Accesso remoto allo studio: RDP, VPN e account condivisi
Le vie d’ingresso più frequenti negli studi professionali sono configurazioni, non vulnerabilità esotiche.
Con il lavoro da casa molti studi hanno organizzato l’accesso remoto allo studio nel modo più rapido: il desktop remoto (RDP, porta TCP 3389) pubblicato direttamente su Internet con un port forwarding sul router, oppure una VPN SSL attivata sul firewall e mai più aggiornata. Sono due configurazioni diverse con lo stesso destino: vengono trovate dalle scansioni automatiche nel giro di ore.
RDP esposto: cosa succede sui log
Un servizio RDP raggiungibile da Internet riceve tentativi di accesso continui, password comuni e credenziali uscite da altre violazioni. Sul server il Registro eventi di Windows li mostra come evento 4625 (accesso non riuscito) in serie, spesso su nomi come administrator, scanner o segreteria. L’evento 4624 con tipo di accesso 10 indica invece una sessione remota riuscita: se compare da un IP estero di notte, l’ingresso è già avvenuto. Il desktop remoto va portato dietro una VPN o un RD Gateway con secondo fattore, con l’autenticazione a livello di rete (NLA) attiva e un criterio di blocco dell’account dopo pochi tentativi.
VPN SSL: il firmware conta più della password
Sui dispositivi perimetrali le vulnerabilità vengono sfruttate poco dopo la pubblicazione. Alcuni difetti della VPN SSL di FortiOS, come CVE-2018-13379 e CVE-2023-27997, sono stati usati per mesi contro apparati non aggiornati. Il punto non è il marchio del firewall: è che il firmware deve essere all’ultima versione supportata e che l’apparato non deve aver superato la fine del supporto del produttore. Il catalogo KEV della CISA elenca le vulnerabilità di cui è noto lo sfruttamento attivo ed è un buon filtro per decidere cosa aggiornare per primo.
Cosa verificare in un pomeriggio
- Una scansione delle porte sull’indirizzo pubblico dello studio, per esempio nmap -Pn -p 22,445,3389,8443 seguito dall’IP: nessun servizio di amministrazione deve rispondere. La porta 445 (SMB) non deve mai essere esposta.
- Versione del firmware del firewall e data di fine supporto.
- Secondo fattore sulla VPN e un account personale per ogni collaboratore: con un account condiviso diventa impossibile ricostruire chi si è collegato e quando, e un ex collaboratore conserva l’accesso finché la password non cambia.
Gli amministratori locali
Spesso tutti i PC dello studio hanno la stessa password di amministratore locale, impostata il giorno dell’installazione. Compromesso un portatile, l’attaccante ricava quella credenziale e la riusa su tutte le altre macchine. Windows LAPS, integrato in Windows dagli aggiornamenti di aprile 2023, assegna una password diversa a ogni macchina e la ruota in automatico, senza costi di licenza. Chiude un movimento laterale che precede quasi sempre la cifratura dei backup sul NAS dello studio.
Per un quadro dei rischi tipici degli studi professionali e per mettere per iscritto chi può accedere a cosa, la policy di controllo degli accessi è un modello da adattare.
