{"id":41229,"date":"2020-02-06T20:43:00","date_gmt":"2020-02-06T17:43:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/opasno-li-derzhat-otkrytym-rdp-v-internete"},"modified":"2020-02-06T20:43:00","modified_gmt":"2020-02-06T17:43:00","slug":"opasno-li-derzhat-otkrytym-rdp-v-internete","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/opasno-li-derzhat-otkrytym-rdp-v-internete","title":{"rendered":"Czy niebezpieczne jest trzymanie otwartego RDP w Internecie?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Cz\u0119sto czyta\u0142em opini\u0119, \u017ce otwieranie portu RDP (Remote Desktop Protocol) w Internecie jest bardzo niebezpieczne i nie nale\u017cy tego robi\u0107. Dost\u0119p do RDP powinno si\u0119 zapewnia\u0107 albo przez VPN, albo tylko z okre\u015blonych \"bia\u0142ych\" adres\u00f3w IP.<\/p>\n

<\/p>\n

Zarz\u0105dzam kilkoma serwerami Windows dla ma\u0142ych firm, kt\u00f3re zleci\u0142y mi zadanie zapewnienia zdalnego dost\u0119pu do Windows Server dla ksi\u0119gowych. To nowoczesny trend \u2014 praca z domu. Szybko zrozumia\u0142em, \u017ce m\u0119czenie ksi\u0119gowych VPN to wdzi\u0119czne zaj\u0119cie, a zebranie wszystkich IP do bia\u0142ej listy jest niemo\u017cliwe, poniewa\u017c adresy IP ludzi s\u0105 dynamiczne.<\/p>\n

<\/p>\n

Dlatego poszed\u0142em najprostsz\u0105 drog\u0105 \u2014 otworzy\u0142em port RDP na zewn\u0105trz. Teraz, aby uzyska\u0107 dost\u0119p, ksi\u0119gowi musz\u0105 uruchomi\u0107 RDP i wprowadzi\u0107 nazw\u0119 hosta (wraz z portem), nazw\u0119 u\u017cytkownika i has\u0142o.<\/p>\n

<\/p>\n

W tym artykule podziel\u0119 si\u0119 do\u015bwiadczeniem (pozytywnym i nieco mniej) oraz rekomendacjami.<\/p>\n

<\/a><\/noindex><\/p>\n

Ryzyka<\/h3>\n

<\/p>\n

Czym ryzykujesz otwieraj\u0105c port RDP?<\/p>\n

<\/p>\n

1) Nieautoryzowany dost\u0119p do wra\u017cliwych danych<\/b>
\nJe\u015bli kto\u015b odgadnie has\u0142o do RDP, b\u0119dzie m\u00f3g\u0142 uzyska\u0107 dost\u0119p do danych, kt\u00f3re chcesz trzyma\u0107 w tajemnicy: stan kont, saldo, dane klient\u00f3w, \u2026<\/p>\n

<\/p>\n

2) Utrata danych<\/b>
\nNa przyk\u0142ad w wyniku dzia\u0142ania wirusa szyfruj\u0105cego.
\nLub celowego dzia\u0142ania cyberprzest\u0119pcy.<\/p>\n

<\/p>\n

3) Utrata stacji roboczej<\/b>
\nPracownicy musz\u0105 pracowa\u0107, a system jest skompromitowany, trzeba go reinstalowa\u0107 \/ przywraca\u0107 \/ konfigurowa\u0107.<\/p>\n

<\/p>\n

4) Kompromitacja lokalnej sieci<\/b>
\nJe\u015bli cyberprzest\u0119pca uzyska dost\u0119p do komputera z systemem Windows, to ju\u017c z tego komputera uzyska dost\u0119p do system\u00f3w, kt\u00f3re s\u0105 niedost\u0119pne z zewn\u0105trz, z Internetu. Na przyk\u0142ad do udost\u0119pnionych folder\u00f3w, drukarek sieciowych itp.<\/p>\n

\nMia\u0142em przypadek, kiedy serwer Windows z\u0142apa\u0142 szyfruj\u0105cego wirusa<\/b><\/p>\n

i ten wirus najpierw zaszyfrowa\u0142 wi\u0119kszo\u015b\u0107 plik\u00f3w na dysku C:, a nast\u0119pnie zacz\u0105\u0142 szyfrowa\u0107 pliki na NAS w sieci. Poniewa\u017c NAS by\u0142 Synology z w\u0142\u0105czonymi migawkami, to NAS przywr\u00f3ci\u0142em w 5 minut, a serwer Windows reinstalowa\u0142em od zera.<\/p>\n

<\/p>\n

Obserwacje i Rekomendacje<\/h3>\n

<\/p>\n

Monitoruj\u0119 serwery Windows za pomoc\u0105 Winlogbeat<\/a><\/noindex>, kt\u00f3re wysy\u0142aj\u0105 logi do ElasticSearch. W Kibanie jest kilka wizualizacji, a ja dodatkowo skonfigurowa\u0142em sobie niestandardowy pulpit nawigacyjny.
\nSam monitoring nie zapewnia ochrony, ale pomaga zdefiniowa\u0107 niezb\u0119dne kroki.<\/p>\n

<\/p>\n

Oto niekt\u00f3re obserwacje:
\na) Port RDP b\u0119dzie atakowany si\u0142owo.<\/b>
\nNa jednym z serwer\u00f3w RDP ustawi\u0142em na porcie 443 zamiast standardowego 3389, aby zamaskowa\u0107 si\u0119 pod HTTPS. Zmiana portu na niestandardowy ma sens, ale niewielki. Oto statystyka z tego serwera:<\/p>\n

\n\"Czy<\/p>\n

Wida\u0107, \u017ce w ci\u0105gu tygodnia mia\u0142o miejsce prawie 400 000 nieudanych pr\u00f3b logowania przez RDP.
\nWida\u0107, \u017ce pr\u00f3by logowania pochodzi\u0142y z 55 001 adres\u00f3w IP (niekt\u00f3re adresy ju\u017c zablokowa\u0142em).<\/p>\n

<\/p>\n

Narzeka si\u0119, \u017ce trzeba zainstalowa\u0107 fail2ban, ale <\/p>\n

\ndla Windows takiego narz\u0119dzia nie ma.<\/b><\/p>\n

S\u0105 kilka porzuconych projekt\u00f3w na GitHubie, kt\u00f3re wydaje si\u0119 to robi\u0105, ale nawet ich nie pr\u00f3bowa\u0142em instalowa\u0107:
\nhttps:\/\/github.com\/glasnt\/wail2ban<\/a><\/noindex>
\nhttps:\/\/github.com\/EvanAnderson\/ts_block<\/a><\/noindex><\/p>\n

<\/p>\n

S\u0105 tak\u017ce p\u0142atne narz\u0119dzia, ale ich nie bra\u0142em pod uwag\u0119.<\/p>\n

<\/p>\n

Je\u015bli znasz otwarte narz\u0119dzie do tego celu \u2014 podziel si\u0119 w komentarzach.<\/p>\n

<\/p>\n

Update<\/strong>: W komentarzach zasugerowano, \u017ce port 443 to z\u0142y wyb\u00f3r, a lepiej wybra\u0107 porty wysokie (32000+), poniewa\u017c 443 jest skanowany cz\u0119\u015bciej, a zidentyfikowanie RDP na tym porcie nie stanowi problemu.<\/p>\n

<\/p>\n

Aktualizacja:<\/strong> W komentarzach zasugerowano, \u017ce takie narz\u0119dzie istnieje:
\nhttps:\/\/github.com\/digitalruby\/ipban<\/a><\/noindex><\/p>\n

<\/p>\n

b) Istniej\u0105 okre\u015blone nazwy u\u017cytkownik\u00f3w, kt\u00f3re preferuj\u0105 przest\u0119pcy<\/b>
\nWida\u0107, \u017ce pr\u00f3by logowania s\u0105 oparte na s\u0142owniku z r\u00f3\u017cnymi imionami.
\nAle zauwa\u017cy\u0142em: znaczna cz\u0119\u015b\u0107 pr\u00f3b to u\u017cywanie nazwy serwera jako loginu. Rekomendacja: nie u\u017cywaj tej samej nazwy dla komputera i u\u017cytkownika. Czasami wydaje si\u0119, \u017ce nazwa serwera jest pr\u00f3bowana do rozpoznania: na przyk\u0142ad dla systemu o nazwie DESKTOP-DFTHD7C najwi\u0119cej pr\u00f3b logowania by\u0142o z nazw\u0105 DFTHD7C:<\/p>\n

\n\"Czy<\/p>\n

Zatem, je\u015bli Tw\u00f3j komputer to DESKTOP-MARIA, to prawdopodobnie b\u0119d\u0105 podejmowane pr\u00f3by logowania si\u0119 jako u\u017cytkownik MARIA.<\/p>\n

<\/p>\n

Dodatkowo zauwa\u017cy\u0142em z log\u00f3w: w wi\u0119kszo\u015bci system\u00f3w wi\u0119kszo\u015b\u0107 pr\u00f3b logowania to z nazw\u0105 \"administrator\". I to nie bez powodu, poniewa\u017c w wielu wersjach Windows u\u017cytkownik ten istnieje. Co wi\u0119cej \u2014 nie mo\u017cna go usun\u0105\u0107. U\u0142atwia to zadanie przest\u0119pcom: zamiast dobierania u\u017cytkownika i has\u0142a, wystarczy tylko zgadn\u0105\u0107 has\u0142o.
\nZauwa\u017c, \u017ce system, kt\u00f3ry z\u0142apa\u0142 szyfruj\u0105cego mia\u0142 u\u017cytkownika Administrator i has\u0142o Murmansk#9. Nie jestem pewien, jak w\u0142amano si\u0119 do tego systemu, poniewa\u017c zacz\u0105\u0142em monitorowa\u0107 to dopiero po tym incydencie, ale my\u015bl\u0119, \u017ce atak s\u0142ownikowy \u2014 jest prawdopodobny.
\nJe\u015bli u\u017cytkownika Administrator nie mo\u017cna usun\u0105\u0107, co tedy zrobi\u0107? Mo\u017cna zmieni\u0107 jego nazw\u0119!<\/p>\n

<\/p>\n

Rekomendacje z tego punktu: <\/p>\n

<\/p>\n