RDP Accesible (Accessible RDP Report)

Este informe identifica los hosts que tienen el servicio de escritorio remoto (RDP) en ejecución y son accesibles para todo el mundo en Internet.

El RDP mal configurado puede permitir que los atacantes accedan al escritorio de un host vulnerable y también puede permitir la recopilación de información en un host de destino, ya que el certificado SSL que usa RDP a menudo contiene el hostname del sistema. Existen varios escenarios posibles para que un atacante pueda aprovechar un servicio RDP expuesto:

  • Credenciales débiles: los atacantes buscan RDP con credenciales fáciles de adivinar. Cualquier cuenta local o del dominio que se encuentre almacenada en el equipo en cuestión puede ser aprovechada.
  • Vulnerabilidades: ocasionalmente se descubren vulnerabilidades que afectan al propio servicio en sí, permitiendo por ejemplo la ejecución arbitraria de código. Al estar expuesto a Internet el servicio, éste es explotable remotamente. Ejemplos de vulnerabilidades de RDP:

Puede obtener más información sobre el informe en el tutorial Informe de RDP accesible.

Este reporte no indica indicios de compromiso o ataques desde las IPs en cuestión, sino sólo representa la presencia de un equipo o servicio potencialmente vulnerable y/o expuesto.

Para obtener más información sobre los esfuerzos de escaneo de la organización Shadowserver, consulte la página de resumen de escaneo de Internet.

Nombre(s) de archivo: scan_rdp, scan6_rdp

CAMPOS

timestampHora en que se sondeó la IP en UTC+0
ipLa dirección IP del dispositivo en cuestión.
protocolProtocolo en el que se produjo la respuesta (siempre TCP)
portPuerto del que provino la respuesta (3389/TCP)
hostnameEl nombre de host es DNS inverso del dispositivo IP en cuestión o, si no se obtiene y el nombre_común_sujeto en el certificado RDP/SSL tiene un dominio presente, el nombre_común_sujeto se copia en el nombre de host.
tagSiempre será rdp
asnASN de donde reside el dispositivo en cuestión
geoPaís donde reside el dispositivo en cuestión
regionEstado/Provincia/Región administrativa donde reside el dispositivo en cuestión
cityCiudad en la que reside el dispositivo en cuestión
rdp_protocolLa versión del protocolo RDP que respondió; las respuestas válidas son RDP (también conocido como RDP Security), RDP_negotiation_ignored (estas pueden ser versiones antiguas de Windows o xrdp), no compatibles (no tengo idea de qué es esto), CredSSP_Enforced (Hybrid Security, NLA), SSL_Enforced (TLS security es obligatoria)
cert_lengthLongitud del Certificado (1024, 2048, 4096, etcétera)
subject_common_nameEl nombre común (CN) del certificado SSL
issuer_common_nameEl nombre común de la entidad que firmó el certificado SSL
cert_issue_dateFecha en que el certificado SSL entró en vigencia
cert_expiration_dateFecha en que caduca el certificado SSL
sha1_fingerprintHuella digital SHA1 del certificado
cert_serial_numberNúmero de serie incrustado en el certificado
ssl_versionVersión SSL
signature_algorithmAlgoritmo utilizado para firmar el certificado
key_algorithmAlgoritmo utilizado por la clave
sha256_fingerprintHuella digital SHA256 del certificado
sha512_fingerprintHuella digital SHA512 del certificado
md5_fingerprintHuella digital MD5 del certificado
naicsCódigo del sistema de clasificación de la industria de América del Norte
sicCódigo del sistema de clasificación industrial estándar
sectorsector de dispositivos
tlsv13_supportTLS 1.3 si es compatible
tlsv13_cipherCifrados TLS 1.3 compatibles
cve20190708_vulnerableSi es vulnerable a CVE 2019-0708
bluekeep_vulnerableSi es vulnerable a Bluekeep (igual que arriba)
jarmHuella dactilar JARM

EJEMPLO

timestamp,ip,port,hostname,tag,handshake,asn,geo,region,city,rdp_protocol,cert_length,subject_common_name,issuer_common_name,cert_issue_date,cert_expiration_date,sha1_fingerprint,cert_serial_number,ssl_version,signature_algorithm,key_algorithm,sha256_fingerprint,sha512_fingerprint,md5_fingerprint,naics,sic,sector,tlsv13_support,tlsv13_cipher,cve20190708_vulnerable,bluekeep_vulnerable,jarm
"2010-02-10 00:00:00",192.168.0.1,3389,node01.example.com,rdp,,64512,ZZ,Region,City,CredSSP_Enforced,2048,example.com,example.com,"2012-11-14 11:18:27","2021-11-12 11:18:27",03:39:9E:5D:77:19:38:C4:49:DE:C3:3D:9B:E6:13:ED:5A:F1:42:55,B3F13DFBDBA2D8B2,2,sha256WithRSAEncryption,rsaEncryption,E1:D1:6E:87:49:B9:AC:74:B4:AC:9B:77:85:27:69:97:0D:16:B1:F6:63:F0:26:51:AA:89:42:39:66:BD:47:D0,1C:E9:04:22:90:46:68:0B:8B:54:33:38:C6:20:5F:EE:A6:73:A6:B5:2C:7D:12:94:DE:F1:CC:11:2E:72:0B:97:C2:7D:19:BF:E0:6B:98:A9:21:D9:9D:5A:CB:38:0B:D8:7E:E2:8E:2B:EA:15:EC:60:11:1E:41:E3:FB:4C:20:9F,F1:8A:02:48:3C:6B:F4:00:CC:5C:D5:B0:71:E4:FA:00,0,0,"Communications, Service Provider, and Hosting Service",,,N,N,
"2010-02-10 00:00:01",192.168.0.2,3389,node02.example.com,rdp,,64512,ZZ,Region,City,CredSSP_Enforced,2048,example.com,example.com,"2012-11-14 11:18:27","2021-11-12 11:18:27",03:39:9E:5D:77:19:38:C4:49:DE:C3:3D:9B:E6:13:ED:5A:F1:42:55,B3F13DFBDBA2D8B2,2,sha256WithRSAEncryption,rsaEncryption,E1:D1:6E:87:49:B9:AC:74:B4:AC:9B:77:85:27:69:97:0D:16:B1:F6:63:F0:26:51:AA:89:42:39:66:BD:47:D0,1C:E9:04:22:90:46:68:0B:8B:54:33:38:C6:20:5F:EE:A6:73:A6:B5:2C:7D:12:94:DE:F1:CC:11:2E:72:0B:97:C2:7D:19:BF:E0:6B:98:A9:21:D9:9D:5A:CB:38:0B:D8:7E:E2:8E:2B:EA:15:EC:60:11:1E:41:E3:FB:4C:20:9F,F1:8A:02:48:3C:6B:F4:00:CC:5C:D5:B0:71:E4:FA:00,0,0,"Communications, Service Provider, and Hosting Service",,,N,N,
"2010-02-10 00:00:02",192.168.0.3,3389,node03.example.com,rdp,,64512,ZZ,Region,City,CredSSP_Enforced,2048,example.com,example.com,"2012-11-14 11:18:27","2021-11-12 11:18:27",03:39:9E:5D:77:19:38:C4:49:DE:C3:3D:9B:E6:13:ED:5A:F1:42:55,B3F13DFBDBA2D8B2,2,sha256WithRSAEncryption,rsaEncryption,E1:D1:6E:87:49:B9:AC:74:B4:AC:9B:77:85:27:69:97:0D:16:B1:F6:63:F0:26:51:AA:89:42:39:66:BD:47:D0,1C:E9:04:22:90:46:68:0B:8B:54:33:38:C6:20:5F:EE:A6:73:A6:B5:2C:7D:12:94:DE:F1:CC:11:2E:72:0B:97:C2:7D:19:BF:E0:6B:98:A9:21:D9:9D:5A:CB:38:0B:D8:7E:E2:8E:2B:EA:15:EC:60:11:1E:41:E3:FB:4C:20:9F,F1:8A:02:48:3C:6B:F4:00:CC:5C:D5:B0:71:E4:FA:00,0,0,"Communications, Service Provider, and Hosting Service",,,N,N,