Gli attacchi ransomware stanno diventando più mirati proprio per essere sempre più efficaci e uno dei principali vettori di attacco è il Remote Desktop Protocol (RDP) che permette tra le varie funzionalità anche di controllare da remoto un server oppure un singolo PC.
Attraverso l'ingegneria sociale o gli attacchi di tipo brute force, gli hacker possono ottenere le credenziali di accesso per un desktop remoto. Tramite questo accesso un attaccante potrà distribuire malware specializzati al fine di:
- Elevare i loro privilegi (quando necessario)
- Installare backdoor, come porte di accesso "privilegiato" per un uso futuro
- Distribuire ransomware e lasciare le istruzioni di pagamento
Questi punti di attenzione dovranno quindi essere verificati dalle aziende, che dovranno quindi prestare maggiore attenzione, al fine di evitare di subire una violazione.
Proprio per questo, è necessario attivarsi affinché questo attacco non si verifichi e fare del proprio meglio per impedirlo.
Come mettere in sicurezza l’accesso RDP: strategie per proteggere il desktop remoto
L’accesso remoto tramite RDP (Remote Desktop Protocol) è una soluzione comoda e diffusa per gestire i computer aziendali a distanza. Integrato nativamente nei sistemi Windows (ma disponibile anche per altri sistemi operativi), RDP è facile da configurare e utilizzare. Tuttavia, se esposto direttamente a Internet senza adeguate misure di sicurezza, può diventare un bersaglio per attacchi informatici.
Ecco alcune buone pratiche per proteggere l’accesso RDP e ridurre i rischi di compromissione:
1. Posiziona RDP dietro una VPN
Evita di esporre direttamente RDP su Internet. Usa una VPN aziendale per limitare l’accesso solo ai dispositivi autorizzati.
2. Utilizza un Remote Desktop Gateway
Un Remote Desktop Gateway consente di gestire l’accesso RDP attraverso una connessione HTTPS e offre vantaggi aggiuntivi come il supporto per l'autenticazione a più fattori (2FA) e il controllo centralizzato. I log delle sessioni sono archiviati separatamente, rendendoli meno vulnerabili a manomissioni in caso di compromissione.
3. Imposta password complesse e sicure
Le password deboli sono una delle principali cause di compromissione via RDP. Utilizza password robuste e attiva la protezione contro gli attacchi brute force tramite strumenti specifici o criteri di gruppo.
4. Mantieni attiva l'autenticazione a livello di rete (NLA)
Non disattivare NLA: offre un livello di autenticazione aggiuntivo prima di stabilire una sessione, riducendo la superficie d’attacco.
5. Cambia la porta predefinita (TCP/UDP 3389)
Anche se non è una protezione vera e propria, modificare la porta di ascolto di RDP può ridurre l’esposizione agli scanner automatici. Scegli una porta personalizzata non comune.
6. Limita l’accesso solo agli utenti e agli IP autorizzati
Concedi l’accesso remoto solo agli utenti che ne hanno realmente bisogno e, se possibile, limita l’accesso RDP a specifici indirizzi IP, per una protezione più mirata.
RDP e vulnerabilità: applica patch contro l'elevazione dei privilegi
Esistono diversi metodi per l’elevazione dei privilegi su sistemi Windows, anche quando si accede via RDP. Per questo è fondamentale mantenere i sistemi aggiornati con le ultime patch di sicurezza per ridurre il rischio di exploit.
Limitare l’accesso RDP: configurazione tramite Criteri di Gruppo
Una delle strategie più efficaci per rafforzare l’accesso remoto è definire in modo preciso quali utenti possono connettersi via RDP. Ecco come farlo attraverso la Console di gestione dei criteri di gruppo (GPMC):
Apri GPMC.MSC
Vai su: Configurazione computer > Impostazioni di Windows > Impostazioni di sicurezza > Gruppi con restrizioni
Clicca con il tasto destro su "Gruppi con restrizioni" e seleziona "Aggiungi gruppo"
Cerca "Utenti desktop remoto" > Aggiungi i membri autorizzati al gruppo
Esegui GPUPDATE /FORCE da prompt dei comandi per applicare le modifiche
Per completare la configurazione:
Apri il Pannello di controllo > Sistema e sicurezza > Strumenti di amministrazione > Politica di sicurezza locale
Vai su: Assegnazione diritti utente > "Consenti accesso tramite Servizi Desktop remoto"
Rimuovi il gruppo "Administrators" e l’account "Administrator" per ridurre il rischio di accessi non autorizzati
Aggiungi solo gli utenti strettamente necessari, limitando le loro autorizzazioni per ridurre i danni in caso di compromissione
Accesso RDP: proteggere la rete dall'esterno e dall'interno
Probabilmente non è necessario sottolineare quanto sia importante proteggere la rete aziendale dall’esterno. Nel contesto degli attacchi RDP è importante applicare alcune misure di sicurezza interne. I PC che possono essere controllati da remoto dovrebbero essere in grado di utilizzare le risorse di rete ma non di distruggerle. Utilizzare politiche restrittive per tenere a bada i possibili danni che qualsiasi utente, non solo remoto, può scatenare.
Attacco ransomware tramite RDP
In caso di attacco ransomware tramite RDP, è bene adottare alcune misure per proteggere meglio la rete e gli endpoint. Dopo aver recuperato i file da un backup, è necessario controllare i sistemi per eventuali modifiche apportate dagli aggressori che renderebbero loro una visita futura più facile, specie se si è deciso di pagare il riscatto.
Per essere sicuri che non ci siano refusi, è necessario controllare non solo il PC in cui è stato eseguito il collegamento remoto per trovare Trojan backdoor e strumenti di hacking, ma anche tutti i dispositivi in rete a cui è stato possibile accedere dal PC compromesso.
Accesso RDP: ma è davvero indispensabile?
Anche se si seguono tutte le linee guida di sicurezza, ci sono sempre possibili punti deboli in RDP che possono essere sfruttati. Nessuno desidera introdurre queste debolezze nella rete se effettivamente non ce n'è davvero bisogno. Le possibili conseguenze potrebbero essere devastanti, soprattutto senza una strategia di backup efficace.
Proteggere i tuoi dati aziendali richiede attenzione e precisione, occorre affidarsi ad aziende in grado di garantire ottime difese. Nexsys ti supporta nella definizione delle copie dei tuoi dati e nella gestione dei salvataggi per evitare perdite e danni, attraverso il servizio di backup aziendale.
Nexsys propone, inoltre, corsi con lo scopo di educare gli utenti ad un uso consapevole e responsabile dei mezzi informatici ed insegna agli amministratori di sistema le migliori strategie affinché possano mitigare ogni possibile attacco. Scopri, ad esempio, il corso di Cybersecurity Awareness che mira proprio a far comprendere agli utenti aziendali il proprio ruolo nella difesa delle informazioni sensibili.