ืืื ืืื ืึธืคื ืืืืขื ืขื ืื ืืืื ืื ื ืึทื ืืขืืขืกืงืขื ืึท RDP (Remote Desktop Protocol) ืคึผืึธืจื ืึธืคื ืฆื ืื ืืื ืืขืจื ืขื ืืื ืืืืขืจ ืึทื ืกืืืฃ ืืื ืืึธื ื ืื ืืืื ืืขืืื. ืึธืืขืจ ืืืจ ืืึทืจืคึฟื ืฆื ืืขืื ืึทืงืกืขืก ืฆื RDP ืึธืืขืจ ืืืจื ืึท ืืืคึผื, ืึธืืขืจ ืืืืื ืคึฟืื ืืืืขืจ "ืืืืึทืก" IP ืึทืืจืขืกืขืก.
ืืื ืคืืจื ืขืืืขืืข Windows ืกืขืจืืืขืจืก ืคึฟืึทืจ ืงืืืื ืคืืจืืก ืืื ืืื ืืึธืื ืฉืืื ืืึทืกืงื ืฆื ืฆืืฉืืขืื ืืืืึทื ืึทืงืกืขืก ืฆื Windows Server ืคึฟืึทืจ ืึทืงืึทืื ืืึทื ืฅ. ืืึธืก ืืื ืืขืจ ืืึธืืขืจื ืืึทื ื - ืืจืืขืื ืคืื ืฉืืื. ืืึทื ืฅ ืืขืฉืืืื ื, ืืื ืืืื ืืขืืขื ืึทื ืืึทืืขืจื ืืืคึผื ืึทืงืึทืื ืืึทื ืฅ ืืื ืึท ืืื ืืืืืง ืึทืจืืขื, ืืื ืงืึทืืขืงืืื ื ืึทืืข ืื IPs ืคึฟืึทืจ ืื ืืืืึทืก ืจืฉืืื ืืืขื ื ืืฉื ืึทืจืืขืื, ืืืืึทื ืืขื ืืฉื ืก IP ืึทืืจืขืกืขืก ืืขื ืขื ืืื ืึทืืืฉ.
ืืขืจืืืขืจ, ืืื ืืขื ืืืขื ืื ืกืืืคึผืืึทืกื ืืึทืจืฉืจืื - ืคืึธืจืืืขืจืืื ืื RDP ืคึผืึธืจื ืฆื ืื ืึทืจืืืก. ืฆื ืืึทืงืืืขื ืึทืงืกืขืก, ืึทืงืึทืื ืืึทื ืฅ ืืืฆื ืืึทืจืคึฟื ืฆื ืืืืคื RDP ืืื ืึทืจืืึทื ืื ืืึธืกืื ืึทืืข (ืึทืจืืึทื ืืขืจืขืื ื ืคึผืึธืจื), ื ืืืขื ืืื ืคึผืึทืจืึธื.
ืืื ืืขื ืึทืจืืืงื ืืื ืืืขื ืืืืื ืืืื ืืขืจืคืึทืจืื ื (positive ืืื ื ืืฉื ืึทืืื positive) ืืื ืจืขืงืึทืืึทื ืืืืฉืึทื ื.
ืจืืกืงืก
ืืืึธืก ืืขื ืขื ืืืจ ืจืืืืงืืจื ืืืจื ืขืคื ืื RDP ืคึผืึธืจื?
1) ืึทื ืึธืืขืจืืืื ืึทืงืกืขืก ืฆื ืฉืคึผืืจืขืืืืืง ืืึทืื
ืืืื ืขืืขืฆืขืจ ืืขืกืื ืื RDP ืคึผืึทืจืึธื, ืืื ืงืขื ืขื ืืึทืงืืืขื ืืึทืื ืืืึธืก ืืืจ ืืืืื ืฆื ืืึทืืื ืคึผืจืืืืึทื: ืืฉืืื ืกืืึทืืืก, ืืึทืืึทื ืกืขืก, ืงืื ื ืืึทืื, ...
2) ืืึทืืึท ืึธื ืืืขืจ
ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืืื ืึท ืจืขืืืืืึทื ืคืื ืึท ืจืึทื ืกืึธืืืืึทืจืข ืืืืจืืก.
ืึธืืขืจ ืึท ืืืืืืจืึทื ืงืึทืืฃ ืืืจื ืึทื ืึทืืึทืงืขืจ.
3) ืึธื ืืืขืจ ืคืื ืืืขืจืงืกืืืืฉืึทื
ืืืึธืจืงืขืจืก ืืึทืจืคึฟื ืฆื ืึทืจืืขืื, ืึธืืขืจ ืื ืกืืกืืขื ืืื ืงืึทืืคึผืจืึทืืืืื ืืื ืืึทืจืฃ ืืืื ืจืืื ืกืืึทืืืขื / ืจืืกืืึธืจื / ืงืึทื ืคืืืืขืจื.
4) ืงืึธืืคึผืจืึธืืืก ืคืื ืื ืืืืข ื ืขืฅ
ืืืื ืึท ืึทืืึทืงืขืจ ืืื ืืืงืืืขื ืึทืงืกืขืก ืฆื ืึท Windows ืงืึธืืคึผืืืืขืจ, ืืขืืึธืื ืคึฟืื ืืขื ืงืึธืืคึผืืืืขืจ ืืืขื ืขืจ ืงืขื ืขื ืฆืืืจืื ืกืืกืืขืืขื ืืืึธืก ืืขื ืขื ืื ืึทืงืกืขืกืึทืืึทื ืคืื ืื ืึทืจืืืก, ืคึฟืื ืื ืืื ืืขืจื ืขื. ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืฆื ืืขืงืข ืฉืึทืจืขืก, ืฆื ื ืขืฅ ืคึผืจืื ืืขืจืก, ืขืืง.
ืืื ืืขืืื ืึท ืคืึทื ืืื Windows Server ืืขืืืคื ืึท ืจืึทื ืกืึธืืืืึทืจืข
ืืื ืืขื ืจืึทื ืกืึธืืืืึทืจืข ืขืจืฉืืขืจ ืื ืงืจืืคึผืืื ืจืืึฟ ืคืื ืื ืืขืงืขืก ืืืืฃ ืื C: ืคืึธืจ ืืื ืืขืืึธืื ืกืืึทืจืืขื ืขื ืงืจืืคึผืืื ื ืื ืืขืงืขืก ืืืืฃ ืื NAS ืืืืขืจ ืื ื ืขืฅ. ืืื ื ืื NAS ืืื ืืขืืืขื ืกืื ืึธืืึธืื, ืืื ืกื ืึทืคึผืฉืึทืฅ ืงืึทื ืคืืืืขืจื, ืืื ืืขืืื ื ืื NAS ืืื 5 ืืื ืื ืืื ืจืืื ืกืืึทืื Windows Server ืคึฟืื ืงืจืึทืฆื.
ืึทืืืขืจืืืืืฉืึทื ื ืืื ืจืขืงืึทืืึทื ืืืืฉืึทื ื
ืืื ืืึธื ืืืึธืจ Windows ืกืขืจืืืขืจืก ื ืืฆื , ืืืึธืก ืฉืืงื ืืึธืืก ืฆื ElasticSearch. ืงืืืึทื ืึท ืืื ืขืืืขืืข ืืืืืฉืืืึทืืึทืืืืฉืึทื ื, ืืื ืืื ืืืื ืฉืืขืื ืึท ืื ืื ืืึทืฉืืึธืจื.
ืืึธื ืืืึธืจืื ื ืืื ืืื ื ืืฉื ืืึทืฉืืฆื, ืึธืืขืจ ืขืก ืืขืืคื ืืึทืฉืืืืขื ืื ื ืืืืืง ืืืืืขื.
ืืึธ ืืขื ืขื ืขืืืขืืข ืึทืืืขืจืืืืืฉืึทื ื:
ื) RDP ืืืขื ืืืื ืืจืื ืืขืฆืืืื ืืขื.
ืืืืฃ ืืืื ืขืจ ืคืื ืื ืกืขืจืืืขืจืก, ืืื ืืื ืกืืึทืืืจื RDP ื ืื ืืืืฃ ืื ื ืึธืจืืึทื ืคึผืึธืจื 3389, ืึธืืขืจ ืืืืฃ 443 - ื ื, ืืื ืืืขื ืคืึทืจืฉืืขืืื ื ืืื ืืื ืืืืคึผืก. ืขืก ืืื ืืืกืืึธืืข ืืืขืจื ืืฉืึทื ืืื ื ืื ืคึผืึธืจื ืคืื ืื ื ืึธืจืืึทื, ืึธืืขืจ ืขืก ืืืขื ื ืืฉื ืืึธื ืคืื ืืื. ืืึธ ืืขื ืขื ืื ืกืืึทืืืกืืืง ืคืื ืืขื ืกืขืจืืืขืจ:
ืืขื ืงืขื ืืขื ืึทื ืืื ืึท ืืืึธื ืขืก ืืขื ืขื ืืขืืืขื ืึผืืขื 400 ื ืื ืืขืจืึธืื ืคืจืืืื ืฆื ืึทืจืืึทื ืืึธืืืจื ืืืจื RDP.
ืืขื ืงืขื ืืขื ืึทื ืขืก ืืขื ืขื ืืขืืืขื ืคึผืจืืืื ืฆื ืึทืจืืึทื ืืึธืืืจื ืคึฟืื 55 IP ืึทืืจืขืกืขืก (ืขืืืขืืข IP ืึทืืจืขืกืขืก ืืขื ืขื ืฉืืื ืืืึทืงื ืืืจื ืืืจ).
ืืขื ืืืืื ืกืึทืืืืฉืขืกืฅ ืื ืืกืงื ื ืึทื ืืืจ ืืึทืจืคึฟื ืฆื ืฉืืขืื fail2ban, ืึธืืขืจ
ืขืก ืืื ื ืื ืึทืืึท ื ืืฆื ืคึฟืึทืจ Windows.
ืขืก ืืขื ืขื ืึท ืคึผืึธืจ ืคืื ืคืืจืืืื ืคึผืจืึทืืืฉืขืงืก ืืืืฃ Github ืืืึธืก ืืืกืงืืืขื ืฆื ืืึธื ืืึธืก, ืึธืืขืจ ืืื ืืึธืื ื ืืฉื ืืคืืื ืืขืคืจืืืื ืฆื ืื ืกืืึทืืืจื ืืื:
ืขืก ืืขื ืขื ืืืื ืืึทืฆืึธืื ืืืืืืึทืืื, ืึธืืขืจ ืืื ืืึธืื ื ืืฉื ืืึทืืจืึทืืื ืืื.
ืืืื ืืืจ ืืืืกื ืึทื ืึธืคึฟื ืืงืืจ ื ืืฆื ืคึฟืึทืจ ืืขื ืฆืืืขืง, ืืืืข ืืืืื ืขืก ืืื ืื ืืึทืืขืจืงืื ืืขื.
ืืขืจืืืึทื ืืืงื: ืื ืืึทืืขืจืงืื ืืขื ืกืึทืืืืฉืขืกืืื ืึทื ืคึผืึธืจื 443 ืืื ืึท ืฉืืขืื ืืจืืจื, ืืื ืขืก ืืื ืืขืกืขืจ ืฆื ืงืืืึทืื ืืืื ืคึผืึธืจืฅ (32000+), ืืืืึทื 443 ืืื ืกืงืึทื ื ืืขืจ ืึธืคื, ืืื ืืขืจืงืขื ืขื RDP ืืืืฃ ืืขื ืคึผืึธืจื ืืื ื ืืฉื ืึท ืคึผืจืึธืืืขื.
ื) ืขืก ืืขื ืขื ืืืืขืจ ืืึทื ืืฆืขืจ ื ืขืืขื ืึทื ืึทืืึทืงืขืจื ืืขืกืขืจ ืืืขืื
ืืขื ืืขื, ืึทื ืื ืืืื ืืืขืจื ืืืจืืืขืคืืจื ืืื ืึท ืืืขืจืืขืจืืื ืืื ืคืึทืจืฉืืืขื ืข ื ืขืืขื.
ืึธืืขืจ ืืึธ ืก ืืืึธืก ืืื ืืืืขืจืงื: ืึท ืืึทืืืืืืง ื ืืืขืจ ืคืื ืคืจืืืื ื ืืฆื ืื ืกืขืจืืืขืจ ื ืึธืืขื ืืื ืึท ืืึธืืื. ืจืขืงืึธืืขื ืืึทืฆืืข: ืื ืืืืกื ื ืืฉื ื ืืฆื ืื ืืขืืืข ื ืึธืืขื ืคึฟืึทืจ ืื ืงืึธืืคึผืืืืขืจ ืืื ืื ืืึทื ืืฆืขืจ. ืืขืจืฆื, ืืื ืขืก ืงืืงื ืืื ืืื ืืขื ืขื ืืจืืื ื ืฆื ืคึผืึทืจืกืืจื ืื ืกืขืจืืืขืจ ื ืึธืืขื ืขืคืขืก: ืืืฉื, ืคึฟืึทืจ ืึท ืกืืกืืขื ืืื ืื ื ืึธืืขื DESKTOP-DFTHD7C, ืื ืืขืจืกื ืคืจืืืื ืฆื ืึทืจืืึทื ืืึธืืืจื ืืขื ืขื ืืื ืื ื ืึธืืขื DFTHD7C:
ืึทืงืงืึธืจืืื ืืื, ืืืื ืืืจ ืืึธืื ืึท DESKTOP-MARIA ืงืึธืืคึผืืืืขืจ, ืืืจ ืืืกืืึธืืข ืคึผืจืืืืจื ืฆื ืงืืึธืฅ ืืื ืืื ืืขืจ MARIA ืืึทื ืืฆืขืจ.
ืื ืื ืืขืจ ืืึทื ืืื ืืืืขืจืงื ืคืื ืื ืืึธืืก: ืืืืฃ ืจืืึฟ ืกืืกืืขืืขื, ืจืืึฟ ืคืจืืืื ืฆื ืึทืจืืึทื ืืึธืืืจื ืืขื ืขื ืืื ืื ื ืึธืืขื "ืึทืืืื ืืกืืจืึทืืึธืจ". ืืื ืืึธืก ืืื ื ืืฉื ืึธื ืกืืื, ืืืืึทื ืืื ืคืืืข ืืืขืจืกืืขืก ืคืื Windows, ืืขืจ ืืึทื ืืฆืขืจ ืืืืืกืฅ. ืืขืจืฆื, ืขืก ืงืขื ืขื ื ืื ืืืื ืืืืกืืขืืขืงื. ืืึธืก ืกืืืคึผืืึทืคืืื ืื ืึทืจืืขื ืคึฟืึทืจ ืึทืืึทืงืขืจื: ืึทื ืฉืืึธื ืคืื ืืขืกืื ื ืึท ื ืึธืืขื ืืื ืคึผืึทืจืึธื, ืืืจ ื ืึธืจ ืืึทืจืคึฟื ืฆื ืืจืขืคื ืื ืคึผืึทืจืึธื.
ืืืจื ืืขื ืืืขื, ืื ืกืืกืืขื ืืืึธืก ืืขืืืคื ืื ืจืึทื ืกืึธืืืืึทืจืข ืืื ืืขืจ ืืึทื ืืฆืขืจ ืึทืืืื ืืกืืจืึทืืึธืจ ืืื ืื ืคึผืึทืจืึธื Murmansk #9. ืืื ืืื ื ืึธื ื ืืฉื ืืืืขืจ ืืื ืื ืกืืกืืขื ืืื ืืขืืืขื ืืึทืงื, ืืืืึทื ืืื ืกืืึทืจืืขื ืืึธื ืืืึธืจืื ื ื ืึธืจ ื ืึธื ืืขื ืืื ืฆืืืขื ื, ืึธืืขืจ ืืื ืืจืึทืืื ืึทื ืึธืืืืขืจืงืื ืืื ืืกืชึผืื.
ืึทืืื ืืืื ืื ืึทืืืื ืืกืืจืึทืืึธืจ ืืึทื ืืฆืขืจ ืงืขื ืขื ื ืื ืืืื ืืืืกืืขืืขืงื, ืืืึธืก ืืึธื ืืืจ ืืึธื? ืืืจ ืงืขื ืขื ืจืขื ืึทืืข ืขืก!
ืจืขืงืึทืืึทื ืืืืฉืึทื ื ืคืื ืืขื ืคึผืึทืจืึทืืจืึทืฃ:
- ืืึธื ื ืื ื ืืฆื ืืขื ื ืืืขื ืืื ืืขื ืงืึธืืคึผืืืืขืจ ื ืึธืืขื
- ืืึทืื ืืืืขืจ ืึทื ืขืก ืืื ืงืืื ืึทืืืื ืืกืืจืึทืืึธืจ ืืึทื ืืฆืขืจ ืืืืฃ ืื ืกืืกืืขื
- ื ืืฆื ืฉืืึทืจืง ืคึผืึทืกืืืขืจืื
ืึทืืื, ืืื ืืึธืื ืฉืืื ืืืึทืืฉืื ื ืขืืืขืืข Windows ืกืขืจืืืขืจืก ืืื ืืขืจ ืืืื ืงืึธื ืืจืึธื ืืืึทืขื ืืืง ืืจืื ืืขืฆืืืื ืืขื ืคึฟืึทืจ ืืืขืื ืึท ืคึผืึธืจ ืคืื ืืึธืจื ืืืฆื, ืืื ืึธื ืืฆืืื.
ืืื ืืึธื ืืื ืืืืกื ืขืก ืืื ื ืื ืืขืจืึธืื?
ืืืืึทื ืืื ืื ืกืงืจืขืขื ืฉืึธืฅ ืืืืื ืืืจ ืงืขื ืขื ืืขื ืึทื ืขืก ืืขื ืขื ืืึธืืก ืคืื ืืขืจืึธืื RDP ืงืึทืืืก, ืืืึธืก ืึทื ืืืึทืืื ืื ืืื ืคึฟืึธืจืืึทืฆืืข:
- ืคืื ืืืึธืก IP
- ืคึฟืื ืืืึธืก ืงืึธืืคึผืืืืขืจ (ืืึธืกืื ืึทืืข)
- ื ืืืขื
- GeoIP ืืื ืคึฟืึธืจืืึทืฆืืข
ืืื ืืื ืงืืง ืืึธืจื ืงืขืกืืืืขืจ - ืงืืื ืึทื ืึทืืึทืืื ืืขื ืขื ืืขืคืื ืขื.
ืืืจื ืืขื ืืืขื, ืืืื ืึท ืืึทืืื ืืขืจ IP ืืื ืืจืื-ืืขืฆืืืื ืืขื ืืขืจ ืืืืคึผื ืฉืืืขืจ, ืืืจ ืงืขื ืขื ืคืึทืจืฉืคึผืึทืจื ืืืื IPs (ืึธืืขืจ ืกืืื ืขืฅ) ืืื ืืึธืก ืืื PowerShell:
New-NetFirewallRule -Direction Inbound -DisplayName "fail2ban" -Name "fail2ban" -RemoteAddress ("185.143.0.0/16", "185.153.0.0/16", "193.188.0.0/16") -Action Blockืืืจื ืืขื ืืืขื, Elastic, ืืื ืึทืืืฉืึทื ืฆื Winlogbeat, ืืืื ืืื , ืืืึธืก ืงืขื ืขื ืืึธื ืืืึธืจ ืืขืงืขืก ืืื ืคึผืจืึทืกืขืกืึทื ืืืืฃ ืื ืกืืกืืขื. ืขืก ืืื ืืืื ืึท SIEM (Security Information & Event Management) ืึทืคึผืืึทืงืืืฉืึทื ืืื Kibana. ืืื ืืขืคืจืืืืื ืืืืืข, ืึธืืขืจ ืืื ืงืขื ื ืืฉื ืืขื ืคืื ื ืืฅ - ืขืก ืงืืงื ืืื Auditbeat ืืืขื ืืืื ืืขืจ ื ืืฆืืง ืคึฟืึทืจ ืืื ืืงืก ืกืืกืืขืืขื, ืืื SIEM ืืื ื ืืฉื ืืขืืืืื ืืืจ ืขืคึผืขืก ืื ืืขืืึทืืืฉืึทืืึทื ื ืึธื.
ื ื, ืืขืฆื ืจืขืงืึทืืึทื ืืืืฉืึทื ื:
- ืืึทืื ืจืขืืืืขืจ ืึธืืึทืืึทืืืง ืืึทืงืึทืคึผืก.
- ืื ืกืืึทืืืจื ืืืืขืจืืืื ืืขืจืืืึทื ืืืงืื ืืขื ืืื ืึท ืืืึทืฆืืึทืืืง ืฉืืืืืขืจ
ืืึธื ืืก: ืจืฉืืื ืคืื 50 ืืืืขืจื ืืืึธืก ืืขื ืขื ืืขืจืกื ืึธืคื ืืขื ืืฆื ืคึฟืึทืจ RDP ืืึธืืื ืคืจืืืื
"user.name: ืืจืืคื ืืืขืจื"
ืจืขืืขื ืขื
dfthd7c (ืืึธืกืื ืึทืืข)
842941
winsrv1 (ืืึธืกืื ืึทืืข)
266525
ืึทืืืื ืืกืืจืึทืืึธืจ
180678
ืึทืืืื ืืกืืจืึทืืึธืจ
163842
ืึทืืืื ืืกืืจืึทืืึธืจ
53541
ืืืืื
23101
ืฉืืื
21983
ืกืืืื
21936
ืืืื ื
21927
ืคืืืืืก
21913
ืึธืคึผืืจืึธื
21909
ืืืืง
21899
ืึทืื
21888
ืกืงืึทื ืขืจ
21887
ืืืขืจืงืืงื
21867
ืืื
21865
ืงืจืืก
21860
ืืึทืืืฆืขืจ
21855
ืคืึทืจืืืึทืืืขืจ
21852
ืึทืืืื ืืกืืจืึทืืึธืจ
21841
ืืจืืืึทื
21839
administrator
21837
ืฆืืืื
21824
ืฉืืขืงื
21806
ADMIN
12748
ืืืึธืจืฆื
7772
ืึทืืืื ืืกืืจืึทืืึธืจ
7325
ืฉืืืฆื
5577
ืืืื
5418
ืืึทื ืืฆืขืจ
4558
ืึทืืืื
2832
ืคึผืจืืืืจื
1928
ืืืกืงื
1664
ืึทืืืื
1652
ืืึทืกื
1322
USER1
1179
ืกืงืึทื ื ืขืจ
1121
ืืืขืจืงืืงื
1032
ืึทืืืื ืืกืืจืึทืืึธืจ
842
ADMIN1
525
BACKUP
518
MySqlAdmin
518
ืึธืคึผืืจืึธื
490
USER2
466
ืืขืืคึผ
452
SQLADMIN
450
USER3
441
1
422
ืคืึทืจืืืึทืืืขืจ
418
ืืึทืืืฆืขืจ
410
ืืงืืจ: www.habr.com