{"id":41229,"date":"2020-02-06T20:43:00","date_gmt":"2020-02-06T17:43:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/opasno-li-derzhat-otkrytym-rdp-v-internete"},"modified":"2020-02-06T20:43:00","modified_gmt":"2020-02-06T17:43:00","slug":"opasno-li-derzhat-otkrytym-rdp-v-internete","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/opasno-li-derzhat-otkrytym-rdp-v-internete","title":{"rendered":"Je nevarno imeti odprt RDP na spletu?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Pogosto sem sli\u0161al mnenje, da je odpiranje RDP (Remote Desktop Protocol) vrat v Internet precej nevarno in da tega ne bi smeli po\u010deti. RDP dostop bi morali omogo\u010diti ali preko VPN-a ali le z dolo\u010denih \"belih\" IP naslovov.<\/p>\n

<\/p>\n

Upravljam ve\u010d Windows Serverjev za manj\u0161a podjetja, kjer so mi nalo\u017eili nalogo, da zagotovim oddaljen dostop do Windows Serverja za ra\u010dunovodje. Tak\u0161en sodoben trend \u2013 delo od doma. Razmeroma hitro sem spoznal, da je mu\u010denje ra\u010dunovodij z VPN\u031f-jem nehvale\u017eno opravilo, poleg tega pa ne morem zbrati vseh IP-jev za beli seznam, saj so IP naslovi pri ljudeh dinami\u010dni.<\/p>\n

<\/p>\n

Zato sem \u0161el po najpreprostej\u0161i poti \u2013 odprl sem RDP pristani\u0161\u010de navzven. Zdaj potrebujejo ra\u010dunovodje za dostop zagon RDP in vnos imena gostitelja (vklju\u010dno s pristani\u0161\u010dem), uporabni\u0161kega imena in gesla.<\/p>\n

<\/p>\n

V tem \u010dlanku bom delil izku\u0161nje (pozitivne in ne zelo) ter priporo\u010dila.<\/p>\n

<\/a><\/noindex><\/p>\n

Tveganja<\/h3>\n

<\/p>\n

S \u010dim tvegate, ko odprete RDP pristani\u0161\u010de?<\/p>\n

<\/p>\n

1) Neavtoriziran dostop do ob\u010dutljivih podatkov<\/b>
\n\u010ce nekdo uspe uganiti geslo za RDP, bo lahko dostopal do podatkov, ki jih \u017eelite obdr\u017eati zasebne: stanja ra\u010dunov, bilance, podatke strank, \u2026<\/p>\n

<\/p>\n

2) Izguba podatkov<\/b>
\nNa primer kot rezultat delovanja virusa-\u0161ifrant.
\nAli pa kot posledica namernega delovanja napadalca.<\/p>\n

<\/p>\n

3) Izguba delovne postaje<\/b>
\nDelavcem je treba delati, sistem pa je bil kompromitiran, potrebno ga je ponovno namestiti \/ obnoviti \/ konfigurirati.<\/p>\n

<\/p>\n

4) Kompromitacija lokalne mre\u017ee<\/b>
\n\u010ce napadalec pridobi dostop do Windows ra\u010dunalnika, lahko \u017ee z tega ra\u010dunalnika dostopa do sistemov, ki niso dostopni iz zunaj, iz interneta. Na primer do deljenih map, do omre\u017enih tiskalnikov itd.<\/p>\n

\nImel sem primer, ko je Windows Server naletel na \u0161ifrant<\/b><\/p>\n

in ta \u0161ifrant je najprej \u0161ifriral ve\u010dino datotek na disku C:, nato pa je za\u010del \u0161ifrirati datoteke na NAS po omre\u017eju. Ker je bil NAS Synology z nastavljenimi posnetki, sem NAS obnovil v 5 minutah, Windows Server pa sem moral namestiti na novo.<\/p>\n

<\/p>\n

Opazovanja in priporo\u010dila<\/h3>\n

<\/p>\n

Windows Serverje spremljam s pomo\u010djo Winlogbeat<\/a><\/noindex>, ki po\u0161ilja dnevnike v ElasticSearch. V Kibani je nekaj vizualizacij, jaz pa sem si nastavil lastno nadzorno plo\u0161\u010do.
\nSamo spremljanje ne \u0161\u010diti, a pomaga dolo\u010diti potrebne ukrepe.<\/p>\n

<\/p>\n

Tukaj je nekaj opazovanj:
\na) RDP bodo napadali po metodi brute-force.<\/b>
\nNa enem od stre\u017enikov sem RDP premaknil na nestandardni port 443 \u2014 da bi se zamaskiral pod HTTPS. Menjava standardnega porta se morda spla\u010da, a koristi so temu malo. Tukaj je statistika s tega stre\u017enika:<\/p>\n

\n\"Je<\/p>\n

Videti je, da je bilo v enem tednu skoraj 400.000 neuspe\u0161nih poskusov dostopa preko RDP.
\nVideti je, da so poskusi dostopa prihajali s 55.001 IP naslovov (nekatere IP naslove sem \u017ee blokiral).<\/p>\n

<\/p>\n

Tukaj se kar samo ponuja sklep, da bi bilo treba namestiti fail2ban, vendar <\/p>\n

\nza Windows takega orodja ni.<\/b><\/p>\n

Obstaja nekaj zapu\u0161\u010denih projektov na GitHubu, ki naj bi to po\u010deli, a jih \u0161e nisem poskusil namestiti:
\nhttps:\/\/github.com\/glasnt\/wail2ban<\/a><\/noindex>
\nhttps:\/\/github.com\/EvanAnderson\/ts_block<\/a><\/noindex><\/p>\n

<\/p>\n

Obstajajo tudi pla\u010dljive aplikacije, vendar jih nisem obravnaval.<\/p>\n

<\/p>\n

\u010ce poznate odprtai pripomo\u010dek za to nalogo \u2014 delite v komentarjih.<\/p>\n

<\/p>\n

Posodobi<\/strong>: V komentarjih so svetovali, da port 443 ni najbolj\u0161a izbira, bolje je izbrati visoke porte (32000+), ker se 443 pogosteje skenira in prepoznati RDP na tem portu ni problem.<\/p>\n

<\/p>\n

Posodobitev:<\/strong> V komentarjih so svetovali, da tak pripomo\u010dek obstaja:
\nhttps:\/\/github.com\/digitalruby\/ipban<\/a><\/noindex><\/p>\n

<\/p>\n

b) Obstajajo dolo\u010dena uporabni\u0161ka imena, ki jih napadalci raje uporabljajo<\/b>
\nVideti je, da se napadi izvajajo z uporabo seznama razli\u010dnih imen.
\nOpazil sem pa \u0161e to: znaten del poskusov je uporaba imena stre\u017enika kot prijavnega imena. Priporo\u010dilo: ne uporabljajte istega imena za ra\u010dunalnik in za uporabnika. Poleg tega se v\u010dasih zdi, da posku\u0161ajo raz\u010dleniti ime stre\u017enika: na primer, za sistem z imenom DESKTOP-DFTHD7C je bilo najve\u010d poskusov dostopa z imenom DFTHD7C:<\/p>\n

\n\"Je<\/p>\n

Zato, \u010de boste imeli ra\u010dunalnik DESKTOP-MARIA, bo verjetno pri\u0161lo do poskusov dostopa pod uporabnikom MARIA.<\/p>\n

<\/p>\n

\u0160e nekaj, kar sem opazil iz logov: na ve\u010dini sistemov so ve\u010dina poskusov prijave s uporabni\u0161kim imenom \"administrator\". In to ni naklju\u010dje, saj v mnogih razli\u010dicah Windows ta uporabnik obstaja. Poleg tega ga ni mogo\u010de izbrisati. To poenostavi nalogo napadalcem: namesto iskanja imena in gesla je potrebno samo uganiti geslo.
\nMimogrede, sistem, ki ga je napadel \u0161ifrirnik, je imel uporabnika Administrator in geslo Murmansk#9. \u0160e vedno nisem prepri\u010dan, kako so vdrli v ta sistem, ker sem za\u010del nadzorovati prav po tem incidentu, a menim, da je preizku\u0161anje verjetno.
\nTorej, \u010de uporabnika Administrator ni mogo\u010de izbrisati, kaj pa sedaj? Lahko ga preimenujete!<\/p>\n

<\/p>\n

Priporo\u010dila iz tega poglavja: <\/p>\n

<\/p>\n