RDP ( ) 桌面遠(yuǎn)程傳輸協(xié)議是一種多通道協(xié)議，允許用戶連接到提供 終端服務(wù)的計算機。使用的遠(yuǎn)程數(shù)據(jù)傳輸協(xié)議是RDP（數(shù)據(jù)）可靠數(shù)據(jù)協(xié)議。因為它的默認(rèn)端口是3389，所以在網(wǎng)絡(luò)工程師的口中被親切地稱為“3389”。簡單來說，通過3389端口遠(yuǎn)程連接，讓你可以像操作自己的電腦一樣操作千里之外的電腦，隨心所欲。

美國網(wǎng)絡(luò)犯罪報告中心 (IC3) 與湖北 IT 公司 (DHS) 和聯(lián)邦調(diào)查局 (FBI) 合作，發(fā)布了有關(guān)可通過遠(yuǎn)程桌面協(xié)議 (RDP) 進(jìn)行的攻擊的安全警報。美國應(yīng)急響應(yīng)小組表示，攻擊者可能會破壞暴露的 RDP 服務(wù)以進(jìn)行企業(yè)盜竊、安裝后門或作為其他攻擊的跳板。（跳板，簡單來說，就是隱藏你的地址服務(wù)器運維技術(shù)，讓別人找不到你的位置。） “

“黑客已經(jīng)找到了識別和利用互聯(lián)網(wǎng)上易受攻擊的 RDP 會話來危害他人、竊取登錄憑據(jù)和勒索其他敏感信息的方法。聯(lián)邦調(diào)查局和國土安全部 (DHS) 建議企業(yè)和一些個體經(jīng)營者應(yīng)該及時檢查其網(wǎng)絡(luò)上允許的遠(yuǎn)程訪問并采取預(yù)防措施，例如在不需要遠(yuǎn)程訪問時禁用 RDP。”

多年來，有很多人在黑市上出售被黑的遠(yuǎn)程桌面帳戶。現(xiàn)在這筆交易仍在進(jìn)行中。

據(jù)藍(lán)盟IT外包統(tǒng)計，2020年上半年以來，80%的被勒索軟件攻擊的中小企業(yè)，最致命的漏洞是“3389”端口。簡單來說，“3389”端口是IT運維人員遠(yuǎn)程管理內(nèi)網(wǎng)計算機的一種便捷方式。無需額外安裝軟件，只要開啟操作系統(tǒng)自帶的遠(yuǎn)程桌面服務(wù)，即打開操作系統(tǒng)的3389端口即可。方便遠(yuǎn)程操作和日常運維工作。如果想在外網(wǎng)操作企業(yè)內(nèi)網(wǎng)的服務(wù)器，只需通過網(wǎng)關(guān)設(shè)備（路由器或防火墻）將服務(wù)器的3389端口發(fā)布到公網(wǎng)地址即可，即 只需連接企業(yè)公網(wǎng)地址的3389端口即可。您可以直接在企業(yè)內(nèi)網(wǎng)上遠(yuǎn)程操作相應(yīng)的服務(wù)器設(shè)備。

既然“3389”這么好用，一些IT運維人員為了方便，會在網(wǎng)上公布重要服務(wù)器的3389端口，以便隨時操作，但安全性和方便性往往是矛盾的。遠(yuǎn)程管理還有助于黑客進(jìn)行遠(yuǎn)程攻擊。黑客可以通過密碼爆破在3389端口上暴力破解服務(wù)器的管理員密碼（暴力猜測是暴力破解的方法，暴力破解的基本思路是根據(jù)一些條件確定答案的大概范圍題，并在此范圍內(nèi)逐一驗證所有可能的情況，直到所有情況都被驗證。如果驗證后所有條件都不滿足問題的所有條件，則該問題無解。運維人員沒有更改管理員的默認(rèn)賬號名（最常見的情況是管理員帳號密碼會在半天內(nèi)更改。黑客通過遠(yuǎn)程連接“3389”爆破！接下來是勒索軟件即服務(wù) (RaaS)、中毒、加密和橫向傳播的常規(guī)例程。. . . . . . s 默認(rèn)賬戶名（ ），密碼可以是弱密碼（長度小于10個字符，不包含大小寫字母和數(shù)字等特殊字符）。最常見的情況是管理員帳號密碼會在半天內(nèi)更改。黑客通過遠(yuǎn)程連接“3389”爆破！接下來是勒索軟件即服務(wù) (RaaS)、中毒、加密和橫向傳播的常規(guī)例程。. . . . . . s 默認(rèn)賬戶名（ ），密碼可以是弱密碼（長度小于10個字符，不包含大小寫字母和數(shù)字等特殊字符）。最常見的情況是管理員帳號密碼會在半天內(nèi)更改。黑客通過遠(yuǎn)程連接“3389”爆破！接下來是勒索軟件即服務(wù) (RaaS)、中毒、加密和橫向傳播的常規(guī)例程。. . . . . . 接下來是勒索軟件即服務(wù) (RaaS)、中毒、加密和橫向傳播的常規(guī)例程。. . . . . . 接下來是勒索軟件即服務(wù) (RaaS)、中毒、加密和橫向傳播的常規(guī)例程。. . . . . .

可以說，對外發(fā)布的“3389”確實是勒索病毒攻擊中小企業(yè)的必經(jīng)之路！那么我們該如何防御呢？

最好的辦法當(dāng)然是堅決避免在外網(wǎng)發(fā)布“3389”，同時也避免在內(nèi)網(wǎng)發(fā)布（如果客戶端被勒索病毒攻擊，勒索病毒會橫向移動到內(nèi)網(wǎng)的3389端口）網(wǎng)絡(luò)服務(wù)器）。藍(lán)盟IT外包發(fā)布，至少推薦以下幾點：

* 設(shè)置密碼策略，強制使用強密碼，同時設(shè)置密碼嘗試輸入一定次數(shù)鎖定賬戶；

* 如需遠(yuǎn)程管理，建議使用vpn或企業(yè)版遠(yuǎn)程管理軟件；

* 及時更新補丁，確保服務(wù)器操作系統(tǒng)為最新版本；

* 部署安全軟件，自動屏蔽產(chǎn)生爆破行為的IP地址段，或開啟雙因素認(rèn)證，增加爆破難度；

* 在網(wǎng)絡(luò)邊界部署具有IPS功能的防火墻設(shè)備服務(wù)器運維技術(shù)，可以識別掃描和爆破行為，獨立進(jìn)行防御。

需要強調(diào)的是，將3389端口改為其他端口并不能阻止黑客的掃描和爆破攻擊，風(fēng)險與默認(rèn)的“3389”相同。如果您需要了解更多關(guān)于“3389”的信息，請聯(lián)系藍(lán)盟IT外包免費咨詢。

文/上海藍(lán)盟IT外包專家