Ataki na protokół RDP – geneza i zabezpieczenia

Protokół Remote Desktop Protocol jest bardzo chętnie wykorzystywany przed administratorów i dyrektorów IT, a także pracowników. Służy on do uzyskania zdalnego połączenia z maszyną np. komputerem stacjonarnym lub serwerem. Dzięki RDP wystarczy odpowiednia konfiguracja, dostęp do sieci i dowolne urządzenia, dzięki któremu możemy uzyskać zdalny dostęp do innej maszyny. Rozwiazanie to jest bardzo często wykorzystywane do monitorowania i zmiany konfiguracji serwerów, a także wykorzystywania wysoko wydajnych stacji roboczych znajdujących się w biurach organizacji.

RDP wykorzystywany jest głównie przez zaawansowanych użytkowników oraz działy IT. Osoby te są potencjalnym celem ataków cybernetycznych skierowanych na zasoby organizacji, więc nie powinno dziwić, że cyberprzestępcy prowadzą aktywne ataki na protokół RDP.

Remote Desktop Protocol – najważniejsze informacje

RDP – Remote Desktop Protocol (Protokół Zdalnego Dostępu) to oprogramowanie, którego zadaniem jest udostępnienie uprawnionym osobom do korzystania z zasobów danego urządzenia (jego systemu operacyjnego, zasobów i oprogramowania) z dowolnej lokalizacji. Na rynku znajdziemy wiele typów oprogramowania RDP, które różnią się nieco funkcjami i stopniami zabezpieczeń, ale służą do tej samej funkcji – udostępniają użytkownikom możliwość pracy na maszynie bez fizycznego dostępu do niej. Wszelkie operacje polegające na obsłudze komputera z wykorzystaniem protokołu RDP odbywają się za pośrednictwem sieci.

Do korzystania z protokołu RDP potrzebny jest serwer RDP oraz klient RDP. Serwerem staje się urządzenia, do którego uzyskujemy zdalny dostęp poprzez sieć. Klient to maszyna, z której łączymy się z uprzednio przygotowanym serwerem.

Protokół RDP zyskał na swojej popularności w trakcie trwania pandemii COVID-19, która ograniczyła większości pracowników dostęp do biura. Wtedy też cyberprzestępcy zwiększyli intensywność swoich ataków na protokoły RDP w celu przejęcia dostępu do sterowania infrastrukturą IT organizacji.

Dlaczego RDP stanowi cel ataków cybernetycznych?

Remote Desktop Protocol pozwala zapewnić zdalny dostęp do urządzenia z dowolnego miejsca na ziemi, więc rozwiązanie to jest niezwykle przydatne dla cyberprzestępców. Udany atak na urządzenie z aktywnym protokołem RDP pozwala przejąć dostęp do sterowania tymże urządzeniem. Po przejęciu dostępu istnieje możliwość kradzieży danych wrażliwych lub zaimplementowania złośliwego oprogramowania na stacji końcowej i rozprzestrzenienie go na inne elementy infrastruktury IT organizacji.

Idea działania protokołu Remote Desktop Protocol idealnie wpisuje się w schemat działania cyberprzestępców, których zdaniem jest uzyskanie niezauważonego dostępu do infrastruktury IT.

Jak działają ataki na protokół RDP?

Ataki na Remote Desktop Protocol zwykle identyfikowane są jako naruszenia danych. Niepokojący jest fakt, że rośnie ich liczba. Remote Desktop Protocol wykorzystywany jest jako narzędzie do infiltracji, które ułatwia cyberprzestępcom kontrolę nad docelowym urządzeniem znajdującym się w sieci wewnętrznej danej organizacji.

Dostęp do protokołu RDP jest bardzo często uzyskiwany poprzez nieodpowiednie zabezpieczenie sieci. W przypadku, gdy dana osoba korzysta z połączenia RDP z niezabezpieczonej sieci takiej jak hotspot publiczny lub sieć z łatwym do złamania hasłem, istnieje możliwość przejęcia procesu przez cyberprzestępców, którzy mogą wykorzystać protokół RDP do własnych celów. Należy wiedzieć również, że starsze oprogramowanie typu RDP, które nie jest na bieżąco aktualizowane o najnowsze łatki zabezpieczeń znacznie łatwiej złamać, ze względu na podatności na znane i zidentyfikowane przez cyberprzestępców luki.

W sieci dark web istnieje cały rynek, który zajmuje się sprzedażą dostępów do protokołów RDP. Bardzo często cyberprzestępcy łamiącą zabezpieczenia RDP w celu utworzenia sobie ścieżki pozwalającej na dostęp i sprzedają ją innym cyberprzestępcom, których celem jest przeniknięcie wewnątrz infrastruktury IT danej organizacji.

Konsekwencje udanego ataku na protokół RDP

Po uzyskaniu dostępu do serwera RDP cyberprzestępcy najczęściej skupiają się na jak najszybszej instalacji złośliwego oprogramowania na urządzeniu w organizacji.

W przypadku ataków na protokół Remote Desktop Protocol najcześciej wykorzystywane jest złośliwe oprogramowanie typu ransomware. Służy ono do zaszyfrowania plików znajdujących się na komputerze. W konsekwencji organizacja nie może skorzystać ze swoich zasobów, a cyberprzestępcy występują z żądaniem zapłacenia okupu w celu otrzymania klucza deszyfrującego pliki.

Po przeprowadzeniu udanego ataku z wykorzystaniem protokołu RDP na krytyczne urządzenie w infrastrukturze IT organizacji może okazać się, że pracownicy firmy nie bedą mogli uzyskać dostępu do aplikacji, usług i plików, co negatywnie wpłynie na zachowanie ciągłości działania biznesu.

Innym zastosowaniem ataków z wykorzystaniem protokołu RDP jest rozpowszechnienie w sieci wewnętrznej organizacji złośliwego oprogramowanie szpiegowskiego, które pozwoli na wykradzenie poufnych danych, danych do logowania lub informacji o kontrahentach.

Ochrona przed atakami na protokół RDP

Osoby korzystające z protokołu RDP mogą wdrożyć kilka czynności, które znacząco ogranicza ryzyko poprawnego przeprowadzenia ataku.

Podstawą jest upewnienie się, że dostęp do maszyny z wykorzystaniem protokołu RDP odbywa się poprzez zabezpieczoną sieć np. poprzez połączenie VPN oraz aktualne oprogramowanie z najnowszymi łatkami zabezpieczeń.

W kolejnym kroku warto pamiętać o dezaktywacji połączenia RDP w momencie, gdy nie będzie ono wykorzystywane. Takie działanie obniża ryzyko ataku. Należy również wprowadzić kontrolę dostępu i nadać uprawnienia jedynie osobom, które muszą korzystać z protokołu RDP w organizacji.

Korzystanie z protokołu RDP można powiązać również z aplikacją do uwierzytelniania wieloskładnikowego. Dodatkowa warstwa pozwala na zwiększenie poziomu bezpieczeństwa podczas korzystania z pulpitu zdalnego.

Zgłoś naruszenie/Błąd