دورکاری، دسترسی مدیر شبکه از خانه یا اتصال پشتیبان نرم‌افزار مالی؛ راه سریع برای همه این‌ها این بوده که پورت ریموت دسکتاپ (RDP) روی فایروال به اینترنت باز شود. همین راه ساده، یکی از رایج‌ترین درهای ورود باج‌افزار به شرکت‌هاست.
چرا RDP باز خطرناک است؟
- پیدا شدن سریع: ربات‌های اسکن دائماً فضای آدرس‌های اینترنت را برای پیدا کردن RDP باز می‌گردند. عوض کردن پورت پیش‌فرض
3389فقط کمی پیدا شدن را عقب می‌اندازد. - حمله حدس رمز: پس از پیدا شدن، ترکیب‌های بی‌شماری از نام کاربری و رمز امتحان می‌شود. کافی است یک حساب رمز ضعیف یا تکراری داشته باشد.
- آسیب‌پذیری‌ها: آسیب‌پذیری‌هایی مثل BlueKeep نشان دادند که سرویس RDP وصله‌نشده ممکن است حتی بدون داشتن رمز هم مورد حمله قرار بگیرد.
- دسترسی مستقیم به داخل: کسی که وارد شد، روی یک سیستم داخل شبکه نشسته است.
راه درست: اول VPN، بعد ریموت
ساده‌ترین الگوی امن این است که کاربر ابتدا با VPN به شبکه شرکت وصل شود و بعد از داخل تونل به رایانه یا سرور خودش ریموت بزند. روی فایروال، پورت RDP به اینترنت بسته است و فقط از بازه آدرس VPN مجاز می‌شود. این الگو دو شرط دارد:
- VPN ورود دومرحله‌ای داشته باشد؛ وگرنه فقط مشکل را از RDP به VPN منتقل کرده‌اید.
- فریم‌ور فایروال یا سرور VPN همیشه به‌روز باشد.
گزینه دوم: Remote Desktop Gateway
اگر کاربران زیادی دارید یا نمی‌خواهید روی همه دستگاه‌ها VPN نصب کنید، نقش Remote Desktop Gateway در ویندوز سرور اتصال ریموت را از طریق HTTPS و پورت 443 منتقل می‌کند. در این حالت فقط درگاه در معرض اینترنت است، با گواهی معتبر کار می‌کند، قابل ترکیب با ورود دومرحله‌ای است و می‌توان تعیین کرد هر گروه کاربری به کدام سیستم‌ها وصل شود.
خود RDP را هم سخت‌تر کنید
حتی پشت VPN، این تنظیمات لازم است:
- NLA (Network Level Authentication) را فعال نگه دارید تا احراز هویت پیش از برقراری کامل جلسه انجام شود.
- فقط کاربرانی که واقعاً نیاز دارند عضو گروه
Remote Desktop Usersباشند. - سیاست قفل حساب پس از چند ورود ناموفق را فعال کنید.
- ورودهای ناموفق (رویداد
4625) و ورودهای ریموت موفق را در لاگ بررسی کنید. - جلسه‌های بی‌کار یا قطع‌شده پس از مدتی بسته شوند.
اگر امروز RDP باز روی اینترنت دارید، هنگام بستنش لاگ‌های ورود را هم بررسی کنید. ورود موفق از آدرس یا در ساعتی ناآشنا می‌تواند نشانه این باشد که مهاجم از قبل وارد شده است.
نرم‌افزارهای پشتیبانی از راه دور
ابزارهای پشتیبانی از راه دور برای کمک به کاربران مفیدند، اما اگر هر کارمند یا پیمانکاری خودش آن‌ها را نصب کند، راه‌های ورود کنترل‌نشده ایجاد می‌شود. یک ابزار استاندارد برای شرکت انتخاب کنید، دسترسی بدون حضور کاربر (Unattended) را فقط برای سیستم‌های لازم و با رمز قوی و ورود دومرحله‌ای فعال کنید و نصب ابزارهای دیگر را محدود کنید. به کارکنان هم یادآوری کنید هیچ‌وقت به تماس‌گیرنده ناشناسی که خود را «پشتیبانی» معرفی می‌کند، کد اتصال ندهند.
دسترسی پیمانکاران
پشتیبان نرم‌افزار یا پیمانکار بیرونی نباید دسترسی دائمی و نامحدود داشته باشد. برای هر پیمانکار حساب جداگانه بسازید، دسترسی را فقط به سیستم مربوط بدهید و حساب را در زمان نیاز فعال و پس از پایان کار غیرفعال کنید.
چک‌لیست
- پورت RDP روی فایروال به اینترنت بسته است.
- دسترسی از راه دور فقط از طریق VPN یا RD Gateway با ورود دومرحله‌ای است.
- NLA و سیاست قفل حساب فعال است.
- اعضای گروه Remote Desktop Users محدودند.
- فقط یک ابزار پشتیبانی از راه دور استاندارد مجاز است.
- دسترسی پیمانکاران جداگانه و موقت است.
کارشناسان ITPlus724 می‌توانند دسترسی دورکاری شرکت شما را با VPN یا RD Gateway و ورود دومرحله‌ای بازطراحی کنند، بدون اینکه کار کاربران مختل شود.