Shumë shpesh kam lexuar mendimin se mbajtja e portit RDP (Protokolli i Desktopit të Largët) të hapur në internet është mjaft e pasigurt dhe nuk duhet bërë kështu. Përkundrazi, duhet të ofrohet qasje në RDP ose përmes VPN-së, ose vetëm nga adresa IP "të bardha" të caktuara.
Unë administroj disa Windows Server për firma të vogla, në të cilat më është caktuar detyra për të siguruar akses të largët në Windows Server për kontabilistët. Është një trend modern — puna nga shtëpia. Shpejt e kuptova se t’i ushtroj kontabilistët me VPN është një punë e falimentuar, dhe nuk do të arrija të grumbulloja të gjitha IP për listën e bardhë, sepse adresat IP të njerëzve janë dinamike.
Prandaj ndjeva që rruga më e thjeshtë ishte të hapja portin RDP për të jashtmen. Tani, për aksesin, kontabilistët duhet të nisin RDP dhe të futin emrin e hostit (përfshirë portin), emrin e përdoruesit dhe fjalëkalimin.
Në këtë artikull, do të ndaja përvojën time (pozitive dhe jo aq pozitive) dhe rekomandimet.
Rreziqet
Çfarë rrezikoni duke hapur portin RDP?
1) Qasje të paautorizuar në të dhëna të ndjeshme
Nëse dikush arrin të gjejë fjalëkalimin për RDP, ai ose ajo do të mund të marrin të dhënat që dëshironi t’i mbani private: gjendja e llogarive, bilancet, të dhënat e klientëve, …
2) Humbje të dhënash
Për shembull, si rezultat i veprimtarisë së një virusi-kriptues.
Ose veprim i drejtpërdrejtë i një sulmuesi.
3) Humbja e stacionit të punës
Punonjësit duhet të punojnë, ndërsa sistemi është kompromentuar, duhet të rinstalohet / rikuperohet / konfigurohet.
4) Komprometimi i rrjetit lokal
Nëse sulmuesi ka fituar akses në një kompjuter Windows, ai do të ketë akses në sistemet që nuk janë të disponueshme nga jashtë, nga Interneti. Për shembull, në ndarjet e skedarëve, në printerat rrjetë etj.
Kam pasur një rast kur Windows Server mori një virus-kriptues
dhe ky virus së pari kriptoi shumicën e skedarëve në diskut C:, pastaj filloi të kriptojë skedarët në NAS përmes rrjetit. Duke qenë që NAS ishte Synology, me snapshots të konfiguruara, e rikuperova NAS-in brenda 5 minutash, ndërsa Windows Server e rinstalova nga e para.
Vëzhgimet dhe Rekomandimet
Unë monitoroj Windows Servers duke përdorur , të cilat dërgojnë log-et në ElasticSearch. Në Kibana ka disa vizualizime, dhe unë kam konfiguruar një panel të personalizuar.
Monitorimi vetë nuk mbron, por ndihmon për të përcaktuar masat e nevojshme.
Ja disa vëzhgime:
a) RDP do të goditet me brute-force.
Në një nga serverët e mi kam vendosur RDP-në, jo në portin standard 3389, por në 443 — që të maskohem si HTTPS. Ka sens të ndryshoj portin nga ai standard, por do të thotë pak. Këtu është statistika nga ky server:
Evidentojmë se gjatë javës kishte pothuajse 400,000 përpjekje të dështuara për t'u lidhur përmes RDP.
Evidentojmë se përpjekjet për t'u lidhur u bënë nga 55,001 adresa IP (disa adresa IP tashmë ishin bllokuar prej meje).
Këtu mund të nxirret konkluzioni se nevojitet të instalohet fail2ban, por
nuk ekziston një utilitar i tillë për Windows.
Ka disa projekte të braktisura në GitHub që duket se e bëjnë këtë, por madje nuk kam provuar t'i instaloj:
Po ashtu ka utilitarë me pagesë, por nuk i kam shqyrtuar.
Nëse dini një utilitar të hapur për këtë qëllim — ndani në komente.
Update: Në komentet u sugjerua se porta 443 është një zgjedhje e keqe, dhe është më mirë të zgjidhen porte të larta (32000+), sepse 443 skanohet më shpesh, dhe të identifikosh RDP në këtë port — nuk është problem.
Përditësim: Në komentet u sugjerua se ekziston një utilitar i tillë:
b) Ka disa username të caktuara që sulmuesit i preferojnë.
Evidentojmë se bruteforce po bëhet përmes një fjalori me emra të ndryshëm.
Por kjo kam vënë re: një numër i konsiderueshëm përpjekjesh është përdorimi i emrit të serverit si emri i përdoruesit. Rekomandimi: mos përdorni të njëjtin emër për kompjuterin dhe për përdoruesin. Kjo ndodh nganjëherë kur emri i serverit përpiqet të analizohet; për shembull, për një sistem me emrin DESKTOP-DFTHD7C, më shumë përpjekje janë bërë me emrin DFTHD7C:
Për rrjedhojë, nëse keni një kompjuter DESKTOP-MARIA, ndoshta do të ketë përpjekje për të hyrë me emrin e përdoruesit MARIA.
Gjithashtu, çka kam vënë re nga skedarët e regjistrit: në shumicën e sistemeve, shumica e përpjekjeve për të hyrë janë me emrin "administrator". Dhe kjo nuk është rastësi, sepse në shumë versione të Windows, ky përdorues ekziston. Për më tepër — ai nuk mund të eliminohet. Kjo e lehtëson punën për sulmuesit: përveçse të gjejnë emrin dhe fjalëkalimin, duhet vetëm të gjejnë fjalëkalimin.
Për fat të mirë, sistemi që kapërceu kriptuesin kishte përdoruesin Administrator dhe fjalëkalimin Murmansk#9. Nuk jam ende i sigurt se si e kanë hackuar atë sistem, sepse kam filluar ta monitoroj pikërisht pas atij rasti, por mendoj se është e mundur që të ketë qenë një përpjekje brute.
Nëse përdoruesi Administrator nuk mund të eliminohet, çfarë mund të bëjmë? Ai mund të ribëhet!
Rekomandimet nga ky seksion:
- mos përdorni emrin e përdoruesit në emrin e kompjuterit
- sigurohuni që në sistem nuk ka përdorues Administrator
- përdorni fjalëkalime të sigurta
Kështu, unë e shoh se disa Windows Server nën kontrollin tim po përpiqen të thyhen për rreth dy vjet, dhe pa sukses.
Si e di që pa sukses?
Sepse në screenshot-et e mësipërme, ka regjistra të hyrjeve të suksesshme për RDP, ku janë informacionet:
- nga cili IP
- nga cili kompjuter (hostname)
- emri i përdoruesit
- informacioni GeoIP
Dhe unë e kontrolloj rregullisht — nuk ka anomali.
Për më tepër, nëse nga ndonjë IP po provojnë me shumë intensitet, mund të bllokoni IP-të e veçanta (ose nënrrjetat) siç është kjo në PowerShell:
New-NetFirewallRule -Direction Inbound -DisplayName "fail2ban" -Name "fail2ban" -RemoteAddress ("185.143.0.0/16", "185.153.0.0/16", "193.188.0.0/16") -Action BlockPo ashtu, Elastic ka ndërmjet Winlogbeat edhe , e cila mund të monitorojë skedarët dhe proceset në sistem. Ka gjithashtu një aplikacion SIEM (Menaxhimi i Informacionit dhe Ngjarjeve të Sigurisë) në Kibana. Kam provuar të dyja, por nuk pashë shumë dobi — duket se Auditbeat do të jetë më i dobishëm për sistemet Linux, ndërsa SIEM deri tani nuk më ka treguar asgjë të qartë.
Dhe këto janë rekomandimet përfundimtare:
- bëni backup-e automatike rregullisht.
- instaloni përditësimet e sigurisë në kohë.
Bonus: lista me 50 përdoruesit që janë përdorur më shpesh për përpjekjet e hyrjes përmes RDP.
"user.name: Zbritës"
Numri
dfthd7c (hostname)
842941
winsrv1 (hostname)
266525
ADMINISTRATOR
180678
administrator
163842
Administrator
53541
michael
23101
server
21983
steve
21936
john
21927
paul
21913
reception
21909
mike
21899
office
21888
scanner
21887
scan
21867
david
21865
chris
21860
owner
21855
manager
21852
administrateur
21841
brian
21839
administrador
21837
mark
21824
staff
21806
ADMIN
12748
ROOT
7772
ADMINISTRADOR
7325
SUPPORT
5577
SOPORTE
5418
USER
4558
admin
2832
TEST
1928
MySql
1664
Admin
1652
GUEST
1322
USER1
1179
SCANNER
1121
SCAN
1032
ADMINISTRATEUR
842
ADMIN1
525
BACKUP
518
MySqlAdmin
518
RECEPTION
490
USER2
466
TEMP
452
SQLADMIN
450
USER3
441
1
422
MANAGER
418
OWNER
410
Burimi: habr.com
