Советы от Киберполиции Украины: Как защитить удаленный доступ к серверу?

Департамент киберполиции Украины подготовил новый перечень рекомендаций, который поможет украинским пользователям противостоять злонамеренным действиям хакеров.
В этот раз речь пойдет о том, как защитить удаленный доступ к серверу и не дать хакерам возможность похитить важную информацию.
В частности, в Департаменте киберполиции Украины отметили, что в последнее время на иностранных хакерских форумах участились случаи распространения программного обеспечения сканирования открытого доступа к компьютерам по протоколам RDP и SSH. В результате в рамках международного сотрудничества с иностранными коллегами была получена информация о 10 000 фактов компрометации учетных записей на территории Украины, а частными украинскими IT-компаниями передана информация о 4000 скомпрометированных данных.
По мнению экспертов, наибольшей проблемой безопасности является использование слабых словарных паролей. Пользователи, применяя слабые пароли, рассчитывают на скорость и простоту их ввода, а не безопасность. Короткий пароль, состоящий только из букв, без использования цифр или спецсимволов можно подобрать за несколько минут. Эффективность атаки перебора по стандартным названиями учетных записей — user, admin, buhgalter и паролей вроде password, pass123, qwerty, 1111111 по статистике составляет около 53%.
Получив доступ к серверу предприятия, злоумышленник может:

• Узнать информацию коммерческого характера;
• Скопировать базы данных клиентов;
• Перехватить доступ к системы клиент-банк;
• Установить криптолокер для дальнейшего вымогательства денежных средств;
• Заразить сеть предприятия майнером криптовалют;
• Установить кейлоггер для дальнейшего тайного снятия информации.

Таким образом, чтобы обезопасить сервер от неавторизованного удаленного доступа, стоит использовать следующие рекомендации:

1. Запретить использовать простые пароли. Также полезно ограничить пользователей в праве на смену пароля. Нужно задавать сложные комбинации с использованием символов верхнего и нижнего регистров, цифр и спецсимволов. Не лишним будет запретить подключение для учетных записей с пустым паролем.
2. Дополнительную защиту обеспечит виртуальная частная сеть (VPN). В VPN-соединении безопасность подключений происходит за счет шифрования и туннелирования. Данные шифруются на каждой стороне, перед их передачей сетевые адреса на конечных точках могут быть замаскированы.
3. Необходимо отключить возможность входа на виртуальную машину по протоколу SSH под пользователем root. Если системному администратору понадобятся возможности суперпользователя, то он сможет повысить привилегии под своей учетной записью.
4. Нужно вносить в черный список все ip-адреса, которые получили отрицательный ответ от сервера о попытке авторизации, и изменить стандартные порты для подключения.
5. Настроить lockout policy. Стандартные настройки Windows-сервера не защищены от брут-форс атак. Любой пользователь может создать множество rdp-соединений, используя различные логины / пароли. Именно для этого необходимо настроить «lockout» — временную блокировку пользователей после неудачных попыток авторизации. Оптимальным вариантом будет задать максимум 5 попыток за 5 мин.
6. Не хранить пароли в открытом доступе на технических средствах, так как это не обеспечивает необходимую безопасность. Менеджеры паролей имеют криптостойкие алгоритмы, поэтому возможность компрометации данных при их использовании резко снижается.
7. Настроить Network Level Authentication для проверки компьютера пользователя при подключении к серверу, который посылал свои учетные данные при создании сеанса.
8. Изменить настройки портов по умолчанию. Подавляющее большинство атак перебора осуществляется с помощью автоматических скриптов, которые используют стандартные порты для SSH — 22, а для RDP — 3389. После смены порта количество попыток несанкционированного доступа уменьшится автоматически.
9. Создать сертификат безопасности для подключения к удаленному серверу — это обеспечит безопасность и удобство подключения.

Напомним, что ранее Департамент Киберполиции Украины подготовил перечень рекомендаций о том, как защитить домашнюю Wi-Fi сеть от злоумышленников.