(Server 2008) best practices RDP

[andy88]

Ik heb thuis enkele vm's met Windows Server 2008 Standard, één van deze machines wil ik ook vanaf het internet kunnen beheren en ik kan geen VPN opzetten.

Ik heb, naar mijn idee, alle do's watbetreft Remote Desktop toegepast, maar wil van jullie weten hoe veilig deze setup is. Ben ik bijvoorbeeld ook beschermd tegen brute force aanvallen a la TSgrinder?

- RDP luistert extern op een niet-standaard poort in de private range
- Administrator account heeft een andere username
- Ik gebruik sterke passwords (!@$sjBaj8@#**g bijvoorbeeld)
- Windows Firewall staat aan
- Machine is helemaal up to date
- Er staat maar 1 account in de groep Remote Desktop Users
- Ik heb een password lockout police ingesteld die het account locked na 5 foutieve pogingen
- Er word een self signed certficaat uitgegeven


Mijn concrete vragen:
- De clients van waaraf ik werk zijn Linux based dus NLA is hierbij niet mogelijk?
- Is het nodig om ook de poort waarop RDP intern luistert aan te passen?
- Kan ik de beveiliging verbeteren door een officieel (trusted) certificaat te gebruiken?

[ Voor 5% gewijzigd door andy88 op 19-05-2014 21:44 ]

[DRaakje]

Ziet er goed uit.

[ Voor 87% gewijzigd door DRaakje op 19-05-2014 21:51 ]

[Jazzy]

Met een officieel certificaat weten jouw gebruikers dat ze tegen de officiele RDP server praten en niet hun credentials afgeven aan een man-in-the-middle. In jouw geval maakt dat dus niet uit.

De poort intern maakt niet uit, en zelfs het aanpassen van de externe poort is een maatregel waar je over het nut kunt discussieren.

Verder is een lang wachtwoord beter dan een complex wachtwoord.

[SlaadjeBla]

andy88 schreef op maandag 19 mei 2014 @ 21:42:
- Kan ik de beveiliging verbeteren door een officieel (trusted) certificaat te gebruiken?

Dat verhoogt alleen de veiligheid als je niet op een andere manier het certificaat kan valideren. Aangezien je zelf het certificaat hebt gegenereerd en dus zijn thumbprint kunt controleren, heeft het geen zin een certificaat te gebruiken van een trusted authority.

Als je echt paranoïde bent, zou je voor extra veiligheid nog 2 factor authentication kunnen toevoegen, bijvoorbeeld via azure multi-factor authentication. Je hebt dan een username/password en een geactiveerde app op je smartphone nodig om te connecten. Zie hier voor meer info.

[andy88]

De poort intern maakt niet uit, en zelfs het aanpassen van de externe poort is een maatregel waar je over het nut kunt discussieren.

Dit doe ik vooral om wormen e.d. die het web afstruinen naar servers die luisteren op poort 3389. Een gerichte hacker zal natuurlijk een volledige scan doen waarbij zelfs poort 57050 (om maar even wat te noemen) door de mand valt.

[andy88]

2 factor auth zou helemaal super zijn echter is dit voor zover ik kan zien enkel mogelijk als je de RD broker gebruikt?

[M2M]

andy88 schreef op maandag 19 mei 2014 @ 22:05:
2 factor auth zou helemaal super zijn echter is dit voor zover ik kan zien enkel mogelijk als je de RD broker gebruikt?

je moet misschien even nagaan hoeveel moeite en tijd het gaat kosten voor een hacker om binnen te komen. Als de boel na 5 pogingen al geblocked wordt en de wachtwoorden dermate lang zijn dat ze eigenlijk niet te raden zijn heeft de hacker al zo'n gigantisch botnet nodig om binnen te komen dat het zich ook niet meer loont.

Continue login pogingen zijn wel irritant overigens. CPU spikes bijvoorbeeld...

[SlaadjeBla]

andy88 schreef op maandag 19 mei 2014 @ 22:05:
2 factor auth zou helemaal super zijn echter is dit voor zover ik kan zien enkel mogelijk als je de RD broker gebruikt?

Volgens mij wel, inderdaad.
Ik betwijfel of jouw servers hiervoor interessant en waardevol genoeg zijn voor de moeite die het kost, maar wellicht vind je het ook gewoon leuk om het op te zetten.

Je zou ook nog naar client-certificaten kunnen kijken als authenticatiemiddel, maar dat wordt onder linux wellicht niet ondersteund.

[ Voor 13% gewijzigd door SlaadjeBla op 19-05-2014 22:10 ]

[dinux]

@M2M Met irritatie valt te leven Bovendien zijn daar prima oplossingen voor.

andy88 schreef op maandag 19 mei 2014 @ 21:42:
- Kan ik de beveiliging verbeteren door een officieel (trusted) certificaat te gebruiken?

Niet nodig zoals eerder al geschreven. Je zou een eigen root certificaat kunnen maken, daarmee je RDP certificaat ondertekenen en alle clients de root laten vertrouwen. Lijkt me een prima idee als je echt moeite en tijd wilt stoppen in authenticatie (op de al bestaande config). Dit wordt in Windows domeinen heel vaak gedaan als standaard.

[andy88]

Ik betwijfel of jouw servers hiervoor interessant en waardevol genoeg zijn voor de moeite die het kost, maar wellicht vind je het ook gewoon leuk om het op te zetten.

Daar heb je zeker een punt. Ze huisvesten ook geen top secret info maar ik wil wanneer ik een poort open en bloot aan het Internet hang wel zeker zijn dat ik alles volgens de best practises inricht.

Bedankt voor de info tot zo ver!

[Gomez12]

Jazzy schreef op maandag 19 mei 2014 @ 21:55:
en zelfs het aanpassen van de externe poort is een maatregel waar je over het nut kunt discussieren.

Valt niet zoveel over te discussieren hoor :
- Praktisch nut bij een gerichte hacker : Nul komma nul
- Praktisch nut qua log-files die nog leesbaar zijn omdat die alle portscans/scriptkiddies/etc missen : ongeveer 95%

Zo heb ik bijv een sms-alert staan op sommige servers en foutieve inlogs daarop, zouden die servers staan op port 3389 dan zou het ongeveer 10 minuten duren voordat mijn telefoon hardhandig in aanraking kwam met de muur.

Qua technische beveiliging is het nut 0,0, maar qua menselijke beveiliging bovenop de technische beveiliging is het erg goed.