למה חשוב שתאבטחו את ה-RDP

מקור:  https://blog.shodan.io/trends-in-internet-exposure/

התרשים מראה תוצאות עובר פורט מספר 3389 בלבד, פורט ברירת המחדל של פרוטוקול RDP. חברות רבות משתמשות בפורט אחר עבור ה-RDP, גישה שאפשר לקרוא לה "אבטחה באמצעות הטעיה". אך הפורט השונה לא מפריע לעברייני הרשת להשיג את מטרתם, כי מיד לאחר סריקת הפורט הספציפי הם יחפשו פעילות RDP בפורטים פתוחים אחרים.

כצפוי, הכלי שודאן מראה עלייה במספר המכשירים בהם פורט ה-RDP חשוף לאינטרנט, מגמה המתאימה למעבר העולמי לעבודה מהבית, מגמה בה הבחנו בחודשים האחרונים.

מנהלי IT מוכרחים להבטיח שהגישה לפרוטוקול RDP תאובטח כראוי וכי המשתמשים בוחרים את סיסמאותיהם בחוכמה.

אלו הן כמה מצורות התקיפה הנפוצות של חיבור RDP, וטכניקות ההתגוננות מפניהן:

Brute force

במתקפת Brute force, התוקף מנסה להיכנס באמצעות סיסמאות אקראיות, ולעיתים הוא אף עושה זאת מיליוני פעמים. התהליך הזה מתרחש בדרך כלל באופן אוטומטי ובאמצעות תוכנה. אם המתקפה מצליחה, לעתים קרובות היא סוללת את הדרך להחדרת תוכנות כופר כמו GandCrab ו-Sodinokibi או כל נוזקה אחרת.

לאחרונה, כותבי הסוס הטרויאני TrickBot הוסיפו מודול חדש לפריצת Brute force על גבי פרוטוקול RDP. הגרסה המשודרגת של TrickBot תקפה כבר מעל 6,000 שרתי RDP. שימוש בסיסמה ארוכה וחזקה יכול להפוך את סוג המתקפה הזאת לכמעט בלתי-אפשרי מבחינה חישובית.

על מנת לוודא שהעובדים משתמשים בסיסמאות חזקות, מנהלי IT יכולים להשתמש בכלים להשוואות מחרוזות גיבוב (hash) של סיסמאות העובדים לבין טבלת מחרוזות גיבוב ידועה של סיסמאות חלשות.

Credential stuffing attacks

מתקפת Credential stuffing attacks דומה למתקפת Brute force, כשההבדל היחיד הוא שמתקפה מסוג זה משתמשת בפרטי גישה שהודלפו ממקום אחר כדי להיכנס למערכת. ניתן למצוא פרטי גישה מודלפים במרחב הציבורי, בפורומי האקינג וברשת האפלה.

האקרים יכולים להפוך את המתקפות האלה לאוטומטיות באמצעות שימוש בתוכנות להעמסת פרטי גישה כמו SNIPR, Sentry MBA, STORM, Black Bullet, Private Keeper ו-WOXY. כדי להימנע מחסימה מצד חומות האש ושכבות הגנה נוספות, התוקפים משתמשים בכמה פרוקסים (בוטנטים) כך שניסיונות הכניסה החוזרים יגיעו מכתובות IP שונות.

הצלחתה של מתקפה זו היא הודות לכך שמשתמשים רבים משתמשים באותה הסיסמה במקומות שונים. שימוש בסיסמה יחודית בכל פעם יהפוך מתקפה כזו לקשה הרבה יותר.

Password spraying attacks

מתקפת Password spraying attacks היא גרסה אחרת של מתקפת Brute force, אלא שבסוג מתקפה זה התוקף בוחר באופן אסטרטגי כמה סיסמאות, אותן יבדוק מול חשבונות רבים. הרעיון מאחורי מתקפה זו הוא להימנע מנעילת החשבונות לאחר ניסיונות כניסה כושלים מרובים באמצעות פיזור המתקפה לאורך זמן והכוונתה לבסיס גדול יותר של חשבונות.

הפורצים יכולים לאסוף את שמות המשתמש של העובדים מהמרחב הציבורי באמצעות שימוש בכלים כמו Prowl, Raven ו-LinkedInt. הכלים האלה מקבלים שמות מתחם של כתובות מייל של החברה ואוספים רשימות עובדים מ-LinkedIn.

מרגע שלתוקף יש בידיו רשימה של שמות משתמש, הוא יכול להוציא לפועל את המתקפה.

אם הפורץ יצליח להיכנס לחשבון אחד בלבד, הוא יצליח להשתמש בחשבון הזה כדי לחשוף את הסיסמה ואת מדיניות הנעילה של דומיין ה-Active Directory אליו המשתמש שייך, וכך לשפר את מתקפות ריסוס הסיסמאות הבאות אל מול משתמשים אחרים באותו הדומיין.

הכלי הנוכחי של ESET נגד מתקפות פריצה בכוח, שנקרא Botnet.CnC.Generic, יכול לחסום מתקפות RDP, מתקפות SQL ומתקפות SMB.

אנו מציעים למנהלי IT להישמע להמלצות הבאות אם ברצונם להתגונן בצורה טובה יותר מפני מתקפות סיסמאות: