Maaari bang ma-hack ang Remote Desktop? Isang Praktikal na Panganib na Iskor para sa Pag-iwas

Maaaring ma-hack ang remote desktop access, ngunit karamihan sa mga insidente ay hindi mga Hollywood exploits. Karamihan sa mga insidente ay mga inaasahang kinalabasan ng mga nakalantad na serbisyo, reusable credentials at labis na malawak na access. Ang gabay na ito ay nagbibigay sa mga IT team ng tool-agnostic na risk score na naaangkop sa RDP, HTML5 portals, VDI at mga remote support tools, at pagkatapos ay nagmamapa ng score sa mga prayoridad na pag-aayos.

Ano ang Ibig Sabihin ng “Hacked” para sa mga Tool ng Remote Desktop?

Ang remote desktop ay hindi isang produkto. Ang remote desktop ay isang hanay ng mga landas ng pag-access na maaaring isama ang Microsoft Remote Desktop Protocol (RDP), Remote Desktop Services, VDI tulad ng Azure Virtual Desktop, mga browser portal na nagpo-proxy ng isang sesyon, at mga tool sa remote support na lumilikha ng mga koneksyon sa demand.

Sa mga ulat ng insidente, ang "remote desktop ay na-hack" ay karaniwang nangangahulugang isa sa mga kinalabasan na ito:

• Pagsasagawa ng account: isang umaatake ay nag-log in nang normal gamit ang ninakaw o nahulaan na mga kredensyal.
• Pagsasamantala sa landas ng pag-access: isang nakalantad na gateway, bukas na port, mahina na patakaran o maling pagsasaayos ay nagpapadali sa hindi awtorisadong pag-access.
• Pagkatapos ng pag-login na pinsala: ang umaatake ay gumagamit ng lehitimong kakayahan ng sesyon upang lumipat nang pahalang, mag-exfiltrate ng data, o mag-deploy ng ransomware.

Mahalaga ang pagkakaibang ito dahil pag-iwas ay tungkol sa pagbabawas ng pagkakataon ng matagumpay na pag-login at paglilimita sa kung ano ang maaaring gawin ng isang pag-login.

Bakit Targeted ang Remote Desktop?

Ang pag-access sa remote desktop ay kaakit-akit dahil ito ay interactive at mataas ang pribilehiyo sa disenyo. Karaniwan ang RDP, malawak na sinusuportahan, at madalas na maaabot sa TCP port 3389, na nagpapadali sa pag-scan at pagtutok. Binubuod ng Vectra ang pangunahing problema Ang paglaganap ng RDP at ang antas ng access na ibinibigay nito ay ginagawang madalas na target ito kapag hindi ito maayos na pinamamahalaan.

Ipinapakita ng Cloudflare ang parehong mga panganib sa panganib na may dalawang paulit-ulit na kahinaan: mahina na pagpapatotoo at walang limitasyong pag-access sa port, na nagsasama-sama sa mga pagkakataon para sa brute force at credential stuffing kapag ang RDP ay nakalantad.

Ang katotohanan sa mid-market ay nagpapataas din ng panganib. Ang hybrid na trabaho, pag-access ng vendor, pagsasanib, at mga ipinamamahaging operasyon ng IT ay lumilikha ng "access sprawl". Ang remote access ay lumalawak nang mas mabilis kaysa sa patakaran at pagmamanman, at mas gusto ng mga umaatake ang puwang na iyon.

Ano ang Panganib na Iskor ng Remote Desktop Hack (RDRS)?

Ang Remote Desktop Hack Risk Score (RDRS) ay isang mabilis, modelong disenyo sa oras. Ang layunin ay hindi palitan ang isang seguridad na pagsusuri. Ang layunin ay i-ranggo ang mga driver ng panganib upang makagawa ang isang IT team ng tatlong pagbabago na bawat isa ay nagpapababa ng posibilidad ng kompromiso nang mabilis.

I-rate ang bawat haligi mula 0 hanggang 3. I-add ang mga ito para sa kabuuang 15.

• 0: malakas na kontrol, mababang praktikal na panganib
• 1: kadalasang kontrolado, maliit na puwang
• 2: bahagyang kontrol, umiiral ang makatotohanang landas ng pag-atake
• 3: mataas na panganib, malamang na maabuso sa paglipas ng panahon

Pillar 1: Exposure surface

Ang ibabaw ng exposure ay tungkol sa kung ano ang maabot ng isang umaatake mula sa labas. Ang pinakamataas na panganib na pattern ay ang "direktang maaabot na mga serbisyo ng remote desktop" na may minimal na kontrol sa front-door.

Patnubay sa iskor:

1. 0: ang remote desktop ay hindi maabot sa internet; ang access ay pinamamahalaan sa pamamagitan ng mga kontroladong landas.
2. 1: ang remote desktop ay maaabot lamang sa pamamagitan ng mga pinaghihigpitang network, VPN o mahigpit na nakatakdang allowlists.
3. 2: isang gateway o portal ay nakaharap sa internet, ngunit ang mga patakaran ay hindi pare-pareho sa mga app, grupo o rehiyon.
4. 3: direktang pagkakalantad ay umiiral (karaniwang mga halimbawa ay ang bukas na RDP, nakalimutang mga patakaran ng NAT, mapagbigay na mga grupo ng seguridad sa cloud).

Praktikal na tala para sa pinaghalong ari-arian:

Ang ibabaw ng exposure ay nalalapat sa RDP, VDI gateways, HTML5 portals at mga console ng remote support. Kung alinman sa mga ito ay isang pampublikong pintuan, ito ay matutuklasan ng mga umaatake.

Pillar 2: Identity surface

Ang identity surface ay kung gaano kadali para sa isang umaatake na maging isang wastong gumagamit. Binibigyang-diin ng Cloudflare pagsasagawa ng password at hindi pinamamahalaang mga kredensyal bilang mga pangunahing salik para sa credential stuffing at brute force sa mga senaryo ng remote access.

Patnubay sa iskor:

• 0: Kinakailangan ang MFA, ang mga pribilehiyadong account ay hiwalay at hindi pinapayagan ang legacy authentication.
• 1: Mayroong MFA ngunit hindi sa lahat ng lugar, may mga eksepsiyon para sa "isang server lamang" o "isang vendor lamang".
• 2: ang mga password ang pangunahing kontrol para sa ilang mga landas ng remote desktop o umiiral na mga ibinahaging pagkakakilanlan ng admin.
• 3: ang pag-login na nakaharap sa internet ay umaasa lamang sa mga password, o ang mga lokal na account ay malawakang ginagamit sa mga server.

Praktikal na tala:

Ang pagkakakilanlan ang karaniwang unang nabibigo sa seguridad ng remote desktop. Hindi kailangan ng mga umaatake ng exploit kung madali ang pagpapatunay.

Pillar 3: Pindutan ng Awtorisasyon

Ang ibabaw ng awtorisasyon ay kung ano ang pinapayagan ng isang wastong gumagamit na maabot, at kailan. Maraming kapaligiran ang nakatuon sa kung sino ang maaaring mag-log in, ngunit hindi pinapansin kung sino ang maaaring mag-log in sa ano, mula saan, sa loob ng aling oras.

Patnubay sa iskor:

• 0: ang access na may pinakamababang pribilehiyo ay ipinatutupad gamit ang mga tiyak na grupo bawat app o desktop, kasama ang hiwalay na mga landas ng admin.
• 1: may mga grupo, ngunit malawak ang access dahil mas simple ito sa operasyon.
• 2: maaaring maabot ng mga gumagamit ang masyadong maraming server o desktop; ang mga paghihigpit sa oras at mga paghihigpit sa pinagmulan ay hindi pare-pareho.
• 3: anumang na-authenticate na gumagamit ay maaaring maabot ang mga pangunahing sistema, o ang mga admin ay maaaring RDP saanman mula sa mga unmanaged na endpoint.

Praktikal na tala:

Ang awtorisasyon ay isa ring haligi na pinakamahusay na sumusuporta sa isang halo ng mid-market. Kapag ang Windows, macOS, mga kontratista at mga third-party na vendor ay lahat ay nangangailangan ng access, ang granular na awtorisasyon ang kontrol na pumipigil sa isang wastong pag-login na maging access sa buong estate.

Pillar 4: Sesyon at endpoint na ibabaw

Ang session surface ay kung ano ang magagawa ng isang remote session kapag ito ay nagsimula. Endpoint surface kung ang nakakonektang aparato ay sapat na pinagkakatiwalaan para sa ibinigay na pag-access.

Patnubay sa iskor:

• 0: ang pribilehiyadong pag-access ay nangangailangan ng pinatibay na mga workstation ng admin o mga jump host; ang mga tampok ng mataas na panganib na sesyon ay nililimitahan kung kinakailangan.
• 1: nasa session controls ngunit hindi nakaayon sa sensitivity ng data.
• 2: ang mga endpoint ay isang halo ng pinamamahalaang at hindi pinamamahalaang may parehong kakayahan sa sesyon.
• 3: pinapayagan ang mataas na pribilehiyong remote desktop access mula sa anumang aparato na may minimal na mga paghihigpit.

Praktikal na tala:

Ang haliging ito ay partikular na mahalaga para sa access na batay sa browser. Ang mga HTML5 portal ay nag-aalis ng hadlang sa OS at pinadali ang onboarding, ngunit pinadali din nito ang pagbibigay ng access nang malawakan. Ang tanong sa patakaran ay nagiging "aling mga gumagamit ang nakakakuha ng access sa browser sa aling mga mapagkukunan".

Pillar 5: Pindutin ang operasyon

Ang operasyon ng ibabaw ay ang postura ng pagpapanatili na tumutukoy kung gaano katagal nananatili ang mga kahinaan. Ito ay hindi engineering ng pagtuklas. Ito ay realidad ng pag-iwas: kung mabagal ang pag-patch at pag-drift ng configuration, bumabalik ang exposure.

Patnubay sa iskor:

• 0: ang mga bahagi ng remote access ay mabilis na na-patch; ang configuration ay naka-version; ang mga pagsusuri sa access ay nagaganap sa takdang oras.
• 1: ang pag-patch ay mabuti para sa mga server ngunit mahina para sa mga gateway, plugin o mga serbisyong sumusuporta.
• 2: nasa drift; nag-iipon ang mga pagbubukod; nananatili ang mga legacy endpoint.
• 3: hindi malinaw ang pagmamay-ari, at ang mga pagbabago sa remote access ay hindi nasusubaybayan mula simula hanggang wakas.

Praktikal na tala:

Ang operasyon na ibabaw ay kung saan ang kumplikadong mid-market ay pinaka-nagpapakita. Maliban kung maayos na pinamamahalaan, ang maraming koponan at maraming mga tool ay lumilikha ng mga puwang na maaaring maingat na samantalahin ng mga umaatake.

Paano Ka Magsasagawa Mula sa Pagkuha ng Marka Patungo sa Proteksiyon na Aksyon?

Ang iskor ay kapaki-pakinabang lamang kung ito ay nagbabago sa susunod na gagawin. Gamitin ang kabuuan upang pumili ng isang potensyal na senaryo para sa pagbabago. Tandaan, ang layunin ay bawasan ang pagkakalantad upang mabawasan ang panganib.

• 0–4 (Mababa): i-validate ang paglihis, higpitan ang natitirang mahina na haligi, at ipatupad ang pagkakapare-pareho sa mga tool.
• 5–9 (Katamtaman): unahin ang exposure at pagkakakilanlan muna, pagkatapos ay higpitan ang awtorisasyon.
• 10–15 (Mataas): alisin ang direktang pagkakalantad agad, magdagdag ng malakas na pagpapatunay, pagkatapos ay masigasig na paliitin ang saklaw ng pag-access.

Senaryo 1: IT admin RDP plus end-user VDI

Isang karaniwang pattern ay "ang mga admin ay gumagamit ng RDP, ang mga gumagamit ay gumagamit ng VDI." Ang landas ng atake ay karaniwang sa pamamagitan ng pinakamahina na pagkakakilanlan o ang pinaka-exposed na landas ng admin, hindi sa pamamagitan ng produkto ng VDI mismo.

Mga prayoridad na pag-aayos:

1. Bawasan ang exposure para sa mga admin path muna, kahit na ang access ng end-user ay mananatiling pareho.
2. Ipapatupad ang paghihiwalay ng mga pribilehiyadong account at MFA palagian.
3. Limitahan ang mga host na tumatanggap ng mga interactive logon ng admin.

Paki-tandaan:

Ang senaryong ito ay nakikinabang mula sa pagtrato sa admin access bilang isang hiwalay na produkto na may hiwalay na patakaran, kahit na ang parehong platform ay nagdadala ng pareho.

Senaryo 2: Mga Kontraktor at BYOD sa pamamagitan ng HTML5

Ang pag-access na batay sa browser ay isang kapaki-pakinabang na tulay sa mga halo-halong kapaligiran ng OS. Ang panganib ay ang "madaling access" ay nagiging "malawak na access."

Mga prayoridad na pag-aayos:

• Gamitin ang HTML5 portal bilang isang kontroladong pintuan, hindi isang pangkalahatang gateway.
• Mag-publish ng mga tiyak na aplikasyon para sa mga kontratista sa halip na buong desktop kapag posible.
• Gumamit ng mga limitasyon sa oras at batay sa grupo na pagtatalaga upang ang pag-access ng kontratista ay awtomatikong magtapos kapag ang bintana ay nagsara.

Paki-tandaan:

TSplus Remote Access ay naglalarawan ng isang modelo ng HTML5 client kung saan ang mga gumagamit ay nag-log in sa pamamagitan ng isang nako-customize na web portal at nag-aaccess ng isang buong desktop o mga na-publish na aplikasyon sa loob ng browser. Inirerekomenda namin ang single sign-on at multi-factor authentication upang makatulong sa mahigpit na seguridad ng proseso ng pag-log in na batay sa browser.

Senaryo 3: Mga tool sa remote support sa parehong estate

Madalas na hindi napapansin ang mga tool sa remote support dahil ito ay "para sa helpdesk," hindi "para sa produksyon." Wala nang pakialam ang mga umaatake. Kung ang tool sa suporta ay makakalikha ng unattended access o makakapagtaas ng pribilehiyo, nagiging bahagi ito ng attack surface ng remote desktop.

Mga prayoridad na pag-aayos:

• Ihiwalay ang mga kakayahan ng helpdesk mula sa mga kakayahan ng admin.
• Limitahan ang hindi pinapansing pag-access sa mga tiyak na grupo at mga aprubadong endpoint.
• I-align ang authentication ng tool ng suporta sa pagkakakilanlan ng enterprise at MFA kung saan posible.

Paki-tandaan:

Bilang isang halimbawa, upang maiwasan ang mga isyu na may kaugnayan sa tulong, ang TSplus Remote Support ay self-hosted, ang mga imbitasyon ay nilikha ng host para sa ahente ng suporta at ang mga login code ay mga set ng digit na isang beses lamang na ginagamit na nagbabago sa bawat pagkakataon. Bukod dito, ang simpleng pagsasara ng app ng host ay ganap na pinutol ang koneksyon.

Saan Pumapasok ang TSplus Remote Access sa “Bawasan ang Panganib” na Pattern?

Seguridad na pinapagana ng software produkto

Sa pagpaplano ng pag-iwas, ang TSplus Remote Access ay umaangkop bilang isang pattern ng pag-publish at paghahatid: maaari nitong i-standardize o i-differentiate kung paano kumokonekta ang mga gumagamit at grupo at kung ano ang maaari nilang maabot pati na rin kung kailan at mula sa aling aparato, kaya ang remote access ay nagiging nakabatay sa patakaran sa halip na ad hoc.

TSplus Advanced Security ay ginawa upang protektahan ang mga application server at walang iniiwang pagkakataon. Mula sa sandaling ito ay na-install, ang mga kilalang mapanlikhang IP ay nahaharang habang ito ay nagsisimulang gumana. Bawat isa sa mga maingat na napiling tampok nito ay nag-aambag sa pag-secure at pinoprotektahan ang iyong mga server at aplikasyon , at samakatuwid bawat desktop.

Mga mode ng koneksyon bilang mga pagpipilian sa patakaran (RDP, RemoteApp, HTML5…)

Kapag ang mga mode ng koneksyon ay itinuturing na "simpleng UX," nawawala ang mga desisyon sa seguridad. Ang TSplus Remote Access ay may tatlong mas kilalang mode ng koneksyon: RDP Client, RemoteApp Client at HTML5 Client, bawat isa ay nagmamapa sa isang iba't ibang karanasan sa paghahatid. Ang aming Quickstart Guide ay nagpapalawak ng listahan ng mga nababaluktot na opsyon na kasama rin ang klasikong Remote Desktop Connection, portable na TSplus RDP client, MS RemoteApp client, kasama ang Windows at HTML5 clients sa pamamagitan ng web portal.

Isang pag-iwas sa tabi:

Maaaring bawasan ng mga mode ng koneksyon ang panganib kapag nakatutulong silang ipatupad ang pagkakapare-pareho.

• Maaaring manatiling panloob ang pag-access ng RDP client para sa mga workflow ng admin habang ginagamit ng mga end user ang mga na-publish na app.
• Binabawasan ng RemoteApp ang "buong exposure ng desktop" para sa mga gumagamit na nangangailangan lamang ng isang aplikasyon.
• Maaaring palitan ng HTML5 ang marupok na mga kinakailangan sa endpoint, na tumutulong upang ipatupad ang isang kontroladong pintuan sa harap sa halip na maraming improvised na pintuan.

TSplus Advanced Security sa “guard RDP” na pag-unlad

Isang risk score ay karaniwang tumutukoy sa parehong pangunahing problema: ingay sa internet, paulit-ulit na pagtatangkang credential, at hindi pare-parehong mga pattern ng pag-access sa mga server. Dito nakaposisyon ang TSplus Advanced Security bilang isang guardrail layer para sa mga remote desktop na kapaligiran, kabilang ang proteksyon na nakatuon sa ransomware at mga tema ng pagpapalakas ng sesyon na inilarawan ng aming produkto, dokumentasyon o mga pahina ng blog.

Sa modelo ng risk score, sinusuportahan ng Advanced Security ang bahagi ng “bawasan ang posibilidad” ng pag-iwas:

• Pigilan ang mga pagtatangkang abusuhin ang kredensyal upang hindi manatiling isang patuloy na isyu ang paghuhula ng password.
• Limitahan ang mga landas ng pag-access gamit ang mga patakaran sa IP at heograpiya kapag hindi maiiwasan ang isang pampublikong pintuan.
• Magdagdag ng mga kontrol na nakatuon sa proteksyon na nagpapababa sa posibilidad na ang isang solong pag-login ay maging epekto ng ransomware.

Konklusyon: Sapat ba ang Pag-iwas?

Ang pag-rate ng panganib ay nagpapababa ng posibilidad ng kompromiso. Hindi ito nagbibigay ng garantiya ng kaligtasan, lalo na sa mga pinaghalong ari-arian kung saan ang mga kredensyal ay maaaring nakawin sa pamamagitan ng phishing o infostealers. Iyon ang dahilan kung bakit mahalaga pa rin ang pagpaplano ng pagtuklas at pagtugon. I-rate ang limang haligi, ayusin ang pinakamahina muna, pagkatapos ay muling i-rate hanggang ang remote access ay maging isang kontroladong serbisyo sa halip na isang tambak ng mga pagbubukod.

Sa pangkalahatan, layunin ang pagkakapare-pareho. I-standardize ang mga access path, gumamit ng HTML5 kung saan ito ay nag-aalis ng mga hadlang sa endpoint nang hindi pinalalawak ang saklaw, at ilathala lamang ang kinakailangan ng bawat grupo na may malinaw na mga oras.

Tulad ng nakikita sa itaas, ang Remote Access ay nag-istruktura at naglalathala ng access habang Advanced Security pinoprotektahan ang mga server sa likod ng access na iyon laban sa mga umaatake na nagbibigay ng presyon sa perimeter. Ang tanong ay hindi kung magkakaroon ng mga umaatake. Sa halip, ito ay "ganoon kahusay ang iyong perimeter na binabantayan?".

Karagdagang pagbabasa at mga aksyon:

Sa pananaw na iyon, para sa mga koponan na nais ang susunod na antas, ang aming gabay sa detection-engineering na nakatuon sa mga pag-atake ng ransomware na pinangunahan ng RDP ay maaaring maging kawili-wili. Itinuturo nito ang mga mataas na signal na pattern at nakatuon sa ano ang gagawin sa unang 30–60 minuto .” Magandang follow-up kapag naipatupad na ang prevention model, maaari rin itong magbigay ng mga ideya upang mapakinabangan ang Advanced Security at iba pang mga setting ng TSplus software para sa seguridad ng iyong imprastruktura.

FAQ:

Maaaring ma-hack ang remote desktop kahit na ang software ay "secure"?

Oo. Karamihan sa mga kompromiso ay nangyayari sa pamamagitan ng mga nakalantad na daan ng pag-access at mahihinang pagkakakilanlan, hindi sa pamamagitan ng isang pagsasamantala sa software. Ang remote desktop ay kadalasang ginagamit na channel pagkatapos makuha ang mga kredensyal.

Ang RDP ba ay likas na hindi ligtas?

Ang RDP ay hindi likas na hindi ligtas, ngunit nagiging mataas ang panganib ang RDP kapag ito ay maaabot sa internet at protektado pangunahin ng mga password. Ang pag-target sa port at mahihinang pagpapatunay ay mga karaniwang dahilan.

Nakakatulong ba ang HTML5 remote desktop portal na bawasan ang panganib ng pag-hack?

Maaari itong mangyari, kung ito ay nagtatag ng sentralisadong pag-access sa likod ng isang solong kontroladong pintuan na may pare-parehong pagpapatotoo at awtorisasyon. Tumataas ang panganib kung ito ay nagpapadali ng malawak na pag-access na walang mahigpit na patakaran.

Ano ang pinakamabilis na paraan upang mabawasan ang panganib ng pag-hack sa remote desktop?

Bawasan ang pagkakalantad muna, pagkatapos ay patatagin ang pagkakakilanlan. Kung ang isang remote desktop path ay maaabot ng publiko at nakabatay sa password, dapat ipalagay na ang kapaligiran ay "sa huli ay nakompromiso".

Paano ko malalaman kung ano ang dapat ayusin muna sa isang halo-halong kapaligiran?

Gumamit ng risk score tulad ng RDRS at ayusin ang pinakamataas na haligi muna. Sa karamihan ng mga kapaligiran, ang Exposure at Identity ang nagdudulot ng pinakamalaking pagbaba ng panganib bawat oras na ginugol.