Sikre metoder for fjerntilgang

Ekstern tilgang gjør det mulig for administratorer og brukere å koble til og administrere systemer på avstand. Dette er avgjørende for IT-arbeid og fjernarbeid, men er også et attraktivt mål, siden enhver inngang til nettverket kan angripes.

Målet er å muliggjøre praktisk fjernarbeid og samtidig sikre disse tilgangsmetodene mot uvedkommende.

SSH (Secure Shell) er standarden for sikker fjernadministrasjon av servere og nettverksenheter over en kryptert kanal ved hjelp av TCP-port 22. Den erstattet den gamle og farlige Telnet.

SSH krypterer alt, inkludert påloggingen, slik at påloggingsinformasjon og kommandoer ikke kan avlyttes. Det kan også bruke nøkkelbasert autentisering, som er sikrere og mer praktisk enn passord.

Telnet (port 23) gir ekstern tilgang til kommandolinjen, men sender alt, inkludert passord, i klartekst. Alle som avlytter trafikken, kan lese alt.

Telnet bør aldri brukes over nettverk man ikke stoler på. Å kjenne igjen usikre eldre verktøy og erstatte dem med krypterte alternativer som SSH er et grunnleggende sikkerhetsansvar for enhver tekniker.

For grafisk tilgang gir RDP (Remote Desktop Protocol, port 3389) et komplett skrivebord på en Windows-maskin eksternt. VNC (Virtual Network Computing) er et plattformuavhengig alternativ.

Disse løsningene er kraftige, men utsettes for mange angrep. Det er risikabelt å eksponere RDP direkte mot internett. Det bør ligge bak en VPN eller en gateway, med sterk autentisering og kontosperring for å motstå brute-force-angrep.

Administrasjon utenfor produksjonsnettverket gir en separat vei til å administrere enheter selv når hovednettverket er nede, ofte via en dedikert konsollport, et administrasjonsgrensesnitt eller et mobilmodem.

Dette er avgjørende for å gjenopprette et eksternt sted etter et driftsavbrudd: Hvis produksjonsnettverket svikter, gjør kanalen utenfor produksjonsnettverket det fortsatt mulig for en administrator å få tilgang til utstyret for å diagnostisere og løse problemet.

En hoppserver (eller bastionvert) er en sikret og overvåket gateway-server som administratorer kobler seg til først, før de går videre derfra til interne systemer.

Ved å samle all ekstern administrasjon gjennom ett kontrollert og loggført knutepunkt reduserer du antallet innganger, forenkler overvåkingen og hindrer at interne enheter eksponeres direkte for eksterne tilkoblinger.

Alle metoder for ekstern tilgang bør kreve MFA (Multi-Factor Authentication). Ekstern tilgang utsettes for mange angrep med stjålne og gjet­tede passord, så en ekstra faktor er avgjørende.

Med MFA gir ikke et lekket passord tilgang alene, fordi angriperen fortsatt mangler den andre bekreftelsen. For ekstern tilgang fra internett regnes MFA nå som nødvendig, ikke valgfritt.

En god praksis er å kreve en VPN først, og deretter bare tillate ekstern administrasjon fra innsiden av denne tunnelen. Da eksponeres ikke verktøy som RDP og SSH direkte mot internett.

Ved å legge metoder for ekstern tilgang bak en VPN oppnår man dybdeforsvar: En angriper må først bryte gjennom VPN-en før vedkommende i det hele tatt kan forsøke å nå administrasjonstjenestene.

Praktiske tiltak for å styrke sikkerheten omfatter å endre standardporter med forsiktighet, deaktivere ubrukte tjenester, håndheve minste privilegium, aktivere kontosperring, holde programvaren oppdatert, begrense hvilke kilde-IP-adresser som kan koble til, og loggføre all tilgang.

Hvert tiltak reduserer angrepsflaten. Til sammen gjør de ekstern tilgang fra en risiko til en kontrollert og overvåket funksjon som er vanskelig for angripere å misbruke.

Du bør alltid loggføre og overvåke aktivitet knyttet til ekstern tilgang. Se etter pålogginger på uvanlige tidspunkter, fra uvanlige steder eller gjentatte mislykkede forsøk som kan tyde på brute-force-forsøk.

Varsling på slike mønstre gjør at du kan oppdage et angrep tidlig. Siden ekstern tilgang er en av de viktigste angrepsvektorene, er oversikt over hvem som kobler til, og hvordan, et av de mest verdifulle sikkerhetstiltakene du har.

Sikker ekstern tilgang bruker SSH (ikke Telnet) til administrasjon via kommandolinjen og RDP/VNC for grafisk tilgang, helst bak en VPN og en hoppserver. Administrasjon utenfor produksjonsnettverket sikrer tilgang under driftsavbrudd. Beskytt alt med MFA, minste privilegium, kildebegrensninger, sikringstiltak og grundig loggføring.

Sikker ekstern tilgang er basert på SSH (som erstatter Telnet i klartekst) og RDP/VNC for grafiske økter, helst bak en VPN og en hoppserver. Administrasjon utenfor produksjonsnettverket fungerer under driftsavbrudd. Beskytt all tilgang med MFA, minste privilegium, kildebegrensninger, sikringstiltak og loggføring.