În acest material explicăm ce este, cum funcționează și, mai ales, cum protejăm infrastructura de atacuri de tip port scanning.
O campanie masivă și coordonată a vizat recent serviciile Microsoft Remote Desktop Web Access și RDP Web Client. Compania de securitate GreyNoise a raportat 30.000 de adrese IP implicate simultan în scanări, o creștere semnificativă față de cele aproximativ 2.000 observate cu doar trei zile mai devreme.
Atacatorii s-au concentrat pe exploatarea unor vulnerabilități de tip timing, care permit identificarea numelor de utilizator valabile prin diferențele de răspuns ale serverului, chiar fără introducerea parolelor corecte. Această metodă oferă o bază solidă pentru atacuri ulterioare de tip brute-force, password spraying sau credential stuffing.
Cum funcționează scanarea porturilor
Atacatorii folosesc tehnici de port scanning pentru a identifica sisteme expuse. Acest proces constă în trimiterea de pachete către diverse porturi ale unui IP și analiza răspunsurilor primite pentru a afla ce servicii sunt active. Instrumente precum Nmap sau Masscan le permit să testeze milioane de adrese IP într-un timp foarte scurt.
Printre metodele utilizate se numără TCP Connect Scan, SYN Scan și scanările stealth, care au rolul de a evita detectarea. După ce sunt descoperite porturile deschise, atacatorii pot extrage informații despre serviciile și versiunile software-ului activ, ceea ce le oferă indicii despre posibile vulnerabilități.
Serviciile vizate cel mai frecvent în atacurile de tip port scanning
Pentru a înțelege mai bine de ce aceste scanări sunt periculoase, este important să fie clarificate principalele servicii pe care atacatorii le vizează atunci când sunt expuse la internet.
Remote Desktop Protocol (RDP) este tehnologia Microsoft care permite accesul de la distanță la interfața grafică a unui computer. Protocolul funcționează implicit pe portul 3389 și, fiind folosit pentru administrarea directă a sistemelor, devine o țintă preferată pentru atacuri.
Secure Shell (SSH) este un protocol criptat utilizat pentru administrarea serverelor Unix/Linux și pentru transfer de fișiere. Rulează pe portul 22 și, atunci când este expus public, este frecvent atacat prin metode brute-force.
Hypertext Transfer Protocol (HTTP/HTTPS) reprezintă standardul de bază al comunicării web. HTTP transmite date necriptate pe portul 80, în timp ce HTTPS, pe portul 443, adaugă un strat de securitate prin criptare TLS/SSL. Chiar și așa, aplicațiile web pot rămâne vulnerabile dacă sunt accesibile direct din exterior.
De ce accesul din internet trebuie blocat
Expunerea directă a acestor servicii pe internet crește considerabil riscul de atac. Scanările automate le pot descoperi rapid, iar atacatorii pot testa parole slabe, pot exploata vulnerabilități sau pot încerca atacuri de tip brute-force. În plus, metode precum atacurile de tip timing le oferă posibilitatea să identifice conturi valide înainte de a lansa atacuri mai agresive.
Recomandarea este ca aceste servicii să nu fie accesibile public, ci doar prin intermediul unei conexiuni VPN. VPN-ul creează un tunel securizat între utilizator și rețeaua internă, astfel încât doar persoanele autorizate pot ajunge la resursele critice. Închiderea porturilor și limitarea accesului exclusiv prin VPN reduce semnificativ șansele ca un atacator să compromită infrastructura.
Alte câteva măsuri pentru securizarea infrastructurii împotriva atacurilor de tip port scanning
Actualizarea regulată a sistemelor prin patch-uri este esențială pentru închiderea vulnerabilităților, inclusiv a celor de tip zero-day. Lipsa update-urilor lasă serverele expuse la exploatări cunoscute, care pot fi folosite rapid în atacuri automate.
Implementarea unui firewall hardware adaugă un strat suplimentar de apărare. Acest tip de echipament filtrează traficul la nivel de rețea și poate bloca tentativele de acces neautorizat înainte ca acestea să ajungă la serverele interne.
Înlocuirea echipamentelor înainte de a ajunge la sfârșitul ciclului de viață (EOL) este la fel de importantă. Dispozitivele care nu mai primesc suport sau actualizări de securitate devin puncte vulnerabile în infrastructură și pot compromite întreaga rețea.
Concluzie
Campania recentă de scanare a arătat cât de organizate și masive pot fi operațiunile de recunoaștere împotriva serviciilor Microsoft RDP. Pentru a preveni compromiterea infrastructurii, organizațiile trebuie să restricționeze expunerea serviciilor critice și să implementeze măsuri suplimentare de securitate, precum accesul prin VPN și monitorizarea continuă a autentificărilor.
Dacă aveți nevoie de ajutor pentru actualizarea infrastructurii companiei, vă stăm la dispoziție.
Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, punând activ umărul la dezvoltarea IT a companiilor client.
