Seguridad de la asignación de recursos locales sobre RDP

1

Trabajo con un grupo de desarrolladores que realizan un programa de nivel de red. Para evitar que estos desarrolladores causen accidentalmente problemas en la red corporativa, se les ha dado su propia red aislada (diferente rango de IP con una DMZ compartida).

En el pasado, estos desarrolladores mantenían computadoras 2x (una para cada red) y cuando necesitaban mover archivos de una red a la otra, usaban una unidad de disco USB. Sin embargo, recientemente cambiamos de oficinas y a cada uno de los desarrolladores se le proporcionó una computadora mejorada y se le dijo que, para acceder a la red corporativa, podían acceder a una configuración de servidor RDP en la DMZ. El problema es que ya no podemos usar unidades de memoria. Una de las soluciones que se nos ocurrió fue utilizar la pestaña "Dispositivos y recursos locales" en "Mostrar opciones" para asignar unidades locales a la sesión de RDP, sin embargo, se llama juego sucio.

¿Por qué el mapeo de "dispositivos y recursos locales" a través de RDP es más o menos seguro que nuestro sistema anterior de mover archivos a través de una unidad de disco USB?

    
pregunta CaffeineAddiction 05.09.2017 - 15:30
fuente

3 respuestas

1

Creo que el problema se debe a la auditoría. Una sesión RDP no es lo mismo que una sesión de inicio de sesión local. Dado que la auditoría de la unidad de disco es muy específica, apostaría a que no da inicio a un evento debido a la naturaleza del RDP.

Un ejemplo de problemas de RDP (no activa el bloqueo de intento de cuenta): enlace

Si tengo más tiempo, intentaré actualizar con hechos reales contra conjeturas.

    
respondido por el Ijustpressbuttons 06.10.2017 - 00:33
fuente
0

Con los dispositivos y recursos locales, puede permitir que su unidad local esté disponible en la otra red. Aparecerá como un \ tsclient \ c para la unidad C: local bajo Red y C en [nombre de computadora] en el panel derecho de Explorer. Esto anula el propósito de tener las subredes desconectadas.

Solicito un servidor FTPS interno que se puede restringir a una única ruta de carpeta que NO debe ser su área de almacenamiento común. El servidor de Filezilla funcionaría bien.

    
respondido por el user158356 05.09.2017 - 18:11
fuente
0

Depende de lo que mapeas. Si asigna la unidad C, entonces el cliente puede ejecutar efectivamente un código arbitrario en el servidor porque puede ejecutar cualquier programa al estilo psexec. Esto se denomina "ataque de inicio RDP" y permite al cliente saltar fuera del dmz.

Si asigna una carpeta, debe tener cuidado y nunca ejecutar ningún programa en la carpeta, ya que el cliente puede bloquear cualquier archivo de esa carpeta. También puede eliminar exploits, como el "stuxnet" lnk exploit.

enlace

    
respondido por el Daniel Grover 05.10.2017 - 21:02
fuente

Lea otras preguntas en las etiquetas