Bezpieczne metody zdalnego dostępu

Zdalny dostęp umożliwia administratorom i użytkownikom łączenie się z systemami oraz zarządzanie nimi na odległość. Jest niezbędny w pracy IT i pracy zdalnej, ale stanowi również atrakcyjny cel ataków, ponieważ każde wejście do sieci może zostać zaatakowane.

Celem jest umożliwienie wygodnej pracy zdalnej przy jednoczesnym zabezpieczeniu metod dostępu przed intruzami.

SSH (Secure Shell) to standard bezpiecznego zdalnego zarządzania serwerami i urządzeniami sieciowymi za pośrednictwem szyfrowanego kanału, z użyciem portu TCP 22. Zastąpił stary i niebezpieczny protokół Telnet.

SSH szyfruje wszystko, w tym logowanie, dzięki czemu dane uwierzytelniające i polecenia nie mogą zostać przechwycone. Może również używać uwierzytelniania opartego na kluczach, które jest bezpieczniejsze i wygodniejsze niż hasła.

Telnet (port 23) zapewnia zdalny dostęp do wiersza poleceń, ale przesyła wszystko, w tym hasła, jawnym tekstem. Każdy, kto przechwyci ruch, może odczytać całą jego zawartość.

Protokołu Telnet nie należy nigdy używać w niezaufanych sieciach. Rozpoznawanie niezabezpieczonych starszych narzędzi i zastępowanie ich szyfrowanymi odpowiednikami, takimi jak SSH, to podstawowy obowiązek związany z bezpieczeństwem każdego technika.

W przypadku dostępu graficznego RDP (Remote Desktop Protocol, port 3389) zapewnia zdalny dostęp do pełnego pulpitu komputera z systemem Windows. VNC (Virtual Network Computing) jest alternatywą działającą na różnych platformach.

Protokoły te są bardzo użyteczne, ale stanowią częsty cel ataków. Bezpośrednie wystawienie RDP do internetu jest ryzykowne; powinien on działać za pośrednictwem VPN lub bramy, z silnym uwierzytelnianiem i blokadą konta chroniącą przed atakami siłowymi.

Zarządzanie poza pasmem zapewnia oddzielną ścieżkę zarządzania urządzeniami nawet wtedy, gdy główna sieć nie działa, często za pośrednictwem dedykowanego portu konsoli, interfejsu zarządzania lub modemu komórkowego.

Jest to niezbędne do przywrócenia działania zdalnej lokalizacji po awarii: jeśli sieć produkcyjna przestanie działać, kanał poza pasmem nadal pozwala administratorowi uzyskać dostęp do urządzeń, zdiagnozować problem i go naprawić.

Serwer przesiadkowy (lub serwer bastionowy) to wzmocniony i monitorowany serwer bramy, z którym administratorzy łączą się w pierwszej kolejności, a następnie przechodzą z niego do systemów wewnętrznych.

Przepuszczanie całego zdalnego zarządzania przez jeden kontrolowany i rejestrowany punkt dostępu zmniejsza liczbę możliwych dróg wejścia, upraszcza monitorowanie i chroni urządzenia wewnętrzne przed bezpośrednimi połączeniami zdalnymi.

Każda metoda zdalnego dostępu powinna wymagać MFA (uwierzytelniania wieloskładnikowego). Zdalny dostęp jest często atakowany przy użyciu skradzionych i odgadniętych haseł, dlatego drugi składnik ma kluczowe znaczenie.

Dzięki MFA nawet ujawnione hasło nie zapewnia dostępu, ponieważ atakujący nadal nie ma drugiego dowodu tożsamości. W przypadku zdalnego dostępu dostępnego z internetu MFA jest obecnie uznawane za niezbędne, a nie opcjonalne.

Dobrym rozwiązaniem jest wymaganie najpierw połączenia z VPN, a następnie zezwalanie na zdalne zarządzanie wyłącznie z wnętrza tego tunelu. Dzięki temu narzędzia takie jak RDP i SSH nigdy nie są bezpośrednio wystawione do internetu.

Umieszczenie metod zdalnego dostępu za VPN zapewnia ochronę warstwową: atakujący musi najpierw pokonać zabezpieczenia VPN, zanim w ogóle będzie mógł spróbować uzyskać dostęp do usług zarządzania.

Praktyczne działania wzmacniające zabezpieczenia obejmują: ostrożną zmianę domyślnych portów, wyłączanie nieużywanych usług, stosowanie zasady najmniejszych uprawnień, włączanie blokady konta, aktualizowanie oprogramowania, ograniczanie adresów IP źródłowych, z których można się łączyć, oraz rejestrowanie całego dostępu.

Każde z tych działań zmniejsza powierzchnię ataku. Razem przekształcają zdalny dostęp z obciążenia w kontrolowaną i monitorowaną funkcję, którą atakującym trudno wykorzystać.

Zawsze rejestruj i monitoruj aktywność związaną ze zdalnym dostępem. Zwracaj uwagę na logowania o nietypowych porach, z nietypowych lokalizacji lub na powtarzające się nieudane próby, które mogą wskazywać na ataki siłowe.

Alerty dotyczące tych wzorców pozwalają wcześnie wykryć naruszenie bezpieczeństwa. Ponieważ zdalny dostęp jest jednym z głównych wektorów ataku, widoczność tego, kto i w jaki sposób się łączy, jest jednym z najcenniejszych zabezpieczeń.

Bezpieczny zdalny dostęp wykorzystuje SSH (a nie Telnet) do zarządzania z poziomu wiersza poleceń oraz RDP/VNC do dostępu graficznego, najlepiej za pośrednictwem VPN i serwera przesiadkowego. Zarządzanie poza pasmem zapewnia dostęp podczas awarii. Wszystkie elementy należy chronić za pomocą MFA, zasady najmniejszych uprawnień, ograniczeń źródeł, wzmacniania zabezpieczeń i dokładnego rejestrowania.

Sprawdź swoją wiedzę na temat zdalnego dostępu.

Bezpieczny zdalny dostęp opiera się na protokole SSH (zastępującym przesyłany jawnym tekstem protokół Telnet) oraz RDP/VNC w przypadku sesji graficznych, najlepiej za pośrednictwem VPN i serwera przesiadkowego. Zarządzanie poza pasmem działa podczas awarii. Cały dostęp należy chronić za pomocą MFA, zasady najmniejszych uprawnień, ograniczeń źródeł, wzmacniania zabezpieczeń i rejestrowania.