هل يمكن اختراق سطح المكتب البعيد؟ درجة مخاطر عملية للوقاية

يمكن اختراق الوصول إلى سطح المكتب البعيد، لكن معظم الحوادث ليست استغلالات هوليوودية. معظم الحوادث هي نتائج متوقعة للخدمات المكشوفة، والاعتمادات القابلة لإعادة الاستخدام، والوصول الواسع بشكل مفرط. يوفر هذا الدليل لفرق تكنولوجيا المعلومات درجة مخاطر غير مرتبطة بأداة تنطبق على RDP، وبوابات HTML5، وVDI، وأدوات الدعم عن بُعد، ثم يربط الدرجة بالإصلاحات ذات الأولوية.

ماذا يعني "تم اختراقه" لأدوات سطح المكتب البعيد؟

سطح المكتب البعيد ليس منتجًا واحدًا. سطح المكتب البعيد هو مجموعة من مسارات الوصول التي يمكن أن تشمل بروتوكول سطح المكتب البعيد من مايكروسوفت (RDP)، خدمات سطح المكتب البعيد، VDI مثل Azure Virtual Desktop، بوابات المتصفح التي تعمل كوسيط لجلسة، وأدوات الدعم عن بُعد التي تنشئ اتصالات عند الطلب.

في تقارير الحوادث، "تم اختراق سطح المكتب البعيد" عادةً ما يعني أحد هذه النتائج:

• استيلاء على الحساب: يتمكن المهاجم من تسجيل الدخول بشكل عادي باستخدام بيانات اعتماد مسروقة أو تم تخمينها.
• إساءة استخدام مسار الوصول: بوابة مكشوفة، منفذ مفتوح، سياسة ضعيفة أو تكوين خاطئ يجعل الوصول غير المصرح به أسهل.
• بعد تسجيل الدخول: يستخدم المهاجم قدرة الجلسة الشرعية للتحرك بشكل جانبي، واستخراج البيانات، أو نشر برامج الفدية.

هذا التمييز مهم لأن الوقاية يتعلق بتقليل فرصة تسجيل الدخول الناجح وتقييد ما يمكن أن يفعله تسجيل الدخول.

لماذا يتم استهداف سطح المكتب البعيد؟

الوصول إلى سطح المكتب عن بُعد جذاب لأنه تفاعلي وعالي الامتياز من حيث التصميم. RDP شائع ومدعوم على نطاق واسع وغالبًا ما يمكن الوصول إليه عبر منفذ TCP 3389، مما يجعله سهل الفحص والاستهداف. تلخص Vectra ال مشكلة أساسية انتشار RDP ومستوى الوصول الذي يوفره يجعله هدفًا متكررًا عندما لا يتم إدارته بشكل صحيح.

تقوم Cloudflare بإطار نفس عوامل المخاطر مع ضعف متكرر: مصادقة ضعيفة والوصول غير المقيد إلى المنافذ، مما يتجمع ليشكل فرص هجوم القوة الغاشمة وملء بيانات الاعتماد عندما يكون RDP مكشوفًا.

تزيد حقيقة السوق المتوسطة أيضًا من المخاطر. العمل الهجين، والوصول إلى البائعين، والاندماجات، وعمليات تكنولوجيا المعلومات الموزعة تخلق "انتشار الوصول". يتوسع الوصول عن بُعد أسرع من السياسات والمراقبة، ويفضل المهاجمون تلك الفجوة.

ما هو معدل خطر اختراق سطح المكتب البعيد (RDRS)؟

درجة مخاطر اختراق سطح المكتب البعيد (RDRS) هي نموذج سريع في وقت التصميم. الهدف ليس استبدال تدقيق الأمان. الهدف هو تصنيف عوامل المخاطر حتى تتمكن فريق تكنولوجيا المعلومات من إجراء ثلاثة تغييرات تقلل كل منها من احتمال التعرض للاختراق بسرعة.

قم بتقييم كل ركيزة من 0 إلى 3. اجمعها للحصول على مجموع من 15.

• 0: تحكم قوي، مخاطر عملية منخفضة
• ١: مسيطر عليه بشكل كبير، فجوات طفيفة
• ٢: تحكم جزئي، مسار هجوم واقعي موجود
• ٣: عالي المخاطر، من المحتمل أن يتم استغلاله مع مرور الوقت

الركيزة 1: سطح التعرض

سطح التعرض يتعلق بما يمكن للمهاجم الوصول إليه من الخارج. لا يزال نمط المخاطر الأعلى هو "خدمات سطح المكتب البعيد القابلة للوصول مباشرة" مع الحد الأدنى من ضوابط المدخل.

إرشادات التقييم:

1. 0: سطح المكتب البعيد غير متاح عبر الإنترنت؛ الوصول يتم من خلال مسارات محكومة.
2. ١: يمكن الوصول إلى سطح المكتب البعيد فقط من خلال الشبكات المقيدة، VPN أو قوائم السماح المحددة بدقة.
3. ٢: بوابة أو منفذ يواجه الإنترنت، لكن السياسات غير متسقة عبر التطبيقات أو المجموعات أو المناطق.
4. ٣: يوجد تعرض مباشر (تشمل الأمثلة الشائعة RDP المفتوح، قواعد NAT المنسية، مجموعات أمان السحابة المتساهلة).

ملاحظة عملية للعقارات المختلطة:

تطبق واجهة التعرض على بوابات RDP و VDI وبوابات HTML5 ووحدات التحكم في الدعم عن بُعد. إذا كان أي واحد من هذه هو باب أمامي عام، فسوف يجدها المهاجمون.

الركيزة 2: سطح الهوية

سطح الهوية هو مدى سهولة أن يصبح المهاجم مستخدمًا صالحًا. يبرز Cloudflare إعادة استخدام كلمة المرور والاعتمادات غير المدارة كممكنات رئيسية لملء بيانات الاعتماد والهجمات بالقوة الغاشمة في سيناريوهات الوصول عن بُعد.

إرشادات التقييم:

• 0: يتطلب MFA، ويتم فصل الحسابات المميزة ولا يُسمح بالتحقق من الهوية القديم.
• ١: توجد MFA ولكن ليس في كل مكان، هناك استثناءات لـ "خادم واحد فقط" أو "بائع واحد فقط".
• ٢: كلمات المرور هي التحكم الأساسي لبعض مسارات سطح المكتب البعيد أو الهويات الإدارية المشتركة الموجودة.
• ٣: يعتمد تسجيل الدخول الموجه نحو الإنترنت على كلمات المرور فقط، أو يتم استخدام الحسابات المحلية على نطاق واسع عبر الخوادم.

ملاحظة عملية:

الهوية هي المكان الذي تفشل فيه أمان سطح المكتب البعيد عادة أولاً. لا يحتاج المهاجمون إلى استغلال إذا كانت المصادقة سهلة.

الركيزة 3: سطح التفويض

واجهة التفويض هي ما يُسمح لمستخدم صالح بالوصول إليه، ومتى. تركز العديد من البيئات على من يمكنه تسجيل الدخول، ولكنها تتجاهل من يمكنه تسجيل الدخول إلى ماذا، ومن أين، خلال أي نافذة زمنية.

إرشادات التقييم:

• 0: يتم تطبيق الوصول الأقل امتيازًا مع مجموعات محددة لكل تطبيق أو سطح مكتب، بالإضافة إلى مسارات إدارة منفصلة.
• ١: توجد مجموعات، لكن الوصول واسع لأنه أبسط من الناحية التشغيلية.
• ٢: يمكن للمستخدمين الوصول إلى العديد من الخوادم أو أجهزة الكمبيوتر المكتبية؛ القيود الزمنية وقيود المصدر غير متسقة.
• ٣: يمكن لأي مستخدم مصدق الوصول إلى الأنظمة الأساسية، أو يمكن للمسؤولين الاتصال عن بُعد في كل مكان من نقاط النهاية غير المدارة.

ملاحظة عملية:

التفويض هو أيضًا الركيزة التي تدعم بشكل أفضل مزيج السوق المتوسطة. عندما تحتاج أنظمة Windows وmacOS والمقاولون والبائعون من الطرف الثالث جميعًا إلى الوصول، فإن التفويض الدقيق هو التحكم الذي يمنع تسجيل دخول صالح واحد من أن يصبح وصولًا على مستوى العقار.

الركيزة 4: جلسة وسطح نقطة النهاية

سطح الجلسة هو ما يمكن أن تفعله جلسة عن بُعد بمجرد أن تبدأ. سطح نقطة النهاية ما إذا كان جهاز الاتصال موثوقًا بما فيه الكفاية للوصول الممنوح.

إرشادات التقييم:

• 0: يتطلب الوصول المميز محطات عمل إدارية محصنة أو مضيفين قفز؛ يتم تقييد ميزات الجلسات عالية المخاطر حيثما كان ذلك ضروريًا.
• ١: توجد عناصر تحكم للجلسة ولكنها غير متوافقة مع حساسية البيانات.
• ٢: النقاط النهائية هي مزيج من المدارة وغير المدارة مع نفس قدرات الجلسة.
• ٣: يُسمح بالوصول عن بُعد إلى سطح المكتب بامتيازات عالية من أي جهاز مع قيود قليلة.

ملاحظة عملية:

هذا الركيزة ذات صلة خاصة بالوصول المستند إلى المتصفح. تزيل بوابات HTML5 احتكاك نظام التشغيل وتبسط عملية الانضمام، لكنها تجعل من الأسهل أيضًا منح الوصول بشكل واسع. تصبح مسألة السياسة "أي المستخدمين يحصلون على وصول المتصفح إلى أي الموارد".

الركيزة 5: سطح العمليات

سطح العمليات هو الوضع الصيانة الذي يحدد مدى بقاء الثغرات. هذا ليس هندسة الكشف. هذه هي حقيقة الوقاية: إذا كانت عملية التصحيح والانحراف في التكوين بطيئة، فإن التعرض يعود.

إرشادات التقييم:

• 0: تتم معالجة مكونات الوصول عن بُعد بسرعة؛ يتم إصدار نسخ من التكوين؛ تحدث مراجعات الوصول وفقًا للجدول الزمني.
• ١: تصحيح الأخطاء جيد للخوادم ولكنه ضعيف بالنسبة للبوابات أو المكونات الإضافية أو خدمات الدعم.
• ٢: توجد انحرافات؛ تتراكم الاستثناءات؛ تبقى نقاط النهاية القديمة.
• ٣: ملكية غير واضحة، وتغييرات الوصول عن بُعد غير متعقبة من البداية إلى النهاية.

ملاحظة عملية:

سطح العمليات هو المكان الذي تظهر فيه تعقيدات السوق المتوسطة بشكل أكبر. ما لم يتم إدارتها بشكل صحيح، فإن الفرق المتعددة والأدوات المتعددة تخلق ثغرات يمكن للمهاجمين استغلالها بصبر.

كيف تنتقل من التسجيل إلى اتخاذ إجراء وقائي؟

النتيجة مفيدة فقط إذا غيرت ما يتم القيام به بعد ذلك. استخدم الإجمالي لاختيار سيناريو محتمل للتغيير. تذكر، الهدف هو تقليل التعرض من أجل تقليل المخاطر.

• 0–4 (منخفض): تحقق من الانحراف، وشدد على العمود الضعيف المتبقي، وفرض الاتساق عبر الأدوات.
• 5–9 (متوسط): أعطِ الأولوية للتعرض والهوية أولاً، ثم شدد على التفويض.
• 10–15 (عالي): إزالة التعرض المباشر على الفور، إضافة مصادقة قوية، ثم تضييق نطاق الوصول بشكل عدواني.

سيناريو 1: مسؤول تكنولوجيا المعلومات RDP بالإضافة إلى المستخدم النهائي VDI

نمط شائع هو "المسؤولون يستخدمون RDP، المستخدمون يستخدمون VDI." عادةً ما يكون مسار الهجوم من خلال أضعف هوية أو أكثر مسار مسؤول مكشوف، وليس من خلال منتج VDI نفسه.

إصلاحات الأولوية:

1. قلل التعرض لمسارات الإدارة أولاً، حتى لو بقي وصول المستخدم النهائي كما هو.
2. فرض فصل حسابات الامتياز و MFA بشكل متسق.
3. تقييد المضيفين الذين يقبلون تسجيل الدخول التفاعلي للمسؤول.

ملاحظة:

تستفيد هذا السيناريو من اعتبار الوصول الإداري منتجًا منفصلًا مع سياسة منفصلة، حتى لو كانت نفس المنصة تحمل كلاهما.

السيناريو 2: المتعاقدون وBYOD عبر HTML5

الوصول المستند إلى المتصفح هو جسر مفيد في بيئات أنظمة التشغيل المختلطة. الخطر هو أن "الوصول السهل" يتحول إلى "وصول واسع".

إصلاحات الأولوية:

• استخدم بوابة HTML5 كباب أمامي محكوم، وليس بوابة شاملة.
• نشر تطبيقات محددة للمقاولين بدلاً من أجهزة سطح المكتب الكاملة عند الإمكان.
• استخدم قيود الوقت والتعيين القائم على المجموعات بحيث تنتهي صلاحية وصول المتعاقدين تلقائيًا عند إغلاق النافذة.

ملاحظة:

يصف TSplus Remote Access نموذج عميل HTML5 حيث يقوم المستخدمون بتسجيل الدخول من خلال بوابة ويب قابلة للتخصيص والوصول إلى سطح مكتب كامل أو تطبيقات منشورة داخل المتصفح. نوصي بتسجيل الدخول الموحد والمصادقة متعددة العوامل للمساهمة في الأمان العالي لعملية تسجيل الدخول المستندة إلى المتصفح.

السيناريو 3: أدوات الدعم عن بُعد في نفس العقار

غالبًا ما يتم تجاهل أدوات الدعم عن بُعد لأنها "للمساعدة"، وليست "لإنتاجية". المهاجمون لا يهتمون. إذا كانت أداة الدعم قادرة على إنشاء وصول غير مراقب أو رفع الامتيازات، فإنها تصبح جزءًا من سطح هجوم سطح المكتب البعيد.

إصلاحات الأولوية:

• فصل قدرات مكتب المساعدة عن قدرات الإدارة.
• قم بتقييد الوصول غير المراقب إلى مجموعات محددة ونقاط النهاية المعتمدة.
• قم بمحاذاة أداة دعم المصادقة مع هوية المؤسسة وMFA حيثما كان ذلك ممكنًا.

ملاحظة:

كمثال، لتجنب المشكلات المتعلقة بالدعم، يتم استضافة TSplus Remote Support ذاتيًا، حيث يتم إنشاء الدعوات من قبل المضيف إلى وكيل الدعم ورموز تسجيل الدخول هي مجموعات أرقام تستخدم لمرة واحدة وتتغير في كل مرة. علاوة على ذلك، فإن إغلاق التطبيق ببساطة من قبل المضيف يقطع الاتصال تمامًا.

أين يتناسب TSplus Remote Access مع نمط "تقليل التعرض"؟

أمان مدفوع بمنتج البرمجيات

في تخطيط الوقاية، يتناسب TSplus Remote Access كنمط نشر وتوصيل: يمكنه توحيد أو تمييز كيفية اتصال المستخدمين والمجموعات وما يمكنهم الوصول إليه بالإضافة إلى متى ومن أي جهاز، بحيث يصبح الوصول عن بُعد مدفوعًا بالسياسات بدلاً من كونه عشوائيًا.

تم تصميم TSplus Advanced Security لحماية خوادم التطبيقات ولا يترك شيئًا للصدفة. من لحظة تثبيته، يتم حظر عناوين IP الضارة المعروفة بينما يبدأ في العمل. تساهم كل من ميزاته المختارة بعناية بعد ذلك في تأمين و حماية خوادمك وتطبيقاتك ، وبالتالي كل سطح مكتب.

أوضاع الاتصال كخيارات سياسة (RDP، RemoteApp، HTML5…)

عندما يتم التعامل مع أوضاع الاتصال على أنها "تجربة مستخدم بسيطة"، يتم تفويت قرارات الأمان. يحتوي TSplus Remote Access على ثلاثة أوضاع اتصال معروفة بشكل أفضل: عميل RDP، عميل RemoteApp وعميل HTML5، كل منها يتوافق مع تجربة تسليم مختلفة. يوسع دليل البدء السريع لدينا قائمة الخيارات المرنة التي تشمل أيضًا اتصال سطح المكتب البعيد الكلاسيكي، وعميل TSplus RDP المحمول، وعميل MS RemoteApp، بالإضافة إلى عملاء Windows وHTML5 من خلال بوابة الويب.

إجراء وقائي جانبًا:

يمكن أن تقلل أوضاع الاتصال من المخاطر عندما تساعد في تعزيز الاتساق.

• يمكن أن يظل وصول عميل RDP داخليًا لعمليات سير العمل الإدارية بينما يستخدم المستخدمون النهائيون التطبيقات المنشورة.
• يقلل RemoteApp من "تعرض سطح المكتب الكامل" للمستخدمين الذين يحتاجون فقط إلى تطبيق واحد.
• يمكن لـ HTML5 استبدال متطلبات نقاط النهاية الهشة، مما يساعد على فرض باب أمامي واحد محكم بدلاً من العديد من الأبواب المرتجلة.

TSplus Advanced Security في تقدم "حماية RDP"

تحدد درجة المخاطر عادةً نفس نقاط الألم الرئيسية: ضوضاء الإنترنت، محاولات الاعتماد المتكررة، وأنماط الوصول غير المتسقة عبر الخوادم. هنا يتم وضع TSplus Advanced Security كطبقة حراسة لبيئات سطح المكتب البعيد، بما في ذلك حماية مركزة ضد برامج الفدية والموضوعات المتعلقة بتعزيز الجلسة الموضحة في منتجنا أو الوثائق أو صفحات المدونة.

في نموذج درجة المخاطر، يدعم Advanced Security جزء "تقليل الاحتمالية" من الوقاية:

• قم بإيقاف محاولات إساءة استخدام بيانات الاعتماد حتى لا تظل تخمينات كلمة المرور ثابتة في الخلفية.
• قم بتقييد مسارات الوصول باستخدام قواعد IP والجغرافيا عندما يكون من غير الممكن تجنب وجود باب أمامي عام.
• أضف ضوابط حماية أولية تقلل من فرصة أن يتحول تسجيل دخول واحد إلى تأثير برامج الفدية.

الخاتمة: هل ستكون الوقاية كافية؟

تقييم المخاطر يقلل من احتمال التعرض للاختراق. لا يضمن الأمان، خاصة في البيئات المختلطة حيث يمكن سرقة بيانات الاعتماد من خلال التصيد أو برامج سرقة المعلومات. لهذا السبب لا يزال التخطيط للكشف والاستجابة مهمًا. قم بتقييم الأعمدة الخمسة، وأصلح الأضعف أولاً، ثم أعد التقييم حتى يصبح الوصول عن بُعد خدمة مُتحكم بها بدلاً من مجموعة من الاستثناءات.

بشكل عام، الهدف هو تحقيق الاتساق. قم بتوحيد مسارات الوصول، واستخدم HTML5 حيث يزيل حواجز النقاط النهائية دون توسيع النطاق، وانشر فقط ما يحتاجه كل مجموعة مع فترات زمنية واضحة.

كما هو موضح أعلاه، يقوم Remote Access بترتيب ونشر الوصول بينما Advanced Security يدافع عن الخوادم خلف ذلك الوصول ضد المهاجمين الذين يضغطون على المحيط. السؤال ليس ما إذا كان هناك مهاجمون. بل هو "ما مدى قوة حماية محيطك؟".

المزيد من القراءة والإجراءات:

لذلك، بالنسبة للفرق التي ترغب في الطبقة التالية، يمكن أن يكون دليل هندسة الكشف الخاص بنا الذي يركز على التسللات الناتجة عن RDP-led ransomware مثيرًا للاهتمام. إنه يشير إلى أنماط عالية الإشارة ويستعرض " ماذا تفعل في أول 30-60 دقيقة .” متابعة رائعة بمجرد تنفيذ نموذج الوقاية، يمكنه أيضًا تقديم أفكار لتعظيم الأمان المتقدم وإعدادات برامج TSplus الأخرى لأمان بنيتك التحتية.

الأسئلة المتكررة:

هل يمكن اختراق سطح المكتب البعيد حتى لو كان البرنامج "آمنًا"؟

نعم. تحدث معظم الاختراقات من خلال مسارات الوصول المكشوفة والهويات الضعيفة، وليس من خلال استغلال البرمجيات. غالبًا ما يكون سطح المكتب البعيد هو القناة المستخدمة بعد الحصول على بيانات الاعتماد.

هل RDP غير آمن بطبيعته؟

RDP ليس غير آمن بطبيعته، ولكن يصبح RDP عالي المخاطر عندما يكون متاحًا عبر الإنترنت ومحميًا بشكل أساسي بكلمات المرور. استهداف المنافذ والمصادقة الضعيفة هما من المحركات الشائعة.

هل يقلل بوابة سطح المكتب البعيد بتقنية HTML5 من مخاطر الاختراق؟

يمكن أن يزيد من المخاطر إذا جعل الوصول الواسع أسهل في المنح دون سياسة صارمة.

ما هي أسرع طريقة لتقليل مخاطر اختراق سطح المكتب عن بُعد؟

قلل التعرض أولاً، ثم قم بتقوية الهوية. إذا كان مسار سطح المكتب البعيد متاحًا للجمهور ويعتمد على كلمة مرور، يجب افتراض أن البيئة "ستتعرض للاختراق في النهاية".

كيف أعرف ما يجب إصلاحه أولاً في بيئة مختلطة؟

استخدم درجة المخاطر مثل RDRS وقم بإصلاح العمود الأعلى أولاً. في معظم البيئات، ينتج التعرض والهوية أكبر انخفاض في المخاطر لكل ساعة مستغرقة.