PDA

Просмотр полной версии : защита RDP от брута

ProTeuS
21.05.2009, 11:50
каким образом в политике безопасности можно внести ограни4ения на количество коннектов по RDP с одного хоста\другим условиям, по юзеру вносить правила для локальной политики глупо, т.к. многопоточный брут юзера с админправами любым хостом задисейблит этого пользователя для всех и фактически выполнит функции DoS. можно как-то засетапать правила коннектов 4исто для хоста, или хотя бы вайтлист подсетей для разрешения коннекта?
Pernat1y
21.05.2009, 12:24
лучше фаером блокируй, ну и + пароль нормальный с не-дефолтныйми юзерами
LEE_ROY
21.05.2009, 12:28
есть хорошая программка 2X SecureRDP ;)
ettee
22.05.2009, 02:14
Давайте все же плясать от топологии сети, при пробросе трафика со шлюза на локальную машину логичней будет задействовать сам шлюз для фильтрации, иначе в любом случаи нагрузка будет ложиться на ПО.
Так как сама политика блокировки учётных записей не снизит основную нагрузку (это не значит, что ей стоит пренебрегать) логичней в данном случаи будет перебросить ответственность на уровень ниже, "фаерволл". Windows Firewall и IPSec, в обоих случаях присутствует поддержка возможности фильтрации трафика, в том числе и по определённому порту, а так же работа с диапазонами заданных адресов.
Изначально проблема в том, что брут идет по причине прослушивания стандартного RDP-порта, так что в рамках хорошего тона для службы стоит сменить стандартный порт, а так же переименовать имя учетной записи администратора, что решает в большинстве случаев суть вопроса.
ProTeuS
29.05.2009, 22:04
а где можно сменить порт рдп? и как фаерволом настроить правила?
X-Venom
29.05.2009, 22:19
дома стоит kis9 , добавляешь mstsc.exe и уже в параметрах указываешь, что тебе нужно
ettee
30.05.2009, 00:02
а где можно сменить порт рдп? и как фаерволом настроить правила?

Microsoft Knoledge Base: 306759 (http://support.microsoft.com/?id=306759) 304304 (http://support.microsoft.com/kb/304304/) 187623 (http://support.microsoft.com/default.aspx?scid=KB;en-us;q187623)

REG ADD /?
REG ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber /t REG_DWORD /d 123 /f

netsh firewall help
netsh firewall add portopening TCP 3389 "Remote Desktop" enable CUSTOM 6.6.6.6/255.255.255.0
Так же настройка WF доступна через групповые политики (Computer Configuration - Administrative Templates - Network - Network Connections - Windows Firewall).
SpangeBoB
30.05.2009, 00:16
Любой вменяемый администратор запретит доступ учетной записи administrator(причем заранее переименованной) использовать терминальный доступ.Для этого есть группа с минимальными правами или она так для вида создана.И откуда взяли учетные записи по которым брутят.Политика блокировки учетных записей тоже применяется не плохо,если имеется ввиду Dos ,то откуда происходит утечка учетных записей.
Zaya
30.05.2009, 01:55
Любой вменяемый администратор запретит доступ учетной записи administrator(причем заранее переименованной) использовать терминальный доступ.Для этого есть группа с минимальными правами или она так для вида создана.И откуда взяли учетные записи по которым брутят.Политика блокировки учетных записей тоже применяется не плохо,если имеется ввиду Dos ,то откуда происходит утечка учетных записей.

Спанч, я у тебя кога-то спрашивал и ты говорил, что это можно реализовать сертификатами.
Я же никогда рдпхи на шлюзе не открываю, только после впна. а впн брутить... удачки...
SpangeBoB
30.05.2009, 02:06
Спанч, я у тебя кога-то спрашивал и ты говорил, что это можно реализовать сертификатами.
Я же никогда рдпхи на шлюзе не открываю, только после впна. а впн брутить... удачки...
Можно и с помощью сертификатов реализовать аунтефикацию.Подробней тут:
http://www.petri.co.il/securing_rdp_communications.htm
http://technet.microsoft.com/en-us/library/cc782610(WS.10).aspx
http://articles.techrepublic.com.com/5100-10878_11-6166676.html