Как защитаваме виртуалните работни места на клиентите от вируси, шпионски софтуер и атаки

Тази година много компании бързаха да преминат на работа от разстояние. На някои клиенти ние помагахме да организират над сто дистанционни работни места за седмица. Важно беше да направим това не само бързо, но и безопасно. В помощ дойде технологията VDI: с нейна помощ удобно се разпространяват политики за сигурност на всички работни места и се защитаваме от изтичане на данни. 

В тази статия ще разкажа как е устроен нашият сервиз за виртуални работни маси на база Citrix VDI от гледна точка на информационната сигурност. Ще покажа какво правим, за да защитим клиентските работни маси от външни заплахи като ransomware или насочени атаки. 

Какви задачи за сигурността решаваме 

Определихме няколко основни заплахи за сигурността на сервиза. От една страна, виртуалната работна маса рискува да бъде заразена от компютъра на потребителя. От друга, има опасност да излезем от виртуалната работна маса в открития интернет и да свалим заразен файл. Дори ако това се случи, не би трябвало да повлияе на цялата инфраструктура. Затова при създаването на сервиза решихме няколко задачи: 

• Защита на целия VDI стенд от външни заплахи.
• Изолация на клиентите един от друг.
• Защита на самите виртуални работни маси. 
• Безопасно свързване на потребителите от всякакви устройства.

Ядрото на защитата е FortiGate – ново поколение междусетеви стени от Fortinet. Той контролира трафика на VDI стенда, осигурява изолирана инфраструктура за всеки клиент и защитава от уязвимости от страна на потребителя. Неговите възможности са достатъчни, за да покрият по-голямата част от въпросите свързани с информационната безопасност. 

Но ако компанията има специални изисквания по отношение на безопасността, ние предлагаме допълнителни възможности: 

• Организираме защитено свързване за работа от домашни компютри.
• Предоставяме достъп за самостоятелен анализ на журналите за безопасност.
• Предоставяме управление на антивирусната защита на работните маси.
• Защита от уязвимости с нулев ден. 
• Настройваме многофакторна аутентификация за допълнителна защита от несанкционирано свързване.

Ще разкажа по-подробно как решихме задачите. 

Как защитаваме стенда и осигуряваме мрежова безопасност

Сегментираме мрежовата част. На щанда подчертаваме затворения мениджмънт сегмент за управление на всички ресурси. Мениджмънт сегментът не е достъпен отвън: в случай на атака срещу клиента, злонамерените лица няма да могат да влязат там. 

За защитата отговаря FortiGate. Той комбинира функции на антивирус, защитна стена и система за предотвратяване на проникване (intrusion prevention system, IPS). 

За всеки клиент създаваме изолиран мрежов сегмент за виртуални работни станции. За целта в FortiGate съществува технологията за виртуални домейни, или VDOM. Тя позволява разделянето на защитната стена на няколко виртуални единици и предоставянето на всеки клиент свой VDOM, който функционира като отделна защитна стена. Създаваме отделен VDOM и за мениджмънт сегмента.

Получава се следната схема:


Между клиентите няма мрежова свързаност: всеки живее в своя VDOM и не оказва влияние на другия. Без тази технология щяхме да разделяме клиентите с правила на защитната стена, което е рисковано поради човешкия фактор. Можем да сравним тези правила с врата, която трябва постоянно да затваряме. В случая с VDOM изобщо не оставяме "врати". 

В отделен VDOM клиентът има своя адресация и маршрутизация. Следователно, пресичането на диапазоните не става проблем за компанията. Клиентът може да асигнира нужните IP адреси на виртуалните работни станции. Това е удобно за големи компании, които разполагат със свои IP планове. 

Решаваме въпросите за свързаност с корпоративната мрежа на клиента. Отделна задача е свързването на VDI с клиентската инфраструктура. Ако компанията държи корпоративни системи в нашия ЦОД, може просто да протегне мрежов кабел от неговото оборудване до защитната стена. Но по-често имаме работа с отдалечен обект – друг ЦОД или офис на клиента. В този случай обмисляме безопасен обмен с обекта и изграждаме site2site VPN с помощта на IPsec VPN. 

Схемите могат да бъдат различни в зависимост от сложността на инфраструктурата. Някъде е достатъчно да се свърже единствената офисна мрежа към VDI – там е достатъчна статична маршрутизация. В големи компании има много мрежи, които постоянно се променят; в този случай на клиента му е необходима динамична маршрутизация. Използваме различни протоколи: вече имаме случаи с OSPF (Open Shortest Path First), GRE тунели (Generic Routing Encapsulation) и BGP (Border Gateway Protocol). FortiGate поддържа мрежови протоколи в отделни VDOM’и, без влияние върху другите клиенти. 

Може да бъде изградена и ГОСТ-VPN – криптиране на базата на сертифицирани средства за криптографска защита от ФСБ на РФ. Например, с помощта на решения от клас КС1 във виртуална среда „С-Терра виртуален шлюз“ или ПАК ViPNet, АПКШ „Континент“, „С-Терра“.

Настройваме Group Policies. Съгласуваме с клиента групови политики, които се прилагат на VDI. Принципите на настройка не се различават от настройките на политиките в офиса. Настройваме интеграция с Active Directory и делегираме на клиентите управлението на някои групови политики. Администраторите на клиента могат да прилагат политики на обект Computer, да управляват организационната единица в Active Directory и да създават потребители. 

На FortiGate за всеки клиентски VDOM пишем мрежова политика за сигурност, задаваме ограничения за достъп и настройваме проверка на трафика. Използваме няколко модула FortiGate: 

• модул IPS проверява трафика за злонамерени софтуери и предотвратява нападения;
• антивирусът защитава самите работни станции от злонамерен и шпионски софтуер;
• уеб филтрирането блокира достъп до ненадеждни ресурси и сайтове с вредно или неприемливо съдържание;
• настройките на защитната стена могат да разрешат на потребителите да имат достъп до интернет само на определени сайтове. 

Понякога клиентът иска самостоятелно да управлява достъпа на служителите до сайтове. По-често с такъв запитване идват банки: службите за сигурност изискват контролът на достъпа да остане в ръцете на компанията. Такива компании сами следят трафика и редовно правят промени в политиките. В този случай целият трафик от FortiGate насочваме към клиента. За това използваме настроен интерфейс с инфраструктурата на компанията. След това клиентът сам настройва правилата за достъп до корпоративната мрежа и интернет. 

Наблюдаваме събитията на щанда. Вместе с FortiGate използваме FortiAnalyzer – колектор на логове от Fortinet. С него разглеждаме всички журнали на събитията на VDI на едно място, намираме подозрителни действия и проследяваме корелации. 

Един от нашите клиенти използва продуктите на Fortinet в офиса си. За него настроихме експортиране на журналите – така клиентът може да анализира всички събития за сигурност за офис машините и виртуалните работни плотове.

Как защитаваме виртуалните работни плотове

От известни заплахи. Ако клиентът желае сам да управлява антивирусната защита, допълнително инсталираме Kaspersky Security за виртуални среди. 

Това решение работи добре в облака. Всички сме свикнали, че класическият антивирус на Касперски е "тежко" решение. В отличие от него, Kaspersky Security за виртуални среди не натоварва виртуалните машини. Всички вирусни бази се намират на сървъра, който издава присъди за всички виртуални машини в узла. На виртуалния работен плот е инсталиран само лек агент. Той изпраща файловете за проверка на сървъра. 

Такава архитектура осигурява едновременно файловата защита, интернет защитата, защитата от атаки и не намалява производителността на виртуалните машини. При това клиентът може сам да прави изключения в файловата защита. Помагаме с базовата настройка на решението. За неговите особености ще разкажем в отделна статия.

От неизвестни заплахи. За това свързваме FortiSandbox – "пясъчницата" от Fortinet. Използваме я като филтър в случай, че антивирусът пропусне заплаха от "нулев ден". След изтеглянето на файла първо го проверяваме с антивируса, а след това го изпращаме в "пясъчницата". FortiSandbox емулира виртуална машина, стартира файла и наблюдава поведението му: към какви обекти в регистъра се обръща, изпраща ли външни заявки и така нататък. Ако файлът се държи подозрително, виртуалката в пясъчницата ще бъде изтрита, а зловредният файл не попада на потребителската VDI. 

Как настройваме безопасно свързване към VDI

Проверяваме съответствието на устройството с изискванията за информация за сигурността. От началото на дистанционната работа клиентите се обръщаха към нас с искания: да осигурим безопасна работа на потребителите с техните лични компютри. Всеки специалист по информационна сигурност знае, че е трудно да се защитят домашните устройства: не може да се инсталира необходимия антивирус или да се приложат групови политики, тъй като това не е офисно оборудване. 

По подразбиране VDI става безопасен „слой“ между личното устройство и корпоративната мрежа. За защита на VDI от атаки от потребителската машина ние деактивираме копирането в клипборда и забраняваме пропускането на USB. Но това не прави самото потребителско устройство по-безопасно. 

Проблемът се решава с помощта на FortiClient. Това е средство за защита на крайни точки (endpoint-защита). Потребителите на компанията инсталират FortiClient на своите домашни компютри и с негова помощ се свързват към виртуалния работен плот. FortiClient решава 3 задачи наведнъж: 

• става „едно единствено прозорче“ за достъп за потребителя;
• проверява дали на личния компютър има антивирус и последните актуализации на ОС; 
• изгражда VPN тунел за защитен достъп. 

Служителят получава достъп, само ако премине проверка. При това самите виртуални работни плотове не са достъпни от интернет, което означава, че са по-добре защитени от атаки. 

Ако компанията иска сама да управлява защитата на крайни точки, предлагаме FortiClient EMS (Endpoint Management Server). Клиентът може сам да конфигурира сканирането на работните плотове и предотвратяването на инвазии, да съставя бял списък с адреси. 

Добавяме фактори за удостоверяване. По подразбиране потребителите се удостоверяват чрез Citrix Netscaler. Тук също можем да увеличим сигурността с помощта на многофакторна аутентификация на базата на продуктите на SafeNet. Тази тема заслужава отделно внимание, ще поговорим за нея в отделна статия. 

Такъв опит с различни решения натрупахме през последната година. Услугата VDI се настройва отделно за всеки клиент, затова избирахме максимално гъвкави инструменти. Възможно е в близко бъдеще да добавим нещо ново и да споделим опит.

На 7 октомври в 17:00 моите колеги ще разкажат за виртуалните работни плотове на уебинара „Нужен ли е VDI, или как да организираме дистанционна работа?“
Регистрирайте се, ако желаете да обсъдим, кога технологията VDI ще е подходяща за компанията, а кога е по-добре да се използват други методи.

Източник: habr.com