Är Microsofts säkerhet för RDP ett jävla skämt? NLbrute.exe

Permalänk
Livsnjutare 😎
Skrivet av SkiZoR:

Fler tips uppskattas, står ändå väldigt förvånad att detta är möjligt och bättre säkerhet inte finns integrerat i serveroperativen "by default".

"By default" brukar även de som driftar servers publikt ha fysiska brandväggar framför dem med ganska strikta regler på vem som når vad och hur (vilka portar etc)
Detta verkar du helt ha tappat bort i tänket...

Mjukvaru -baserade brandväggar brukar i regel inaktiveras och sedan sköter man som sagt trafikkontroller via en central brandvägg.

Att tillåta alla att nå en RDP-server helt publikt utan någon form utav nedlåsning är dessvärre som att gå med en "sparka mig" -skylt på ryggen...

Men vi hjälper dig!
Blockera så bara ditt / dina IP'n kommer åt RDP -servern, eller ännu bättre - använd någon form utav tunnel / VPN och därmed strypa accessen ytterligare med ett lager.
Dock ingen PPTP VPN då säkerheten i dem alltid varit ett skämt (kanske bättre nu?) men jag hade kikat på OpenVPN eller liknande.

Går även att sätta upp en IIS på maskinen som agera RDP gateway och kör all trafik via port 443 / https. Man kan köra osignat cert eller så skapar man ett gratis på tex https://letsencrypt.org

Visa signatur

Citera eller Svara för respons! •
• Life is a playground {|;^) •

Permalänk
Medlem

Jag använder mig av user Administrator - har inte råkat ut för någon attack.
Vet att jag borde byta, men blev bara att jag körde på det kontot direkt när jag satte upp servern och nu rullar den på så fint.

Iofs så har jag random pw på 24 bokstäver, siffror stora små osv.
Sen har jag min routers brandvägg som jag inte släpper igenom RDP på och så har jag Kaspersky Small Office som ligger och skannar trafiken på dom öppna portarna som finns (även lokala öppna)
Och Kaspersky blockar all trafik som försöker nå RDP från utsidan.

Sen satte jag min (Asus router) att "black list" port 3389 från WAN, bara en extra liten säkerhet igen.

Alla mina övriga konton är för SMB share och dom har random pw (strong password) och dom har ingen möjlighet att logga in på maskinen eller liknande det har jag tagit bort i GPO.

Även har jag regler för hur många fel m.m man får ha på lösenordet i GPO tror dock inte att det omfattar Administrator.

Men jag känner mig tämligen säker =P

Visa signatur

Supermicro X9SRI-F | Xeon E5-2690 v2 | 128GB 1600MHz RDIMM | Dell Perc H200 (9211-8i IT) | Windows Server 2016 DataCenter med Hyper-V

Permalänk
Medlem

Fråga, Det blir väll tämligen omständigt för te.x mig att byta user från Administrator nu när jag har fullt med services?
Kanske enklare att installera om servern då för att kunna ställa in den från ett annat konto från början?

Visa signatur

Supermicro X9SRI-F | Xeon E5-2690 v2 | 128GB 1600MHz RDIMM | Dell Perc H200 (9211-8i IT) | Windows Server 2016 DataCenter med Hyper-V

Permalänk
Medlem
Skrivet av Calby:

Fråga, Det blir väll tämligen omständigt för te.x mig att byta user från Administrator nu när jag har fullt med services?
Kanske enklare att installera om servern då för att kunna ställa in den från ett annat konto från början?

Se till att skapa "servicekonton" för dina tjänster.

https://technet.microsoft.com/en-us/library/dn617203(v=ws.11)...

https://technet.microsoft.com/en-us/library/dd548356(v=ws.10)...

Visa signatur

Every mammal on this planet instinctively develops a natural equilibrium with the surrounding environment; but you humans do not. Instead you multiply, and multiply, until every resource is consumed.
There is another organism on this planet that follows the same pattern... a virus.
CITERA CITERA CITERA

Permalänk
Avstängd

Man ska inte köra med standardporten och på det sättet blir det svårare att hitta rätt port och så ska man även stänga av ICMP så att dom inte kan söka efter porten för att öka säkerheten bland annat.

Visa signatur

Man är inte dum för att man har stavproblem.
Läs mer om min synfel Visual Snow
Om mig ----> #16970666

Permalänk
Medlem
Skrivet av SkiZoR:

Hallå där.

Driver spelservrar och kommer åt dessa genom microsoft terminal desktop aka. mstsc aka. rdp...

Jag har nu blivit hackad (fick syn på massa filer döpta efter kyrilliska alfabetet). Såg att en applikation vid namn NLbrute kördes vid tillfället jag insåg att han var inne.
Det slutade med att han bytte lösenordet på servern så nu kommer jag inte in alls. Ryckte ut strömkabeln och communityn är död i väntan på att jag går ner på alla fyra och plockar upp efter karln.

Är detta endast pga. att jag haft ett för svagt lösenord utåt? Vad kan jag göra för att förhindra det här i framtiden?

Password till servern var Rapture123

Tacksam för svar

EDIT: HOW TO HACK YOUTUBE SEARCH https://www.youtube.com/results?search_query=Nl+Brute

Om du har remote access till en sever så kan folk komma in. Så enkelt är det.
Du borde låsa ner accessen till servern så du bara kommer åt den från betrodda klienter. SSH nycklar är väldigt effektivt för detta.

Svagt lösenord kan hjälpa bottar och scriptkiddies att komma in. Dock finns det alltid folk som kan komma in även om du har ett "superstarkt" lösenord. Därav behöver du kontrollera vilka som får möjlighet att ansluta till servern.

I övrig så kanske du vill slänga med ett "special tecken" i ditt lösenord med. Typ -_#"!@$() osv. Nånting av det. å ä ö finns även inte heller i alla teckenuppsättningar.
Har ingen rainbow lista att kolla nu, så vet inte hur vanligt ditt lösenord är, det ser dock rätt vanligt ut. Skulle säga att det är vanligare att man använder en dictionary attack (med en rainbow table) än att köra på ren bruteforcing. Felstavade ord är också en liten hjälp på vägen mot ett säkrare lösenord.

Visa signatur

*Citera för svar*
Work smart, not hard.