Come prevenire gli attacchi RDP (Remote Desktop Protocol)?

RDP si basa sugli standard della famiglia di protocolli T-120 e si è diffuso quando Microsoft ha offerto agli utenti la possibilità di connettersi ad altri computer e controllarli da remoto tramite la rete. Protegge le comunicazioni di rete e permette di utilizzare i desktop a distanza.

Tuttavia, RDP comporta dei rischi. Può essere sfruttato per ottenere accesso non autorizzato ai dispositivi. Dal suo debutto, Windows ha avuto 16 versioni principali: gli autori delle minacce hanno quindi avuto molte occasioni per sfruttare RDP e accedere da remoto a server e dispositivi Windows. Questa guida vi mostra come prevenire gli attacchi RDP e proteggervi.

Che cos'è un attacco RDP (Remote Desktop Protocol)?

RDP è un protocollo di comunicazione sviluppato da Microsoft per controllare da remoto i desktop o qualsiasi dispositivo con sistema operativo Microsoft. Le connessioni desktop remote utilizzano la porta 3389 del TCP (Transmission Control Protocol), il principale punto di accesso per le connessioni remote. Quando gli autori delle minacce compromettono i canali crittografati di RDP e ne assumono il controllo, si verifica un attacco al Remote Desktop Protocol.

Ecco una breve spiegazione di come funzionano gli attacchi RDP:

• Gli aggressori iniziano scansionando la vostra porta RDP. I dispositivi attivi connessi alla porta possono diventare punti di ingresso nella vostra rete. Attraverso questa porta, l'autore della minaccia può tentare un attacco di forza bruta e sfruttare l'elevato volume di connessioni RDP.
• Dopo la compromissione iniziale, l'aggressore scansiona intere reti e sottoreti per ampliare l'accesso. Può usare le connessioni Windows Management Instrumentation™ per raggiungere più endpoint in ambienti di elaborazione distribuita oppure ricorrere a chiamate di procedura remote per lanciare diversi attacchi.
• Quando un dispositivo viene compromesso, l'aggressore ne assume il controllo. Tramite l'interfaccia di comando e controllo, invia comandi ad altri endpoint e reti dell'infrastruttura. Può usare il dispositivo compromesso per creare nuove connessioni RDP su porte non standard.
• A questo punto, l'aggressore può muoversi lateralmente nelle reti e penetrare più a fondo nella vostra azienda. Può ottenere privilegi più elevati, acquisire dati sensibili e assumere il controllo di risorse di alto valore. Può anche eludere il rilevamento da parte delle più recenti tecnologie di sicurezza dell'organizzazione.

Come sfruttano RDP i cybercriminali?

Gli attacchi RDP prendono di mira soprattutto i team distribuiti e i collaboratori esterni. Assumere il controllo di risorse informatiche ad alta intensità di elaborazione offre vantaggi agli aggressori, mentre RDP può dare loro maggiore visibilità su server e sessioni Windows.

Le prime versioni di RDP non disponevano delle misure di sicurezza e privacy attuali. Per autenticare un utente bastavano nome utente e password. Per impostazione predefinita, RDP non includeva l'autenticazione a più fattori.

Come rilevare un accesso RDP non autorizzato?

Come rilevare gli accessi RDP non autorizzati?

Ecco alcuni passaggi che è possibile seguire per rilevare un accesso RDP non autorizzato:

Ecco come rilevare gli accessi RDP non autorizzati:

Controllare i log RDP per individuare eventuali comportamenti anomali o attività dannose. Cerca tentativi di accesso non riusciti, accessi frequenti e accessi da indirizzi IP non riconoscibili. Questi tentativi indicano che l'hacker ha cercato di accedere al sistema.

Puoi esaminare e analizzare il traffico di rete utilizzando strumenti di monitoraggio della rete come SentinelOne. Cerca di individuare anomalie di rete, modelli di traffico anomali e verifica se vengono inviati o ricevuti molti dati da indirizzi IP specifici.

La porta 3389 mostrerà picchi di attività se qualcosa non funziona correttamente. Registra e monitora il traffico di rete, esegui una scansione per identificare tentativi di accesso indesiderati.

• Controllate i log RDP per individuare comportamenti insoliti o attività dannose. Cercate tentativi di accesso non riusciti, accessi frequenti e accessi da indirizzi IP sconosciuti. Questi eventi possono indicare che un aggressore ha tentato di accedere al sistema.
• Esaminate e analizzate il traffico di rete con strumenti di monitoraggio come SentinelOne. Cercate anomalie e schemi di traffico insoliti. Verificate se grandi quantità di dati vengono inviate a specifici indirizzi IP o ricevute da essi.
• Se qualcosa non va, potreste osservare picchi di attività sulla porta 3389. Registrate e monitorate il traffico di rete, poi analizzatelo per individuare tentativi di accesso indesiderati.

Best practice per prevenire gli attacchi RDP (oltre 10)

Best practice per prevenire gli attacchi RDP (oltre 10)

Ecco alcune delle pratiche da seguire in ordine. Una volta implementate, potrete capire come prevenire gli attacchi RDP:

Seguite queste pratiche nell'ordine indicato. Una volta implementate, saprete come prevenire gli attacchi RDP:

Create password molto sicure combinando caratteri speciali, numeri, lettere e simboli. Si consiglia una lunghezza minima di 15 caratteri. È inoltre consigliabile mescolare le password e non riutilizzare la stessa password per tutti gli account. Se avete difficoltà a ricordare e tenere traccia di tutte le vostre password, utilizzate un archivio password.

Applicate automaticamente gli aggiornamenti Microsoft per tutte le versioni del vostro software client e server. Assicuratevi che l'impostazione sia attivata e che gli aggiornamenti vengano installati in background senza richieste manuali. Dovreste anche dare priorità alla correzione delle vulnerabilità RDP con exploit pubblici noti.

Implementate l'autenticazione a più fattori e utilizzate le ultime politiche di monitoraggio degli account per combattere gli attacchi di forza bruta. Dovreste anche cambiare la porta RDP predefinita da 3389 a un'altra per una maggiore sicurezza.

Utilizza l'elenco di connessioni consentite e limitale a host specifici e affidabili. Ti consigliamo di limitare l'accesso alla porta del desktop remoto solo a indirizzi IP selezionati e verificati. Se modifichi l'impostazione del server, questo impedirà l'accettazione di qualsiasi tentativo di connessione da indirizzi IP che non rientrano nell'elenco di connessioni consentite. Bloccherà automaticamente i tentativi e i processi dannosi.

Crea un'architettura di sicurezza di rete Zero Trust (ZTNA) e applica il principio dell'accesso con privilegi minimi a tutti gli account. È fondamentale eseguire controlli regolari e assicurarsi che tutte le porte RDP siano mantenute sicure.

Limita l'accesso alle connessioni RDP installando firewall. È inoltre necessario aggiungere il pool di indirizzi della rete privata virtuale dell'azienda alle regole di eccezione del firewall RDP. Abilitare l'autenticazione a livello di rete prima di stabilire nuove connessioni RDP.

Configurare i server desktop remoti in modo che accettino connessioni senza NLA se si utilizzano client desktop remoti su piattaforme non supportate. Controllare le impostazioni dei criteri di gruppo e rendere obbligatoria l'autenticazione degli utenti per tutte le connessioni remote.

È inoltre possibile configurare criteri di blocco degli account. Per un determinato numero di tentativi errati, ciò impedirà agli hacker di ottenere un accesso non autorizzato utilizzando strumenti automatizzati di individuazione delle password. È possibile impostare fino a tre tentativi non validi con una durata di blocco di tre minuti ciascuno.

Utilizza soluzioni avanzate di rilevamento delle minacce basate sull'intelligenza artificiale e anti-malware. Configurare processi di scansione in background e monitoraggio della sicurezza degli endpoint in modo che i dispositivi, le reti e gli utenti siano costantemente monitorati. Ciò contribuirà a prevenire attacchi interni e shadow IT, aggiungendo un ulteriore livello di protezione.

Istruire i dipendenti su come riconoscere le connessioni RDP non riuscite e i tentativi di accesso. Incoraggiali a segnalare le loro scoperte in modo anonimo, se necessario, e promuovi una cultura della trasparenza sul posto di lavoro. Se i tuoi dipendenti diventano attivi e coinvolti, allora tutto il team sarà sulla stessa lunghezza d'onda. Tutti i tuoi reparti dovrebbero sapere come prevenire gli attacchi RDP ed essere consapevoli delle misure adottate dagli aggressori per intensificare i controlli e i privilegi. La sicurezza inizia con la protezione degli utenti che utilizzano queste tecnologie prima di ricorrere a strumenti di automazione e flussi di lavoro per la difesa.

• Create password molto complesse combinando caratteri speciali, numeri, lettere e simboli. Consigliamo una lunghezza di almeno 15 caratteri. Usate password diverse per ogni account e rendetele difficili da indovinare. Se ricordarle e gestirle è complicato, usate un archivio protetto per le password.
• Applicate automaticamente gli aggiornamenti Microsoft a tutte le versioni del software client e server. Verificate che l'impostazione sia attiva e che gli aggiornamenti vengano installati in background senza interventi manuali. Date priorità anche alle patch per le vulnerabilità RDP con exploit pubblici noti.
• Implementate l'autenticazione a più fattori e adottate le più recenti policy di protezione degli account contro gli attacchi di forza bruta. Per maggiore sicurezza, cambiate anche la porta RDP predefinita 3389.
• Create un elenco di connessioni consentite e limitatele a host attendibili specifici. Consigliamo di restringere l'accesso alla porta Remote Desktop ai soli indirizzi IP selezionati e verificati. Modificando l'impostazione del server, impedirete che accetti connessioni da indirizzi IP non presenti nell'elenco. I tentativi e i processi dannosi verranno bloccati automaticamente.
• Create un'architettura di sicurezza di rete Zero Trust (ZTNA) e applicate il principio del privilegio minimo a tutti gli account. Eseguite controlli regolari per verificare che tutte le porte RDP siano protette.
• Limitate l'accesso alle connessioni RDP installando firewall. Aggiungete anche l'intervallo di indirizzi della rete privata virtuale aziendale alle regole di eccezione del firewall RDP. Richiedete l'autenticazione a livello di rete prima di stabilire nuove connessioni RDP.
• Se usate client desktop remoti su piattaforme che non supportano NLA, configurate i server desktop remoti affinché accettino connessioni senza NLA. Controllate le impostazioni dei criteri di gruppo e rendete obbligatoria l'autenticazione degli utenti per tutte le connessioni remote.
• Configurate anche policy di blocco degli account. Dopo un determinato numero di tentativi errati, impediranno agli aggressori di ottenere accesso non autorizzato con strumenti automatici che provano diverse password. Potete impostare un massimo di tre tentativi non validi e una durata del blocco di tre minuti.
• Usate strumenti avanzati di rilevamento delle minacce basati sull'intelligenza artificiale e prodotti anti-malware. Configurate scansioni in background e monitorate la sicurezza degli endpoint per controllare costantemente dispositivi, reti e utenti. Prevenirete così gli attacchi interni e quelli legati allo shadow IT, aggiungendo un ulteriore livello di protezione.
• Formate i vostri dipendenti a riconoscere le connessioni RDP non riuscite e i tentativi di accesso. Incoraggiateli a segnalare ciò che rilevano in forma anonima, se necessario, e promuovete una cultura della trasparenza sul posto di lavoro. Se i vostri dipendenti partecipano attivamente, tutto il team sarà allineato. Tutti i vostri reparti devono sapere come prevenire gli attacchi RDP e conoscere i passaggi con cui gli aggressori ampliano il proprio controllo e ottengono privilegi più elevati. La sicurezza inizia proteggendo chi usa queste tecnologie prima di ricorrere a strumenti di automazione e workflow per la difesa.

Come rispondere a un attacco RDP?

Come rispondere a un attacco RDP?

Utilizza la piattaforma SentinelOne Singularity XDR per automatizzare le indagini sugli incidenti e applicare le migliori pratiche RDP. Puoi aiutare il tuo team SOC ad accelerare la sua risposta. Ecco i passaggi da seguire se sei vittima di un'infezione RDP:

Usate SentinelOne Singularity XDR Platform per automatizzare le indagini sugli incidenti e applicare le migliori pratiche dei playbook RDP. Il vostro team SOC potrà rispondere più rapidamente. Ecco i passaggi da seguire se subite un'infezione tramite RDP:

Blocca l'utente compromesso e l'indirizzo IP dell'autore dell'attacco non appena li scopri. In questo modo potrai contenere la minaccia e metterla in quarantena. Avvia un'indagine ASN ed esamina le attività degli utenti. Utilizza il modulo XSOAR di SentinelOne per rilevare le campagne relative all'RDP.

Singularity Threat Intelligence e Purple AI possono fornirti informazioni più approfondite sull'indirizzo IP degli aggressori. Isola gli endpoint compromessi e recupera le attività in base alle diverse fasi MITRE. SentinelOne ti guiderà lungo tutto il percorso, dall'arricchimento dei dati all'indagine e alla risposta. Puoi chiudere l'incidente, aggiornare e sincronizzare con XDR. Potrai visualizzare tutte le informazioni sugli ecosistemi di gestione degli utenti interni ed esterni dalla dashboard e dalla console unificate.

Se desideri eseguire un'indagine approfondita, puoi prendere in considerazione la possibilità di provare i servizi di ricerca delle minacce di SentinelOne. Vi riveleranno altri IoC (Indicatori di compromissione) relativi agli IP o alle campagne degli aggressori. IP o alle campagne.

Continua a utilizzare la piattaforma SentinelOne per difenderti dagli attacchi brute force RDP e proteggere le risorse critiche della tua organizzazione. Implementa le migliori misure di sicurezza informatica e rafforza le difese cloud contro le minacce emergenti.

• Bloccate l'utente compromesso e l'indirizzo IP dell'aggressore non appena li individuate. Conterrete così la minaccia e ne faciliterete l'isolamento. Avviate un'indagine ASN ed esaminate le attività degli utenti. Usate il modulo XSOAR di SentinelOne per rilevare le campagne legate a RDP.
• Singularity Threat Intelligence e Purple AI vi offrono insight più approfonditi sull'indirizzo IP dell'aggressore. Isolate gli endpoint compromessi e recuperate le attività in base alle diverse fasi MITRE.  SentinelOne vi guida dall'arricchimento dei dati all'indagine e alla risposta. Potete chiudere l'incidente, aggiornare le informazioni e sincronizzarle con XDR. Dalla dashboard e dalla console unificate potete visualizzare tutte le informazioni sugli ecosistemi di gestione degli utenti interni ed esterni.
• Se volete condurre un'indagine approfondita, valutate i servizi di ricerca delle minacce di SentinelOne. Potrete individuare altri IoCs (indicatori di compromissione) associati agli indirizzi IP degli aggressori o alle loro campagne.
• Continuate a usare la piattaforma SentinelOne per difendervi dagli attacchi di forza bruta tramite RDP e proteggere le risorse critiche della vostra organizzazione. Adottate le migliori misure di cybersecurity e rafforzate le difese cloud contro le minacce emergenti.

Esempi reali di attacchi informatici basati su RDP

Esempi reali di attacchi informatici basati su RDP

La porta predefinita 3389 di RDP può essere utilizzata per lanciare attacchi on-path. BlueKeep è stata una delle vulnerabilità RDP più gravi ed è stata ufficialmente etichettata come CVE-2019-0708. Si trattava di un'esecuzione di codice remoto (RCE) senza autenticazione e conforme a un formato specifico. Era funzionante e finì per diffondersi ad altre macchine all'interno della rete. Gli utenti non potevano fare nulla e i malintenzionati avevano compromesso i sistemi ottenendo un accesso non autorizzato, muovendosi lateralmente all'interno della rete durante tutto il processo. Hanno aumentato i privilegi e installato malware, arrivando persino a distribuire ransomware.

La porta predefinita 3389 di RDP può essere sfruttata per lanciare attacchi on-path. BlueKeep era una delle vulnerabilità RDP più gravi ed era ufficialmente identificata come CVE-2019-0708. Consentiva l'esecuzione di codice da remoto (RCE) senza autenticazione e seguiva un formato specifico. Era sfruttabile e finì per diffondersi ad altre macchine della rete. Gli utenti non potevano intervenire e gli aggressori avevano compromesso i sistemi ottenendo accessi non autorizzati e muovendosi lateralmente nella rete durante l'intero processo. Avevano elevato i propri privilegi e installato malware, distribuendo persino ransomware.

Gli aggressori possono identificare rapidamente le porte RDP configurate in modo errato e lanciare attacchi utilizzando web crawler come Shodan. Possono avviare attacchi di forza bruta e ottenere automaticamente un accesso non autorizzato e persino avviare attacchi man-in-the-middle (MitM). Anche moduli malware come Sodinokibi, GandCrab e Ryuk possono essere coinvolti in attacchi RDP, come nel caso dell'attacco ransomware RobinHood che ha colpito la città di Baltimora.

Gli aggressori possono individuare rapidamente le porte RDP configurate in modo errato e lanciare attacchi usando crawler web come Shodan. Possono avviare automaticamente attacchi di forza bruta, ottenere accesso non autorizzato e persino lanciare attacchi man-in-the-middle (MitM). Anche moduli malware come Sodinokibi, GandCrab e Ryuk possono essere coinvolti negli attacchi RDP, come nel caso dell'attacco ransomware RobinHood subito dalla città di Baltimora.

Mitigare gli attacchi RDP con SentinelOne

Contrastate gli attacchi RDP con SentinelOne

SentinelOne è in grado di bloccare le connessioni Remote Desktop Protocol, compresi gli attacchi sospetti P2P al desktop remoto. Può utilizzare le sue funzionalità di sicurezza degli endpoint per proteggere l'accesso remoto per la shell remota completa. È possibile distribuire l'agente SentinelOne e monitorare tutte le applicazioni e i file, compresi i processi e le connessioni relativi a RDP.

SentinelOne blocca le connessioni Remote Desktop Protocol, compresi gli attacchi sospetti tramite desktop remoto P2P. Sfrutta le sue funzionalità di sicurezza degli endpoint per proteggere l'accesso remoto alla shell completa. Distribuite l'agente SentinelOne e monitorate tutte le applicazioni e i file, inclusi i processi e le connessioni legati a RDP.

SentinelOne può distribuire automaticamente l'accesso remoto a tutti i dispositivi, compresi quelli relativi a RDP.

SentinelOne può distribuire automaticamente l'accesso remoto su tutti i dispositivi, inclusi quelli relativi a RDP.

È inoltre possibile utilizzare SentinelOne per intraprendere azioni quali mettere in quarantena i file e ripristinare le modifiche non autorizzate. È in grado di rilevare e bloccare gli attacchi P2P RDP che utilizzano strumenti commerciali disponibili in commercio come TeamViewer o VMC per il controllo remoto.

Potete usare SentinelOne anche per eseguire azioni, come mettere in quarantena i file e annullare le modifiche non autorizzate. Rileva e blocca gli attacchi RDP P2P che usano strumenti commerciali pronti all'uso come TeamViewer o VMC per il controllo remoto.

È inoltre possibile rilevare e proteggersi dalle vulnerabilità più recenti, come la vulnerabilità BlueKey, nota per prendere di mira e sfruttare le connessioni RDP. SentinelOne fornisce misure di sicurezza aggiuntive, come l'implementazione di controlli di accesso basati su criteri. Utilizza password dedicate per crittografare ogni sessione e implementa anche l'autenticazione a più fattori.

Potete anche rilevare le vulnerabilità più recenti e proteggervi da esse, come la vulnerabilità BlueKey, nota per colpire e sfruttare le connessioni RDP. SentinelOne offre ulteriori misure di sicurezza, come i controlli degli accessi basati su policy. Usa password dedicate per crittografare ogni sessione e implementa anche l'autenticazione a più fattori.

È in grado di applicare l'autenticazione a due fattori prima di consentire l'accesso e dispone di dati di auditing dettagliati.

Può richiedere l'autenticazione a due fattori prima di concedere l'accesso e fornisce dati di audit dettagliati.

SentinelOne può anche essere utilizzato per implementare l'accesso remoto a tutti i dispositivi, inclusi i processi e le connessioni relativi a RDP.

Potete usare SentinelOne anche per distribuire l'accesso remoto su tutti i dispositivi, inclusi i processi e le connessioni relativi a RDP.

L'agente e lo strumento da riga di comando di SentinelOne possono gestire i propri agenti. Può controllarne lo stato, eseguire diagnosi e monitorare e proteggere gli endpoint. SentinelOne si integra anche con altre piattaforme come SonicWall e NinjaOne con la sua app dedicata. Assicura connessioni RDP senza interruzioni su più piattaforme e fornisce la migliore sicurezza integrata basata sull'intelligenza artificiale.

L'agente e lo strumento a riga di comando di SentinelOne gestiscono gli agenti. Verificano lo stato, eseguono la diagnostica, monitorano e proteggono gli endpoint. SentinelOne si integra anche con altre piattaforme come SonicWall e NinjaOne tramite la sua app dedicata. Garantisce connessioni RDP fluide su più piattaforme e offre la migliore sicurezza integrata basata sull'intelligenza artificiale.

.

.

Conclusione e CTA

Conclusione e invito all'azione

Gli attacchi RDP rimangono una minaccia per le organizzazioni di qualsiasi dimensione. È possibile difendersi da tali attacchi seguendo le pratiche descritte in questa guida. Per garantire la sicurezza sono necessarie password efficaci, autenticazione a più fattori e aggiornamenti regolari. È possibile individuare tempestivamente attività sospette monitorando il traffico di rete e i registri RDP. È necessario disabilitare RDP quando non lo si utilizza e limitare l'accesso tramite firewall e liste di autorizzazione. Tuttavia, per garantire una buona difesa sono necessari strumenti avanzati e la formazione dei dipendenti. SentinelOne offre una protezione basata sull'intelligenza artificiale che rileva e blocca automaticamente le minacce basate su RDP, offrendo visibilità e controllo completi dell'ambiente desktop remoto.

Gli attacchi RDP restano una minaccia per le organizzazioni di qualsiasi dimensione. Difendetevi seguendo le indicazioni di questa guida. Per restare protetti, usate password sicure, l'autenticazione a più fattori e aggiornamenti regolari. Individuate tempestivamente le attività sospette monitorando il traffico di rete e i log RDP. Disabilitate RDP quando non lo utilizzate e limitate l'accesso tramite firewall e liste di autorizzazione. Per una solida postura di sicurezza servono anche strumenti avanzati e formazione del personale. SentinelOne offre una protezione basata sull'IA che rileva e blocca automaticamente le minacce basate su RDP, dandovi visibilità e controllo completi sul vostro ambiente desktop remoto.

Proteggete la vostra azienda oggi stesso con SentinelOne.

Proteggete oggi la vostra azienda con SentinelOne.