Het E-Root-incident: het belang van het beveiligen van RDP- en SSH-accounts

Een van de meest opvallende veranderingen in cybercriminaliteit sinds het begin van de 21e eeuw is het volwassen worden van de illegale industrie, van individuele hackers tot volledig winstgevende bedrijven. E-Root, een wereldwijde illegale marktplaats, werd in 2020 door de politie opgedoekt, maar haalde onlangs het nieuws omdat de beheerder 20 jaar cel kan krijgen voor het verkopen van gestolen Remote Desktop Protocol (RDP)- en Secure Shell (SSH)-accounts.

E-Root is gespecialiseerd in het faciliteren van de verkoop van verschillende digitale goederen, inclusief gestolen inloggegevens en toegang tot gecompromitteerde servers. Kopers kregen gefilterde zoektools om op de marktplaats te navigeren, met criteria zoals ISP, besturingssysteem, RDP- of SSH-toegang en meer. De cybercriminele organisatie werkt via een wijdverspreid netwerk om veerkrachtiger en onvindbaarder te zijn, met bescherming om de echte identiteit van leveranciers, kopers en beheerders te maskeren.

Dit incident dient als een grimmige herinnering aan het belang van het beveiligen van geprivilegieerde toegang om datalekken te voorkomen, omdat cyberbedreigingen blijven evolueren en toenemen.

Remote Desktop Protocol

RDP is een netwerkcommunicatieprotocol waarmee gebruikers via het Windows-besturingssysteem op afstand verbinding kunnen maken met de lokale computers van een organisatie. Het wordt ook vaak gebruikt door IT-teams om serveronderhoud en andere taken op afstand uit te voeren.

RDP werkt als een geheime infrastructuur dat mensen gebruiken, meestal IT-beheerders en DevOps-personeel, hoewel soms gewone eindgebruikers RDP gebruiken om op afstand toegang te krijgen tot bestanden.

Hoewel RDP een waardevolle tool is voor beheer op afstand, wordt het een aanzienlijk beveiligingsrisico als het wordt uitgebuit door cybercriminelen. Gecompromitteerde RDP-wachtwoorden zijn al jarenlang de meest voorkomende vector voor ransomware-infecties.

Ransomware-aanvallen zijn niet het enige nare wat kan gebeuren als een RDP-wachtwoord is gecompromitteerd. Zodra een dreigingsactor het RDP binnendringt, kunnen ze softwaretools en commandoregelscripting gebruiken om meer inloggegevens te vinden en te stelen, zich een weg door het netwerk van de organisatie te banen en toegang te krijgen tot hun bestanden. Ze kunnen die bestanden stelen, verwijderen, wijzigen of wat ze maar willen.

Secure Shell

SSH is een cryptografisch netwerkprotocol dat gebruikt wordt voor veilige datacommunicatie, inloggen op de commandoregel op afstand en andere veilige netwerkdiensten tussen twee netwerkcomputers. SSH-sleutels en andere verbindingsinloggegevens zijn cruciale hulpmiddelen voor DevOps- en DevSecOps-teams en worden op grote schaal gebruikt voor veilige toegang tot servers.

Het is een uitdaging om SSH-sleutels en andere inloggegevens op een veilige manier te gebruiken. Het verzenden van sleutels over een netwerk of tussen gebruikers brengt risico’s met zich mee.

Als gevolg hiervan kunnen gecompromitteerde SSH-accounts worden misbruikt om ongeautoriseerde controle te krijgen over de servers en gevoelige gegevens van een organisatie.

Als de enige manier om RDP- en SSH-accounts te stelen via onveilige verbindingen op afstand is, is er dan een effectieve manier om dit te voorkomen?

Maatregelen nemen om RDP- en SSH-accounts te beschermen tegen het dark web

Organisaties zijn sterk afhankelijk van RDP en SSH voor een feilloze werking, waardoor ze hoofddoelwitten zijn voor cybercriminelen. Gestolen accounts komen vaak terecht op dark web-marktplaatsen zoals E-Root.

Hoewel het neerhalen van E-Root een positieve ontwikkeling was, blijven veel andere illegale markten bestaan, wat de voortdurende dreiging onderstreept. Om SSH- en RDP-inloggegevens tegen diefstal en misbruik te beschermen, moeten organisaties de volgende proactieve stappen nemen:

• Veilige privileged accounts: implementeer sterke maatregelen voor het definiëren, beheren en beveiligen van accounts met verhoogde toegang tot IT-systemen. Dit omvat de opslag van wachtwoorden en geheimen in een veilige kluis, samen met op rollen gebaseerde toegangscontroles om gevoelige inloggegevens te beperken tot alleen de personen die absoluut toegang nodig hebben.
• Dwing het principe van de minimale privileges af: beperk de toegangsrechten voor gebruikers, applicaties en systemen door alleen de minimale toegangsniveaus te verlenen die werknemers nodig hebben om hun vereiste taken uit te voeren. Met minimale privileges kunnen organisaties het risico op ongeautoriseerde toegang en mogelijk misbruik beperken.
• Roteer inloggegevens: roteer regelmatig inloggegevens om de beveiligingsbedreigingen te verminderen die verband houden met beëindigingen, inbreuken, blootstelling aan dark web en meer. Deze maatregel verbetert de beveiliging door het minimaliseren van de kans voor kwaadaardige actoren om gecompromitteerde inloggegevens te misbruiken.
• Beheer geprivilegieerde sessies: zorg ervoor dat kritieke infrastructuur toegankelijk is via geprivilegieerd accountsessiebeheer. Alle sessies moeten veilig zijn en inloggegevens moeten verborgen blijven voor eindgebruikers om ongeautoriseerde toegang te voorkomen.

Keeper® is de beste optie om RDP- en SSH-accounts te beschermen

De Geprivilegieerd toegangsbeheer (PAM)-oplossing van Keeper Security is een platform van de volgende generatie voor het voorkomen van ongeautoriseerde toegang tot kritieke systemen en gegevens. KeeperPAM™ beschermt al uw RDP- en SSH-accounts, digitale certificaten en andere gevoelige verbindingstokens. De zero-trust en zero-knowledge architectuur van Keeper betekent dat uw geheimen, inloggegevens en externe verbindingen alleen toegankelijk zijn voor geautoriseerde personen.

Met Keeper Secrets Manager (KSM) kunnen DevOps- en DevSecOps-teams binnen hun systemen dynamische programmatische toegang tot hun geheimen en inloggegevens creëren, zonder dat er nieuwe hardware of agentsoftware nodig is en deze hoeft te installeren. KSM werkt in de cloud met vooraf geconfigureerde verbindingen voor de allerbeste tools in de industrie. Dit vergemakkelijkt een naadloze integratie van KSM in het huidige IT-park van een organisatie, waardoor de noodzaak voor extra apparaten wordt geëlimineerd terwijl de zero-knowledge en zero-trust architectuur van Keeper wordt ingezet voor het hoogste beveiligingsniveau.

Keeper Connection Manager (KCM) biedt IT- en DevOps-personeel eenvoudige en veilige toegang tot RDP, SSH, databases en Kubernetes-eindpunten, zonder dat een VPN nodig is. Met KCM zijn er geen tussenpersonen. Uw webbrowser is de klant en er is geen impact op uw domeincontrollers of andere services. Gebruikers hebben alleen toegang tot verbindingen die hun beheerder hen expliciet heeft verleend met gedetailleerde toegangscontroles.

Keeper Enterprise Password Manager (EPM) biedt IT-teams volledige zichtbaarheid en controle over de wachtwoordgewoonten van hun gebruikers. Elke gebruiker krijgt een veilige digitale kluis om inloggegevens, passkeys, gevoelige bestanden en meer op te slaan en te delen. Keeper kan ook worden geïntegreerd met SSO en wachtwoordloze providers voor een end-to-end wachtwoordloze authenticatie.

Vraag vandaag nog een demo van Keeper aan om uw organisatie te beschermen.