Удаленный доступ безопаснее делать через специальный шлюз, а не напрямую к рабочему столу

Необходимость организовывать дистанционную работу сотрудников в условиях пандемии привело к росту числа сетевых узлов, доступных по протоколу удаленного рабочего стола (RDP).

Keep (CVE-2019-0708), которая позволяет взломщику получить полный контроль над компьютером на базе Windows.

Для атаки достаточно отправить специальный RDP-запрос к уязвимым службам удаленного рабочего стола (RDS).

Аутентификации при этом не требуется.

В случае успеха злоумышленник сможет устанавливать и удалять программы в скомпрометированной системе, создавать учетные записи с максимальным уровнем доступа, читать и редактировать конфиденциальную информацию.

Уязвимости подвержены операционные системы Windows 7, Windows Server 2008 и Windows Server 2008 R2.Независимо от выбранного типа удаленного подключения специалисты рекомендуют обеспечивать удаленный доступ через специальный шлюз.

Для RDP-подключений это Remote Desktop Gateway (RDG), для VPN – VPN Gateway.

Удаленное подключение напрямую к рабочему месту использовать не рекомендуется.

В Positive Technologies предупреждают, что открытие доступа к отдельным подсетям сразу всем пользователям VPN существенно снижает защищенность организации и не только дает широкие возможности внешнему атакующему, но и повышает риск атаки со стороны инсайдера.

Поэтому ИТ-специалистам необходимо сохранять сегментацию сетей и выделять необходимое число VPN-пулов.

Эксперты отдельно подчеркивают угрозу появления каналов удаленного доступа к критически важным для бизнеса сетям и системам (например, технологическим сетям на производстве и в энергетике, сетям управления банкоматами или карточным процессингом в банках, серверам «1C», конфиденциального документооборота).

Службам ИБ рекомендуется строго контролировать попытки администраторов упростить себе задачи управления и конфигурации для таких сегментов с помощью отдельного незащищенного подключения.

Обеспечить контроль можно с помощью постоянного мониторинга периметра сети организации, особенно ключевых ее сегментов.

Viewer) и отслеживать случаи их нелегального применения (например, по артефактам в трафике с помощью NTA-решений).

Также в условиях изменения традиционной модели поведения сотрудников организации (массового удаленного доступа) необходимо перенастроить и правила корреляций в используемых системах мониторинга и защиты от кибератак.

Помимо этого, Positive Technologies рекомендует обратить внимание на критически опасную уязвимость (CVE-2019-19781) в программном обеспечении Citrix, которое используется в корпоративных сетях, в том числе для организации терминального доступа сотрудников к внутренним приложениям компании с любого устройства через интернет.

В случае эксплуатации этой уязвимости злоумышленник получает прямой доступ в локальную сеть компании из интернета.

Для проведения такой атаки не требуется доступ к каким-либо учетным записям, а значит, выполнить ее может любой внешний нарушитель.

Следует устранить и уязвимость в PHP 7 (CVE-2019-11043), которая, по оценке Positive Technologies, вошла в список наиболее опасных по итогам 2019 г.

Факт наличия перечисленных уязвимостей в инфраструктуре компании может быть оперативно выявлен посредством сканеров уязвимостей.

Для устранения уязвимостей во всех случаях необходимо, по меньшей мере, выполнить соответствующие рекомендации производителя уязвимой версии ПО или оборудования.