Praca zdalna, serwisowanie systemów przez dostawców i administracja serwerami sprawiają, że zdalny dostęp jest dziś potrzebny w wielu firmach. Administrator może połączyć się z serwerem przez RDP, pracownik zestawić VPN do sieci biurowej, a osoba odpowiedzialna za backup zalogować się do panelu urządzenia NAS.
Każdy taki punkt dostępu może jednak stać się również wejściem do firmowej infrastruktury.
CISA zwraca uwagę, że publicznie dostępne systemy mogą być narażone m.in. przez błędną konfigurację, domyślne dane logowania i nieaktualne oprogramowanie. Agencja zaleca przede wszystkim identyfikację usług dostępnych z Internetu, ograniczanie zbędnej ekspozycji, aktualizowanie systemów oraz stosowanie MFA tam, gdzie jest to możliwe.
Bezpieczny zdalny dostęp do firmy nie polega więc na otwarciu odpowiedniego portu na firewallu. Powinien być kontrolowanym elementem całej architektury bezpieczeństwa.
Dlaczego zdalny dostęp wymaga szczególnej ochrony?
Usługa dostępna publicznie może być osiągalna nie tylko dla pracownika czy administratora, ale również dla automatycznych skanerów i potencjalnych napastników.
Dotyczy to szczególnie:
- RDP do komputerów i serwerów Windows,
- bram VPN,
- urządzeń NAS,
- firewalli i routerów,
- paneli zarządzania serwerami,
- hypervisorów i środowisk wirtualnych,
- systemów monitoringu,
- interfejsów administracyjnych aplikacji.
CISA rekomenduje ocenę, które zasoby rzeczywiście muszą być dostępne z Internetu, oraz usunięcie lub ograniczenie ekspozycji pozostałych. W przypadku koniecznych usług zaleca m.in. aktualizacje, zmianę domyślnych haseł, MFA, monitorowanie ruchu oraz wykorzystanie kontrolowanego punktu dostępowego typu jump host.
Dlatego jednym z pierwszych etapów poprawy bezpieczeństwa sieci firmowej powinno być sprawdzenie, jakie usługi organizacji są obecnie widoczne z Internetu.
RDP — nie wystawiaj pulpitu zdalnego bezpośrednio do Internetu
Remote Desktop Protocol jest wygodnym sposobem zarządzania komputerami i serwerami Windows. Nie oznacza to jednak, że port RDP powinien być bezpośrednio przekierowany z Internetu do konkretnego urządzenia.
Znacznie bezpieczniejszy model polega na umieszczeniu RDP za dodatkową warstwą kontroli dostępu.
Przykładowy schemat może wyglądać następująco:
Internet → VPN lub bezpieczna brama dostępowa → uwierzytelnienie → sieć firmowa → RDP
Dzięki temu sam serwer RDP nie musi być publicznie osiągalny.
W środowiskach Windows warto również wykorzystywać mechanizmy ograniczające ryzyko związane z poświadczeniami. Microsoft opisuje między innymi Remote Credential Guard, który w odpowiednich scenariuszach RDP pozwala chronić poświadczenia administratora poprzez niewysyłanie ich do zdalnego hosta.
Nie istnieje jednak pojedyncze ustawienie, które automatycznie zapewnia bezpieczeństwo RDP. Istotne są również:
- aktualizacje Windows i usług zdalnego dostępu,
- ograniczenie liczby osób mogących korzystać z RDP,
- oddzielne konta administracyjne,
- odpowiednia polityka uwierzytelniania,
- ograniczenie połączeń sieciowych,
- rejestrowanie prób logowania,
- monitorowanie nietypowej aktywności.
VPN nie jest automatycznie bezpieczny
VPN tworzy szyfrowane połączenie pomiędzy użytkownikiem a firmową infrastrukturą, ale sama obecność VPN nie rozwiązuje problemu bezpieczeństwa zdalnego dostępu.
Brama VPN jest przecież usługą dostępną od strony Internetu. Oznacza to, że również musi być aktualizowana, prawidłowo skonfigurowana i monitorowana.
CERT Polska w rekomendacjach dotyczących systemów OT wskazuje, że gdy zdalny dostęp jest konieczny, powinien być realizowany przez VPN z uwierzytelnianiem wieloskładnikowym. CERT rekomenduje również ograniczanie zdalnego dostępu do niezbędnego minimum.
W praktyce firmowej warto stosować kilka zasad:
- włączyć MFA dla użytkowników VPN,
- usuwać nieaktywne konta,
- ograniczać uprawnienia użytkowników po połączeniu,
- regularnie aktualizować urządzenie lub oprogramowanie VPN,
- wyłączać nieużywane funkcje i starsze mechanizmy kryptograficzne,
- analizować logowania i nieudane próby uwierzytelnienia,
- okresowo sprawdzać, kto nadal potrzebuje zdalnego dostępu.
Ważne jest również rozdzielenie samego dostępu od uprawnień. Pracownik, który potrzebuje jednego systemu księgowego, nie musi automatycznie uzyskiwać komunikacji ze wszystkimi serwerami i urządzeniami w przedsiębiorstwie.
NAS — magazyn danych nie powinien być publicznym serwerem
Urządzenia NAS często przechowują ważne dokumenty, archiwa i kopie zapasowe. W części firm są także wykorzystywane do udostępniania plików pracownikom poza biurem.
Problem pojawia się wtedy, gdy dla wygody panel administracyjny NAS lub usługi plikowe zostają wystawione bezpośrednio do Internetu.
Bezpieczniejsze podejście to ograniczenie publicznej ekspozycji i udostępnianie zasobów wyłącznie przez kontrolowane mechanizmy dostępu.
Należy zweryfikować między innymi:
- czy panel administratora jest osiągalny z Internetu,
- czy urządzenie otrzymuje aktualizacje bezpieczeństwa,
- czy nie działają niepotrzebne usługi,
- czy konta administratorów mają MFA, jeżeli urządzenie je obsługuje,
- czy używane są unikalne konta zamiast jednego wspólnego loginu,
- czy logowania są rejestrowane,
- czy dostęp do danych jest ograniczony zgodnie z rolami użytkowników.
Szczególnej uwagi wymaga NAS przechowujący backup. Kopia zapasowa powinna być zaprojektowana tak, aby przejęcie zwykłego konta użytkownika lub pojedynczej stacji roboczej nie dawało automatycznie możliwości usunięcia wszystkich kopii.
Panele administracyjne — ograniczaj dostęp zamiast tylko wzmacniać hasło
Panel firewalla, hypervisora, serwera, switcha czy systemu backupowego może dawać bardzo szeroką kontrolę nad infrastrukturą.
Dlatego publiczne wystawienie takiego interfejsu powinno być wyjątkiem, a nie standardowym sposobem administracji.
CISA w wytycznych dotyczących interfejsów zarządzających rekomenduje usuwanie takich interfejsów z publicznej ekspozycji lub zabezpieczanie ich dodatkową warstwą kontroli dostępu.
W praktyce warto zastosować:
- dostęp administracyjny wyłącznie przez VPN lub wydzieloną sieć zarządzającą,
- MFA,
- ograniczenia adresów źródłowych tam, gdzie jest to uzasadnione,
- oddzielne konta administratorów,
- zasadę najmniejszych uprawnień,
- centralne logowanie zdarzeń,
- automatyczne blokowanie lub alarmowanie przy podejrzanych próbach logowania.
Dobrym rozwiązaniem w większym środowisku może być również wydzielona stacja administracyjna albo jump host, przez który administrator uzyskuje dostęp do krytycznych urządzeń.
MFA powinno chronić nie tylko pocztę
W wielu organizacjach MFA jest już stosowane w Microsoft 365 lub Google Workspace, ale lokalne systemy administracyjne nadal mogą być zabezpieczone wyłącznie loginem i hasłem.
To tworzy niespójny model bezpieczeństwa.
Jeżeli urządzenie lub system obsługuje MFA, należy rozważyć jego uruchomienie przede wszystkim dla:
- VPN,
- kont administratorów,
- paneli zarządzania,
- systemów backupowych,
- zdalnego dostępu do serwerów,
- usług chmurowych.
Samo MFA również nie eliminuje wszystkich zagrożeń. Powinno działać razem z ograniczeniem ekspozycji usług, aktualizacjami, segmentacją sieci i monitoringiem.
Aktualizacje urządzeń brzegowych są szczególnie ważne
Firewall, koncentrator VPN czy urządzenie realizujące zdalny dostęp znajduje się na granicy pomiędzy siecią firmową a Internetem. Z tego powodu aktualizacje takich systemów nie powinny być traktowane tak samo jak aktualizacja mało istotnej aplikacji na pojedynczym komputerze.
CISA rekomenduje utrzymywanie VPN w aktualnej wersji oraz wyłączanie nieużywanych funkcji i algorytmów.
Firma powinna wiedzieć:
- jakie urządzenia zapewniają dostęp zdalny,
- jakie wersje oprogramowania na nich działają,
- czy producent nadal zapewnia wsparcie,
- kto odpowiada za aktualizacje,
- kiedy ostatnio wykonano aktualizację,
- czy dostępne są logi umożliwiające analizę incydentu.
Jeżeli organizacja nie ma pełnej dokumentacji środowiska, punktem wyjścia może być audyt IT, obejmujący między innymi konfigurację sieci, serwerów, kont użytkowników, zabezpieczeń i polityk dostępu.
Segmentacja ogranicza skutki przejęcia konta
VPN nie powinien oznaczać: „po połączeniu użytkownik znajduje się wszędzie”.
Można rozdzielić dostęp przykładowo na:
- sieć użytkowników,
- serwery,
- urządzenia NAS,
- systemy administracyjne,
- monitoring,
- urządzenia IoT,
- sieć gościnną,
- wydzieloną sieć zarządzającą.
Następnie firewall określa, które połączenia pomiędzy poszczególnymi strefami są dozwolone.
Dzięki temu osoba łącząca się zdalnie do jednego systemu nie musi mieć technicznej możliwości komunikowania się ze wszystkimi urządzeniami w organizacji.
Jest to praktyczne zastosowanie zasady najmniejszych uprawnień: użytkownik otrzymuje wyłącznie taki dostęp, jaki jest niezbędny do wykonania jego pracy.
Monitoring zdalnego dostępu pozwala szybciej zauważyć problem
Zabezpieczenia prewencyjne nie zastępują monitoringu.
Firma powinna mieć możliwość sprawdzenia przynajmniej:
- kto logował się zdalnie,
- kiedy nastąpiło logowanie,
- z jakiego źródła wykonano połączenie,
- ile było nieudanych prób,
- czy pojawiły się logowania administracyjne,
- czy występują nietypowe próby dostępu.
Szczególną uwagę warto zwracać na nagłe serie nieudanych logowań, nietypowe godziny dostępu czy aktywność kont, które normalnie nie korzystają ze zdalnego połączenia.
W ramach stałej opieki IT można połączyć zarządzanie dostępami, aktualizacje infrastruktury i monitoring w jeden uporządkowany proces zamiast reagować dopiero po wystąpieniu incydentu.
Przykłady dla firm
Firma korzystająca z programu ERP na serwerze Windows
Pracownicy potrzebują dostępu do aplikacji spoza biura. Zamiast publikowania RDP bezpośrednio w Internecie firma może zastosować VPN z MFA, a następnie dopuścić użytkowników wyłącznie do konkretnego serwera lub usługi.
NAS z dokumentami i backupem
Pracownicy korzystają z NAS lokalnie, natomiast administrator potrzebuje dostępu podczas pracy poza biurem. Panel zarządzania może być niedostępny publicznie i osiągalny dopiero po zestawieniu bezpiecznego połączenia administracyjnego.
Zewnętrzny serwis urządzenia
Dostawca potrzebuje dostępu tylko podczas prac serwisowych. Zamiast pozostawiać konto aktywne przez cały rok można przydzielać dostęp na określony czas, ograniczyć go do wskazanych systemów oraz rejestrować wykorzystanie konta.
Wnioski
Bezpieczny zdalny dostęp powinien być projektowany według kilku podstawowych zasad:
- Nie publikuj usługi w Internecie, jeśli nie jest to konieczne.
- RDP umieszczaj za dodatkową warstwą bezpiecznego dostępu.
- VPN zabezpieczaj MFA i regularnie aktualizuj.
- Ograniczaj dostęp administracyjny do NAS, firewalli i serwerów.
- Rozdzielaj zwykłe konta użytkowników od kont administracyjnych.
- Stosuj zasadę najmniejszych uprawnień i segmentację sieci.
- Monitoruj logowania i próby dostępu.
- Regularnie sprawdzaj, jakie usługi firmy są widoczne z Internetu.
Podsumowanie
Bezpieczny zdalny dostęp do firmy wymaga czegoś więcej niż silnego hasła. RDP, VPN, NAS oraz panele administracyjne powinny być częścią kontrolowanej architektury obejmującej MFA, aktualizacje, ograniczenie ekspozycji, segmentację sieci, odpowiednie uprawnienia i monitoring.
Najważniejsza zasada jest prosta: system, który nie musi być publicznie dostępny, nie powinien być publicznie dostępny.
Delikatne CTA
Jeżeli nie masz pewności, które usługi Twojej firmy są dostępne z Internetu albo czy RDP, VPN, NAS i panele administracyjne są odpowiednio zabezpieczone, warto rozpocząć od przeglądu konfiguracji i dostępów. Możesz skontaktować się z Exabytes, aby omówić audyt lub uporządkowanie zdalnego dostępu do infrastruktury.
Najnowsze komentarze