Protegendo o acesso RDP ao Windows Server 2008 R2: a Autenticação no Nível da Rede é suficiente?

Question

Eu sou um desenvolvedor com pouco conhecimento em administração, administrando um único servidor web dedicado remotamente.

Uma recente auditoria de segurança independente do nosso site recomendou que "o RDP não está exposto à Internet e que uma solução de gerenciamento robusta, como uma VPN, é considerada para acesso remoto". Quando usado, o RDP deve ser configurado para Autenticação do Servidor para garantir que os clientes não possam ser submetidos a ataques man-in-the-middle. "

Depois de ler um pouco, parece que a autenticação no nível da rede é uma coisa boa, por isso ativamos a opção " Permitir conexões somente da área de trabalho remota com NLA " no servidor hoje.

Esta ação é suficiente para mitigar o risco de um ataque Man-in-the-Middle? Ou existem outros passos essenciais que eu deveria tomar? Se a VPN é essencial, como faço para isso?

    

Answer 1

Você realmente deve não ter o RDP aberto para o mundo, mesmo com o NLA ativado. A NLA reduz os ataques MITM, mas se você estiver usando o certificado auto-assinado padrão para acesso RDP, não estará muito seguro.

Uma das principais razões pelas quais você não deseja deixar o RDP aberto para o mundo é evitar tentativas automatizadas de quebra de senhas. Se você remover o RDP de interfaces voltadas para a Internet, você mitigará completamente ataques aleatórios e automatizados de força bruta. Colocar algo como uma VPN no local para acesso remoto é altamente recomendável e útil.

Existem várias maneiras de implementar uma VPN. O Windows tem uma VPN IPSEC integrada, por exemplo. O OpenVPN Access Server também é gratuito para até dois usuários simultâneos se você quiser usar a rota SSL VPN.

Se você precisar de instruções muito específicas sobre como configurar uma VPN, será necessário pesquisar as opções, escolher uma tecnologia, ler a documentação e, em seguida, abrir uma nova pergunta com quaisquer preocupações ou problemas que você tenha implementado. Basta perguntar "Como eu implemento uma VPN" é muito amplo para falha do servidor.

    

Answer 2

Da mesma forma que um usuário pode clicar diretamente em um aviso SSL em seu navegador, a evitação de ataques man-in-the-middle ainda é de responsabilidade do usuário.

Tudo o que essa alteração realizou é impedir a conexão de clientes mais antigos que não suportam NLA (e a validação de identidade do servidor que isso fornece).

Para clientes RDP versão 6, eles não são mais nem menos vulneráveis a ataques do que eram ontem - um usuário clicando em uma caixa de diálogo de identidade do servidor é tudo o que precisa acontecer para um intermediário. ataque para ser bem sucedido.

    

Answer 3

Não, o NLA foi projetado para minimizar a superfície de ataque do servidor da Área de trabalho remota. A proteção man-in-the-middle ocorre quando você configura a conexão do servidor de área de trabalho remota com um certificado válido. No entanto, se os usuários dispensarem o aviso exibido se o servidor ou certificado não for confiável ou válido, eles ainda poderão se conectar a um servidor hostil da Área de Trabalho Remota e essa vulnerabilidade não terá nada a ver com o servidor da Área de Trabalho Remota.

De:
Configurar a autenticação no nível da rede para conexões de serviços de área de trabalho remota
link

"A Autenticação em Nível de Rede conclui a autenticação do usuário antes de estabelecer uma conexão de área de trabalho remota e a tela de logon é exibida. Esse é um método de autenticação mais seguro que pode ajudar a proteger o computador remoto de usuários mal-intencionados e softwares mal-intencionados. As vantagens da Autenticação no Nível da Rede são:

"Requer inicialmente menos recursos de computador remoto [servidor de área de trabalho remota]. O computador remoto usa um número limitado de recursos antes de autenticar o usuário, em vez de iniciar uma conexão de área de trabalho remota completa como nas versões anteriores.

"Isso pode ajudar a fornecer mais segurança reduzindo o risco de ataques de negação de serviço."