RDP (Remote Desktop Protocol) — протокол Microsoft для підключення до графічного робочого столу комп’ютера з Windows через мережу, за замовчуванням через TCP-порт 3389.
Як працює RDP
RDP дає змогу адміністраторам і працівникам працювати на віддаленому комп’ютері так, ніби вони сидять за ним: сервер передає зображення екрана, клієнт — натискання клавіш і рухи миші. Протокол вбудовано у Windows, і його широко використовують для адміністрування серверів, віддаленої роботи й підтримки. Сучасні версії шифрують трафік за допомогою TLS і підтримують Network Level Authentication (NLA), що вимагає входу до створення повноцінної сесії.
Чому RDP — головний вектор атак
Сотні тисяч RDP-серверів доступні просто з інтернету, і багато з них захищені лише паролем. Тому RDP — один із найчастіших векторів початкового доступу для програм-вимагачів:
- Перебір і розпилення паролів — боти постійно пробують популярні паролі до відкритого RDP, див. брутфорс.
- Викрадені облікові дані — брокери початкового доступу продають робочі RDP-доступи на злочинних форумах.
- Вразливості — BlueKeep (CVE-2019-0708) була «хробакоподібною» вразливістю віддаленого виконання коду без автентифікації в старих версіях Windows.
Усередині мережі зловмисники використовують RDP і для горизонтального переміщення з викраденими обліковими даними адміністраторів, бо RDP-сесії виглядають як звичайне адміністрування.
Як захистити RDP
- Ніколи не відкривати RDP безпосередньо в інтернет; розміщувати його за VPN чи шлюзом RD Gateway з MFA.
- Увімкнути NLA, політики блокування облікових записів і надійні унікальні паролі.
- Обмежити коло користувачів і адрес, яким дозволено підключення, і вимкнути RDP там, де він не потрібен.
- Вчасно оновлювати Windows і відстежувати в журналах численні невдалі входи та незвичні RDP-підключення.
