॉपवर अनेक कनेक्शन लॉन्च करतो. तुम्ही पुन्हा कनेक्ट केल्यावर, पहिला बंद केला जाईल आणि स्क्रीनवर त्रुटी सूचना असलेली विंडो दिसेल. या विंडोमधील मदत बटण सर्व्हरवर इंटरनेट एक्सप्लोररला कॉल करेल, त्यानंतर आक्रमणकर्ता एक्सप्लोररवर जाऊ शकतो.

→ डेमो व्हिडिओ

पर्याय 3. एक्झिक्युटेबल फाइल्स लाँच करण्यावरील निर्बंध कॉन्फिगर केले असल्यास, आक्रमणकर्त्याला अशी परिस्थिती येऊ शकते जिथे गट धोरणे प्रशासकाला cmd.exe चालविण्यास प्रतिबंधित करतात.

cmd.exe /K <command> सारख्या सामग्रीसह रिमोट डेस्कटॉपवर बॅट फाइल चालवून यावर जाण्याचा एक मार्ग आहे. cmd सुरू करताना त्रुटी आणि बॅट फाइल कार्यान्वित करण्याचे यशस्वी उदाहरण खालील चित्रात दाखवले आहे.

पर्याय 4. एक्झिक्युटेबल फाइल्सच्या नावावर आधारित ब्लॅकलिस्ट वापरून अॅप्लिकेशन्स लाँच करण्यास मनाई करणे हा रामबाण उपाय नाही; त्यांना टाळता येऊ शकते.

खालील परिस्थितीचा विचार करा: आम्ही कमांड लाइनवर प्रवेश अक्षम केला आहे, गट धोरणे वापरून इंटरनेट एक्सप्लोरर आणि पॉवरशेल लाँच करणे प्रतिबंधित केले आहे. हल्लेखोर मदतीसाठी कॉल करण्याचा प्रयत्न करतो - प्रतिसाद नाही. मोडल विंडोच्या संदर्भ मेनूद्वारे पॉवरशेल लाँच करण्याचा प्रयत्न करत आहे, ज्याला शिफ्ट की दाबून कॉल केला जातो - प्रशासकाद्वारे लॉन्च करण्यास मनाई आहे हे दर्शविणारा संदेश. अॅड्रेस बारद्वारे पॉवरशेल लाँच करण्याचा प्रयत्न करतो - पुन्हा प्रतिसाद नाही. निर्बंध बायपास कसे करावे?

C:WindowsSystem32WindowsPowerShellv1.0 फोल्डरमधून वापरकर्ता फोल्डरमध्ये powershell.exe कॉपी करणे पुरेसे आहे, powershell.exe व्यतिरिक्त नाव बदला आणि लॉन्च पर्याय दिसेल.

डीफॉल्टनुसार, रिमोट डेस्कटॉपशी कनेक्ट करताना, क्लायंटच्या स्थानिक डिस्कमध्ये प्रवेश प्रदान केला जातो, तेथून आक्रमणकर्ता powershell.exe कॉपी करू शकतो आणि त्याचे नाव बदलल्यानंतर चालवू शकतो.

→ डेमो व्हिडिओ

आम्ही निर्बंध बायपास करण्याचे फक्त काही मार्ग दिले आहेत; तुम्ही आणखी अनेक परिस्थितींसह येऊ शकता, परंतु त्या सर्वांमध्ये एक गोष्ट समान आहे: Windows Explorer मध्ये प्रवेश. असे बरेच अनुप्रयोग आहेत जे मानक Windows फाइल हाताळणी साधने वापरतात आणि मर्यादित वातावरणात ठेवल्यास, तत्सम तंत्रे वापरली जाऊ शकतात.

4. शिफारसी आणि निष्कर्ष

जसे आपण बघू शकतो की, मर्यादित वातावरणातही हल्ल्याच्या विकासासाठी जागा आहे. तथापि, आपण आक्रमणकर्त्याचे जीवन अधिक कठीण करू शकता. आम्ही सामान्य शिफारसी देतो ज्या आम्ही विचारात घेतलेल्या पर्यायांमध्ये आणि इतर प्रकरणांमध्ये उपयुक्त ठरतील.

• समूह धोरणे वापरून कार्यक्रम काळ्या/पांढऱ्या सूचीवर मर्यादित करा.
  तथापि, बहुतेक प्रकरणांमध्ये, कोड चालवणे शक्य आहे. आम्ही शिफारस करतो की तुम्ही स्वतःला प्रकल्पाशी परिचित करा लोलबास, फाइल्समध्ये फेरफार करण्याच्या आणि सिस्टमवर कोड कार्यान्वित करण्याच्या अदस्तांकित मार्गांची कल्पना असणे.
  आम्ही दोन्ही प्रकारचे निर्बंध एकत्र करण्याची शिफारस करतो: उदाहरणार्थ, तुम्ही Microsoft द्वारे स्वाक्षरी केलेल्या एक्झिक्युटेबल फाइल्स लाँच करण्याची परवानगी देऊ शकता, परंतु cmd.exe लाँच करण्यास प्रतिबंधित करा.
• इंटरनेट एक्सप्लोरर सेटिंग्ज टॅब अक्षम करा (रेजिस्ट्रीमध्ये स्थानिक पातळीवर केले जाऊ शकते).
• regedit द्वारे Windows अंगभूत मदत अक्षम करा.
• वापरकर्त्यांसाठी अशी मर्यादा गंभीर नसल्यास रिमोट कनेक्शनसाठी स्थानिक डिस्क माउंट करण्याची क्षमता अक्षम करा.
• रिमोट मशीनच्या स्थानिक ड्राइव्हवर प्रवेश मर्यादित करा, फक्त वापरकर्ता फोल्डरवर प्रवेश सोडून द्या.

आम्हाला आशा आहे की तुम्हाला ते कमीत कमी मनोरंजक वाटले असेल आणि जास्तीत जास्त हा लेख तुमच्या कंपनीचे दूरस्थ कार्य अधिक सुरक्षित करण्यात मदत करेल.

स्त्रोत: www.habr.com