पेंटेस्टर नोट: संगरोध, दूरस्थ कर्मचारी और इसके साथ कैसे रहना है

सार्वभौमिक संगरोध और इस कदम की पृष्ठभूमि udalenku के लिए हमारी सहयोगियों में से कुछ सख्ती करने के लिए शुरू के खिलाफ फेंक ख़राब है - जैसे, चारों ओर हैक की गई कंपनियों में से एक समूह है। मैं इस बारे में बात करना चाहता हूं कि कम समय में क्या किया जा सकता है, दरार करने के लिए आप बहुत अधिक कठिन थे।

मुझे आशा है कि मैं गोपनीयता का पर्दा नहीं खोलूंगा कि आरडीपी बाहर खराब है, भले ही यह आरडीपी डीएमजेड नेटवर्क में एक हॉप सर्वर की ओर जाता है - इस मामले में, हमलावर हॉपर सर्वर के अन्य उपयोगकर्ताओं पर हमला कर सकते हैं और डीएमजेड के अंदर हमला शुरू कर सकते हैं। हमारे अनुभव में, डीएमजेड से कॉर्पोरेट नेटवर्क में बाहर निकलना इतना मुश्किल नहीं है - बस एक स्थानीय या डोमेन व्यवस्थापक के लिए पासवर्ड प्राप्त करें (और पासवर्ड अक्सर एक ही उपयोग किए जाते हैं) और आप कॉर्पोरेट नेटवर्क में गहराई से जा सकते हैं।

यहां तक ​​कि अगर आपके पास पूरी तरह से अपडेटेड सर्वर है और आपको लगता है कि आरडीपी के लिए कोई कारनामे नहीं हैं, तब भी कई संभावित अटैक वैक्टर हैं:

1. पासवर्ड चयन (इसके अलावा, हमलावर पासवर्ड का चयन नहीं कर सकते हैं, लेकिन उनके लिए खाते - तथाकथित पासवर्ड छिड़काव)
2. , , , .
3. .
4. RDP .

रिमोट डेस्कटॉप गेटवे (RDG) का उपयोग करने के लिए एक अच्छा समाधान होगा, इसलिए आप RDP को नहीं खोलते हैं। सच है, यह मत भूलो कि वर्ष की शुरुआत में 2 महत्वपूर्ण कमजोरियां पाई गई थीं ( 2020-0609 और CVE-2020-0610 ) और आपको अपने सर्वर को अपडेट करने की आवश्यकता है - हालांकि, यह हमेशा करने योग्य है, और न कि केवल तभी जब कमजोर कमजोरियों को जारी किया जाता है।

एक बेहतर समाधान वीपीएन + आरडीजी का उपयोग करना होगा, साथ ही सभी सेवाओं के लिए 2FA कॉन्फ़िगर करना होगा। इस प्रकार, RDG को बाहरी परिधि को हटाने के साथ समस्या हल हो जाएगी और इसकी पहुंच केवल वीपीएन के माध्यम से होगी, जिससे यह ट्रैक करना आसान हो जाएगा कि कौन RDG से संपर्क कर रहा है। इसके अलावा, 2FA का उपयोग संभव सरल पासवर्ड की समस्या से निपटने में मदद करेगा: एक पासवर्ड उठाकर, लेकिन 2 कारकों के बिना, एक हमलावर अभी भी वीपीएन / आरडीपी से कनेक्ट नहीं कर पाएगा।

वीपीएन सेवा अपडेट के बारे में मत भूलना। दूसरे दिन, सिस्को ने एडवाइजरी में प्रकाशित किया कि उसे CVE-2018-0101 भेद्यता के साथ कई नए हमले वैक्टर मिले। और, हालांकि लेख लिखने के समय अभी तक कोई सार्वजनिक शोषण कोड नहीं है, स्थिति को देखते हुए, यह आपके उपकरणों को अपडेट करने के लायक है।

कुछ लोग रिमोट एक्सेस (उदाहरण के लिए, Citrix और VMware) के लिए VDI सिस्टम का उपयोग करते हैं - इसमें समस्याएं भी हो सकती हैं। पासवर्ड का चयन करने की क्षमता के साथ शुरू करना और डेस्कटॉप / एप्लिकेशन तक पहुंच प्राप्त करना, अप्रकाशित सिस्टम पर हमलों के साथ समाप्त होना और डिफ़ॉल्ट खाते / पासवर्ड स्थापित करना।

यदि कोई हमलावर VDI के अंदर पहुंच प्राप्त करता है, तो एप्लिकेशन मोड से तथाकथित निकास एक हमले के रूप में काम कर सकता है: जब कीबोर्ड शॉर्टकट गलत तरीके से कॉन्फ़िगर किए जाते हैं, तो आप ओएस में एप्लिकेशन से बाहर निकल सकते हैं और फिर ओएस और उपयोगकर्ताओं पर हमला करने के लिए कमांड लाइन का उपयोग कर सकते हैं।

न केवल रिमोट एक्सेस सिस्टम, बल्कि अन्य कॉर्पोरेट एप्लिकेशन भी हमला कर सकते हैं। उदाहरण के लिए, कई अब बाहरी परिधि पर ओडब्ल्यूए एप्लिकेशन खोलते हैं, जिसके माध्यम से कर्मचारी मेल प्राप्त कर सकते हैं, कार्यों को ट्रैक करने के लिए जीरा खोल सकते हैं, इन अनुप्रयोगों पर संभावित हमलों के बारे में भूल सकते हैं।

किसी भी वेब एप्लिकेशन पर हमला किया जा सकता है और आगे के हमलों के लिए उपयोग किया जा सकता है। यदि संभव हो, तो आपको उन्हें वीपीएन के माध्यम से एक्सेस देना चाहिए या कम से कम बुनियादी सुरक्षा उपायों को लागू करना चाहिए, जैसे कि पैचिंग, कई पासवर्ड रीसेट / पासवर्ड अनुरोधों को अवरुद्ध करना।

हमलावर इस प्रकार से अनुप्रयोगों पर हमला कर सकते हैं:

1. स्वयं सेवाओं में कमजोरियों को उजागर करें (उदाहरण के लिए, CVA-2019–11581 पिछले साल जीरा में पाया गया था, और पेंटेस्ट परियोजनाओं के दौरान हमें बार-बार कमजोर सर्वर मिला)।
2. पासवर्ड या खाते चुनने की कोशिश करें।
3. इस तथ्य का लाभ उठाएं कि सिस्टम में डिफ़ॉल्ट खाते सक्षम हैं, और उनसे पासवर्ड नहीं बदले गए हैं।

बेशक, कर्मचारी एक कमजोर कड़ी हैं: उन पर फ़िशिंग से हमला किया जा सकता है और फिर संगठन की आंतरिक परिधि में प्रवेश करने के लिए अपने उपकरणों का उपयोग कर सकते हैं। फिर - यदि एंटीवायरस सबसे अधिक काम लैपटॉप पर होने की संभावना है, तो व्यक्तिगत उपकरणों के मामले में ऐसी कोई निश्चितता नहीं है - वे अच्छी तरह से संक्रमित हो सकते हैं।

इन कारणों से, जब लोग घर से काम करते हैं, तो सूचना सुरक्षा के मुद्दों में अपनी साक्षरता बढ़ाने के लिए अतिरिक्त उपाय करना आवश्यक है - पाठ्यक्रम या वेबिनार के माध्यम से अतिरिक्त प्रशिक्षण करें, समाचार पत्र चेतावनी के साथ करें और नए प्रकार के फ़िशिंग के बारे में बात करें।

उदाहरण के लिए, यहां कर्मचारियों के लिए हमारा निर्देश है - कैसे दूर से काम करें और सुरक्षित रहें।