Whitepaper

Non c'è dubbio che Remote Desktop sia lo strumento di amministrazione remota preferito dagli amministratori delle PMI. Remote Desktop è incredibilmente utile per l'amministrazione remota perché consente di avere una sessione interattiva con i sistemi remoti, in cui l'amministratore della PMI può lavorare esattamente come se fossero locali. Non è necessario imparare altri strumenti di gestione remota che possono essere difficili da configurare e utilizzare, né complicate tecnologie di scripting.

Remote Desktop consente agli amministratori delle PMI di diagnosticare e risolvere i problemi da remoto. Tuttavia, Remote Desktop è uno strumento potente che spesso utilizza accessi altamente privilegiati ai sistemi remoti della rete. Per questo motivo la sicurezza di Remote Desktop è di importanza cruciale. Il Federal Bureau of Investigation (FBI) e il Department of Homeland Security (DHS) raccomandano alle aziende di analizzare e comprendere il proprio utilizzo di Remote Desktop e di adottare misure per ridurre la probabilità di compromissione. Sottolineano che la mancata implementazione delle adeguate precauzioni di sicurezza può aprire la porta ad attacchi malware e ransomware e che gli exploit di Remote Desktop possono essere difficili da individuare perché non richiedono alcun input dell'utente. Vediamo più da vicino come funziona RDP e alcuni dei principali problemi di sicurezza di cui l'amministratore di una PMI deve essere consapevole con Remote Desktop.

Comprendere RDP

Per proteggere correttamente Remote Desktop è importante capire come funziona. Remote Desktop utilizza il protocollo proprietario di Microsoft Remote Desktop Protocol (RDP) per connettersi ai sistemi remoti.

Per impostazione predefinita, RDP utilizza la porta TCP 3389 e la porta UDP 3389. RDP è progettato per supportare diversi tipi di topologie di rete e più protocolli LAN. Sul server di destinazione, RDP utilizza un proprio driver video per trasformare l'output video in pacchetti di rete e poi utilizza il protocollo di rete RDP per inviarli al client Remote Desktop. Il client RDP riceve i dati di visualizzazione renderizzati e li converte in chiamate API della Graphics Device Interface (GDI) di Microsoft Windows, che vengono visualizzate dal client Remote Desktop.

Gli eventi del mouse e della tastiera vengono reindirizzati dal client al server. Il server RDP utilizza i propri driver di tastiera e mouse per elaborare questi eventi. Inoltre, RDP è in grado di reindirizzare altre risorse locali del client verso la destinazione RDP remota, inclusi gli appunti, le stampanti e le unità locali.

Rischi per la sicurezza di RDP

Remote Desktop è uno strumento potente ed esistono numerosi possibili rischi per la sicurezza legati a RDP, soprattutto se i server Remote Desktop sono accessibili da Internet.

Una scansione a livello di Internet condotta dai ricercatori di sicurezza di Rapid7 ha mostrato che vi erano oltre 11 milioni di dispositivi con le porte 3389/TCP lasciate aperte online. Il numero è in aumento rispetto all'inizio del 2016, quando una precedente scansione aveva rilevato 9 milioni di dispositivi con la porta 3389 aperta. Molte aziende, soprattutto le PMI, non sono consapevoli dei rischi che derivano dalla potenziale esposizione di RDP su Internet.

RDP può essere un bersaglio interessante per gli hacker, poiché la sicurezza è tipicamente legata a un dominio Active Directory (AD) per l'autenticazione. Se AD o i suoi trust di dominio non sono configurati correttamente, gli hacker possono ottenere le credenziali per le risorse interne private della vostra organizzazione.

Ad esempio, anche se utilizzate un dominio DMZ per i Remote Desktop, trust configurati in modo errato all'interno dei domini aziendali possono portare a violazioni della sicurezza. RDP è un importante vettore di sicurezza e, se gli hacker trovano un modo per entrare tramite RDP, possono convalidare gli account utente, esporre le password e infettare i sistemi interni con malware e ransomware.

Attacchi di forza bruta

Uno degli attacchi più comuni ai sistemi RDP esposti è la violazione delle password tramite forza bruta. In un attacco di forza bruta l'aggressore dispone in genere di un breve elenco di ID utente e utilizza poi software di hacking automatizzato per generare rapidamente un gran numero di tentativi di password.

Nel luglio 2018, LabCorp, uno dei più grandi laboratori clinici degli Stati Uniti, è stato violato dal gruppo Samsam mediante un attacco di forza bruta contro RDP. Gli aggressori hanno ottenuto l'accesso tramite RDP e sono riusciti a distribuire ransomware sulla rete di LabCorp. Sebbene l'attacco ransomware non abbia comportato una violazione dei dati, è stato in grado di cifrare migliaia di sistemi e centinaia di server di produzione sono stati messi offline durante il ripristino dei sistemi.

Si trattava sostanzialmente dello stesso ransomware utilizzato per attaccare la città di Atlanta nel 2017. Proteggersi dagli attacchi di forza bruta contro RDP è fondamentale per qualsiasi sistema RDP esposto.

Password spraying

Un altro metodo di attacco comune contro RDP è noto come password spraying. In questo tipo di attacco si dispone in genere di un lungo elenco di utenti e di un breve elenco di password scelte strategicamente, utilizzate per tentare l'accesso ai diversi account.

Il password spraying consente agli hacker di tentare molti accessi solitamente senza bloccare gli utenti, poiché evita ripetuti tentativi di accesso con lo stesso ID utente e quindi genera poche notifiche. Questa tecnica può essere efficace perché molti dipendenti utilizzano password deboli. L'elenco dei potenziali account da attaccare viene spesso costruito dagli hacker raccogliendo informazioni da fonti pubblicamente disponibili come Google, LinkedIn e Facebook.

Attacchi Man-in-the-Middle

Le versioni meno recenti di RDP e le implementazioni configurate in modo errato possono anche essere vulnerabili agli attacchi man-in-the-middle. In sostanza, un attacco man-in-the-middle può far transitare il traffico RDP attraverso un host diverso da quello a cui l'utente intende connettersi. Questo host man-in-the-middle è quindi in grado di visualizzare il traffico di rete RDP e, in alcuni casi, di manipolarlo e persino di alterare il livello di sicurezza negoziato tra server e client. Ciò potrebbe portare all'acquisizione del nome utente e della password o ad altre esposizioni di sicurezza.

Proteggere RDP

Esistono diverse opzioni che le PMI possono adottare per rafforzare la sicurezza delle loro connessioni Remote Desktop. Sfruttare alcune o tutte queste opzioni può contribuire notevolmente a garantire la sicurezza e la protezione dell'infrastruttura IT.

La sicurezza inizia con password robuste

La sicurezza inizia assicurandosi che tutti gli utenti utilizzino password robuste. Password robuste che non possano essere indovinate facilmente offrono una protezione fondamentale per i dati sensibili della vostra organizzazione e possono costituire un solido livello di difesa contro gli attacchi di forza bruta e di password spraying. Strumenti come Devolutions Remote Desktop Manager (RDM) possono garantire che le vostre password Remote Desktop siano robuste, supportando criteri di password che impongono lunghezza, livelli di complessità e il rispetto della cronologia di riutilizzo delle password.