Доставчик, инсталирай ми антивируса на VDI

Сред многото ни клиенти има компании, които използват решенията на Kaspersky като корпоративен стандарт и самостоятелно управляват антивирусната защита. На пръв поглед, те не изглежда да се нуждаят от услуга за виртуални работни стола, при която антивирусът се следи от доставчика. Днес ще покажа как клиентите могат сами да управляват защитата, без да жертват сигурността на виртуалните работни стола.

В в предишния пост вече разказахме общо как защитаваме виртуалните работни стола на клиентите. Антивирусът в рамките на услугата VDI помага за подсилване на защитата на машините в облака и за самостоятелното й контролиране.

В първата част на статията ще покажа как управляваме решението в облака и ще сравня резултатите на „облачния“ Kaspersky с традиционния Endpoint Security. Втората част ще бъде за възможностите за самостоятелно управление.

Как управляваме решението

Ето как изглежда архитектурата на решението в нашия облак. За антивируса присвояваме два мрежови сегмента:

• клиентски сегмент, където се намират виртуалните работни места на потребителите,
• мениджмънт сегмент, където се намира сървърната част на антивируса.

Мениджмънт сегментът остава под контрола на нашите инженери, клиентът няма достъп до тази част. Мениджмънт сегментът включва главния сървър за администриране KSC, който съдържа файлове с лицензи, ключове за активиране на клиентските работни места.

Ето от какво се състои решението в термини на „Лабораторията на Касперски“.

• На виртуалните работни стола на потребителите се инсталира лек агент (LA). Той не извършва проверки на файлове, а ги изпраща на SVM и изчаква „вердикта отгоре“. В резултат на това ресурсите на потребителския работен стол не се изразходват за антивирусна активност, а служителите не се оплакват, че „VDI забавя“. 
• Проверява отделен виртуална машина за защита (Security virtual machine, SVM). Това е отделно устройство за сигурност, на което са разположени бази данни за зловреден софтуер. По време на проверките натоварването се поема от SVM: през нея лекият агент комуникира с сървър.
• Kaspersky security center (KSC) управлява виртуалните машини за защита. Това е конзола с настройки на задачи и политики, които ще се прилагат на крайните устройства.

Тази работна схема обещава икономия до 30% от хардуерните ресурси на потребителската машина в сравнение с антивируса на компютъра на потребителя. Да видим какво става на практика.

За сравнение взех моя работен лаптоп с инсталиран Kaspersky Endpoint Security, стартирах сканиране и погледнах консумацията на ресурси:

А ето същата ситуация на виртуалния работен плот с подобни характеристики в нашата инфраструктура. Паметта се използва приблизително еднакво, но натоварването на ЦП е наполовина по-ниско:

Самият KSC също е доста взискателен към ресурсите. Ние отделяме за него
достатъчно, за да може администраторът да работи удобно. Вижте сами:

Какво остава под контрол на клиента

И така, с задачите на страна на доставчика се справихме, сега предоставяме на клиента управление на антивирусната защита. За това създаваме дъщерен сървър KSC и го извеждаме в клиентския сегмент:

Нека влезем в конзолата на клиентския KSC и да видим какви настройки ще има клиента по подразбиране.

Мониторинг. На първата вкладка виждаме панела за наблюдение. Веднага е ясно на какви проблемни места да обърнем внимание: 

Да преминем напред към статистиката. Няколко примера какво тук може да се види.

Тук администраторът веднага ще види, ако на някои машини не е инсталирано обновление
или е възникнала друга проблема, свързана с ПО на виртуалните работни площи. Тяхното
обновление може да се отрази на сигурността на целия виртуален машина:

На тази вкладка може да се анализират откритите заплахи до конкретната открита заплаха на защитените устройства:

На третата вкладка има всички възможни варианти на предварително зададени отчети. Клиентите могат да създават свои отчети от шаблони, да избират каква информация да се показва. Може да се настрои изпращане по пощата по график или да се преглеждат отчетите локално от сървъра
(KSC).   

 
Групи за администриране. Отдясно виждаме всички управлявани устройства: в нашия случай – виртуални работни площи, управлявани от сървъра KSC.

Могат да се обединяват в групи, за да се създадат общи задачи и групови политики за различни отдели или за всички потребители едновременно.

След като клиентът създаде виртуална машина в частното облако, тя веднага се регистрира в мрежата и Kaspersky я изпраща към неразпределените устройства:

Груповите политики не важат за неразпределените устройства. За да избегнем ръчното разпределение на виртуалните работни станции по групи, можем да използваме правила. По този начин автоматизираме прехвърлянето на устройства в групи.

Например, виртуалните работни станции с Windows 10, но без инсталиран агент за администриране, ще попаднат в група VDI_1, а тези с Windows 10 и инсталиран агент ще отидат в група VDI_2. По аналогичен начин устройствата могат автоматично да се разпределят на базата на домейн принадлежността им, разположението в различни мрежи и определени тагове, които клиентът може да зададе в зависимост от своите нужди и задачи. 

За да създадем правило, просто стартираме майстора за разпределение на устройства по групи:

Групови задачи. С помощта на задачите KSC автоматизира изпълнението на определени правила в определено време или при настъпване на конкретен момент, например: проверката за вируси се изпълнява в неработно време или при 'простое' на виртуалната машина, което от своя страна намалява натоварването на ВМ. В този раздел е удобно да стартираме проверки на виртуални работни станции в рамките на групата по график, както и да актуализираме вирусните бази. 

Ето пълния списък на наличните задачи:

Групови политики. От поддомен KSC клиентът може самостоятелно да разпространява защита на нови виртуални работни станции, да актуализира сигнатурите, да настройва изключения
за файлове и мрежи, да генерира отчети, а също така да управлява всички видове проверки на своите машини. Включително - да ограничи достъпа до конкретни файлове, уебсайтове или хостове.

Политиките и правилата на главния сървър могат да бъдат включени отново, ако нещо се обърка. В най-лошия случай при неправилна настройка леките агенти ще загубят връзката със SVM и ще оставят виртуалните работни станции без защита. Нашите инженери веднага получат известие за това и могат да активират наследяването на политиките от главния сървър KSC.

Това са основните настройки, за които исках да говоря днес. 

Източник: habr.com