RDP через проброшенный порт или VPN, что опаснее?

Question

[Артур Артур]

Здравствуйте товарищи. Вопрос следующий.
В организации имеется терминальный сервер, доступ к которому нужен постоянно. От клиентов компании сотрудники подключаются и из дома. Надо обезопасить, вопрос следующий, изменять проброшенный RDP порт или настроить OpenVPN через проброшенный порт, и аутентифицировать по сертификатам. Если же VPN, то опасность заражения всякой шляпой становится выше. Подскажите товарищи гуру, как быть.
Спасибо

Answer 1

[Николай Филиппов]

Для защиты от внешних атак на сервер конечно лучше поднять VPN, он станет дополнительной линией обороны. Злоумышленнику придется сначала прорваться через него, и потом уже атаковать сервер. Подразумевается, что через VPN доступен будет сервер и только он, иначе в случае взлома VPN опасности подвергнется вся локальная сеть.
Я так понимаю, у вас стоит задача обезопасить сервер в первую очередь от атаки со стороны пользователей, а при подключении в VPN сервер им станет доступен всеми открытыми на нем портами и запущенными сервисами?
Тогда можно защищать сервер файерволлом. А еще можно дополнительно защитить его "внутренним" шлюзом, и там уже пробросить порт RDP. Таким образом: пользователи сначала подключаются шлюзу по VPN, им становится доступен внутренний шлюз, на котором проброшен RDP порт от сервера.
Вирус-шифровальщик так все равно не победить, пользователь может запустить его непосредственно на терминале. И зашифрует свои файлы. От этого бекапы помогут в первую очередь, на антивирус полностью полагаться в данном случае не стоит.

Comments

[Артур Артур]

Николай Филиппов Правильно ли я понял? берем виртуалку или отдельную машину, цепляем на отдельный порт на роутере, отдаем ей отдельную сеть. Блокируем на роутере весь трафик с этого адреса, кроме проброшенного порта rdp в локальную сеть организации.

Answer 2

[Saboteur]

А почему опасность заражения становится выше?

Пользователи ходят без админ-прав?
Антивирус какой-нибудь стоит, который мелочи будет ловить запуск вредоноса?

Какие еще угрозы?
Если на терминальном сервере не хранить документы, диски на буквы не мапить, то в крайнем случае профайл пользователя почистил, все, пусть заново заходит.

Comments

[Артур Артур]

Сергей Опасность в том, что вся шляпа на пользовательском ПК, может ходить в туннеле. Юзеры ограничены доменными политиками. Например Шифровальщика ты никак не остановишь.

[Saboteur]

Как не остановлю? Юзер ограничен, в систему не внедрится, антивирус файлы ловит, запустить не даст.
Вам 100.000% защита нужна? Так ее никто не обеспечит с такими условиями работы.

А 99% у вас будет при антивирусе на терминале и ограниченных правах пользователей.

Смена порта RDP или VPN вообще никак тут не влияют.

[Артур Артур]

Вы просто не сталкивались с ситуацией когда из под ограниченной учетки запускали шифровальщика. 100 не надо.

[ТыжСисАдмин]

Артур Артур: А вы сталкивались? ;)
Рассказывайте подробнее, мы с удовольствием послушаем :)

[vertas52]

Алексей POS_troi: я сталкивался. хотя везде в конторе стоит лицензия каспера. шифрование как бы для любого АВ абсолютно нормальный процесс, и ничего подозрительного он в нем не видит. но, например, у того же каспера есть доверенная зона(могу ошибаться с формулировкой), в которой указано какие программы и каким пользователям можно запускать. вызывает дискомфорт при первой неделе настройки и тестировании, потом про неё просто забываешь и спишь спокойнее.

[ТыжСисАдмин]

vertas52: Антивирус тут не причём, криптонуть вирусню до состояния неопределющегося АВ - не проблема совершенно.
С шифровальшиками бороться стоит другими методами, большинство из которых организационные.

[ТыжСисАдмин]

vertas52: ну а то что его действия для АВ нормальные то тут да, ничего криминального он не делает.

[Saboteur]

А что шифровальщик сделает на терминале?

Кроме того, все известные мне шифровальщики, шифруют исключительно локальные файлы. незамапленные сетевые диски они не трогают, а это был мой первый совет.

[Артур Артур]

Сергей На терминальном сервере сетевые диски+ локальный диск на 2Тб с Очень важной инфой для сотрудников. На всех томах включены теневые копии

[Saboteur]

Артур Артур: Очень важная инфа для сотрудников обязана лежать в виде обычных файлов?
Почему не система документооборота с доступом через веб? Есть куча сервисов с отличной безопасностью.

Answer 3

[CityCat4]

Поднять VPN на шлюзе, где нет винды. RDP на винду - это вектор атаки.

Comments

[Артур Артур]

CityCat4 а какая разница, порт та все равно будет открыт. может я что то не понимаю

[CityCat4]

Ключевой момент "где нет винды" понятен? На шлюзе порт открывается на роутере - следовательно атакующий должен проломить ось роутера, то есть найти уязвимость в ядре. RDP открывает порт прямо на винде - и атакующий имеет возможность атаковать саму винду. Винда такая штука загадочная и настолько там все друг с другом повязано, что дыра в одном месте, казалось бы совершенно не относящимся сюда, может вылезти внезапно.

[АртемЪ]

CityCat4: Какая разница на какой ОС поднят VPN?

Answer 4

[Дмитрий]

Делаете впн и через него разрешаете ходить только на терминал. Соответственно в терминале разрешен запуск только необходимых прграмм.

Answer 5

[АртемЪ]

Изменение номера проброшенного порта на безопасность никак не влияет.

Если же VPN, то опасность заражения всякой шляпой становится выше.

Это бред какой-то.
На опасность заражения наличие или отсутствие VPN никак не влияет.

Безопасней использовать VPN.

Comments

[Артур Артур]

АртемЪ Не пойму, почему наличие VPN на опасность не влияет. Допустим я подключаюсь со своего пк по VPN к своей сети организации, мой пк заражен. Хотите сказать, что вирусу будет плевать на наличие сетевого подключения? или он только в Broadcast работает?

[АртемЪ]

Артур Артур: Вы подключаетесь к RDP .
RDP работает поверх сетевого подключения.
Поэтому если вы подключаетесь с зараженного компьютера по RDP к какому-то компьютеру, значит у вас в любом случае есть к нему доступ по сети.
И какая разница какими инструментами этот доступ организован? VPN или прямое подключение?

Ну и каким боком тут broadcast&

Answer 6

[Сергей]

Вам нужно решить для себя, от каких угроз вы собираетесь защищаться. От внешних, внутренних или от всех.
Если от внешних - то однозначно вам нужно настраивать VPN. Да и при любом раскладе этот способ безопаснее.
Если от внутренних, то тут нужно включать параноика.
Если человек из-вне, через VPN ходит на RDP сервер, то значит никуда больше ему ходить не должно. Запрещайте все остальное. Файрвол вам в руки и антивирус на каждую машину.
Но нужно понимать, что любое подключение из вне, каким бы они не было - потенциальная дыра. И ее нужно защищать любыми способами.
Так же нужно ограничивать серверы для внешних подключений. Так как эти серверы тоже считаются не безопасными. А значит в ДМЗ их и запретить им все по максимуму

Answer 7

[Андрей Бируля]

В общем случае не вижу никакого смысла прятать rdp за vpn - перебор паролей будет идти и там, и там. Вы только усложните на пустом месте доступ сотрудников к своему серверу. Разумнее, как мне кажется, использовать двухфакторную авторизацию для логина на сервер.

Comments

[Сергей]

Перебор паролей на VPN?? Вы шутите?
А для чего тогда ключи и сертификаты?

[Артур Артур]

Андрей Бируля Согласен, но затратно. Клиентам выдаются .p12, даже если украдут сертификат, он все равно будет запаролен.

Answer 8

[Алексей Русаков]

А в чем опасность? Что пароль подберут? Политика сложности пароля — раз, политика блокировки учетных записей при n попытках ввода неправильного пароля — два.

Comments

[Артур Артур]

alexrus Спасибо, все это есть)

Answer 9

[Андрей]

А если использовать технологию RDS gateway. И шифрование и сервер терминалов.