Дополнительная защита терминального сервера под Windows 2008+ или блокируем кулл-хацкеров

При открытии терминального сервера "наружу" неизбежно придет время, когда вы обнаружите в логах системы большое количество попыток подбора логина и пароля, которые, при большом потоке данных, могут банально заDDOSить сервер до полной невозможности работы пользователей. Да, есть и VPN, и проверка подлинности на уровне сети, и смена номера порта на роутере и т.д,, но все равно проходят и атаки идут. Так усложним им работу :)

Потребуется:

• Windows 2008+
• Скрипт
• База данных (Access файл или MS SQL)
• Настроенный брэндмауэр Windows (даже если сервер у вас за внешним файрволом)

Идея работы: ловим событие аудита отказа логина, помечаем адрес злоумышленника в базе, считаем сколько раз событие произошло и, при достижении определенного порога, делаем новую блокирующую запись в правилах файрволла.

В 2008+ сервере появилась возможность выполнить задачу при наступлении определенного события, так воспользуеся этим.

Создадим новую задачу по событию аудита отказа входа в систему, которая будет запускать VBS скрипт. 

После создания задачи нужно открыть ее свойства и поставить галку "Выполнять с наивысшими правами".

Теперь нужно определиться, как передать параметры из события, в частности, интересует IP-адрес, с которого идет подбор паролей, и подбираемый логин. В Windows, как всегда, напрямую сделать нельзя, поэтому пойдем через черный ход.

В планировщике заданий находим созданную нами задачу, нажимаем на ней правой кнопкой и выбираем пункт "Экспортировать". Сохраняется файл в формате XML.

Сохранили? Теперь откроем файл в Блокноте и допишем следующие блоки, выделенные желтым цветом. Внимание, верстка немного едет, если что - см. рис 7.

2. <Task version="1.2" xmlns="http://schemas.microsoft.com/windows/2004/02/mit/task">
3.   <RegistrationInfo>
4.     <Date>2013-12-02T22:50:07.3872408>
5.     <Author>X>
6.   >
7.   <Triggers>
8.     <EventTrigger>
9.       <Enabled>true>
10.       <Subscription><QueryList><Query Id="0" Path="Security"><Select Path="Security">*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and EventID=4625]]</Select></Query></QueryList>>
11.  
12.       <ValueQueries>
13.    <Value name="TargetUserName">Event/EventData/Data[@Name='TargetUserName']>
14.    <Value name="IpAddress">Event/EventData/Data[@Name='IpAddress']>
15.      >
16.  
17.    >
18.   >
19.   <Principals>
20.     <Principal id="Author">
21.       <UserId>X>
22.       <LogonType>Password>
23.       <RunLevel>LeastPrivilege>
24.     >
25.   >
26.   <Settings>
27.     <MultipleInstancesPolicy>IgnoreNew>
28.     <DisallowStartIfOnBatteries>true>
29.     <StopIfGoingOnBatteries>true>
30.     <AllowHardTerminate>true>
31.     <StartWhenAvailable>false>
32.     <RunOnlyIfNetworkAvailable>false>
33.     <IdleSettings>
34.       <StopOnIdleEnd>true>
35.       <RestartOnIdle>false>
36.     >
37.     <AllowStartOnDemand>true>
38.     <Enabled>true>
39.     <Hidden>false>
40.     <RunOnlyIfIdle>false>
41.     <WakeToRun>false>
42.     <ExecutionTimeLimit>P3D>
43.     <Priority>7>
44.   >
45.   <Actions Context="Author">
46.     <Exec>
47.       <Command>C:\Windows\System32\cscript.exe>
48.       <Arguments>C:\Users\dmitry\BLOCK\RDP.vbs '$(TargetUserName)' '$(IpAddress)'>
49.     >
50.   >
51. >

 Сохраняем файл, удаляем старую задачу и там же импортируем новую из скорректированного способа. Таким вот затейливым способом можно распарсить данные в XML файле события и передать их в качестве параметров в нужный нам скрипт.

Собственно скрипт.

1. Dim ipAddress, idLogin
2. Const adOpenStatic = 3
3. Const adLockOptimistic = 3 
4. Const toBlock = 4
5.  
6. Set objConnection = CreateObject("ADODB.Connection") 
7. Set objRecordSet = CreateObject("ADODB.Recordset") 
8. Set objRecordSet2 = CreateObject("ADODB.Recordset") 
9.  
10. if wscript.arguments.count > 0 then
11. idLogin = wscript.arguments.item(0)
12. ipAddress = wscript.arguments.item(1)
13.  
14. else
15. idLogin = "---"
16. ipAddress = "---"
17. end if
18.  
19. ' настраивам подключение к хранилищу
20. ' в качестве хранилища может использоваться база данных как MS SQL, так и обычная база MS Access
21. objConnection.Open _ 
22.     "Provider=SQLOLEDB;Data Source=cloud-sql;" & _ 
23.         "Trusted_Connection=Yes;Initial Catalog=RDP_BlockIP;" & _ 
24.              "User ID=RDP_BlockIP;Password=RDP_BlockIP;" 
25.  
26. ' отметим в базе что была попытка подключения с ipAddress с логином idLogin
27. objRecordSet.Open "insert into dbo.IP values (GETDATE(), " & ipAddress & ", " & idLogin & ", null)", _ 
28.         objConnection, adOpenStatic, adLockOptimistic 
29.  
30.  
31. Dim wsh
32. Set wsh = WScript.CreateObject("WScript.Shell")
33.  
34. ' посчитаем, сколько раз за 24 часа было попыток подключения с указанного адреса
35. ' считается только для адресов, которые не входят в адреса-исключения и не были уже обработаны ранее
36. objRecordSet.Open "SELECT COUNT(LoginDate) as Attempts FROM [RDP_BlockIP].[dbo].IP WHERE [LoginDate] > GETDATE()-1 and (not [IP] in (select * from [RDP_BlockIP].[dbo].exclude_ip)) and (Done is null) and [IP] = " & ipAddress , _ 
37.         objConnection, adOpenStatic, adLockOptimistic 
38.  
39. objRecordSet.MoveFirst 
40.  
41.  
42. Dim fso, tf
43.  
44. ' Сделаем событиный файл, который подхватит jabber-робот и пришлет адресату
45. ' Можно убрать или заменить на отправку почты, или что-то еще
46. Set fso = CreateObject("Scripting.FileSystemObject")
47. Set tf = fso.CreateTextFile("\\betta\jabber\audit_rdp.txt", True)
48. tf.WriteLine("dmitry@192.168.0.3")
49. tf.WriteLine("********** RDP ALERT src: " & ipAddress & ", usr: " & idLogin & "**********") 
50. tf.WriteBlankLines(3) 
51. tf.Close
52. ' По этоу строку можно удалять, если не требуется
53.  
54.  
55.  
56. Do Until objRecordSet.EOF
57.   ' Если попыток подбора больше определенного значения...
58. if (objRecordSet("Attempts") >= toBlock) and (Len(ipAddress)>4) Then
59. ' ...то добавим в файрволл windows ipAddress с политикой блокировки доступа к порту 3389
60.     wsh.Run("netsh advfirewall firewall add rule name=RDP_AUTOBLOCK_" & Replace(ipAddress,"'","") & " dir=in action=block profile=any remoteip=" & Replace(ipAddress,"'","") & " localport=3389 protocol=tcp")
61.  
62. ' Тут можно сделать СМС-оповещение, etc
63.  
64. Set wsh = Nothing
65.     ' Пометим что для указанного адреса все события обработаны
66. objRecordSet2.Open "update [RDP_BlockIP].[dbo].IP set [done]=1 where [IP] =" & ipAddress  , _ 
67.         objConnection, adOpenStatic, adLockOptimistic 
68. end if
69. objRecordSet.MoveNext
70. Loop

 Скрипт работает с базой (в примере с MS SQL), поэтому база должна быть, как и пользователь, с которым производится подключение.

Структура таблиц банальна (см. рис.). Первая таблица накапливает данные по IP-адресам, вторая предназначеня для адресов-исключений.

Итог работы.

Потираем руки и смотрим, как появляются новый записи при попытках брутфорса:

Обновление

 Список часто подбираемых логинов, зафиксированных этим скриптом за 2 месяца