Etäkäyttö ja kyberturvallisuusaltistus

Pilvitallennustilan ja älylaitteiden välissä erilaisten palveluiden etäkäytöstä on tullut arkipäivää. Etäkäyttö antaa ohjelmistokehittäjille ja järjestelmänvalvojille mahdollisuuden hallita teknistä infrastruktuuria ilman fyysistä pääsyä pilvipohjaisia palveluita tukevaan palvelimeen. Etätyöpöytäratkaisut voivat myös auttaa etäkäyttäjiä vianmäärityksessä. Etäkäyttö tarjoaa tehokkaan työkalun konfigurointiin ja järjestelmänhallintaan paikallisen infrastruktuurin ulkopuolella, mutta se tuo myös uusia riskejä luvattomaan käyttöön ja suojaamattomiin verkkoihin.

Mitä on etäkäyttö?

Etäkäytöllä tarkoitetaan prosessia, jossa ohjelmistoa tai käyttöjärjestelmää ohjataan toisesta järjestelmästä etänä. Sitä käytetään yleisesti tietokonelaitteissa, mutta se voidaan suorittaa myös mobiililaitteella (kuten ohjaamalla esineiden internet-laitteita älypuhelimella).

NIST Special Publication (SP) 800-114:n User's Guide to Remote Work and Bring Your Own Device (BYOD) Security -osa määrittelee etäkäytön "organisaation käyttäjien kyvyksi käyttää ei-julkisia tietojenkäsittelyresurssejaan muualta kuin organisaation tiloista". Etäkäytön avulla työntekijät voivat muodostaa yhteyden organisaation verkkoon, ja se voi myös tarjota yhteyden takaisin työntekijän laitteeseen tarvittaessa.

Tässä artikkelissa keskitytään jälkimmäiseen toimintoon etäyhteyksien helpottamiseksi, mikä suoritetaan tyypillisesti etätyöpöytäprotokollan avulla. On olemassa useita usein käytettyjä etätyöpöytäprotokollia, mukaan lukien Apple Remote Desktop Protocol (ARD) ja Windows-kohtainen Remote Desktop Protocol (RDP). Etätyöpöytäprotokollat tarjoavat käyttäjälle etäyhteyden toiseen laitteeseen, jolloin käyttäjä voi yleensä suorittaa toimintoja etälaitteessa laitteestaan. Tämän tyyppistä etäkäyttöä käytetään usein pilvipalvelimen hallintaan sekä hajautettujen työntekijöiden IT-tukeen. Etäistunnot voivat sisältää etätietokoneen määrityksiä ja vianmääritystä. Lisätietoja etäkäytön suojauksesta on artikkelissa NIST SP 600-46 Guide to Enterprise Telework, Remote Access and BYOD Security.

Organisaatiot käyttävät virtuaalisia yksityisverkkoja (VPN), järjestelmän etähallintaa ja selainpohjaisia sovelluksia mahdollistaakseen työntekijöiden pääsyn yrityksen verkkoihin. Järjestelmänvalvojat käyttävät yleensä Secure Shelliä (SSH) muodostaakseen yhteyden pilvipohjaisiin verkkopalvelimiin, ja eri pilviteknologioilla voi olla erityisiä portteja etämäärityksiä varten. Etäkäyttöratkaisuja on saatavilla erilaisiin tarpeisiin, ja joitakin yleisesti käytettyjä työkaluja ovat Apple Remote Desktop, Microsoft Remote Desktop, Any Desk, Citrix Virtual Apps, Digi RealPort, Intelligent Platform Management Interface (IPMI), OpenVPN, pcAnywhere, RealVNC, Secure Shell ja TeamViewer. Lisätietoja VPN-suojaussuosituksista on NIST SP 800-77:n IPsec-VPN-oppaassa ja NIST SP 800-113:n SSL-VPN-oppaassa.

Vaikka etäkäyttö on hyödyllinen työkalu, joka mahdollistaa maailmanlaajuisesti hajautetut tiimit, etätyön ja pilviinfrastruktuurin, se ei ole riskitöntä.

Etäkäytön altistumisriskit

Etäkäyttölaitteisiin ja -teknologioihin vaikuttavat uhat ja haavoittuvuudet voivat johtua heikommista suojausstandardeista tai käytöstä suojaamattomassa verkossa. Olipa kyse sitten työntekijän muodostamasta yhteyden organisaation työkaluihin julkisessa verkossa tai suojaamattomasta portista, joka sallii luvattoman pääsyn arkaluonteisiin tietoihin, on tärkeää, että asetat suojausprotokollat kaikille etäkäyttöyhteyksille.

Jos etäkäyttöä ei ole suojattu, organisaatiosi voi kohdata haittaohjelmahyökkäyksiä, tietoturvaloukkauksia ja mahdollisia tietojen menetyksiä. Kyberrikollinen voi navigoida paljaan portin läpi ladatakseen etäkäyttötroijalaisen, joka vaarantaisi tietojesi eheyden. Hakkeri voi ottaa palvelimesi tai muut määritystyökalut hallintaansa etätyöpöytäsovelluksesi avoimen portin kautta. Jos etäkirjautumistiedot ovat heikot tai niitä käytetään uudelleen eri laitteissa, kaapattujen tietojen ja raa'an voiman hyökkäysten todennäköisyys kasvaa.

Voit tunnistaa mahdolliset avoimen portin riskit etäkäyttötoiminnoistasi käyttämällä automaattista skannaustyökalua, kuten UpGuard BreachSightia. Automaattinen porttien tarkistus arvioi omaisuuttasi jatkuvan valvonnan ja haavoittuvuuksien hallinnan avulla. Useiden portteihin liittyvien havaintojen joukossa BreachSight tunnistaa seuraavat porttiriskit yleisesti käytetyille etätyöpöytäohjelmistoille:

'SSH'-portti auki
Apple Remote Desktop -portti auki
'Apple RemoteDesktop VNC' -portti auki
Etätyöpöytäportti auki

Secure Shell -protokolla (SSH) tarjoaa turvallisen menetelmän erillisen järjestelmän käyttämiseen ja hallintaan, ja sitä käytetään usein etäkirjautumiseen ja komentorivin suorittamiseen etäpalvelimella. SSH käyttää oletuksena porttia [.rt-script]22[.rt-script]. SSH-portin avauslöytö määrittää, onko portti [.rt-script]22[.rt-script] alttiina julkiselle internetille.

Applen etätyöpöytä (ARD) mahdollistaa etävalvonnan ja -ohjauksen Mac-laitteille, mukaan lukien iOS-laitteet. TCP:ssä (Transmission Control Protocol) ARD käyttää porttia [.rt-script]5900[.rt-script] ohjaukseen ja havainnointiin, porttia [.rt-script]3283[.rt-script] raportointiin ja porttia [.rt-script]22[.rt-script] tiedostojen siirtoon SSH-tunnelin kautta. UDP:n (User Datagram Protocol) kanssa ARD käyttää portteja [.rt-script]5900[.rt-script] ja [.rt-script]3283[.rt-script]. Hyökkääjä voi saada järjestelmän hallintaansa paljaan portin kautta, joten pääsy ARD-palveluun tulee rajoittaa luotettuihin käyttäjiin ja rajoitettu tunnettuihin IP-osoitteisiin. Virtual Network Computing (VNC) -käyttöoikeuden myöntäminen ARD:n avulla antaa VNC-käyttäjälle mahdollisuuden hallita näyttöä. Arvioi sekä Apple RemoteDesktop VNC -portin auki että Apple RemoteDesktop VNC -portin avauslöydökset pienimmän oikeuden periaatteella.

Windows-käyttöjärjestelmissä ja muissa avoimen lähdekoodin järjestelmissä, kuten Linuxissa, Remote Desktop Protocol (RDP) tarjoaa etätyöpöytäyhteydet RDP-tuettuihin järjestelmiin. RDP käyttää oletusarvoisesti porttia [.rt-script]3389[.rt-script], vaikka voit vaihtaa kuunteluporttia. Kuten ARD-havainnot, "Remote Desktop" -portin avoin havainto osoittaa, että RDP-portti on julkisesti käytettävissä, mikä voi antaa kyberrikollisille pääsyn järjestelmääsi. Arvioi, voidaanko portti rajoittaa sisäisiin verkkoihin ja VPN-verkkoihin.

BreachSight tunnistaa myös etäkäyttöohjelmistokohtaiset työkalut, kuten seuraavat:

Citrix ICA -portti auki
'Digi Realport' -portti auki
'IPMI'-portti auki
"PCAnywhere Status" -portti auki
TeamViewer-portti auki

Vaihtoehto Microsoft RDP:lle, Citrix Independent Computing Architecture (ICA) on patentoitu järjestelmä, jota käytetään Citrix Virtual Apps and Desktops -sovelluksissa. Citrix Virtual Apps and Desktops tarjoaa virtuaalisen työpöytäinfrastruktuurin (VDI), joten etäkäyttö on tärkeä ominaisuus. Citrix ICA käyttää porttia [.rt-script]1494[.rt-script], mutta se voi olla myös osa Common Gateway Protocol -protokollaa portissa [.rt-script]2598[.rt-script]. Luvattoman pääsyn ja verkkohäiriöiden estämiseksi ICA-portti tulisi rajata sisäisiin verkkoihin ja VPN-yhteyksiin. Jos et käytä ICA-palvelua, poista portti kokonaan käytöstä.

Digi RealPort tarjoaa COM-uudelleenohjauksen laitteille, joissa ei yleensä ole sarjaporttia, mutta jotka on otettava käyttöön verkossasi. RealPort sisältää salaus- ja TLS-yhteysvaihtoehdot, vaikka jokainen on määritettävä itsenäisesti. RealPort käyttää oletuksena porttia [.rt-script]771[.rt-script] käytössä olevassa Digi-laitteessa ja asettaa lisäportteja viestintäkanaville. Jos saat "Digi Realport" -portin avoimen löydön, tiedät, että käytössä oleva portti on julkisesti saatavilla. Voit ottaa palomuuriin käyttöön kulunvalvontaluettelon, jolla voit hallita, miten liikenne liikkuu portissa.

Jos käytät alustan hallintaan IPMI (Intelligent Platform Management Interface) -liittymää, varmista, että olet määrittänyt vahvat käytönvalvontaparametrit ja rajoittanut liikennettä, jotta vain yksityisen verkon valtuutetut järjestelmänvalvojat voivat määrittää pohjalevyn hallintaohjaimen (BMC). Muuten kyberrikolliset voivat ohittaa tietoturvakontrollit, asentaa uuden käyttöjärjestelmän ja käyttää tietoja IPMI:n kautta. BMC:t ovat arvokas kohde kyberrikollisille, joten ole varovainen IPMI-porttien paljastumisen ja IPMI-portin avoimen löydön suhteen. IPMI toimii tyypillisesti portissa [.rt-script]623[.rt-script], joka voidaan tutkia nopeasti, jos se paljastuu. Jos portin on pysyttävä auki, varmista, että olet päivittänyt järjestelmänvalvojan tunnistetiedot vahvaan salasanaan.

Kuten nimestä voi päätellä, pcAnywhere antoi käyttäjälle mahdollisuuden käyttää tietokonetta mistä tahansa ohjelmiston avulla. pcAnywhere-ohjelmisto saavutti käyttöikänsä lopussa vuonna 2014 tietoturvaongelmien ja hotfix-korjausten jälkeen sen viimeisinä vuosina. UDP:ssä pcAnywhere käyttää portteja [.rt-script]22[.rt-script] ja [.rt-script]5632[.rt-script], kun taas se käyttää porttia [.rt-script]5631[.rt-script] TCP:lle. Koska pcAnywhere on lopetettu eikä se enää saa päivityksiä, portti on suljettava. Jos organisaatiosi käyttää edelleen pcAnywhereä etäkäyttöön, vaihda välittömästi toiseen palveluntarjoajaan.

TeamViewer tarjoaa tietokoneiden ja muiden päätelaitteiden etäkäytön ja -hallinnan. Se käyttää portteja [.rt-script]5938[.rt-script], [.rt-script]443[.rt-script] ja [.rt-script]80[.rt-script] yhteyksiin. Portti [.rt-script]5938[.rt-script] on ensisijainen portti sekä TCP- että UDP-yhteyksille, ja [.rt-script]443[.rt-script] ja [.rt-script]80[.rt-script] tarjoavat vara-TCP-yhteyksiä. Kuten muutkin etäyhteysportit, pääsy Teamvieweriin tulee reitittää VPN:n kautta ja rajoittaa luotettuihin IP-osoitteisiin.

BreachSight tunnistaa myös yleisesti käytettyjen VPN-verkkojen porttireitityksen:

'IKE VPN' -portti auki
'OpenVPN' portti auki

Internet Key Exchange (IKE) -protokolla tarjoaa suojatun tunnelin VPN-viestinnälle. IKE on vakioprotokolla, josta on saatavilla kaksi versiota. IKE toimii UDP:n kautta käyttämällä porttia [.rt-script]50[.rt-script]0. Kun se on yhdistetty NAT-läpikulkuun, se voi käyttää myös UDP-porttia [.rt-script]4500[.rt-script]. Jos aiot käyttää L2TP (Layer Two Tunneling Protocol) -protokollaa, tarvitset myös portinohjauksen UDP-portissa [.rt-script]1701[.rt-script]. Koska VPN tarjoaa päätepisteen tietoliikennetunneleita, pääsy tulee rajoittaa luotettuihin IP-osoitteisiin ja muutoin sulkea julkiselta internetiltä.

OpenVPN tarjoaa turvallisen, avoimen lähdekoodin VPN:n, joka käyttää OpenSSL-kirjaston salaussalauksia. Oletuksena OpenVPN käyttää TCP-porttia [.rt-script]443[.rt-script] ja UDP-porttia [.rt-script]1194[.rt-script] UDP:n suosituksella. "OpenVPN"-portin avoin haku osoittaa, onko OpenVPN:n käyttösi julkisesti saatavilla. Jos OpenVPN-järjestelmäsi on määritetty väärin, luvattomat käyttäjät voivat käyttää yksityisiä resursseja VPN-tunnelin kummassakin päässä.

Jos tunnistat nämä paljastetut portit tai olet muuten huolissasi etäkäyttötekniikoiden käytöstä, voit suojata hyökkäyspinnan kyberturvallisuustoimenpiteitä.

Etäkäyttötyökalujen suojaaminen

Kun harkitset etäkäyttöön liittyviä turvatoimia, esitä kaksi kysymystä:

Kenen on käytettävä etäkäyttötyökaluja?
Millaista etäyhteyttä kyseinen henkilö tarvitsee?

Saatat huomata, että useimmat työntekijät eivät tarvitse etäkäyttö- ja -hallintatyökaluja täysimääräisesti. Vahva palomuurikäytäntö ja VPN:n käyttö voisivat palvella suurinta osaa tiimistäsi. Niille, jotka tarvitsevat yhteyden muodostamiseen ja infrastruktuurin hallintaan, voit asettaa käyttö- ja määritysasetuksia koskevia käytäntöjä.

Sen lisäksi, että kaikki työntekijät edellyttävät vahvoja salasanavaatimuksia, voit ottaa käyttöön palomuuri- ja VPN-tunnelisääntöjä rajoittaaksesi pääsyä etämääritysten hallintaan. Käytä käyttäjätietojen ja käyttöoikeuksien hallintatyökaluja, jotka edellyttävät todennusta lisäsuojaustasoille. Voit myös vaatia, että tiimi ei suorita etäohjausistuntoja julkisista Internet-verkoista, mikä rajoittaa etätukitiimisi pääsyä luotettuihin IP-osoitteisiin.

Kaikki määritysasetukset on tarkastettava säännöllisesti ja yhteysliikennettä on seurattava odotetun käytön varmistamiseksi. Pysy ajan tasalla työkaluketjuun vaikuttavista ohjelmistohaavoittuvuuksista automaattisen skannausratkaisun avulla. Voit testata etäkäytön suojauskäytäntöjäsi noudattamalla NIST SP 800-115 Technical Guide to Information Security Testing and Assessment -opasta.

UpGuard BreachSight auttaa sinua ymmärtämään ulkoiseen tietoturvaasi vaikuttavat riskit. Käyttäjäystävällisen alustamme ja reaaliaikaisten tietojemme avulla voit tarkastella organisaatiosi kyberturvallisuutta yhdellä silmäyksellä ja viestiä sisäisesti riskeistä, haavoittuvuuksista tai ajankohtaisista tietoturvaloukkauksista.

Jos haluat lisätietoja verkkotunnuksesi käytännöistä suhteessa näihin paljaisiin porttihavaintoihin ja muihin tietoturvaongelmiin, siirry BreachSightin riskiprofiiliisi ja etsi kutakin havaintoa nimeltä. Kun olet tunnistanut huolenaiheita, voit hallita korjausprosessia myös UpGuardissa. Voit ottaa yhteyttä asiakastukitiimiimme tutkiaksesi ja tarkistaaksesi kaikki omaisuudestasi havaitut havainnot.

Jos et ole nykyinen UpGuard-käyttäjä ja haluat tarkistaa julkiset resurssisi näiden ja muiden havaintojen varalta, rekisteröidy kokeiluun.