RDP on Untrusted Network

Postřehy z bezpečnosti: ransomware na třetí přes jedno špatné zabezpečení

Jan Kopriva — Mon, 15 Aug 2022 08:00:00 -0500

Na portálu Root.cz byl dnes publikován můj nový příspěvek do seriálu Postřehy z bezpečnosti, v němž se podíváme na aktivně zneužívané zranitelnosti v platformě Zimbra, úspěšný průnik do sítě společnosti Cisco i tři ransomwarové útoky na jednu organizaci v průběhu dvou týdnů…

Otevřené porty v roce 2021

Jan Kopriva — Wed, 05 Jan 2022 07:30:00 +0200

Rok 2021 je za námi, což znamená, že nastal čas podívat se, jak se změnil český internet v jeho průběhu.

Jako vždy, i tentokrát byla veškerá data získána z platformy Shodan a nemusí tak být zcela přesná (viz první příspěvek s přehledem otevřených portů). Významnější změny a trendy zachycené v grafech by nicméně měly odpovídat skutečnosti.

Zmínku si zaslouží, že Shodan začal před několika měsíci nabízet novou službu nazvanou Trends, která umožňuje snadno získat podobné grafy, jako jsou ty níže uvedené, pro libovolné vyhledávací parametry. Vzhledem k uvedenému je možné, že toto bude poslední příspěvek v sérii zaměřené na otevřené porty na internetu… Neb ale Shodan Trends umožňuje zobrazit pouze “obecné” grafy s citelně nižší úrovní detailu (zdá se, že Shodan pro generování grafů využívá pro každý měsíc pouze průměr, nebo medián, zatímco níže uvedené grafy jsou vytvořeny na základě hodnot získaných v průběhu jednotlivých dní), je možné, že se rozhodnu pokračovat alespoň v publikaci každoročních přehledů jako je tento - uvidíme…

Následující grafy se týkají České republiky, pokud by vás však zajímala data týkající se globálního internetu, můžete je nalézt zde.

Níže můžete nalézt grafy zachycující následující protokoly a porty:

Web

E-mail

SSL/TLS

Industrial Control Systems (ICS)

SSH (port 22)

Telnet (port 23)

DNS (port 53)

NTP (port 123)

SNMP (port 161)

SMB (port 445)

RDP (port 3389)

Web

HTTP (port 80)

HTTPS (port 443)

TLS 1.3 (port 443)

TLS 1.2 (port 443)

TLS 1.1 (port 443)

TLS 1.0 (port 443)

SSL 3.0 (port 443)

SSL 2.0 (port 443)

E-mail

SMTP (port 25)

SMTPS (port 465)

IMAP (port 143)

IMAPS (port 993)

POP3 (port 110)

POP3S (port 995)

SSL/TLS

TLS 1.3 (všechny porty)

TLS 1.2 (všechny porty)

TLS 1.1 (všechny porty)

TLS 1.0 (všechny porty)

SSL 3.0 (všechny porty)

SSL 2.0 (všechny porty)

Industrial Control Systems

Všechny průmyslové protokoly

Modbus (port 502)

EIBnet/IP (port 3671)

BACnet/IP (port 47808)

Otevřené porty v Q3 2021

Jan Kopriva — Fri, 01 Oct 2021 15:00:00 +0200

Do konce roku už zbývají jen tři měsíce a nastal tak čas podívat se, jak se za třetí čtvrtletí 2021 změnil český internet.

Následující grafy se týkají České republiky, pokud by vás však zajímala data týkající se globálního internetu, můžete je nalézt zde.

Níže můžete nalézt grafy zachycující následující protokoly a porty:

Web

E-mail

SSL/TLS

Industrial Control Systems (ICS)

SSH (port 22)

Telnet (port 23)

DNS (port 53)

NTP (port 123)

SNMP (port 161)

SMB (port 445)

RDP (port 3389)

Web

HTTP (port 80)

HTTPS (port 443)

TLS 1.3 (port 443)

TLS 1.2 (port 443)

TLS 1.1 (port 443)

TLS 1.0 (port 443)

SSL 3.0 (port 443)

SSL 2.0 (port 443)

E-mail

SMTP (port 25)

SMTPS (port 465)

IMAP (port 143)

IMAPS (port 993)

POP3 (port 110)

POP3S (port 995)

SSL/TLS

TLS 1.3 (všechny porty)

TLS 1.2 (všechny porty)

TLS 1.1 (všechny porty)

TLS 1.0 (všechny porty)

SSL 3.0 (všechny porty)

SSL 2.0 (všechny porty)

Industrial Control Systems

Všechny průmyslové protokoly

Modbus (port 502)

EIBnet/IP (port 3671)

BACnet/IP (port 47808)

Otevřené porty v Q2 2021

Jan Kopriva — Wed, 30 Jun 2021 21:15:00 +0200

První polovina roku 2021 je za námi a nastal tak čas podívat se, jak se za tři uplynulé měsíce změnil internet.

Následující grafy se týkají České republiky, pokud by vás však zajímala data týkající se globálního internetu, můžete je nalézt zde.

Níže můžete nalézt grafy zachycující následující protokoly a porty:

Web

E-mail

SSL/TLS

Industrial Control Systems (ICS)

SSH (port 22)

Telnet (port 23)

DNS (port 53)

NTP (port 123)

SNMP (port 161)

SMB (port 445)

RDP (port 3389)

Web

HTTP (port 80)

HTTPS (port 443)

TLS 1.3 (port 443)

TLS 1.2 (port 443)

TLS 1.1 (port 443)

TLS 1.0 (port 443)

SSL 3.0 (port 443)

SSL 2.0 (port 443)

E-mail

SMTP (port 25)

SMTPS (port 465)

IMAP (port 143)

IMAPS (port 993)

POP3 (port 110)

POP3S (port 995)

SSL/TLS

TLS 1.3 (všechny porty)

TLS 1.2 (všechny porty)

TLS 1.1 (všechny porty)

TLS 1.0 (všechny porty)

SSL 3.0 (všechny porty)

SSL 2.0 (všechny porty)

Industrial Control Systems

Všechny průmyslové protokoly

Modbus (port 502)

EIBnet/IP (port 3671)

BACnet/IP (port 47808)

Otevřené porty v Q1 2021

Jan Kopriva — Mon, 05 Apr 2021 11:30:00 +0200

První kvartál roku 2021 je za námi a nastal tak čas podívat se na změny v počtech veřejných IP adres s různými otevřenými porty. Tentokrát se podíváme nejen na to, jak se za tři uplynulé měsíce internet změnil z pohledu jednotlivých používaných portů, ale také na změny v podpoře různých verzí protokolů TLS a SSL.

Následující grafy se týkají České republiky, pokud by vás však zajímala data týksjící se globálního internetu, můžete je nalézt zde.

Níže můžete nalézt grafy zachycující následující protokoly a porty:

Web

E-mail

SSL/TLS

Industrial Control Systems (ICS)

SSH (port 22)

Telnet (port 23)

DNS (port 53)

NTP (port 123)

SNMP (port 161)

SMB (port 445)

RDP (port 3389)

Web

HTTP (port 80)

HTTPS (port 443)

TLS 1.3 (port 443)

TLS 1.2 (port 443)

TLS 1.1 (port 443)

TLS 1.0 (port 443)

SSL 3.0 (port 443)

SSL 2.0 (port 443)

E-mail

SMTP (port 25)

SMTPS (port 465)

IMAP (port 143)

IMAPS (port 993)

POP3 (port 110)

POP3S (port 995)

SSL/TLS

TLS 1.3 (všechny porty)

TLS 1.2 (všechny porty)

TLS 1.1 (všechny porty)

TLS 1.0 (všechny porty)

SSL 3.0 (všechny porty)

SSL 2.0 (všechny porty)

Industrial Control Systems

Všechny průmyslové protokoly

Modbus (port 502)

EIBnet/IP (port 3671)

BACnet/IP (port 47808)

Otevřené porty v roce 2020

Jan Kopriva — Fri, 01 Jan 2021 17:00:00 +0200

Je za námi poslední kvartál roku 2020 a nastal tak čas podívat se na změny v počtech IP adres s různými otevřenými porty. Tentokrát se podíváme na data za celý rok 2020 a to jak pro Českou republiku, tak pro celý internet.
Veškerá data jsou získaná z platformy Shodan a nemusí tak být zcela přesná (viz první příspěvek s přehledem otevřených portů), nicméně významnější změny a trendy zachycené v grafech by měly odpovídat skutečnosti.

Níže můžete nalézt grafy zachycující následující protokoly a porty:

Web

E-mail

Industrial Control Systems (ICS)

SSH (port 22)

Telnet (port 23)

DNS (port 53)

NTP (port 123)

SNMP (port 161)

SMB (port 445)

RDP (port 3389)

HTTP (port 80)

HTTPS (port 443)

SMTP (port 25)

SMTPS (port 465)

IMAP (port 143)

IMAPS (port 993)

POP3 (port 110)

POP3S (port 995)

All ICS protocols

Modbus (port 502)

EIBnet/IP (port 3671)

BACnet/IP (port 47808)

Otevřené porty v Q3 2020

Jan Kopriva — Wed, 30 Sep 2020 07:30:00 +0200

Již dlouhou dobu sbírám ze služby Shodan data týkající se počtů veřejných IP adres, na nichž jsou otevřené různé porty a na nichž běží různé služby. Vzhledem k tomu, že změny těchto počtů v čase mohou být poměrně zajímavé, rozhodl jsem se začít publikovat (s kvartální periodou) grafy, které tyto změny zachycují. První sadu grafů můžete najít zde.
Všechny grafy se týkají globálních čísel, pro představu o situaci v České republice tak níže uvádím alespoň graf týkající se portu 3389, tedy služby RDP.

SANS ISC Diary - Couple of interesting Covid-19 related stats

Jan Kopriva — Tue, 21 Jul 2020 10:55:00 +0200

Dnes vyšel můj nový příspěvek na stránkách SANS Internet Storm Center. Podíváme se v něm na vztah mezi regionálními restrikcemi spojenými s Covid-19 a počty IP adres s protokoly pro vzdálený přístup otevřenými do internetu.

Dopad uvolňování opatření spojených s Covid-19 na RDP a další protokoly pro vzdálený přístup

Jan Kopriva — Sat, 11 Jul 2020 08:30:00 +0200

Opatření přijatá k omezení šíření Covid-19 vedla mnoho organizací k plošnému zavádění práce z domova a k souvisejícímu zpřístupnění některých služeb a protokolů z Internetu. Jedním z protokolů, který tuto skutečnost krásně demonstroval, byl i Remote Desktop Protocol. Počet veřejných IP adres, na nichž bylo RDP dostupné, se v ČR zvýšil jenom v průběhu března o více než 15 procent (viz graf věnovaný RDP zde - https://untrustednetwork.net/en/2020/04/02/open-ports-in-the-time-of-corona/#cz).
Bylo by rozumné předpokládat, že postupné uvolňování zmíněných opatření by mělo mít opačné dopady, tedy že jednotlivé organizace začnou v rámci návratu do běžného režimu otevřené porty postupně uzavírat. V datech získaných ze služby Shodan se však v případě SSH a zejména Telnetu situace nijak skokově nezměnila a teprve na konci druhého kvartálu byl viditelný citelnější úytek veřejných IP adres, na nichž byly v ČR tyto protokoly dostupné.

U opětovného zablokování RDP přístupů byla však reakce organizací podstatně rychlejší. Procento českých IP adres, na nichž byl tento protokol povolen, dosáhlo svého maxima krátce po 27. 4., kdy došlo k významnému omezení některých opatření. Viditelný „skok“ je v níže uvedeném grafu rovněž viditelný k 25. 5., kdy byla citelně omezena povinnost nošení roušek.

Je otázkou, zda je výše popsané omezení užívání RDP na veřejných IP adresách v ČR spojeno výhradně s návratem k běžnému pracovnímu režimu ve většině organizací, nebo zda do rozhodnutí o zablokování přímého přístupu ke vzdálené ploše z internetu částečně zasáhnuly i obavy z kybernetických útoků.
Vzhledem k tomu, že RDP je jedním z dominantních vektorů průniku do sítí užívaných skupinami zaměřenými na cílenou distribuci ransomwaru, lze v každém případě popsaný vývoj situace okolo RDP považovat za pozitivní.

Otevřené porty za časů Corony

Jan Kopriva — Thu, 02 Apr 2020 08:59:20 +0200

Aktuální situace okolo Covid-19 donutila většinu organizací, u nichž to bylo možné, k podpoře práce z domova. Tato změna se také promítla v počtech otevřených portů dostupných z internetu - došlo, mimo jiné, k citelnému nárůstu dostupných SSH serverů. Neb je tento trend poměrně zajímavý, připravil jsem na základě dat ze služby Shodan několik grafů pokrývajících vývoj počtu vybraných otevřených portů na globální úrovni i ve vybraných státech. Najít je můžete zde.