Blog
私たちは、ユーザーが自分だけが見ることのできるプライベートネットワークをインターネットの中に構築できるようにすることで、すべてを安全につなぐことができると信じています。ゼロトラストIT/OTネットワーキングをサービスとして提供します。
言語
English
リモート・デスクトップ・プロトコルは、デフォルトで TCP ポート 3389 で動作するため、公共のインターネットからアクセスする場合、攻撃対象として大きな脅威にさらされます。この技術分析では、プロトコルの脆弱性、悪用方法、およびセキュリティ・リスクを排除するためのゼロ・トラスト・ネットワーク・アクセス・ソリューションの実装について検証します。
TCPポート3389の露出度ネットワーク・スキャンの調査によると、一般にアクセス可能なRDPエンドポイントは、全世界で約450万にのぼります。Shodan や Censys のような自動スキャン・ツールは、これらの露出したサービスを継続的にカタログ化しています。脅威当事者は、このインテリジェンスを活用して、脆弱な実装を組織的に狙っています。
プロトコルスタックの脆弱性RDP はアプリケーション層で動作し、トランスポートプロトコルとして TCP を使用します。リモート・デスクトップ・サービス（RDS）アーキテクチャには、攻撃ベクトルをもたらす複数のコンポーネントが含まれています：
各コンポーネントは、攻撃者が異なる方法論を通じて悪用する明確な脆弱性表面を提示する。
暗号化実装の脆弱性初期のRDPバージョンでは、RC4や56ビットDESなどの脆弱な暗号化アルゴリズムが実装されていました。最新の実装では、AES-256とTLS 1.2がサポートされていますが、多くの実装では互換性のために従来の暗号化が維持されています。攻撃者は、このような脆弱な実装を標的とした暗号ダウングレード攻撃を仕掛けてきます。
ブルートフォース攻撃の自動化攻撃者は、RDPサービスを列挙するために分散スキャンインフラストラクチャを展開します。一般的なツールには次のようなものがあります：
これらのツールは、露出したエンドポイントに対して1分間に何千もの認証試行を生成する。デフォルトの認証情報や脆弱なパスワードは、数時間以内にこれらの攻撃を受けてしまいます。
BlueKeep 脆弱性の連鎖 (CVE-2019-0708)BlueKeep の脆弱性は、Windows 7、Windows Server 2008、および Windows Server 2008 R2 の Remote Desktop Services コンポーネントに影響します。この脆弱性は、RDP 接続を処理する rdpwd.sys ドライバに存在します。
技術的な搾取には以下が含まれる：
マイクロソフトはパッチをリリースしたが、パッチを適用していないシステムは、ネットワーク上に自動的に拡散するワーム型攻撃に対して脆弱なままである。
クレデンシャルリレーとパスザハッシュ攻撃RDP 接続は NTLM ハッシュを送信しますが、攻撃者はこれを傍受し、再生します。このプロトコルのチャレンジレスポンス認証メカニズムにより、攻撃者は平文のパスワードなしにハッシュ値を取得することができるため、パスザハッシュ攻撃が可能となります。
攻撃シークエンス
境界防御のバイパス従来のファイアウォール規則は、特定のIP範囲からのポート3389へのインバウンド接続を許可しています。攻撃者は、次のような方法でこれらの制御を回避します：
横方向の移動の促進RDPの侵害に成功すると、標的システムへの完全なデスクトップアクセスが可能になります。攻撃者はこのアクセスを次のような目的で利用します：
データ流出経路RDPセッションは、クリップボードの共有、ファイル転送、プリンタのリダイレクトをサポートしています。これらの機能は、データ流出のための秘密のチャネルを作成します：
アイデンティティ中心のアクセス・コントロール ゼロ・トラスト・アーキテクチャは、アプリケーション・アクセスを許可する前に、ユーザーとデバイスを認証する。このアプローチは、ネットワークの場所に基づく暗黙の信頼を排除する。主なコンポーネントは以下の通り：
ソフトウェア定義境界アーキテクチャSDPの実装は、認証されたクライアントと特定のアプリケーションの間に暗号化された マイクロトンネルを作成する。このアーキテクチャには以下が含まれる：
リバースプロキシとアプリケーションの隠蔽ゼロ・トラスト・ソリューションでは、ユーザーとアプリケーションの間にリバースプロキシが配置される。このアーキテクチャは以下を提供します：
Peer-to-Peer Network OverlayRemote.オープンなインバウンドポートを必要とせず、暗号化されたピアツーピア接続を確立する。技術的な実装は以下の通り：
エージェントベースのアーキテクチャターゲットシステムにインストールされた軽量エージェントが、Remote.Itインフラストラクチャへのアウトバウンド接続を開始します。このアプローチにより、インバウンドポートの要件がなくなります：
認証と認可のフレームワーク・リモート。IDフェデレーションのためのOAuth 2.0とSAMLを実装している：
ネットワーク・セグメンテーションとマイクロセグメンテーションプラットフォームは、ユーザー・グループごとに分離されたネットワーク・セグメントを作成する：
従来のVPNとゼロ・トラスト・アクセス
VPNを導入すると、認証後に広範なネットワーク・アクセスが可能になる。ユーザーはネットワーク・セグメント全体にアクセスできるようになり、横方向の移動リスクが高まります。ゼロ・トラスト・ソリューションは、継続的な検証によってアプリケーション固有のアクセスを提供します。
パフォーマンス特性：
RDPゲートウェイとRemote.Itの比較
Microsoft RDP Gatewayは、RDPをHTTPSでカプセル化しますが、従来の境界セキュリティモデルを維持します。リモート.境界の露出を完全に排除します：
RDPゲートウェイの制限：
リモート.イットの利点
ネットワークアーキテクチャデザインRemote.ItエージェントをターゲットRDPサーバーに展開し、ポート3389へのすべてのインバウンド接続をブロックします。外部からのアクセスを完全に拒否するようにファイアウォールルールを設定する：
#
iptables -A INPUT -p tcp --dport 3389 -s 0.0.0.0/0 -j DROP
iptables -A INPUT -p tcp --dport 3389 -s 10.0.0.0/8 -j ACCEPT
監視とロギング すべてのRDP接続に対して包括的なロギングを実施する：
インシデント対応手順RDP 関連のセキュリティイベントに対する自動対応機能を開発する：
コンプライアンスとガバナンス RDPアクセス管理のポリシーを確立する：
Remote.Itのようなゼロ・トラスト・ソリューションによってRDPポートの露出を排除することで、必要なリモート・アクセス機能を維持しながら、組織の攻撃対象領域を大幅に削減できます。このアーキテクチャアプローチは、最新のセキュリティ原則に合致し、測定可能なリスク削減を実現します。
.png){kind=logo}
