ਕੀ ਇੰਟਰਨੈੱਟ 'ਤੇ RDP ਨੂੰ ਖੁੱਲ੍ਹਾ ਰੱਖਣਾ ਖ਼ਤਰਨਾਕ ਹੈ?

ਮੈਂ ਅਕਸਰ ਇਹ ਵਿਚਾਰ ਪੜ੍ਹਿਆ ਹੈ ਕਿ ਇੱਕ RDP (ਰਿਮੋਟ ਡੈਸਕਟਾਪ ਪ੍ਰੋਟੋਕੋਲ) ਪੋਰਟ ਨੂੰ ਇੰਟਰਨੈਟ ਲਈ ਖੁੱਲ੍ਹਾ ਰੱਖਣਾ ਬਹੁਤ ਅਸੁਰੱਖਿਅਤ ਹੈ ਅਤੇ ਅਜਿਹਾ ਨਹੀਂ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਪਰ ਤੁਹਾਨੂੰ ਜਾਂ ਤਾਂ VPN ਰਾਹੀਂ, ਜਾਂ ਸਿਰਫ਼ ਕੁਝ "ਚਿੱਟੇ" IP ਪਤਿਆਂ ਤੋਂ RDP ਤੱਕ ਪਹੁੰਚ ਦੇਣ ਦੀ ਲੋੜ ਹੈ।

ਮੈਂ ਛੋਟੀਆਂ ਫਰਮਾਂ ਲਈ ਕਈ ਵਿੰਡੋਜ਼ ਸਰਵਰਾਂ ਦਾ ਪ੍ਰਬੰਧਨ ਕਰਦਾ ਹਾਂ ਜਿੱਥੇ ਮੈਨੂੰ ਅਕਾਊਂਟੈਂਟਸ ਲਈ ਵਿੰਡੋਜ਼ ਸਰਵਰ ਤੱਕ ਰਿਮੋਟ ਪਹੁੰਚ ਪ੍ਰਦਾਨ ਕਰਨ ਦਾ ਕੰਮ ਸੌਂਪਿਆ ਗਿਆ ਹੈ। ਇਹ ਆਧੁਨਿਕ ਰੁਝਾਨ ਹੈ - ਘਰ ਤੋਂ ਕੰਮ ਕਰਨਾ। ਬਹੁਤ ਜਲਦੀ, ਮੈਨੂੰ ਅਹਿਸਾਸ ਹੋਇਆ ਕਿ VPN ਲੇਖਾਕਾਰਾਂ ਨੂੰ ਤਸੀਹੇ ਦੇਣਾ ਇੱਕ ਬੇਸ਼ੁਮਾਰ ਕੰਮ ਹੈ, ਅਤੇ ਸਫੈਦ ਸੂਚੀ ਲਈ ਸਾਰੇ IP ਇਕੱਠੇ ਕਰਨਾ ਕੰਮ ਨਹੀਂ ਕਰੇਗਾ, ਕਿਉਂਕਿ ਲੋਕਾਂ ਦੇ IP ਪਤੇ ਗਤੀਸ਼ੀਲ ਹਨ।

ਇਸ ਲਈ, ਮੈਂ ਸਭ ਤੋਂ ਸਰਲ ਰਸਤਾ ਲਿਆ - ਆਰਡੀਪੀ ਪੋਰਟ ਨੂੰ ਬਾਹਰ ਵੱਲ ਫਾਰਵਰਡ ਕੀਤਾ. ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ, ਅਕਾਊਂਟੈਂਟਸ ਨੂੰ ਹੁਣ RDP ਚਲਾਉਣ ਅਤੇ ਹੋਸਟਨਾਮ (ਪੋਰਟ ਸਮੇਤ), ਉਪਭੋਗਤਾ ਨਾਮ ਅਤੇ ਪਾਸਵਰਡ ਦਰਜ ਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ।

ਇਸ ਲੇਖ ਵਿੱਚ ਮੈਂ ਆਪਣਾ ਅਨੁਭਵ (ਸਕਾਰਾਤਮਕ ਅਤੇ ਇੰਨਾ ਸਕਾਰਾਤਮਕ ਨਹੀਂ) ਅਤੇ ਸਿਫ਼ਾਰਸ਼ਾਂ ਨੂੰ ਸਾਂਝਾ ਕਰਾਂਗਾ।

ਖ਼ਤਰੇ

ਤੁਸੀਂ RDP ਪੋਰਟ ਖੋਲ੍ਹ ਕੇ ਕੀ ਖਤਰੇ ਵਿੱਚ ਪਾ ਰਹੇ ਹੋ?

1) ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ ਤੱਕ ਅਣਅਧਿਕਾਰਤ ਪਹੁੰਚ
ਜੇਕਰ ਕੋਈ RDP ਪਾਸਵਰਡ ਦਾ ਅਨੁਮਾਨ ਲਗਾਉਂਦਾ ਹੈ, ਤਾਂ ਉਹ ਉਹ ਡੇਟਾ ਪ੍ਰਾਪਤ ਕਰਨ ਦੇ ਯੋਗ ਹੋਵੇਗਾ ਜਿਸਨੂੰ ਤੁਸੀਂ ਨਿੱਜੀ ਰੱਖਣਾ ਚਾਹੁੰਦੇ ਹੋ: ਖਾਤੇ ਦੀ ਸਥਿਤੀ, ਬਕਾਇਆ, ਗਾਹਕ ਡੇਟਾ, ...

2) ਡੇਟਾ ਦਾ ਨੁਕਸਾਨ
ਉਦਾਹਰਨ ਲਈ, ਇੱਕ ਰੈਨਸਮਵੇਅਰ ਵਾਇਰਸ ਦੇ ਨਤੀਜੇ ਵਜੋਂ।
ਜਾਂ ਕਿਸੇ ਹਮਲਾਵਰ ਦੁਆਰਾ ਜਾਣਬੁੱਝ ਕੇ ਕੀਤੀ ਗਈ ਕਾਰਵਾਈ।

3) ਵਰਕਸਟੇਸ਼ਨ ਦਾ ਨੁਕਸਾਨ
ਕਾਮਿਆਂ ਨੂੰ ਕੰਮ ਕਰਨ ਦੀ ਲੋੜ ਹੈ, ਪਰ ਸਿਸਟਮ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤਾ ਗਿਆ ਹੈ ਅਤੇ ਇਸਨੂੰ ਮੁੜ ਸਥਾਪਿਤ/ਬਹਾਲ/ਸੰਰਚਨਾ ਕਰਨ ਦੀ ਲੋੜ ਹੈ।

4) ਸਥਾਨਕ ਨੈੱਟਵਰਕ ਦਾ ਸਮਝੌਤਾ
ਜੇਕਰ ਕਿਸੇ ਹਮਲਾਵਰ ਨੇ ਵਿੰਡੋਜ਼ ਕੰਪਿਊਟਰ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕੀਤੀ ਹੈ, ਤਾਂ ਇਸ ਕੰਪਿਊਟਰ ਤੋਂ ਉਹ ਉਹਨਾਂ ਸਿਸਟਮਾਂ ਨੂੰ ਐਕਸੈਸ ਕਰਨ ਦੇ ਯੋਗ ਹੋਵੇਗਾ ਜੋ ਬਾਹਰੋਂ, ਇੰਟਰਨੈਟ ਤੋਂ ਪਹੁੰਚਯੋਗ ਨਹੀਂ ਹਨ। ਉਦਾਹਰਨ ਲਈ, ਸ਼ੇਅਰ ਫਾਈਲ ਕਰਨ ਲਈ, ਨੈਟਵਰਕ ਪ੍ਰਿੰਟਰਾਂ ਲਈ, ਆਦਿ।

ਮੇਰੇ ਕੋਲ ਇੱਕ ਕੇਸ ਸੀ ਜਿੱਥੇ ਵਿੰਡੋਜ਼ ਸਰਵਰ ਨੇ ਇੱਕ ਰੈਨਸਮਵੇਅਰ ਫੜਿਆ ਸੀ

ਅਤੇ ਇਸ ਰੈਨਸਮਵੇਅਰ ਨੇ ਪਹਿਲਾਂ C: ਡਰਾਈਵ 'ਤੇ ਜ਼ਿਆਦਾਤਰ ਫਾਈਲਾਂ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕੀਤਾ ਅਤੇ ਫਿਰ ਨੈੱਟਵਰਕ 'ਤੇ NAS 'ਤੇ ਫਾਈਲਾਂ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨਾ ਸ਼ੁਰੂ ਕਰ ਦਿੱਤਾ। ਕਿਉਂਕਿ NAS Synology ਸੀ, ਸਨੈਪਸ਼ਾਟ ਕੌਂਫਿਗਰ ਕੀਤੇ ਜਾਣ ਦੇ ਨਾਲ, ਮੈਂ NAS ਨੂੰ 5 ਮਿੰਟਾਂ ਵਿੱਚ ਰੀਸਟੋਰ ਕੀਤਾ, ਅਤੇ ਵਿੰਡੋਜ਼ ਸਰਵਰ ਨੂੰ ਸਕ੍ਰੈਚ ਤੋਂ ਮੁੜ ਸਥਾਪਿਤ ਕੀਤਾ।

ਨਿਰੀਖਣ ਅਤੇ ਸਿਫ਼ਾਰਸ਼ਾਂ

ਮੈਂ ਵਿੰਡੋਜ਼ ਸਰਵਰਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਨਿਗਰਾਨੀ ਕਰਦਾ ਹਾਂ ਵਿਨਲੌਗਬੀਟ, ਜੋ ElasticSearch ਨੂੰ ਲੌਗ ਭੇਜਦੇ ਹਨ। ਕਿਬਾਨਾ ਦੇ ਕਈ ਵਿਜ਼ੂਅਲਾਈਜ਼ੇਸ਼ਨ ਹਨ, ਅਤੇ ਮੈਂ ਇੱਕ ਕਸਟਮ ਡੈਸ਼ਬੋਰਡ ਵੀ ਸੈਟ ਅਪ ਕੀਤਾ ਹੈ।
ਨਿਗਰਾਨੀ ਆਪਣੇ ਆਪ ਨੂੰ ਸੁਰੱਖਿਅਤ ਨਹੀਂ ਕਰਦੀ, ਪਰ ਇਹ ਲੋੜੀਂਦੇ ਉਪਾਵਾਂ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਵਿੱਚ ਮਦਦ ਕਰਦੀ ਹੈ।

ਇੱਥੇ ਕੁਝ ਨਿਰੀਖਣ ਹਨ:
a) RDP ਨੂੰ ਬੇਰਹਿਮੀ ਨਾਲ ਮਜਬੂਰ ਕੀਤਾ ਜਾਵੇਗਾ।
ਇੱਕ ਸਰਵਰ 'ਤੇ, ਮੈਂ ਆਰਡੀਪੀ ਨੂੰ ਸਟੈਂਡਰਡ ਪੋਰਟ 3389 'ਤੇ ਨਹੀਂ, ਪਰ 443 'ਤੇ ਸਥਾਪਤ ਕੀਤਾ ਹੈ - ਠੀਕ ਹੈ, ਮੈਂ ਆਪਣੇ ਆਪ ਨੂੰ HTTPS ਦੇ ਰੂਪ ਵਿੱਚ ਭੇਸ ਲਵਾਂਗਾ. ਇਹ ਸ਼ਾਇਦ ਸਟੈਂਡਰਡ ਤੋਂ ਪੋਰਟ ਨੂੰ ਬਦਲਣ ਦੇ ਯੋਗ ਹੈ, ਪਰ ਇਹ ਬਹੁਤ ਵਧੀਆ ਨਹੀਂ ਕਰੇਗਾ. ਇੱਥੇ ਇਸ ਸਰਵਰ ਤੋਂ ਅੰਕੜੇ ਹਨ:

ਇਹ ਦੇਖਿਆ ਜਾ ਸਕਦਾ ਹੈ ਕਿ ਇੱਕ ਹਫ਼ਤੇ ਵਿੱਚ RDP ਰਾਹੀਂ ਲਾਗਇਨ ਕਰਨ ਦੀਆਂ ਲਗਭਗ 400 ਅਸਫਲ ਕੋਸ਼ਿਸ਼ਾਂ ਹੋਈਆਂ।
ਇਹ ਦੇਖਿਆ ਜਾ ਸਕਦਾ ਹੈ ਕਿ 55 IP ਪਤਿਆਂ ਤੋਂ ਲੌਗਇਨ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ ਗਈ ਸੀ (ਕੁਝ IP ਪਤੇ ਪਹਿਲਾਂ ਹੀ ਮੇਰੇ ਦੁਆਰਾ ਬਲੌਕ ਕੀਤੇ ਗਏ ਸਨ)।

ਇਹ ਸਿੱਧੇ ਸਿੱਟੇ ਦਾ ਸੁਝਾਅ ਦਿੰਦਾ ਹੈ ਕਿ ਤੁਹਾਨੂੰ fail2ban ਸੈੱਟ ਕਰਨ ਦੀ ਲੋੜ ਹੈ, ਪਰ

ਵਿੰਡੋਜ਼ ਲਈ ਅਜਿਹੀ ਕੋਈ ਸਹੂਲਤ ਨਹੀਂ ਹੈ।

ਗਿਥਬ 'ਤੇ ਕੁਝ ਛੱਡੇ ਹੋਏ ਪ੍ਰੋਜੈਕਟ ਹਨ ਜੋ ਅਜਿਹਾ ਕਰਦੇ ਜਾਪਦੇ ਹਨ, ਪਰ ਮੈਂ ਉਨ੍ਹਾਂ ਨੂੰ ਸਥਾਪਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਵੀ ਨਹੀਂ ਕੀਤੀ ਹੈ:
https://github.com/glasnt/wail2ban
https://github.com/EvanAnderson/ts_block

ਇੱਥੇ ਅਦਾਇਗੀ ਯੋਗ ਸਹੂਲਤਾਂ ਵੀ ਹਨ, ਪਰ ਮੈਂ ਉਹਨਾਂ 'ਤੇ ਵਿਚਾਰ ਨਹੀਂ ਕੀਤਾ ਹੈ।

ਜੇਕਰ ਤੁਸੀਂ ਇਸ ਉਦੇਸ਼ ਲਈ ਇੱਕ ਓਪਨ ਸੋਰਸ ਉਪਯੋਗਤਾ ਨੂੰ ਜਾਣਦੇ ਹੋ, ਤਾਂ ਕਿਰਪਾ ਕਰਕੇ ਇਸਨੂੰ ਟਿੱਪਣੀਆਂ ਵਿੱਚ ਸਾਂਝਾ ਕਰੋ।

ਅੱਪਡੇਟ: ਟਿੱਪਣੀਆਂ ਨੇ ਸੁਝਾਅ ਦਿੱਤਾ ਕਿ ਪੋਰਟ 443 ਇੱਕ ਮਾੜੀ ਚੋਣ ਹੈ, ਅਤੇ ਉੱਚ ਪੋਰਟਾਂ (32000+) ਦੀ ਚੋਣ ਕਰਨਾ ਬਿਹਤਰ ਹੈ, ਕਿਉਂਕਿ 443 ਨੂੰ ਅਕਸਰ ਸਕੈਨ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਇਸ ਪੋਰਟ 'ਤੇ RDP ਨੂੰ ਪਛਾਣਨਾ ਕੋਈ ਸਮੱਸਿਆ ਨਹੀਂ ਹੈ।

b) ਕੁਝ ਉਪਭੋਗਤਾ ਨਾਮ ਹਨ ਜੋ ਹਮਲਾਵਰ ਪਸੰਦ ਕਰਦੇ ਹਨ
ਇਹ ਦੇਖਿਆ ਜਾ ਸਕਦਾ ਹੈ ਕਿ ਖੋਜ ਵੱਖ-ਵੱਖ ਨਾਵਾਂ ਨਾਲ ਇੱਕ ਡਿਕਸ਼ਨਰੀ ਵਿੱਚ ਕੀਤੀ ਜਾਂਦੀ ਹੈ.
ਪਰ ਇੱਥੇ ਉਹ ਹੈ ਜੋ ਮੈਂ ਦੇਖਿਆ: ਬਹੁਤ ਸਾਰੀਆਂ ਕੋਸ਼ਿਸ਼ਾਂ ਸਰਵਰ ਨਾਮ ਨੂੰ ਲੌਗਇਨ ਵਜੋਂ ਵਰਤ ਰਹੀਆਂ ਹਨ। ਸਿਫਾਰਸ਼: ਕੰਪਿਊਟਰ ਅਤੇ ਉਪਭੋਗਤਾ ਲਈ ਇੱਕੋ ਨਾਮ ਦੀ ਵਰਤੋਂ ਨਾ ਕਰੋ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਕਈ ਵਾਰ ਅਜਿਹਾ ਲਗਦਾ ਹੈ ਕਿ ਉਹ ਸਰਵਰ ਨਾਮ ਨੂੰ ਕਿਸੇ ਤਰ੍ਹਾਂ ਪਾਰਸ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਰਹੇ ਹਨ: ਉਦਾਹਰਨ ਲਈ, DESKTOP-DFTHD7C ਨਾਮ ਵਾਲੇ ਸਿਸਟਮ ਲਈ, DFTHD7C ਨਾਮ ਨਾਲ ਲੌਗਇਨ ਕਰਨ ਦੀਆਂ ਸਭ ਤੋਂ ਵੱਧ ਕੋਸ਼ਿਸ਼ਾਂ ਹਨ:

ਇਸ ਅਨੁਸਾਰ, ਜੇਕਰ ਤੁਹਾਡੇ ਕੋਲ ਇੱਕ DESKTOP-MARIA ਕੰਪਿਊਟਰ ਹੈ, ਤਾਂ ਤੁਸੀਂ ਸ਼ਾਇਦ ਮਾਰੀਆ ਉਪਭੋਗਤਾ ਵਜੋਂ ਲੌਗਇਨ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਰਹੇ ਹੋਵੋਗੇ।

ਇਕ ਹੋਰ ਚੀਜ਼ ਜੋ ਮੈਂ ਲੌਗਸ ਤੋਂ ਨੋਟ ਕੀਤੀ: ਜ਼ਿਆਦਾਤਰ ਸਿਸਟਮਾਂ 'ਤੇ, ਲੌਗਇਨ ਕਰਨ ਦੀਆਂ ਜ਼ਿਆਦਾਤਰ ਕੋਸ਼ਿਸ਼ਾਂ "ਪ੍ਰਬੰਧਕ" ਨਾਮ ਨਾਲ ਹੁੰਦੀਆਂ ਹਨ। ਅਤੇ ਇਹ ਬਿਨਾਂ ਕਾਰਨ ਨਹੀਂ ਹੈ, ਕਿਉਂਕਿ ਵਿੰਡੋਜ਼ ਦੇ ਬਹੁਤ ਸਾਰੇ ਸੰਸਕਰਣਾਂ ਵਿੱਚ, ਇਹ ਉਪਭੋਗਤਾ ਮੌਜੂਦ ਹੈ. ਇਸ ਤੋਂ ਇਲਾਵਾ, ਇਸਨੂੰ ਮਿਟਾਇਆ ਨਹੀਂ ਜਾ ਸਕਦਾ ਹੈ। ਇਹ ਹਮਲਾਵਰਾਂ ਲਈ ਕੰਮ ਨੂੰ ਸਰਲ ਬਣਾਉਂਦਾ ਹੈ: ਨਾਮ ਅਤੇ ਪਾਸਵਰਡ ਦਾ ਅਨੁਮਾਨ ਲਗਾਉਣ ਦੀ ਬਜਾਏ, ਤੁਹਾਨੂੰ ਸਿਰਫ਼ ਪਾਸਵਰਡ ਦਾ ਅਨੁਮਾਨ ਲਗਾਉਣ ਦੀ ਲੋੜ ਹੈ।
ਵੈਸੇ, ਜਿਸ ਸਿਸਟਮ ਨੇ ਰੈਨਸਮਵੇਅਰ ਨੂੰ ਫੜਿਆ ਸੀ, ਉਸ ਕੋਲ ਯੂਜ਼ਰ ਐਡਮਿਨਿਸਟ੍ਰੇਟਰ ਅਤੇ ਪਾਸਵਰਡ Murmansk#9 ਸੀ। ਮੈਨੂੰ ਅਜੇ ਵੀ ਪੱਕਾ ਪਤਾ ਨਹੀਂ ਹੈ ਕਿ ਉਹ ਸਿਸਟਮ ਕਿਵੇਂ ਹੈਕ ਕੀਤਾ ਗਿਆ ਸੀ, ਕਿਉਂਕਿ ਮੈਂ ਉਸ ਘਟਨਾ ਤੋਂ ਬਾਅਦ ਹੀ ਨਿਗਰਾਨੀ ਕਰਨੀ ਸ਼ੁਰੂ ਕਰ ਦਿੱਤੀ ਸੀ, ਪਰ ਮੈਨੂੰ ਲਗਦਾ ਹੈ ਕਿ ਓਵਰਕਿਲ ਦੀ ਸੰਭਾਵਨਾ ਹੈ।
ਇਸ ਲਈ ਜੇਕਰ ਪ੍ਰਸ਼ਾਸਕ ਉਪਭੋਗਤਾ ਨੂੰ ਮਿਟਾਇਆ ਨਹੀਂ ਜਾ ਸਕਦਾ, ਤਾਂ ਤੁਹਾਨੂੰ ਕੀ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ? ਤੁਸੀਂ ਇਸਦਾ ਨਾਮ ਬਦਲ ਸਕਦੇ ਹੋ!

ਇਸ ਪੈਰਾ ਤੋਂ ਸਿਫ਼ਾਰਿਸ਼ਾਂ:

• ਕੰਪਿਊਟਰ ਨਾਮ ਵਿੱਚ ਉਪਭੋਗਤਾ ਨਾਮ ਦੀ ਵਰਤੋਂ ਨਾ ਕਰੋ
• ਯਕੀਨੀ ਬਣਾਓ ਕਿ ਸਿਸਟਮ ਤੇ ਕੋਈ ਪ੍ਰਸ਼ਾਸਕ ਉਪਭੋਗਤਾ ਨਹੀਂ ਹੈ
• ਮਜ਼ਬੂਤ ​​ਪਾਸਵਰਡ ਦੀ ਵਰਤੋਂ ਕਰੋ

ਇਸ ਲਈ, ਮੈਂ ਆਪਣੇ ਨਿਯੰਤਰਣ ਵਿੱਚ ਕਈ ਵਿੰਡੋਜ਼ ਸਰਵਰਾਂ ਨੂੰ ਹੁਣ ਲਗਭਗ ਦੋ ਸਾਲਾਂ ਤੋਂ ਬੇਰਹਿਮੀ ਨਾਲ ਜ਼ਬਰਦਸਤੀ ਵੇਖ ਰਿਹਾ ਹਾਂ, ਅਤੇ ਸਫਲਤਾ ਤੋਂ ਬਿਨਾਂ.

ਮੈਨੂੰ ਕਿਵੇਂ ਪਤਾ ਲੱਗੇਗਾ ਕਿ ਇਹ ਅਸਫਲ ਹੈ?
ਕਿਉਂਕਿ ਉਪਰੋਕਤ ਸਕ੍ਰੀਨਸ਼ੌਟਸ ਵਿੱਚ ਤੁਸੀਂ ਦੇਖ ਸਕਦੇ ਹੋ ਕਿ ਸਫਲ RDP ਕਾਲਾਂ ਦੇ ਲੌਗ ਹਨ, ਜਿਸ ਵਿੱਚ ਇਹ ਜਾਣਕਾਰੀ ਸ਼ਾਮਲ ਹੈ:

• ਜਿਸ ਤੋਂ ਆਈ.ਪੀ
• ਕਿਸ ਕੰਪਿਊਟਰ ਤੋਂ (ਹੋਸਟ ਨਾਂ)
• ਉਪਯੋਗਕਰਤਾ ਨਾਮ
• ਜੀਓਆਈਪੀ ਜਾਣਕਾਰੀ

ਅਤੇ ਮੈਂ ਉੱਥੇ ਨਿਯਮਿਤ ਤੌਰ 'ਤੇ ਜਾਂਚ ਕਰਦਾ ਹਾਂ - ਕੋਈ ਵਿਗਾੜ ਨਹੀਂ ਪਾਇਆ ਗਿਆ ਹੈ।

ਵੈਸੇ, ਜੇਕਰ ਕਿਸੇ ਖਾਸ IP ਨੂੰ ਖਾਸ ਤੌਰ 'ਤੇ ਸਖ਼ਤ ਜ਼ਬਰਦਸਤੀ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ, ਤਾਂ ਤੁਸੀਂ PowerShell ਵਿੱਚ ਇਸ ਤਰ੍ਹਾਂ ਵਿਅਕਤੀਗਤ IP (ਜਾਂ ਸਬਨੈੱਟ) ਨੂੰ ਬਲੌਕ ਕਰ ਸਕਦੇ ਹੋ:

New-NetFirewallRule -Direction Inbound -DisplayName "fail2ban" -Name "fail2ban" -RemoteAddress ("185.143.0.0/16", "185.153.0.0/16", "193.188.0.0/16") -Action Block

ਤਰੀਕੇ ਨਾਲ, ਲਚਕੀਲੇ, Winlogbeat ਦੇ ਇਲਾਵਾ, ਵੀ ਹੈ ਆਡਿਟ ਬੀਟ, ਜੋ ਸਿਸਟਮ 'ਤੇ ਫਾਈਲਾਂ ਅਤੇ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੀ ਨਿਗਰਾਨੀ ਕਰ ਸਕਦਾ ਹੈ। ਕਿਬਾਨਾ ਵਿੱਚ ਇੱਕ SIEM (ਸੁਰੱਖਿਆ ਜਾਣਕਾਰੀ ਅਤੇ ਇਵੈਂਟ ਪ੍ਰਬੰਧਨ) ਐਪਲੀਕੇਸ਼ਨ ਵੀ ਹੈ। ਮੈਂ ਦੋਵਾਂ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ, ਪਰ ਜ਼ਿਆਦਾ ਲਾਭ ਨਹੀਂ ਦੇਖਿਆ - ਅਜਿਹਾ ਲਗਦਾ ਹੈ ਕਿ ਆਡਿਟਬੀਟ ਲੀਨਕਸ ਸਿਸਟਮਾਂ ਲਈ ਵਧੇਰੇ ਉਪਯੋਗੀ ਹੋਵੇਗੀ, ਅਤੇ SIEM ਨੇ ਮੈਨੂੰ ਅਜੇ ਤੱਕ ਕੁਝ ਵੀ ਸਮਝਦਾਰੀ ਨਹੀਂ ਦਿਖਾਈ ਹੈ.

ਖੈਰ, ਅੰਤਮ ਸਿਫਾਰਸ਼ਾਂ:

• ਨਿਯਮਤ ਆਟੋਮੈਟਿਕ ਬੈਕਅੱਪ ਬਣਾਓ।
• ਸਮੇਂ ਸਿਰ ਸੁਰੱਖਿਆ ਅੱਪਡੇਟ ਸਥਾਪਤ ਕਰੋ

ਬੋਨਸ: 50 ਉਪਭੋਗਤਾਵਾਂ ਦੀ ਸੂਚੀ ਜੋ ਅਕਸਰ RDP ਲੌਗਇਨ ਕੋਸ਼ਿਸ਼ਾਂ ਲਈ ਵਰਤੇ ਜਾਂਦੇ ਸਨ

"user.name: Descending"
ਗਿਣੋ

dfthd7c (ਹੋਸਟਨਾਮ)
842941

winsrv1 (ਹੋਸਟ ਨਾਂ)
266525

ਪ੍ਰਬੰਧਕ
180678

ਪਰਸ਼ਾਸ਼ਕ
163842

ਪਰਬੰਧਕ
53541

ਮਾਈਕਲ
23101

ਸਰਵਰ
21983

ਸਟੀਵ
21936

ਯੂਹੰਨਾ
21927

ਪੌਲੁਸ ਨੇ
21913

ਰਿਸੈਪਸ਼ਨ
21909

Mike
21899

ਦੇ ਦਫ਼ਤਰ
21888

ਸਕੈਨਰ
21887

ਸਕੈਨ
21867

ਨੇ ਦਾਊਦ ਨੂੰ
21865

ਕ੍ਰਿਸ
21860

ਮਾਲਕ
21855

ਮੈਨੇਜਰ
21852

ਪ੍ਰਬੰਧਕ ਨੂੰ
21841

Brian
21839

ਪ੍ਰਬੰਧਕ
21837

ਨਿਸ਼ਾਨ
21824

ਸਟਾਫ
21806

ਪ੍ਰਬੰਧਕ
12748

ਰੂਟ
7772

ਪ੍ਰਸ਼ਾਸਕ
7325

ਸਹਾਇਤਾ
5577

ਸਹਾਇਤਾ
5418

ਉਪਭੋਗਤਾ
4558

ਪਰਬੰਧਕ
2832

ਟੈਸਟ
1928

ਮਾਈਸਕੈਲ
1664

ਪਰਬੰਧ
1652

ਬਹੁਤ ਵਧੀਆ
1322

ਉਪਭੋਗਤਾ 1
1179

ਸਕੈਨਰ
1121

SCAN
1032

ਪ੍ਰਸ਼ਾਸਕ
842

ADMIN1
525

ਬੈਕਅਪ
518

MySqlAdmin
518

ਰਿਸੈਪਸ਼ਨ
490

ਉਪਭੋਗਤਾ 2
466

ਟੇਮਪ
452

SQLADMIN
450

ਉਪਭੋਗਤਾ 3
441

1
422

ਪ੍ਰਬੰਧਕ
418

ਮਾਲਕ
410

ਸਰੋਤ: www.habr.com