Комментарии 23
А к блокировщику было бы интересно добавить пробивку по www.abuseipdb.com
IP из таких баз можно без попыток, по самой попытке коннекта вносить в черный список, пусть даже и пару сек паузы появится при коннекте.
Прочел. Почему-то вспомнился мультфильм, где персонаж напился воды, его прострелили, или что-то подобное, и из него потекла струйка воды. Он дырку пальцем заткнул, а струйка воды из другого места потекла и так далее :)
Надо как минимум rdp gateway воткнуть. Обеспечивает единую точку входа и наблюдения. Ну и монитор логов прикрутить. Дуо -очень хорошо и быстро, но платно, очень рекомендую. Если нет домена или возможности развернуть гейтвей — можно в качестве балансера хапрокси юзать и использовать линуксовые средства для защиты.
С учётом того, что у MS украли исходники и первая весточка — это ProxyLogon в Exchange, надеяться на защищённость RDP плохая идея.
Лучше это все обернуть в VPN.
Как альтернатива Duo это Protectimus
Мы в компании использует данное решение, только на платной основе, если объем пользователей больше 10, то получается дешевле.
Если не ошибаюсь у них так же free до 10 пользователей.
Что понравилось, это то, что есть русский суппорт и ребята полностью помогают на всех этапах тестирования )
На всякий оставлю ссылку https://www.protectimus.com/winlogon/ru/index.php
Protectimus выбрали, в основном потому что есть возможность установить их платформу на собственные серверы. У DUO, например, такой опции нет, все только через облако. Также для нас важно было, что ребята общаются на русском, отвечают быстро, сразу подключились и помогли все настроить.
видео установки платформы? разумеется это важно, что бы не зависеть от внешнего сервера (а что если он «лежит», как войти в систему ?)
а что по самому компоненту, как он субъективно работает? есть какие то претензии по фунционалу, виду и тп или всё ок? я смотрю в последнее время «модно» passwordless решения (трудно сказать true они или fake — не нашёл в открытом доступе для теста). например решения от www.hypr.com или truu.ai
Если сервер лежит — у них есть одноразовый бекап код для офлайн доступа. Когда его используешь — система дает новый. Ну и в принципе, оно кластеризируется.
Компонент заменяет стандартный виндовый логон и добавляет второй фактор. По идее, конечная точка (логон) общается с платформой для проверки второго фактора по SSL, а первый фактор проверяет локально. Работает отлично, нет претензий, и ставится легко. Есть фича генерации .msi для дистрибуции через GPO.
Защищаем RDP Windows Server без VPN