Whitepapers

Der er ingen tvivl om, at Remote Desktop er SMV-administratorens foretrukne værktøj til fjernadministration. Remote Desktop er utroligt nyttigt til fjernadministration, fordi det giver dig en interaktiv session med dine fjernsystemer, hvor SMV-administratoren kan arbejde med dem, præcis som om de var lokale. Du behøver hverken at lære andre værktøjer til fjernadministration, der kan være svære at konfigurere og bruge, eller komplicerede scriptteknologier.

Remote Desktop gør det muligt for SMV-administratorerne at diagnosticere og løse problemer på afstand. Remote Desktop er dog et kraftfuldt værktøj, der ofte bruger højt privilegeret adgang til fjernsystemerne i dit netværk. Derfor er sikkerheden for Remote Desktop af afgørende betydning. Federal Bureau of Investigation (FBI) og Department of Homeland Security (DHS) anbefaler, at virksomheder gennemgår og forstår deres brug af Remote Desktop og tager skridt til at mindske sandsynligheden for kompromittering. FBI og DHS påpeger, at det kan åbne døren for både malware- og ransomwareangreb, hvis de rette sikkerhedsforanstaltninger ikke implementeres, og at exploits mod Remote Desktop kan være svære at opdage, fordi de ikke kræver brugerinput. Lad os se nærmere på forståelsen af RDP og på nogle af de vigtigste sikkerhedsproblemer, som SMV-administratoren skal være opmærksom på i forbindelse med Remote Desktop.

Forståelse af RDP

For at sikre Remote Desktop korrekt er det vigtigt at forstå, hvordan det fungerer. Remote Desktop bruger Microsofts proprietære protokol, Remote Desktop Protocol (RDP), til at oprette forbindelse til fjernsystemer.

Som standard bruger RDP TCP-port 3389 og UDP-port 3389. RDP er designet til at understøtte forskellige typer netværkstopologier og flere LAN-protokoller. På målserveren bruger RDP sin egen videodriver til at gengive skærmoutput som netværkspakker og bruger derefter RDP-netværksprotokollen til at sende dem til Remote Desktop-klienten. RDP-klienten modtager de gengivne skærmdata og omdanner dem til API-kald til Microsoft Windows Graphics Device Interface (GDI), som vises af Remote Desktop-klienten.

Mus- og tastaturhændelser omdirigeres fra klienten til serveren. RDP-serveren bruger sin egen tastatur- og musedriver til at behandle disse hændelser. Derudover kan RDP omdirigere andre lokale klientressourcer til det eksterne RDP-mål, herunder udklipsholderen, printere og lokale drev.

Sikkerhedsrisici ved RDP

Remote Desktop er et kraftfuldt værktøj, og der er en række mulige sikkerhedsrisici ved RDP – især hvis dine Remote Desktop-servere kan tilgås fra internettet.

En scanning af hele internettet, foretaget af sikkerhedsforskere fra Rapid7, viste, at der var over 11 millioner enheder med 3389/TCP-porte efterladt åbne online. Tallet er steget siden begyndelsen af 2016, hvor en tidligere scanning fandt 9 millioner enheder med port 3389 åben. Mange virksomheder – især SMV'er – er ikke klar over de risici, der følger med potentielt at eksponere RDP over internettet.

RDP kan være et attraktivt mål for hackere, fordi sikkerheden typisk er bundet til et Active Directory-domæne (AD) til godkendelse. Hvis AD eller dens domænetillidsforhold er konfigureret forkert, kan hackere skaffe legitimationsoplysninger til din organisations private interne ressourcer.

Selv om du for eksempel bruger et DMZ-domæne til Remote Desktop, kan forkert konfigurerede tillidsforhold i dine virksomhedsdomæner føre til sikkerhedsbrud. RDP er en vigtig sikkerhedsvektor, og hvis hackere finder en vej ind i RDP, kan de validere brugerkonti, eksponere adgangskoder og inficere dine interne systemer med malware og ransomware.

Brute force

Et af de mest almindelige angreb mod eksponerede RDP-systemer er brute force-hacking af adgangskoder. Ved et brute force-angreb har angriberen typisk en kort liste over bruger-id'er, og derefter bruges automatiseret hackingsoftware til hurtigt at generere et stort antal gæt på adgangskoder.

I juli 2018 blev LabCorp, et af de største kliniske laboratorier i USA, hacket af Samsam-gruppen ved hjælp af et brute force-angreb mod RDP. Gruppen fik adgang via RDP og kunne derefter udrulle ransomware på LabCorps netværk. Selv om ransomwareangrebet ikke førte til et databrud, kunne det kryptere tusindvis af systemer, og hundredvis af produktionsservere blev tvunget offline, mens deres systemer blev gendannet.

Det var grundlæggende den samme ransomware, som blev brugt til at angribe byen Atlanta i 2017. Beskyttelse mod brute force-angreb mod RDP er afgørende for alle eksponerede RDP-systemer.

Password spraying

En anden almindelig angrebsmetode mod RDP er kendt som password spraying. Ved denne type angreb er der typisk en lang liste over brugere og en kort liste over strategisk valgte adgangskoder, som bruges til at forsøge at logge ind på de forskellige konti.

Password spraying gør det muligt for hackere at foretage mange loginforsøg, som regel uden at låse brugerne ude, fordi det undgår gentagne loginforsøg med samme bruger-id, så der kun kommer få notifikationer. Denne teknik kan være effektiv, fordi mange medarbejdere bruger svage adgangskoder. Listen over potentielle angrebskonti opbygges ofte af hackere ved at udvinde oplysninger fra offentligt tilgængelige kilder som Google, LinkedIn og Facebook.

Man-in-the-middle-angreb

Ældre versioner af RDP og fejlkonfigurerede implementeringer kan også være sårbare over for man-in-the-middle-angreb. I bund og grund kan et man-in-the-middle-angreb få RDP-trafik til at strømme gennem en anden vært end den, brugeren har til hensigt at oprette forbindelse til. Denne man-in-the-middle-vært kan derefter se RDP-netværkstrafikken og i nogle tilfælde manipulere den og endda muligvis ændre det sikkerhedsniveau, der forhandles mellem serveren og klienten. Det kan muligvis føre til, at brugerens navn og adgangskode opsnappes, eller til andre sikkerhedseksponeringer.

Sikring af RDP

Der er en række forskellige muligheder, som SMV'er kan indarbejde for at stramme sikkerheden for deres Remote Desktop-forbindelser. At udnytte nogle af eller alle disse muligheder kan bidrage væsentligt til at sikre IT-infrastrukturens sikkerhed og beskyttelse.

Sikkerheden begynder med stærke adgangskoder

Sikkerheden begynder med at sørge for, at alle dine brugere bruger stærke adgangskoder. Stærke adgangskoder, der ikke let kan gættes, giver en grundlæggende beskyttelse af din organisations følsomme data og kan give et stærkt beskyttelseslag mod brute force- og password spraying-angreb. Værktøjer som Devolutions Remote Desktop Manager (RDM) kan sikre, at dine Remote Desktop-adgangskoder er stærke, ved at understøtte adgangskodepolitikker, der kræver længde og kompleksitetsniveauer og håndhæver historik for genbrug af adgangskoder.