{"id":41229,"date":"2020-02-06T20:43:00","date_gmt":"2020-02-06T17:43:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/opasno-li-derzhat-otkrytym-rdp-v-internete"},"modified":"2020-02-06T20:43:00","modified_gmt":"2020-02-06T17:43:00","slug":"opasno-li-derzhat-otkrytym-rdp-v-internete","status":"publish","type":"post","link":"https:\/\/prohoster.info\/no\/blog\/opasno-li-derzhat-otkrytym-rdp-v-internete","title":{"rendered":"Er det farlig \u00e5 ha RDP \u00e5pent p\u00e5 Internett?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Det er ofte blitt hevdet at det \u00e5 holde RDP (Remote Desktop Protocol) porten \u00e5pen p\u00e5 internett er ganske usikkert, og at man b\u00f8r unng\u00e5 det. Tilgang til RDP b\u00f8r gis enten via VPN, eller kun fra bestemte \"hvite\" IP-adresser.<\/p>\n

<\/p>\n

Jeg administrerer flere Windows Servere for sm\u00e5 bedrifter, der jeg har f\u00e5tt i oppdrag \u00e5 sikre fjernadgang til Windows Server for regnskapsf\u00f8rere. Dette er en moderne trend \u2013 \u00e5 jobbe hjemmefra. Jeg inns\u00e5 ganske raskt at det \u00e5 plage regnskapsf\u00f8rerne med VPN var en utakknemlig oppgave, og det ville ikke v\u00e6re mulig \u00e5 samle alle IP-adressene for hvitelisten, fordi folk har dynamiske IP-adresser.<\/p>\n

<\/p>\n

Derfor valgte jeg den enkleste l\u00f8sningen \u2013 jeg eksponerte RDP-porten utad. N\u00e5 trenger regnskapsf\u00f8rerne bare \u00e5 starte RDP og angi vertsnavn (inkludert port), brukernavn og passord.<\/p>\n

<\/p>\n

I denne artikkelen vil jeg dele erfaringene mine (b\u00e5de positive og negative) samt noen anbefalinger.<\/p>\n

<\/a><\/noindex><\/p>\n

Risikoer<\/h3>\n

<\/p>\n

Hva risikerer du ved \u00e5 \u00e5pne RDP-porten?<\/p>\n

<\/p>\n

1) Uautorisert tilgang til sensitive data<\/b>
\nHvis noen klarer \u00e5 gjette passordet til RDP, vil de kunne f\u00e5 tilgang til dataene du \u00f8nsker \u00e5 holde private: kontosaldoer, kundedata, \u2026<\/p>\n

<\/p>\n

2) Datatap<\/b>
\nFor eksempel som f\u00f8lge av en ransomware-virus.
\nEller som et resultat av en ondsinnet akt\u00f8rs handlinger.<\/p>\n

<\/p>\n

3) Tap av arbeidsstasjon<\/b>
\nAnsatte m\u00e5 jobbe, men systemet har blitt kompromittert, og det m\u00e5 installeres p\u00e5 nytt \/ gjenopprettes \/ konfigureres.<\/p>\n

<\/p>\n

4) Kompromittering av lokalt nettverk<\/b>
\nHvis en angriper f\u00e5r tilgang til en Windows-datamaskin, kan de allerede fra denne datamaskinen f\u00e5 tilgang til systemer som er utilgjengelige utenfra, fra Internett. For eksempel filshares, nettverks skrivere osv.<\/p>\n

\nJeg har hatt et tilfelle der en Windows Server ble rammet av ransomware<\/b><\/p>\n

og denne ransomware f\u00f8rst krypterte de fleste filene p\u00e5 disk C:, f\u00f8r den begynte \u00e5 kryptere filer p\u00e5 NAS-en over nettverket. Siden NAS-en er en Synology med innstilte snapshots, kunne jeg gjenopprette NAS-en p\u00e5 5 minutter, mens Windows Server m\u00e5tte jeg installere p\u00e5 nytt fra bunnen av.<\/p>\n

<\/p>\n

Observasjoner og Anbefalinger<\/h3>\n

<\/p>\n

Jeg overv\u00e5ker Windows Servere ved hjelp av Winlogbeat<\/a><\/noindex>, som sender logger til ElasticSearch. I Kibana finnes det flere visualiseringer, og jeg har ogs\u00e5 satt opp en tilpasset dashbord.
\nSelve overv\u00e5kingen beskytter ikke, men hjelper med \u00e5 bestemme n\u00f8dvendige tiltak.<\/p>\n

<\/p>\n

Her er noen observasjoner:
\na) RDP vil bli bruteforst.<\/b>
\nP\u00e5 en av serverne mine har jeg satt RDP til \u00e5 bruke en annen port enn standard 3389, p\u00e5 443 \u2013 som om jeg pr\u00f8ver \u00e5 maskere det som HTTPS. \u00c5 endre standardporten er sikkert en god id\u00e9, men det gir ikke s\u00e5 mye mening. Her er statistikken fra denne serveren:<\/p>\n

\n\"Er<\/p>\n

Det er tydelig at det har v\u00e6rt nesten 400 000 mislykkede fors\u00f8k p\u00e5 \u00e5 f\u00e5 tilgang via RDP i l\u00f8pet av uken.
\nDet er \u00e5penbart at det har v\u00e6rt fors\u00f8k p\u00e5 \u00e5 f\u00e5 tilgang fra 55 001 IP-adresser (noen av IP-adressene har jeg allerede blokkert).<\/p>\n

<\/p>\n

Det gir en klar indikasjon p\u00e5 at jeg b\u00f8r installere fail2ban, men <\/p>\n

\nDet finnes ingen slik nyttig programvare for Windows.<\/b><\/p>\n

Det er et par forlatt prosjekter p\u00e5 GitHub som ser ut til \u00e5 gj\u00f8re dette, men jeg har ikke engang pr\u00f8vd \u00e5 installere dem:
\nhttps:\/\/github.com\/glasnt\/wail2ban<\/a><\/noindex>
\nhttps:\/\/github.com\/EvanAnderson\/ts_block<\/a><\/noindex><\/p>\n

<\/p>\n

Det finnes ogs\u00e5 betalte verkt\u00f8y, men jeg har ikke vurdert dem.<\/p>\n

<\/p>\n

Hvis du kjenner til et \u00e5pent verkt\u00f8y for dette form\u00e5let \u2013 del det i kommentarene.<\/p>\n

<\/p>\n

Update<\/strong>: I kommentarene ble det p\u00e5pekt at port 443 ikke er et godt valg, og det er bedre \u00e5 velge h\u00f8ye porter (32000+), fordi 443 skannes oftere, og \u00e5 gjenkjenne RDP p\u00e5 denne porten er ikke noe problem.<\/p>\n

<\/p>\n

Oppdatering:<\/strong> I kommentarene ble det p\u00e5pekt at det finnes et slikt verkt\u00f8y:
\nhttps:\/\/github.com\/digitalruby\/ipban<\/a><\/noindex><\/p>\n

<\/p>\n

b) Det finnes spesifikke brukernavn som angripere foretrekker.<\/b>
\nDet er tydelig at angrepene skjer ved \u00e5 bruke ordb\u00f8ker med forskjellige navn.
\nDet jeg la merke til, er at et betydelig antall fors\u00f8k bruker servernavnet som brukernavn. Anbefalingen: bruk ikke samme navn for datamaskinen og brukeren. Dessuten ser det ut til at det noen ganger fors\u00f8kes \u00e5 parsette navn p\u00e5 serveren: for eksempel for et system med navnet DESKTOP-DFTHD7C er det flest fors\u00f8k med navnet DFTHD7C:<\/p>\n

\n\"Er<\/p>\n

Derfor, hvis du har en datamaskin som heter DESKTOP-MARIA, vil det sannsynligvis v\u00e6re fors\u00f8k p\u00e5 \u00e5 logge inn som brukeren MARIA.<\/p>\n

<\/p>\n

En annen ting jeg har lagt merke til fra loggene: p\u00e5 de fleste systemer er de fleste innloggingsfors\u00f8k med navnet \"administrator\". Og dette er ikke tilfeldig, for i mange versjoner av Windows finnes denne brukeren. Dessuten kan den ikke slettes. Dette forenkler oppgaven for angripere: i stedet for \u00e5 gjette b\u00e5de navn og passord, trenger de bare \u00e5 gjette passordet.
\nForresten, systemet mitt som ble rammet av ransomware hadde brukeren Administrator og passordet Murmansk#9. Jeg er fortsatt ikke sikker p\u00e5 hvordan de klarte \u00e5 bryte seg inn i det systemet, fordi jeg begynte \u00e5 overv\u00e5ke etter at den hendelsen fant sted, men jeg tror at det var et gjentatt angrep \u2013 det er sannsynlig.
\nS\u00e5, hvis brukeren Administrator ikke kan slettes, hva kan man gj\u00f8re? Man kan endre navn!<\/p>\n

<\/p>\n

Anbefalingene fra dette punktet: <\/p>\n

<\/p>\n