Sou um desenvolvedor com pouca experiência administrativa, administrando remotamente um único servidor web dedicado.
Uma recente auditoria de segurança independente do nosso site recomendou que "o RDP não seja exposto à Internet e que uma solução de gerenciamento robusta, como uma VPN, seja considerada para acesso remoto. Quando usado, o RDP deve ser configurado para autenticação de servidor para garantir que os clientes não possam ser sujeito a ataques man-in-the-middle."
Depois de ler um pouco, parece que a autenticação no nível da rede é uma coisa boa, então habilitei o "Permitir conexões apenas da Área de Trabalho Remota com NLA"opção no servidor hoje.
Esta ação é suficiente para mitigar o risco de um ataque Man-in-the-Middle? Ou há outras etapas essenciais que devo seguir? Se a VPN for essencial, como faço para fazer isso?
Responder1
Você realmente deverianãoter o RDP aberto ao mundo, mesmo com o NLA ativado. O NLA reduz os ataques MITM, mas se você estiver usando o certificado autoassinado padrão para acesso RDP, não estará muito seguro.
Um dos principais motivos pelos quais você não deseja deixar o RDP aberto para o mundo é evitar tentativas automatizadas de quebra de senha. Se você remover o RDP das interfaces voltadas para a Internet, você mitigará completamente os ataques aleatórios e automatizados de força bruta. Instalar algo como uma VPN para acesso remoto é altamente recomendado e útil.
Há muitas maneiras de implementar uma VPN. O Windows possui uma VPN IPSEC integrada, por exemplo. O OpenVPN Access Server também é gratuito para até dois usuários simultâneos se você quiser seguir a rota SSL VPN.
Se você precisar de instruções muito específicas sobre como configurar uma VPN, então você precisa pesquisar as opções, escolher uma tecnologia, ler a documentação e, em seguida, abrir uma nova pergunta com quaisquer preocupações ou problemas que você tenha ao implementá-la. Apenas perguntar "Como faço para implementar uma VPN" é muito amplo para falha no servidor.
Responder2
Da mesma forma que um usuário pode clicar diretamente em um aviso SSL em seu navegador, evitar ataques man-in-the-middle ainda é responsabilidade do usuário.
Tudo o que esta mudança conseguiu foi impedir a conexão de clientes mais antigos que não suportam NLA (e a validação de identidade do servidor que isso fornece).
Para clientes RDP versão 6, eles não são mais nem menos vulneráveis a um ataque como eram ontem - um usuário clicando em uma caixa de diálogo de identidade do servidor é tudo o que precisa acontecer para que um ataque man-in-the-middle seja bem-sucedido.
Responder3
Não, o NLA foi projetado para minimizar a superfície de ataque do servidor de Área de Trabalho Remota. A proteção man-in-the-middle ocorre quando você configura a conexão do servidor de Área de Trabalho Remota com um certificado válido. No entanto, se os usuários ignorarem o aviso que aparece se o servidor ou certificado não for confiável ou válido, eles ainda poderão se conectar a um servidor de Área de Trabalho Remota hostil e essa vulnerabilidade não terá nada a ver com o seu servidor de Área de Trabalho Remota.
De:
Configurar a autenticação em nível de rede para conexões de serviços de área de trabalho remota
http://technet.microsoft.com/en-us/library/cc732713.aspx
"A autenticação em nível de rede conclui a autenticação do usuário antes de você estabelecer uma conexão de área de trabalho remota e a tela de logon aparecer. Este é um método de autenticação mais seguro que pode ajudar a proteger o computador remoto [servidor de área de trabalho remota] contra usuários mal-intencionados e software mal-intencionado. As vantagens da rede Autenticação de nível são:
"Ele requer menos recursos do computador remoto [servidor de desktop remoto] inicialmente. O computador remoto usa um número limitado de recursos antes de autenticar o usuário, em vez de iniciar uma conexão completa de desktop remoto como nas versões anteriores.
“Isso pode ajudar a fornecer melhor segurança, reduzindo o risco de ataques de negação de serviço”.