Как защитаваме виртуалните десктопи на клиентите от вируси, шпионски софтуер и атаки

Тази година много компании прибързано преминаха към дистанционна работа. За някои клиенти ние помогна организира повече от сто отдалечени работни места на седмица. Беше важно това да стане не само бързо, но и безопасно. Технологията VDI дойде на помощ: с нейна помощ е удобно да се разпространяват политики за сигурност на всички работни места и да се предпазват от изтичане на данни. 

В тази статия ще ви разкажа как работи нашата услуга за виртуален работен плот, базирана на Citrix VDI, по отношение на информационната сигурност. Ще ви покажа какво правим, за да защитим клиентските настолни компютри от външни заплахи като рансъмуер или насочени атаки. 

Какви проблеми със сигурността решаваме 

Идентифицирахме няколко големи заплахи за сигурността на услугата. От една страна, виртуалният работен плот има риск да бъде заразен от компютъра на потребителя. От друга страна, съществува опасност от излизане от виртуалния работен плот в отвореното пространство на интернет и изтегляне на заразен файл. Дори това да се случи, не трябва да засяга цялата инфраструктура. Затова при създаването на услугата решихме няколко проблема: 

• Защита на целия VDI стенд от външни заплахи.
• Изолация на клиентите един от друг.
• Защита на самите виртуални десктопи. 
• Сигурна потребителска връзка от всяко устройство.

FortiGate, защитна стена от ново поколение от Fortinet, стана ядрото на защитата. Той контролира трафика на VDI стенда, осигурява изолирана инфраструктура за всеки клиент и защитава срещу уязвимости от страна на потребителя. Неговите възможности са достатъчни, за да затворят повечето проблеми с IS. 

Но ако компанията има специални изисквания за сигурност, предлагаме допълнителни опции: 

• Организираме сигурна връзка за работа от домашни компютри.
• Предоставяме достъп до самоанализ на регистрационните файлове за сигурност.
• Предоставяме управление на антивирусна защита на настолни компютри.
• Ние защитаваме срещу уязвимости от нулевия ден. 
• Настройте многофакторно удостоверяване за допълнителна защита срещу неупълномощени връзки.

Ще ви разкажа повече за това как се решаваха задачите. 

Как защитаваме кабината и гарантираме мрежова сигурност

Ние сегментираме мрежовата част. На щанда разпределяме затворен управленски сегмент за управление на всички ресурси. Сегментът за управление е недостъпен отвън: в случай на атака срещу клиента, нападателите няма да могат да стигнат до там. 

FortiGate отговаря за защитата. Съчетава функциите на антивирусна програма, защитна стена, система за предотвратяване на проникване (IPS). 

За всеки клиент създаваме изолиран мрежов сегмент за виртуални десктопи. За да направи това, FortiGate има технология за виртуален домейн или VDOM. Тя ви позволява да разделите защитната стена на няколко виртуални обекта и да разпределите собствен VDOM за всеки клиент, който се държи като отделна защитна стена. Ние също така създаваме отделен VDOM за сегмента на управление.

Оказва се тази схема:


Няма мрежова свързаност между клиентите: всеки живее в свой собствен VDOM и не засяга другия. Без тази технология ще трябва да разделяме клиентите с правила за защитна стена, а това е рисковано поради човешкия фактор. Можете да сравните тези правила с врата, която трябва да бъде постоянно затворена. В случая с VDOM ние изобщо не оставяме "врати". 

В отделен VDOM клиентът има собствено адресиране и маршрутизиране. Следователно пресичането на диапазони не се превръща в проблем за компанията. Клиентът може да присвои желаните IP адреси на виртуалните десктопи. Това е удобно за големи компании, които имат собствени IP планове. 

Решаваме проблеми със свързаността с корпоративната мрежа на клиента. Отделна задача е свързването на VDI с клиентската инфраструктура. Ако една компания поддържа корпоративни системи в нашия център за данни, можете просто да прекарате мрежов кабел от нейното оборудване до защитната стена. Но по-често имаме работа с отдалечен обект - друг център за данни или офис на клиент. В този случай мислим за защитен обмен със сайта и изграждане на site2site VPN с помощта на IPsec VPN. 

Схемите могат да бъдат различни, в зависимост от сложността на инфраструктурата. Някъде е достатъчно да свържете една офисна мрежа към VDI - има достатъчно статично маршрутизиране. Големите компании имат много мрежи, които непрекъснато се променят; тук клиентът се нуждае от динамично маршрутизиране. Ние използваме различни протоколи: вече има случаи с OSPF (Open Shortest Path First), GRE тунели (Generic Routing Encapsulation) и BGP (Border Gateway Protocol). FortiGate поддържа мрежови протоколи в отделни VDOM, без да засяга други клиенти. 

Можете също така да изградите GOST-VPN - криптиране, базирано на инструменти за криптозащита, сертифицирани от FSB на Руската федерация. Например, използвайки решения от клас KS1 във виртуалната среда "S-Terra virtual gateway" или HSS ViPNet, APKSh "Continent", "S-Terra".

Настройте групови правила. Координираме се с правилата на клиентската група, които се прилагат на VDI. Тук принципите на настройка не се различават от политиката в офиса. Настройваме интеграция с Active Directory и делегираме контрол върху някои групови политики на клиенти. Администраторите на наематели могат да прилагат политики към обекта Компютър, да управляват организационна единица в Active Directory и да създават потребители. 

На FortiGate, за всеки клиент VDOM, ние пишем политика за мрежова сигурност, задаваме ограничения за достъп и настройваме проверка на трафика. Използваме няколко модула FortiGate: 

• IPS модулът проверява трафика за зловреден софтуер и предотвратява прониквания;
• антивирусната програма защитава самите настолни компютри от зловреден и шпионски софтуер;
• уеб филтрирането блокира достъпа до ненадеждни ресурси и сайтове със злонамерено или неподходящо съдържание;
• настройките на защитната стена могат да позволят на потребителите достъп до интернет само на определени сайтове. 

Понякога клиентът иска самостоятелно да управлява достъпа на служителите до сайтовете. По-често банките идват с такова искане: службите за сигурност изискват контролът на достъпа да остане на страната на компанията. Такива компании сами наблюдават трафика и редовно правят промени в политиките. В този случай ние насочваме целия трафик от FortiGate към клиента. За целта използваме конфигуриран интерфейс с инфраструктурата на компанията. След това клиентът сам конфигурира правилата за достъп до корпоративната мрежа и Интернет. 

Гледане на събитията на щанда. Заедно с FortiGate ние използваме FortiAnalyzer, колектор на регистрационни файлове от Fortinet. С негова помощ разглеждаме всички регистрационни файлове на събития на VDI на едно място, намираме подозрителни дейности и проследяваме корелациите. 

Един от нашите клиенти използва продуктите на Fortinet в офиса си. За него настроихме качване на журнали - така че клиентът да може да анализира всички събития за сигурност за офис машини и виртуални десктопи.

Как защитаваме виртуалните настолни компютри

От известни заплахи. Ако клиентът иска самостоятелно да управлява антивирусната защита, ние допълнително инсталираме Kaspersky Security за виртуализация. 

Това решение работи добре в облака. Всички сме свикнали с факта, че класическата антивирусна програма Kaspersky е „тежко“ решение. За разлика от него Kaspersky Security for Virtualization не зарежда виртуални машини. Всички вирусни бази данни се намират на сървъра, който издава присъди за всички хост виртуални машини. Само лекият агент е инсталиран на виртуалния работен плот. Той изпраща файлове на сървъра за проверка. 

Тази архитектура едновременно осигурява защита на файлове, интернет защита, защита срещу атаки и не намалява производителността на виртуалните машини. В този случай клиентът може да направи изключения от самата защита на файла. Ние помагаме с основната настройка на решението. Ще говорим за неговите характеристики в отделна статия.

От непознати заплахи. За да направим това, свързваме FortiSandbox, пясъчник от Fortinet. Използваме го като филтър, в случай че антивирусът пропусне заплаха от нулев ден. След като изтеглим файла, първо го проверяваме с антивирусна програма и след това го изпращаме в пясъчника. FortiSandbox емулира виртуална машина, стартира файл и следи поведението му: до какви обекти в регистъра има достъп, дали изпраща външни заявки и т.н. Ако файлът се държи подозрително, VM в пясъчна среда се изтрива и злонамереният файл не се поставя във VDI на потребителя. 

Как да настроите защитена връзка към VDI

Проверяваме съответствието на устройството с изискванията за информационна сигурност. От началото на дистанционната работа клиентите се обръщат към нас с искания: да осигурим безопасна работа на потребителите от персоналните им компютри. Всеки специалист по информационна сигурност знае, че е трудно да защитите домашните устройства: не можете да инсталирате необходимия антивирус там или да приложите групови политики, тъй като това не е офис оборудване. 

По подразбиране VDI се превръща в защитен "слой" между личното устройство и корпоративната мрежа. За да защитим VDI от атаки от машината на потребителя, деактивираме клипборда, деактивираме USB препращането. Но това не прави потребителското устройство защитено. 

Решаваме проблема с помощта на FortiClient. Това е инструмент за защита на крайни точки (endpoint protection). Потребителите на компанията инсталират FortiClient на домашните си компютри и го използват за свързване към виртуален работен плот. FortiClient решава 3 задачи едновременно: 

• става "един прозорец" за достъп за потребителя;
• проверява дали персоналният компютър има антивирусна програма и най-новите актуализации на операционната система; 
• изгражда VPN тунел за защитен достъп. 

Служителят получава достъп само ако премине проверката. В същото време самите виртуални десктопи не са достъпни от интернет, което означава, че са по-добре защитени от атаки. 

Ако една компания иска сама да управлява защитата на крайната точка, ние предлагаме FortiClient EMS (Endpoint Management Server). Клиентът може да конфигурира сканиране на работния плот и предотвратяване на проникване, да формира бял списък с адреси. 

Добавете фактори за удостоверяване. По подразбиране потребителите се удостоверяват чрез Citrix netscaler. Тук също можем да подобрим сигурността с многофакторно удостоверяване, базирано на продуктите на SafeNet. Тази тема заслужава специално внимание, ние също ще говорим за нея в отделна статия. 

Натрупахме такъв опит в работата с различни решения през последната година на работа. Услугата VDI се конфигурира отделно за всеки клиент, така че избрахме най-гъвкавите инструменти. Може би в близко бъдеще ще добавим още нещо и ще споделим нашия опит.

На 7 октомври от 17.00 ч. моите колеги ще говорят за виртуални настолни компютри на уебинара „Имам ли нужда от VDI или как да организирам отдалечена работа?“
Регистрирайте се, ако искате да обсъдите кога технологията VDI е подходяща за компания и кога е по-добре да използвате други методи.

Източник: www.habr.com