zdalny dostęp do serwera bez VPN

Zdalny dostęp do serwera bez VPN naraża go na bezpośrednie ataki z internetu.

Na czym polega wystawienie usługi wprost do sieci

Zdalny dostęp bez tunelu VPN oznacza, że usługa administracyjna serwera, najczęściej pulpit zdalny na porcie 3389 albo SSH na porcie 22, nasłuchuje na publicznym adresie IP i jest osiągalna dla każdego komputera w internecie. Bez pośredniej warstwy uwierzytelniającej jedyną barierą pozostaje login i hasło samej usługi. Skanery przeczesujące całą przestrzeń adresową znajdują taki port w ciągu minut od jego otwarcia, więc próby logowania zaczynają się niemal natychmiast, niezależnie od tego, jak mało znana jest firma.

Co daje warstwa pośrednia

Tunel VPN przenosi uwierzytelnianie o poziom wcześniej: żeby w ogóle zobaczyć port usługi, trzeba najpierw zestawić szyfrowane połączenie z bramą, zwykle z użyciem certyfikatu lub klucza oraz drugiego składnika. Skutek jest taki, że próby zgadywania hasła do pulpitu zdalnego nigdy nie docierają do serwera. Podobną rolę pełnią rozwiązania z rodziny dostępu opartego na zaufaniu zerowym, brama pulpitu zdalnego wymagająca uwierzytelnienia na wejściu albo serwer przesiadkowy z dostępem tylko z wybranych adresów. Wspólny mianownik to zawężenie powierzchni ataku do jednej, dobrze pilnowanej usługi zamiast kilku wystawionych wprost.

Ryzyka i pozorne zabezpieczenia

Najgroźniejszy scenariusz to udane zgadnięcie hasła i uruchomienie oprogramowania szyfrującego dane, które zwykle najpierw kasuje kopie zapasowe dostępne z tego samego konta. Drugi to wykorzystanie luki w samej usłudze, bo podatności w protokole pulpitu zdalnego bywały wykorzystywane masowo, zanim administratorzy zdążyli załatać systemy. Trzeci, częsty w małych firmach, to konto serwisowe ze słabym hasłem i włączonym zapamiętywaniem sesji. Pozornym zabezpieczeniem jest przeniesienie usługi na nietypowy numer portu, bo skanery i tak sprawdzają cały zakres, oraz poleganie wyłącznie na blokadzie konta po kilku błędnych próbach, którą atakujący obchodzi, próbując jednego popularnego hasła do wielu kont naraz. Warto pamiętać, że incydent z danymi osobowymi uruchamia obowiązek zgłoszenia do organu nadzorczego w ciągu siedemdziesięciu dwóch godzin.

Jak porządkujemy dostęp w małych firmach

W warszawskich biurach spotykamy najczęściej serwer NAS albo komputer z bazą programu handlowego wystawiony wprost do internetu, bo tak było najszybciej. Zamykamy taki dostęp, stawiamy tunel VPN, wprowadzamy uwierzytelnianie dwuskładnikowe, oddzielamy kopie zapasowe od konta administratora i sprawdzamy, czy na sprzęcie nie działa już nic obcego. Obsługujemy firmy i osoby prywatne o każdej porze, także w weekendy.