)
)
क्यों एक रिमोट डेस्कटॉप प्रोटोकॉल रैंसमवेयर उच्च-संकेत पहचान गाइड?
रिमोट डेस्कटॉप प्रोटोकॉल (RDP) रैनसमवेयर घटनाएँ अक्सर एक ही तरीके से शुरू होती हैं: क्रेडेंशियल दुरुपयोग, एक सफल इंटरएक्टिव लॉगिन और एन्क्रिप्शन से पहले शांत पार्श्व आंदोलन। कई टीमें पहले से ही इसके मूल बातें जानती हैं RDP को मजबूत करना लेकिन रैनसमवेयर ऑपरेटर अभी भी तब फिसल जाते हैं जब निगरानी बहुत शोर होती है या प्राथमिकता तय करने में बहुत धीमी होती है।
यह गाइड RDP-नेतृत्व वाले घुसपैठ के लिए पहचान इंजीनियरिंग पर केंद्रित है: संग्रह करने के लिए न्यूनतम टेलीमेट्री, आदतों का आधारभूत स्तर कैसे निर्धारित करें, छह उच्च-संकेत अलर्ट पैटर्न को पहचानें और एन्क्रिप्शन से पहले कार्रवाई करने के लिए एक व्यावहारिक ट्रायेज़ कार्यप्रवाह की योजना बनाएं।
RDP रैंसमवेयर: पहचान क्यों महत्वपूर्ण है?
आप वास्तव में देख सकते हैं कि RDP से रैनसमवेयर श्रृंखला
RDP अधिकांश Remote Desktop Protocol रैनसमवेयर कहानियों में "शोषण" नहीं है। RDP वह इंटरैक्टिव चैनल है जिसका उपयोग हमलावर तब करते हैं जब वे क्रेडेंशियल प्राप्त कर लेते हैं, फिर उसी चैनल का पुनः उपयोग करके सिस्टम के बीच में जाते हैं। CISA की सलाहें रैंसमवेयर समूहों पर बार-बार समझौता किए गए क्रेडेंशियल्स और RDP के उपयोग को वातावरण के भीतर आंदोलन के लिए दस्तावेज़ित करें।
अच्छी खबर यह है कि यह कार्यप्रवाह ऐसे निशान छोड़ता है जो अधिकांश विंडोज वातावरण में देखे जा सकते हैं, यहां तक कि बिना उन्नत उपकरणों के भी:
- प्रमाणीकरण विफलताएँ और सफलताएँ,
- RDP के साथ संगत लॉगिन प्रकार पैटर्न,
- नए लॉगिन के बाद अचानक विशेषाधिकार परिवर्तन,
- पार्श्व गति (जिसे फैन-आउट व्यवहार भी कहा जाता है)
- स्थायी क्रियाएँ जैसे निर्धारित कार्य और सेवाएँ।
पूर्व-एन्क्रिप्शन पहचान व्यवहार में कैसी दिखती है?
पूर्व-एन्क्रिप्शन पहचान का मतलब यह नहीं है कि हर स्कैन या हर असफल पासवर्ड प्रयास को पकड़ना है। इसका मतलब है कि महत्वपूर्ण संक्रमण बिंदुओं को विश्वसनीय रूप से पकड़ना है:
- “ हमलावर क्रेडेंशियल्स की कोशिश कर रहे हैं ”,
- “हमलावर अंदर घुस गए”
- “हमलावरों की पहुंच बढ़ रही है”
- “हमलावर तैनात करने की तैयारी कर रहे हैं।”
इसलिए CISA की रैनसमवेयर मार्गदर्शिका जोखिम भरे रिमोट सेवाओं जैसे RDP को सीमित करने और यदि RDP आवश्यक हो तो सर्वोत्तम प्रथाओं को लागू करने पर जोर देती है। पहचान और प्रतिक्रिया उन वातावरणों में सर्वोत्तम प्रथाओं की वास्तविकता का हिस्सा हैं जो रातोंरात पुन: डिज़ाइन करने में असमर्थ हैं।
RDP-नेतृत्व वाले घुसपैठ पहचान के लिए न्यूनतम व्यवहार्य टेलीमेट्री क्या है?
Windows सुरक्षा लॉग एकत्र करने के लिए
इवेंट लॉगिंग - सफल और असफल लॉगिन:
यदि आप केवल एक काम करें, तो Windows सुरक्षा घटनाओं को लॉगिन के लिए इकट्ठा करें और केंद्रीकृत करें:
- इवेंट आईडी 4624: सफल लॉगिन
- इवेंट आईडी 4625: लॉगिन विफल
RDP इंटरैक्टिव सत्र आमतौर पर "रिमोट इंटरैक्टिव" लॉगऑन के रूप में दिखाते हैं (कई वातावरणों में सामान्यतः लॉगऑन प्रकार 10), और आप संबंधित गतिविधियाँ भी देखेंगे जब नेटवर्क स्तर प्रमाणीकरण (NLA) सक्षम होता है, क्योंकि प्रमाणीकरण पहले होता है और इसे एंडपॉइंट और डोमेन नियंत्रक पर अलग तरीके से लॉग किया जा सकता है।
NB: ध्यान दें यदि आप अंतर देखते हैं, तो क्रेडेंशियल मान्यता से संबंधित डोमेन नियंत्रक घटनाओं की जांच करें।
प्रत्येक घटना से पहचान इंजीनियरिंग के लिए क्या कैप्चर करना है:
- लक्षित होस्ट (गंतव्य),
- खाता नाम और डोमेन,
- स्रोत IP / कार्यस्थल नाम (जब मौजूद हो),
- लॉगिन प्रकार,
- प्रमाणीकरण पैकेज / प्रक्रिया (जब मौजूद हो)
- असफलता कारण कोड (4625 के लिए)।
RDS और TerminalServices लॉग जो संदर्भ जोड़ते हैं
सुरक्षा लॉग आपको बताते हैं "किसने लॉग इन किया और कहाँ से"। RDS और TerminalServices लॉग यह बताने में मदद करते हैं "सत्र कैसे व्यवहार करता है", विशेष रूप से Remote Desktop Services वातावरण में सत्र होस्ट के साथ।
निम्नलिखित लॉग एकत्रित करने से कई सत्रों के शामिल होने पर प्राथमिकता तय करना तेज़ हो जाता है:
- कनेक्शन/डिस्कनेक्शन घटनाएँ,
- सत्र पुनः कनेक्ट पैटर्न,
- असामान्य होस्ट पर सत्र निर्माण में वृद्धि।
यदि आपका वातावरण केवल "व्यवस्थापक RDP सर्वर में" है, तो ये लॉग वैकल्पिक हैं। यदि आप RDS फार्म चलाते हैं, तो ये इसके लायक हैं।
केंद्रीकरण और संरक्षण: "पर्याप्त" कैसा दिखता है
केंद्रीकरण के बिना पहचान "एक बॉक्स में दूरस्थ रूप से डालें और आशा करें कि लॉग अभी भी वहां हैं" में बदल जाती है। लॉग को एक SIEM या लॉग प्लेटफ़ॉर्म पर केंद्रीकृत करें और धीमी घुसपैठ देखने के लिए पर्याप्त रिटेंशन बनाए रखें।
रैंसमवेयर जांच के लिए एक व्यावहारिक न्यूनतम सप्ताहों में मापा जाता है, दिनों में नहीं, क्योंकि एक्सेस ब्रोकर एन्क्रिप्शन से बहुत पहले तक पहुंच स्थापित कर सकते हैं। यदि आप सब कुछ बनाए नहीं रख सकते, तो कम से कम प्रमाणीकरण, विशेषाधिकार परिवर्तन, कार्य/सेवा निर्माण और एंडपॉइंट सुरक्षा घटनाओं को बनाए रखें।
आप सामान्य RDP को कैसे बुनियादी स्तर पर स्थापित कर सकते हैं ताकि अलर्ट उच्च-संकेत बन जाएं?
उपयोगकर्ता, स्रोत, होस्ट, समय और परिणाम द्वारा आधार रेखा
अधिकांश RDP अलर्टिंग विफल होती है क्योंकि कोई बेसलाइनिंग नहीं हुई है। वास्तविक जीवन में RDP के पैटर्न होते हैं, जैसे कि:
- विशिष्ट व्यवस्थापक खाते विशिष्ट जंप होस्ट का उपयोग करते हैं,
- लॉगिन रखरखाव विंडो के दौरान होते हैं,
- कुछ सर्वर को कभी भी इंटरएक्टिव लॉगऑन स्वीकार नहीं करना चाहिए,
- कुछ उपयोगकर्ताओं को सर्वरों पर बिल्कुल भी प्रमाणीकरण नहीं करना चाहिए।
इन आयामों को आधार रेखा बनाएं:
- उपयोगकर्ता → सामान्य मेज़बान,
- उपयोगकर्ता → सामान्य स्रोत IPs / उपनेट,
- उपयोगकर्ता → सामान्य लॉगिन समय,
- होस्ट → सामान्य RDP उपयोगकर्ता,
- होस्ट → सामान्य प्रमाणीकरण सफलता दर।
फिर ऐसे अलर्ट बनाएं जो उस मॉडल से भिन्नताओं पर सक्रिय हों, न कि केवल कच्चे मात्रा पर।
व्यवस्थापक RDP को उपयोगकर्ता RDS सत्रों से अलग करें ताकि शोर कम हो सके
यदि आप अंतिम उपयोगकर्ताओं के लिए RDS चला रहे हैं, तो "उपयोगकर्ता सत्र शोर" को "व्यवस्थापक पथ जोखिम" के साथ न मिलाएं। अलग-अलग बुनियादी रेखाएँ और पहचानें बनाएं:
- अंतिम उपयोगकर्ता सत्रों को सत्र मेज़बानों (अपेक्षित),
- इन्फ्रास्ट्रक्चर सर्वरों के लिए व्यवस्थापक सत्र (उच्च जोखिम),
- डोमेन नियंत्रकों के लिए व्यवस्थापक सत्र (सबसे उच्च जोखिम, अक्सर "कभी नहीं" होना चाहिए)।
यह विभाजन अलर्ट को अर्थपूर्ण बनाने के सबसे तेज़ तरीकों में से एक है बिना नए उपकरण जोड़ने के।
उच्च-संकेत पहचान मार्कर जो रैंसमवेयर पूर्ववर्ती को पकड़ने के लिए
यहाँ लक्ष्य अधिक पहचान नहीं है। यह स्पष्ट घटना वर्गीकरण के साथ कम पहचान है।
सभी नीचे दिए गए पहचान के लिए "सुरक्षा लॉग केवल" से शुरू करें, फिर यदि आपके पास EDR/Sysmon है तो इसे समृद्ध करें।
पासवर्ड स्प्रेइंग बनाम ब्रूट फोर्स: पैटर्न-आधारित पहचान
सिग्नल:
कई असफल लॉगिन जो खातों में वितरित (स्प्रे) या एक खाते पर केंद्रित (ब्रूट फोर्स) हैं।
सुझाई गई तर्क:
- स्प्रे: “>X विफलताएँ एक स्रोत से >Y विशिष्ट उपयोगकर्ता नामों में Z मिनटों में।”
- ब्रूट फोर्स : “>X विफलताएँ एक उपयोगकर्ता नाम के लिए एक स्रोत से Z मिनटों में।”
ट्यूनिंग:
- ज्ञात जंप होस्ट और वीपीएन निकास को बाहर करें जहां कई वैध उपयोगकर्ता उत्पन्न होते हैं,
- दिन के समय के अनुसार थ्रेशोल्ड को समायोजित करें (बाद के घंटों में विफलताएँ अधिक महत्वपूर्ण होती हैं),
- सेवा खातों के लिए ट्यून करें जो वैध रूप से विफल होते हैं (लेकिन यह भी सत्यापित करें कि क्यों)।
चरणों का चयन करें:
- स्रोत IP की प्रतिष्ठा की पुष्टि करें और यह देखें कि क्या यह आपके वातावरण से संबंधित है,
- सुनिश्चित करें कि उसी स्रोत के लिए थोड़ी देर बाद कोई सफल लॉगिन है,
- यदि डोमेन से जुड़ा है, तो डोमेन नियंत्रक प्रमाणीकरण विफलताओं की भी जांच करें।
रैंसमवेयर प्रासंगिकता:
पासवर्ड स्प्रेइंग एक सामान्य "प्रारंभिक पहुंच ब्रोकर" तकनीक है जो कीबोर्ड पर हाथ लगाने वाली गतिविधि से पहले होती है।
नए स्रोत से पहली बार विशेषाधिकार प्राप्त RDP लॉगिन
सिग्नल:
एक विशेषाधिकार प्राप्त खाता (डोमेन प्रशासक, सर्वर प्रशासक, स्थानीय प्रशासक समकक्ष) RDP के माध्यम से एक स्रोत से सफलतापूर्वक लॉग इन करता है जिसे पहले नहीं देखा गया है।
सुझाई गई तर्क:
- “सफल लॉगिन के लिए विशेषाधिकार प्राप्त खाता जहां स्रोत IP/कार्यस्थान पिछले N दिनों में बुनियादी रेखा इतिहास में नहीं है।”
ट्यूनिंग:
- स्वीकृत प्रशासक कार्यस्थानों / जंप होस्टों की अनुमति सूची बनाए रखें,
- "पहली बार देखे जाने" को सामान्य परिवर्तन विंडो के दौरान 02:00 बजे से अलग तरीके से मानें।
चरणों का चयन करें:
- स्रोत एंडपॉइंट को मान्य करें: क्या यह कॉर्पोरेट प्रबंधित, पैच किया गया और अपेक्षित है?
- जांचें कि क्या खाते में हाल ही में पासवर्ड रीसेट या लॉकआउट हुए हैं,
- विशेषाधिकार परिवर्तनों, कार्य निर्माण या सेवा निर्माण के लिए 15–30 मिनट के भीतर लॉगिन के बाद खोजें।
रैंसमवेयर प्रासंगिकता:
रैंसमवेयर ऑपरेटर अक्सर सुरक्षा को निष्क्रिय करने और एन्क्रिप्शन को व्यापक रूप से लागू करने के लिए जल्दी से विशेषाधिकार प्राप्त पहुंच का पीछा करते हैं।
RDP फैन्-आउट: एक स्रोत कई होस्टों को प्रमाणित करना
सिग्नल:
एकल कार्यस्थान या आईपी कई सर्वरों के साथ एक छोटे समय के अंतराल में सफलतापूर्वक प्रमाणीकरण करता है।
सुझाई गई तर्क:
- "एक स्रोत जिसमें M मिनटों में >N विशिष्ट गंतव्य होस्ट पर सफल लॉगिन हैं।"
ट्यूनिंग:
- ज्ञात प्रबंधन उपकरणों और जंप सर्वरों को छोड़ें जो वैध रूप से कई होस्ट को छूते हैं,
- प्रशासक खातों और गैर-प्रशासक खातों के लिए अलग-अलग थ्रेशोल्ड बनाएं,
- बंदिशें रात के समय कड़ी करें।
चरणों का चयन करें:
- “पिवट होस्ट” (स्रोत) की पहचान करें,
- यह सत्यापित करें कि क्या खाता उन गंतव्यों का प्रबंधन करने की अपेक्षा की जाती है।
- स्रोत एंडपॉइंट पर क्रेडेंशियल हार्वेस्टिंग या रिमोट टूलिंग निष्पादन के संकेतों की तलाश करें।
रैंसमवेयर प्रासंगिकता:
पार्श्व आंदोलन यह है कि "एक समझौता किया गया लॉगिन" "डोमेन-व्यापी एन्क्रिप्शन" कैसे बन जाता है।
RDP सफलता के बाद विशेषाधिकार परिवर्तन या नया प्रशासक
सिग्नल:
सफल लॉगिन के तुरंत बाद, वही होस्ट उपयोगकर्ता या समूह परिवर्तनों को दिखाता है जो विशेषाधिकार वृद्धि के अनुरूप होते हैं (नया स्थानीय व्यवस्थापक, समूह सदस्यता जोड़ना)।
सुझाई गई तर्क:
- “सफल लॉगिन → N मिनटों के भीतर: नया प्रशासनिक समूह सदस्यता या नया स्थानीय उपयोगकर्ता निर्माण।”
ट्यूनिंग:
- ज्ञात प्रावधान विंडो की अनुमति दें, लेकिन अपवादों के लिए परिवर्तन टिकट की आवश्यकता है,
- विशेष ध्यान दें जब परिवर्तन किया जाता है एक उपयोगकर्ता जो शायद ही कभी प्रशासनिक कार्य करता है .
चरणों का चयन करें:
- परिवर्तन लक्ष्य को मान्य करें (कौन सा खाता प्रशासक को दिया गया था),
- नए खाते का उपयोग तुरंत अतिरिक्त लॉगिन के लिए किया जा रहा है या नहीं, इसकी जांच करें।
- जांचें कि क्या अभिनेता ने फिर फैन-आउट मूवमेंट किया।
रैंसमवेयर प्रासंगिकता:
विशेषाधिकार परिवर्तन रक्षा बंद और सामूहिक तैनाती का एक सामान्य पूर्वसूचक होते हैं।
RDP सफलता के बाद निर्धारित कार्य या सेवा निर्माण
सिग्नल:
एक इंटरएक्टिव सत्र के बाद स्थायीता या तैनाती तंत्र होते हैं जैसे निर्धारित कार्य या नई सेवाएँ।
सुझाई गई तर्क:
- “सफल लॉगिन → N मिनट के भीतर: निर्धारित कार्य बनाया गया या सेवा स्थापित/बनाई गई।”
ट्यूनिंग:
- ज्ञात सॉफ़्टवेयर तैनाती उपकरणों को बाहर करें,
- लॉगिन खाते और होस्ट भूमिका (डोमेन नियंत्रक और फ़ाइल सर्वर अत्यधिक संवेदनशील होने चाहिए) के साथ सहसंबंधित करें।
चरणों का चयन करें:
- कमांड लाइन और बाइनरी पथ की पहचान करें (EDR यहां मदद करता है),
- यह जांचें कि कार्य/सेवा कई एंडपॉइंट्स को लक्षित करती है,
- संदिग्ध बाइनरी को फैलने से पहले संगरोध करें।
रैंसमवेयर प्रासंगिकता:
निर्धारित कार्य और सेवाएँ पैकेज तैयार करने और बड़े पैमाने पर एन्क्रिप्शन निष्पादित करने के सामान्य तरीके हैं।
RDP (जब उपलब्ध हो) के तुरंत बाद रक्षा हानि संकेत
सिग्नल:
एंडपॉइंट सुरक्षा अक्षम है, छेड़छाड़ सुरक्षा ट्रिगर होती है, या सुरक्षा उपकरण नए रिमोट लॉगऑन के तुरंत बाद बंद हो जाते हैं।
सुझाई गई तर्क:
- “RDP लॉगिन द्वारा व्यवस्थापक → N मिनटों के भीतर: सुरक्षा उत्पाद अक्षम घटना या छेड़छाड़ अलर्ट।”
ट्यूनिंग:
- सर्वरों पर किसी भी बाधा को कार्यस्थानों की तुलना में उच्च गंभीरता के रूप में मानें,
- यह सत्यापित करें कि रखरखाव की खिड़कियाँ वैध उपकरण परिवर्तनों को उचित ठहराती हैं।
चरणों का चयन करें:
- यदि आप इसे सुरक्षित रूप से कर सकते हैं, तो मेज़बान को अलग करें।
- खाता सत्र को निष्क्रिय करें और क्रेडेंशियल्स को घुमाएं,
- अन्य होस्ट पर उसी खाते की खोज करें।
रैंसमवेयर प्रासंगिकता:
रक्षा हानि हाथों से कीबोर्ड ऑपरेटर गतिविधि का एक मजबूत संकेतक है, न कि यादृच्छिक स्कैनिंग।
आरडीपी पूर्ववर्ती अलर्ट सक्रिय होने पर उदाहरण त्रिआज चेकलिस्ट
यह गति के लिए डिज़ाइन किया गया है। कार्य करने से पहले निश्चित होने की कोशिश न करें। जांच करते समय विस्फोट के दायरे को कम करने के लिए कार्रवाई करें।
10-मिनट की प्राथमिकता: पुष्टि करें और दायरा पहचानें
- अलर्ट की पुष्टि करें कि यह असली है उपयोगकर्ता, स्रोत, गंतव्य, समय और लॉगिन प्रकार (4624/4625 डेटा) की पहचान करें।
- सुनिश्चित करें कि स्रोत आपके नेटवर्क, वीपीएन निकासी या अपेक्षित जंप होस्ट से संबंधित है।
- यह निर्धारित करें कि क्या खाता विशेषाधिकार प्राप्त है और क्या यह होस्ट इंटरैक्टिव लॉगऑन स्वीकार करना चाहिए।
- स्रोत पर ध्यान केंद्रित करें: कितनी विफलताएँ, कितनी सफलताएँ, कितने गंतव्य?
परिणाम: तय करें कि यह "संभावित दुर्भावनापूर्ण", "संदिग्ध" या "अपेक्षित" है।
30-मिनट की रोकथाम: पहुंच रोकें और फैलाव सीमित करें
नियंत्रण के साधन जो पूर्ण निश्चितता की आवश्यकता नहीं रखते:
- संदिग्ध खाता क्रेडेंशियल्स (विशेष रूप से विशेषाधिकार प्राप्त खातों) को अक्षम या रीसेट करें,
- संदिग्ध स्रोत IP को किनारे पर ब्लॉक करें (यह समझते हुए कि हमलावर घुमाव कर सकते हैं),
- बड़े समूहों से RDP पहुंच को अस्थायी रूप से हटा दें (न्यूनतम विशेषाधिकार प्रवर्तन),
- स्रोत एंडपॉइंट को अलग करें यदि यह फैनेआउट मूवमेंट के लिए पिवट के रूप में दिखाई देता है।
CISA की मार्गदर्शिका बार-बार जोर देती है रिमोट सेवाओं को सीमित करना जैसे RDP और जब आवश्यक हो, मजबूत प्रथाओं को लागू करना, क्योंकि उजागर या कमजोर नियंत्रित रिमोट एक्सेस एक सामान्य प्रवेश मार्ग है।
60-मिनट का शिकार विस्तार: पार्श्व आंदोलन और स्टेजिंग का पता लगाना
अब मान लीजिए कि हमलावर मंच तैयार करने की कोशिश कर रहा है।
- समान खाते के लिए अन्य होस्ट पर अतिरिक्त सफल लॉगिन खोजें।
- पहले गंतव्य होस्ट पर तेजी से विशेषाधिकार परिवर्तनों, नए व्यवस्थापक निर्माण और कार्य/सेवा निर्माण की तलाश करें।
- फाइल सर्वरों और वर्चुअलाइजेशन होस्टों की जांच करें abnormal logons के लिए (ये रैनसमवेयर "प्रभाव गुणक" हैं)।
- बैकअप और पुनर्प्राप्ति की तत्परता की पुष्टि करें, लेकिन तब तक पुनर्स्थापना शुरू न करें जब तक आप आश्वस्त न हों कि स्टेजिंग बंद हो गया है।
TSplus Advanced Security कहाँ फिट होता है?
RDP-आधारित रैंसमवेयर की संभावना को कम करने के लिए रक्षा-प्रथम नियंत्रण
RDP और अनुप्रयोग सर्वरों के लिए बनाया गया
पता लगाना महत्वपूर्ण है, लेकिन Remote Desktop Protocol रैनसमवेयर अक्सर सफल होता है क्योंकि हमलावर बार-बार क्रेडेंशियल्स आजमाते हैं जब तक कि कुछ काम नहीं करता, फिर वे अंदर आने के बाद आगे बढ़ते रहते हैं। TSplus Advanced Security एक पहली परत की रक्षा करें रैंसमवेयर से पहले होने वाले सामान्य RDP हमलों के रास्तों को सक्रिय रूप से प्रतिबंधित और बाधित करके उस संभावना को कम करने के लिए डिज़ाइन किया गया है।
TSplus सॉफ़्टवेयर सूट - अंतर्निहित पूरकता
इसके ग्रैन्युलर उपयोगकर्ता और समूह प्रतिबंधों और सेटिंग्स के साथ पूरकता के कारण, यह आपके एप्लिकेशन सर्वरों पर हमले के प्रयासों के खिलाफ मजबूत रक्षा प्रदान करता है।
संपूर्ण सुरक्षा जिससे कोई कमी न रहे
व्यवहार में, प्रमाणीकरण सतह को संकुचित करना और स्वचालित क्रेडेंशियल दुरुपयोग पैटर्न को तोड़ना कुंजी है। यह यह सीमित करने में भाग लेकर किया जाता है कि कौन, कहाँ से और किन शर्तों के तहत कनेक्ट कर सकता है, साथ ही मानक व्यवहारों को सीखने और ब्रूट-फोर्स और स्प्रे की प्रभावशीलता को कम करने के लिए सुरक्षा नियंत्रण लागू करने के द्वारा, Advanced Security ठोस बाधाएँ प्रदान करता है। यह मानक RDP स्वच्छता को प्रतिस्थापित किए बिना इसे पूरा करता है और यह एक भाग्यशाली क्रेडेंशियल को इंटरैक्टिव फूटहोल्ड बनने से रोककर समय खरीदता है।
डिटेक्शन इंजीनियरिंग गुणांक: बेहतर सिग्नल, तेज़ प्रतिक्रिया
डिफेंड-फर्स्ट नियंत्रण भी पहचान की गुणवत्ता में सुधार करते हैं। जब इंटरनेट-स्केल ब्रूट फोर्स शोर कम होता है, तो बुनियादी स्तर तेजी से स्थिर होते हैं और थ्रेशोल्ड अधिक कड़े हो सकते हैं। अलर्ट अधिक क्रियाशील हो जाते हैं क्योंकि कम घटनाएँ पृष्ठभूमि विकिरण का कारण बनती हैं।
एक घटना में, हर स्तर पर गति महत्वपूर्ण होती है। नीति-आधारित प्रतिबंध तुरंत प्रतिक्रिया के लीवर बन जाते हैं: संदिग्ध स्रोतों को ब्लॉक करें, प्रभावित क्षेत्रों को संगरोध में रखें, अनुमत पहुंच पैटर्न को कड़ा करें, अनुमतियों को कम करें और जांच के दौरान पार्श्व आंदोलन के अवसर को सीमित करें।
संचालन कार्यप्रवाह: आपके अलर्ट के लिए संकुचन लीवर मानचित्रित किए गए
उपयोग करें TSplus उन्नत सुरक्षा “तेज स्विच” जो इस गाइड में पहचान से जुड़े हैं:
- यदि स्प्रे/ब्रूट-फोर्स पैटर्न में वृद्धि होती है, तो पहुंच नियमों को कड़ा करें और दोहराए गए प्रयासों को रोकने के लिए स्वचालित अवरोध को बढ़ाएं।
- यदि किसी नए स्रोत से पहली बार विशेषाधिकार प्राप्त RDP लॉगिन दिखाई देता है, तो सत्यापित होने तक विशेषाधिकार प्राप्त पहुंच पथों को ज्ञात व्यवस्थापक स्रोतों तक सीमित करें।
- यदि फैन-आउट आंदोलन का पता लगाया जाता है, तो फैलाव को कम करने के लिए अनुमत कनेक्शनों को सीमित करें, जबकि पिवट एंडपॉइंट को अलग करें।
यह दृष्टिकोण पहले पहचान पर केंद्रित है, लेकिन इसके चारों ओर वास्तविक सुरक्षा पहले की ताकत है ताकि हमलावर आपके जांच करने के दौरान प्रयास करते रह न सके।
रैंसमवेयर पहचान योजना पर निष्कर्ष
रिमोट डेस्कटॉप प्रोटोकॉल रैनसमवेयर अक्सर चेतावनी के बिना नहीं आता। क्रेडेंशियल दुरुपयोग, असामान्य लॉगिन पैटर्न और लॉगिन के बाद तेजी से बदलाव अक्सर एन्क्रिप्शन शुरू होने से पहले ही स्पष्ट होते हैं। सामान्य RDP गतिविधि का आधार बनाकर और उच्च-संकेत व्यवहारों के एक छोटे सेट पर अलर्ट करके, आईटी टीमें प्रतिक्रियात्मक सफाई से आगे बढ़ सकती हैं। प्रारंभिक नियंत्रण .
उन पहचान को रक्षा-प्रथम नियंत्रणों के साथ जोड़ना, जैसे कि पहुंच पथों को सीमित करना और TSplus Advanced Security के साथ ब्रूट-फोर्स प्रयासों को बाधित करना, हमलावर के निवास समय को कम करता है और उन मिनटों को खरीदता है जो रैनसमवेयर के प्रभाव को रोकने में महत्वपूर्ण होते हैं।
TSplus रिमोट एक्सेस मुफ्त परीक्षण
डेस्कटॉप/ऐप एक्सेस के लिए अंतिम Citrix/RDS विकल्प। सुरक्षित, लागत-कुशल, ऑन-प्रिमाइसेस/क्लाउड
)
)
)
