Bezpieczeństwo usług RDP
-
- Kamil Folga,
- 15.04.2013
Zastosowania Remote Desktop - VDI a RDS
Przykładem nowoczesnego wykorzystania RDP jest wirtualizacja stacji roboczych. To technologia, która oddziela środowisko stacji roboczej oraz powiązane z nim aplikacje, od fizycznego urządzenia klienta. Zdalna wirtualizacja stacji roboczych pracuje w modelu klient-serwer. Aplikacje są uruchamiane na zdalnym systemie operacyjnym, który jest połączony do lokalnego urządzenia z wykorzystaniem mechanizmów zdalnego dostępu. Wszystkie aplikacje i dane są wyłącznie wyświetlane na zdalnym systemie, dodatkowo przekazywane są sygnały klawiatury oraz myszy. Klientem może być standardowy komputer PC, tablet czy inteligentny telefon. Najczęściej stosowaną implementacją jest przechowywanie wielu systemów operacyjnych desktopów na zwirtualizowanej platformie serwerowej. Ten mechanizm nazywa się VDI - Virtual Desktop Infrastructure. Zaletą jest dostęp do zasobów z dowolnego systemu operacyjnego, urządzenia oraz niezależnie od miejsca, w którym przebywamy. Dostęp do VDI przeważnie realizowany jest z wykorzystaniem RDP.
RDS (Remote Desktop Services) są funkcjonalnie podobne do VDI, w zakresie przetrzymywania środowiska stacji roboczej na zdalnym serwerze. RDS nie pozwalają na dostęp do indywidualnego systemu operacyjnego (tak jest w VDI), ale do określonych danych i aplikacji na zdalnym systemie operacyjnym. Zasoby w RDS są współdzielone przez wielu użytkowników. Podsumowując - VDI uruchamia dla każdego użytkownika indywidualny system operacyjny, podczas gdy RDS pracuje na bazie współdzielonego systemu operacyjnego. VDI pozwala dostarczyć użytkownikowi pełny system operacyjny, natomiast RDS może zapewniać połączenie zarówno z aplikacjami niezależnymi, jak i systemem operacyjnym.
Zobacz również:
- Przeglądarka Chrome będzie jeszcze jakiś czas akceptować pliki cookie
- Usługa WhatsApp uruchamiana na urządzeniach iOS będzie bardziej bezpieczna
- Cyberobrona? Mamy w planach
RDS zapewnia znacznie mniejsze wykorzystanie zasobów systemowych i licencji, z kolei VDI posiada większą funkcjonalność pomimo wykorzystania większej ilości zasobów. Wspólną cechą jest wykorzystanie RDP jako mechanizmu połączeń zarówno z RDS, jak i VDI.
Robak o nazwie Morto (Morto.A, Morto.B) pojawił się w sieci w 2011 roku. Robak atakował maszyny z otwartym portem 3389 i próbował logować się na konto administratora za pomocą kilku powszechnie wykorzystywanych haseł. W momencie, gdy atakujący przejął kontrolę nad maszyną, mógł wykorzystać ją do ataków DoS (Denial of Service). W momencie, gdy maszyna została zainfekowana, rozpoczynała skanowanie portu 3389 w zakresie swojej podsieci. Wyszukując inne maszyny z otwartym portem 3389, maszyna atakująca próbowała przełamać hasło na podstawie listy. Wśród haseł wykorzystywanych przez Morto.A były m.in. *1234, 111, 123, 1111, 12345, 1234567890, admin, admin123, letmein, pass, password, server, test i user.
Istnieje kilka sposobów na zabezpieczenie się przed tego typu zagrożeniami w przyszłości. Prostym sposobem na sprawdzenie czy maszyny w sieci uległy zagrożeniu jest sprawdzanie aktywności w sieci na porcie 3389. Jednym z nich jest ograniczenie źródłowych hostów, które mogą łączyć się z usługami RDP chronionej maszyny. Podstawą będzie jednak stosowanie bardzo mocnych haseł dostępu do RDP, szczególnie dla administratora. Dodatkowym zabezpieczeniem jest ograniczenie zdalnego dostępu do RDP. Koniecznie należy monitorować aktywność na porcie 3389. Dość ciekawym rozwiązaniem jest modyfikacja portu usługi RDP (3389) na port niestandardowy. Może zaistnieć jednak sytuacja, w której robak zostanie zmodyfikowany o skaner portów i proste mechanizmy identyfikacji usługi. Jeżeli nie wykorzystujemy usługi RDP na wybranych stacjach, należy tą usługę wyłączyć.
W marcu 2012 roku pojawiła się aktualizacja bezpieczeństwa MS12-020 adresowana do dwóch zagrożeń w implementacji Microsoft RDP (Remote Desktop Protocol). Jedno z nich było luką krytyczną, która pozwalała na zdalne wykonanie kodu dotyczące wszystkich wersji Windows. Druga luka dotyczyła podatności na DoS serwera terminali. Oczywiście powstało narzędzie (exploit) wykorzystujące wskazane luki. Powstała także łatka do skanera sieci NMAP, pozwalająca na sprawdzanie podatności na zagrożenia poprawione MS12-020.
