{"id":41229,"date":"2020-02-06T20:43:00","date_gmt":"2020-02-06T17:43:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/opasno-li-derzhat-otkrytym-rdp-v-internete"},"modified":"2020-02-06T20:43:00","modified_gmt":"2020-02-06T17:43:00","slug":"opasno-li-derzhat-otkrytym-rdp-v-internete","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/opasno-li-derzhat-otkrytym-rdp-v-internete","title":{"rendered":"\u00c4r det farligt att ha RDP \u00f6ppet p\u00e5 Internet?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Det h\u00f6r ofta till att jag har l\u00e4st \u00e5sikten att h\u00e5lla RDP (Remote Desktop Protocol) porten \u00f6ppen p\u00e5 Internet \u00e4r ganska os\u00e4kert, och att man inte b\u00f6r g\u00f6ra s\u00e5. Man b\u00f6r ge \u00e5tkomst till RDP antingen via VPN eller endast fr\u00e5n specifika \"vita\" IP-adresser.<\/p>\n

<\/p>\n

Jag administrerar flera Windows-servrar f\u00f6r sm\u00e5 f\u00f6retag, d\u00e4r jag har f\u00e5tt i uppdrag att s\u00e4kerst\u00e4lla fj\u00e4rr\u00e5tkomst till Windows-servrar f\u00f6r ekonomer. En s\u00e5dan modern trend \u00e4r arbete hemifr\u00e5n. Jag ins\u00e5g ganska snabbt att det inte var tacksamt att f\u00e5 ekonomerna att anv\u00e4nda VPN, och att samla alla IP-adresser f\u00f6r vitlista skulle inte vara m\u00f6jligt, f\u00f6r folk har dynamiska IP-adresser.<\/p>\n

<\/p>\n

D\u00e4rf\u00f6r tog jag den enklaste v\u00e4gen - jag \u00f6ppnade RDP-porten ut\u00e5t. Nu beh\u00f6ver ekonomerna bara starta RDP och ange v\u00e4rdnamn (inklusive port), anv\u00e4ndarnamn och l\u00f6senord f\u00f6r att f\u00e5 \u00e5tkomst.<\/p>\n

<\/p>\n

I den h\u00e4r artikeln kommer jag att dela med mig av erfarenheter (b\u00e5de positiva och negativa) och rekommendationer.<\/p>\n

<\/a><\/noindex><\/p>\n

Risker<\/h3>\n

<\/p>\n

Vad riskerar du genom att \u00f6ppna RDP-porten?<\/p>\n

<\/p>\n

1) Obeh\u00f6rig \u00e5tkomst till k\u00e4nslig information<\/b>
\nOm n\u00e5gon lyckas gissa l\u00f6senordet till RDP, kan hen f\u00e5 tillg\u00e5ng till de uppgifter som du vill h\u00e5lla privata: kontostatus, saldon, kunddata, \u2026<\/p>\n

<\/p>\n

2) Dataf\u00f6rlust<\/b>
\nTill exempel till f\u00f6ljd av en ransomware-attack.
\nEller ett avsiktligt angrepp fr\u00e5n en angripare.<\/p>\n

<\/p>\n

3) F\u00f6rlust av arbetsstation<\/b>
\nAnst\u00e4llda m\u00e5ste kunna arbeta, men om systemet \u00e4r kompromissat, m\u00e5ste det installeras om \/ \u00e5terst\u00e4llas \/ konfigureras.<\/p>\n

<\/p>\n

4) Kompromiss i det lokala n\u00e4tverket<\/b>
\nOm en angripare f\u00e5r \u00e5tkomst till en Windows-dator, kan de \u00e4ven n\u00e5 system som inte \u00e4r tillg\u00e4ngliga utifr\u00e5n, fr\u00e5n Internet. Till exempel filservrar, n\u00e4tverksramar osv.<\/p>\n

\nJag hade ett fall d\u00e4r en Windows-server drabbades av ransomware<\/b><\/p>\n

och denna ransomware f\u00f6rst krypterade de flesta filerna p\u00e5 disk C:, och sedan b\u00f6rjade den kryptera filer p\u00e5 NAS \u00f6ver n\u00e4tverket. Eftersom NAS var en Synology med inst\u00e4llda snapshots, kunde jag \u00e5terst\u00e4lla NAS p\u00e5 5 minuter, medan jag fick installera Windows-servern fr\u00e5n grunden.<\/p>\n

<\/p>\n

Observationer och rekommendationer<\/h3>\n

<\/p>\n

Jag \u00f6vervakar Windows-servrar med hj\u00e4lp av Winlogbeat<\/a><\/noindex>, som skickar loggar till ElasticSearch. I Kibana finns det flera visualiseringar, och jag har \u00e4ven st\u00e4llt in en anpassad instrumentpanel.
\nSj\u00e4lva \u00f6vervakningen skyddar inte, men hj\u00e4lper till att best\u00e4mma n\u00f6dv\u00e4ndiga \u00e5tg\u00e4rder.<\/p>\n

<\/p>\n

H\u00e4r \u00e4r n\u00e5gra observationer:
\na) RDP kommer att bruteforcera.<\/b>
\nP\u00e5 en av servrarna har jag st\u00e4llt in RDP inte p\u00e5 standardport 3389, utan p\u00e5 443 \u2014 f\u00f6r att maskera det som HTTPS. Att byta port fr\u00e5n standarden kan vara klokt, men det hj\u00e4lper inte mycket. H\u00e4r \u00e4r statistiken fr\u00e5n den h\u00e4r servern:<\/p>\n

\n\"\u00c4r<\/p>\n

Det syns att det under en vecka gjorts n\u00e4stan 400 000 misslyckade f\u00f6rs\u00f6k att logga in via RDP.
\nMan kan se att inloggningsf\u00f6rs\u00f6ken kom fr\u00e5n 55 001 IP-adresser (vissa IP-adresser har redan blockerats av mig).<\/p>\n

<\/p>\n

Det h\u00e4r leder tydligt till slutsatsen att man b\u00f6r installera fail2ban, men <\/p>\n

\nF\u00f6r Windows finns det ingen s\u00e5dan nyttighet.<\/b><\/p>\n

Det finns n\u00e5gra nedlagda projekt p\u00e5 GitHub som verkar g\u00f6ra detta, men jag har inte ens f\u00f6rs\u00f6kt installera dem:
\nhttps:\/\/github.com\/glasnt\/wail2ban<\/a><\/noindex>
\nhttps:\/\/github.com\/EvanAnderson\/ts_block<\/a><\/noindex><\/p>\n

<\/p>\n

Det finns \u00e4ven betalda verktyg, men jag har inte \u00f6verv\u00e4gt dem.<\/p>\n

<\/p>\n

Om du k\u00e4nner till n\u00e5got \u00f6ppet verktyg f\u00f6r detta \u00e4ndam\u00e5l, dela g\u00e4rna med dig i kommentarerna.<\/p>\n

<\/p>\n

Uppdatering<\/strong>: I kommentarerna p\u00e5pekades att port 443 \u00e4r ett d\u00e5ligt val, och att det \u00e4r b\u00e4ttre att v\u00e4lja h\u00f6ga portar (32000+), eftersom 443 skannas oftare, och att k\u00e4nna igen RDP p\u00e5 den porten \u00e4r inget problem.<\/p>\n

<\/p>\n

Update:<\/strong> I kommentarerna p\u00e5pekades att det finns ett s\u00e5dant verktyg:
\nhttps:\/\/github.com\/digitalruby\/ipban<\/a><\/noindex><\/p>\n

<\/p>\n

b) Det finns vissa anv\u00e4ndarnamn som angripare f\u00f6redrar<\/b>
\nDet syns att de g\u00f6r en ordlista med olika namn.
\nMen h\u00e4r \u00e4r vad jag har lagt m\u00e4rke till: en betydande m\u00e4ngd av f\u00f6rs\u00f6ken \u00e4r att anv\u00e4nda serverns namn som anv\u00e4ndarnamn. Rekommendation: anv\u00e4nd inte samma namn f\u00f6r datorn och f\u00f6r anv\u00e4ndaren. Ibland verkar det ocks\u00e5 som att n\u00e5gon f\u00f6rs\u00f6ker parsa serverns namn: till exempel f\u00f6r ett system med namnet DESKTOP-DFTHD7C kommer det flest inloggningsf\u00f6rs\u00f6k med namnet DFTHD7C:<\/p>\n

\n\"\u00c4r<\/p>\n

S\u00e5 om du har en dator med namnet DESKTOP-MARIA, s\u00e5 kommer det sannolikt att g\u00f6ras f\u00f6rs\u00f6k att logga in under anv\u00e4ndaren MARIA.<\/p>\n

<\/p>\n

Dessutom har jag m\u00e4rkt fr\u00e5n loggarna: p\u00e5 de flesta system \u00e4r de flesta f\u00f6rs\u00f6ken att logga in med namnet \"administrator\". Och det \u00e4r inte utan anledning, eftersom den anv\u00e4ndaren finns i m\u00e5nga versioner av Windows. Dessutom kan den inte tas bort. Detta f\u00f6renklar uppgiften f\u00f6r angripare: ist\u00e4llet f\u00f6r att gissa namn och l\u00f6senord beh\u00f6ver de bara gissa l\u00f6senordet.
\nF\u00f6rresten, det system som jag hade som blev utsatt f\u00f6r ransomware hade anv\u00e4ndaren Administrator och l\u00f6senordet Murmansk#9. Jag \u00e4r fortfarande os\u00e4ker p\u00e5 hur det systemet blev hackat, eftersom jag b\u00f6rjade \u00f6vervaka just efter det fallet, men jag tror att en gissning \u00e4r trolig.
\nS\u00e5 om anv\u00e4ndaren Administrator inte kan tas bort, vad ska man g\u00f6ra d\u00e5? Man kan byta namn!<\/p>\n

<\/p>\n

Rekommendationer fr\u00e5n denna punkt: <\/p>\n

<\/p>\n