FBI waarschuwt voor aanvallen via Remote Desktop Protocol
De FBI heeft een waarschuwing afgegeven voor aanvallen via het Remote Desktop Protocol (RDP). Volgens de Amerikaanse opsporingsdienst is er sinds eind 2016 een toename van aanvallen via RDP en hebben aanvallers manieren gevonden om kwetsbare RDP-sessies te vinden, om zo inloggegevens te stelen en ransomware te verspreiden.
Via het Remote Desktop Protocl is het mogelijk om op afstand op een systeem in te loggen. De FBI stelt dat aanvallers gebruikmaken van zwakke wachtwoorden en verouderde RDP-versies om toegang tot systemen te krijgen. De aanvallers worden daarbij geholpen doordat beheerders onbeperkte toegang tot de standaard RDP-poort (tcp-poort 3389) mogelijk maken en het aantal inlogpogingen per gebruiker niet beperken.
Zodra de aanvallers op een systeem weten in te loggen proberen ze het achterliggende netwerk aan te vallen. Een bekend voorbeeld is de SamSam-ransomware. Deze ransomware wordt bij gerichte aanvallen ingezet en kan grote gevolgen voor getroffen organisaties hebben. De FBI meldt dat de aanvallers achter SamSam in juli via een bruteforce-aanval de RDP-inloggegevens van een gezondheidsbedrijf wisten te achterhalen en zo toegang tot het bedrijfsnetwerk kregen en duizenden machines versleutelden.
Om dergelijke aanvallen te voorkomen krijgen zowel bedrijven als eindgebruikers het advies om te controleren of ze RDP hebben ingeschakeld. Indien niet nodig moet de dienst worden uitgeschakeld. Verder moeten beheerders sterke wachtwoorden en een lockout policy instellen om bruteforce-aanvallen tegen te gaan. Ook wordt het gebruik van tweefactorauthenticatie en RDP-logging aangeraden en het beperken van toegang tot RDP-verbindingen.
Je kunt RDP over SSH laten verlopen, met een certificaat als authenticatiemiddel. SSH kan poorten redirecten, zodat je vanaf 127.0.0.1 op de doelcomputer naar een op Internet openstaande RDP poort kunt verbinden. Op de lokale computer verbind je dan met een poort op de lokale computer die door OpenSSH wordt opengezet.
SSH server is gratis beschikbaar voor Windows via Cygwin, Microsoft's OpenSSH port en CopSSH (betaalde OpenSSH port). Command line SSH clients worden daarin meegeleverd, en Putty is de bekendste GUI SSH client.
Dus je kunt zonder geld uit te geven aan software de zaak beveiligen.
Je kunt RDP over SSH laten verlopen, met een certificaat als authenticatiemiddel. SSH kan poorten redirecten, zodat je vanaf 127.0.0.1 op de doelcomputer naar een op Internet openstaande RDP poort kunt verbinden. Op de lokale computer verbind je dan met een poort op de lokale computer die door OpenSSH wordt opengezet.
SSH server is gratis beschikbaar voor Windows via Cygwin, Microsoft's OpenSSH port en CopSSH (betaalde OpenSSH port). Command line SSH clients worden daarin meegeleverd, en Putty is de bekendste GUI SSH client.
Dus je kunt zonder geld uit te geven aan software de zaak beveiligen.
De terminal is de moeder voor desktops, beetje thuis in de CLI (command.line interface), vroeger deed je niets anders.
Geef je een SSh verbinding open en bloot op internet dan geef je remote desktop open en bloot op internet weg. Geef dat root rechten etc en je hebt een feestje voor de black hacker als je er waardevolle gegevens op hebt.
Verder ben ik eens dat je RDP beter niet zomaar aan het internet kan hangen ook omdat er kwetsbaarheden kunnen zijn of komen en zoiets niet altijd direct gepatched kan worden.
Je kunt RDP over SSH laten verlopen, met een certificaat als authenticatiemiddel. SSH kan poorten redirecten, zodat je vanaf 127.0.0.1 op de doelcomputer naar een op Internet openstaande RDP poort kunt verbinden. Op de lokale computer verbind je dan met een poort op de lokale computer die door OpenSSH wordt opengezet.
SSH server is gratis beschikbaar voor Windows via Cygwin, Microsoft's OpenSSH port en CopSSH (betaalde OpenSSH port). Command line SSH clients worden daarin meegeleverd, en Putty is de bekendste GUI SSH client.
Dus je kunt zonder geld uit te geven aan software de zaak beveiligen.
De terminal is de moeder voor desktops, beetje thuis in de CLI (command.line interface), vroeger deed je niets anders.
Geef je een SSh verbinding open en bloot op internet dan geef je remote desktop open en bloot op internet weg. Geef dat root rechten etc en je hebt een feestje voor de black hacker als je er waardevolle gegevens op hebt.
Eventueel met fail2ban kan je SSH ook veel gemakkelijker blockeren dan dat je met RDP kan.
RDP via SSH tunnel is nog altijd beter dan RDP direct aan het Internet hangen.
Daarom werkt SSH met een UserID wachtwoord of nog beter een SSH key. Dan gaat je hele feestje helemaal niet op. Daarnaast staat root toegang vanuit SSH standaard overal uit en heb je hier dus ook geen last van.
Eventueel met fail2ban kan je SSH ook veel gemakkelijker blockeren dan dat je met RDP kan.
RDP via SSH tunnel is nog altijd beter dan RDP direct aan het Internet hangen.
De eerste voorwaarde zal moeten zijn een afgeschermde VPN... SSH nog steeds een CLI mogelijkheid.
Shell met root access lijkt met ideaal (het IOT dilemma).
Probeer maar eens een login policy met ssh af te dwingen (bron en tijden en login pogingen) je zult verrast worden door de inconsequenties.
Daarom werkt SSH met een UserID wachtwoord of nog beter een SSH key. Dan gaat je hele feestje helemaal niet op. Daarnaast staat root toegang vanuit SSH standaard overal uit en heb je hier dus ook geen last van.
Eventueel met fail2ban kan je SSH ook veel gemakkelijker blockeren dan dat je met RDP kan.
RDP via SSH tunnel is nog altijd beter dan RDP direct aan het Internet hangen.
Je hebt dus iets nodig (key) en je moet iets weten (userid/password).
We hebben het hier helemaal niet over IOT. Of waar komt in eens root vandaan?
En SSH kan je zelf eventueel scripten bij foutieve authenticaties icm IP en een geolocatie database.
SSH tunnel icm met RDP tunnel is altijd nog beter dan direct RDP aan het Internet gangen. Dat is gewoon een feit.
Maar het kan nog een stuk beter, VPN icm 2AF. Maar dat is ook weer een stuk lastiger te implementeren. SSH Tunnel is erg gebruikers onvriendelijk, maar werkt wel stukken beter en veiliger.
Security through obscurity werkt nergens voor en in sommige gevallen zelfs averechts.
Security through obscurity werkt nergens voor en in sommige gevallen zelfs averechts.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
