কিভাবে আমরা গ্রাহকের ভার্চুয়াল ডেস্কটপকে ভাইরাস, স্পাইওয়্যার এবং আক্রমণ থেকে রক্ষা করি

এই বছর, অনেক কোম্পানি দ্রুত দূরবর্তী কাজ সুইচ. কিছু ক্লায়েন্টের জন্য আমরা সাহায্য করেছে প্রতি সপ্তাহে একশোরও বেশি দূরবর্তী কাজ সংগঠিত করুন। এটি কেবল দ্রুত নয়, নিরাপদে করাও গুরুত্বপূর্ণ ছিল। VDI প্রযুক্তি উদ্ধারে এসেছে: এর সাহায্যে, সমস্ত কর্মক্ষেত্রে নিরাপত্তা নীতি বিতরণ করা এবং ডেটা ফাঁস থেকে রক্ষা করা সুবিধাজনক। 

এই নিবন্ধে আমি আপনাকে জানাব কিভাবে Citrix VDI ভিত্তিক আমাদের ভার্চুয়াল ডেস্কটপ পরিষেবা তথ্য নিরাপত্তার দৃষ্টিকোণ থেকে কাজ করে। র‍্যানসমওয়্যার বা লক্ষ্যযুক্ত আক্রমণের মতো বাহ্যিক হুমকি থেকে ক্লায়েন্ট ডেস্কটপকে রক্ষা করতে আমরা কী করি তা আমি আপনাকে দেখাব। 

আমরা কি নিরাপত্তা সমস্যা সমাধান করব? 

আমরা পরিষেবার জন্য বেশ কয়েকটি প্রধান নিরাপত্তা হুমকি চিহ্নিত করেছি। একদিকে, ভার্চুয়াল ডেস্কটপ ব্যবহারকারীর কম্পিউটার থেকে সংক্রমিত হওয়ার ঝুঁকি চালায়। অন্যদিকে, ভার্চুয়াল ডেস্কটপ থেকে ইন্টারনেটের খোলা জায়গায় গিয়ে একটি সংক্রামিত ফাইল ডাউনলোড করার ঝুঁকি রয়েছে। এমনকি যদি এটি ঘটে, এটি সমগ্র পরিকাঠামোকে প্রভাবিত করবে না। অতএব, পরিষেবা তৈরি করার সময়, আমরা বেশ কয়েকটি সমস্যা সমাধান করেছি: 

• বাহ্যিক হুমকি থেকে সম্পূর্ণ ভিডিআই স্ট্যান্ডকে রক্ষা করে।
• একে অপরের থেকে ক্লায়েন্টদের বিচ্ছিন্নতা।
• ভার্চুয়াল ডেস্কটপ নিজেদের রক্ষা করা. 
• যেকোনো ডিভাইস থেকে ব্যবহারকারীদের নিরাপদে সংযুক্ত করুন।

সুরক্ষার মূল অংশ ছিল FortiGate, Fortinet-এর একটি নতুন প্রজন্মের ফায়ারওয়াল। এটি VDI বুথ ট্র্যাফিক নিরীক্ষণ করে, প্রতিটি ক্লায়েন্টের জন্য একটি বিচ্ছিন্ন অবকাঠামো প্রদান করে এবং ব্যবহারকারীর পক্ষে দুর্বলতা থেকে রক্ষা করে। বেশিরভাগ তথ্য নিরাপত্তা সমস্যা সমাধানের জন্য এর ক্ষমতা যথেষ্ট। 

কিন্তু যদি একটি কোম্পানির বিশেষ নিরাপত্তা প্রয়োজনীয়তা থাকে, আমরা অতিরিক্ত বিকল্প অফার করি: 

• আমরা হোম কম্পিউটার থেকে কাজ করার জন্য একটি নিরাপদ সংযোগের ব্যবস্থা করি।
• আমরা নিরাপত্তা লগের স্বাধীন বিশ্লেষণের জন্য অ্যাক্সেস প্রদান করি।
• আমরা ডেস্কটপে অ্যান্টিভাইরাস সুরক্ষা ব্যবস্থাপনা প্রদান করি।
• আমরা শূন্য-দিনের দুর্বলতা থেকে রক্ষা করি। 
• অননুমোদিত সংযোগের বিরুদ্ধে অতিরিক্ত সুরক্ষার জন্য আমরা বহু-ফ্যাক্টর প্রমাণীকরণ কনফিগার করি।

আমরা কীভাবে সমস্যাগুলি সমাধান করেছি তা আমি আপনাকে আরও বিশদে বলব। 

কিভাবে স্ট্যান্ড রক্ষা করা যায় এবং নেটওয়ার্ক নিরাপত্তা নিশ্চিত করা যায়

নেটওয়ার্ক অংশ ভাগ করা যাক. স্ট্যান্ডে আমরা সমস্ত সংস্থান পরিচালনার জন্য একটি বন্ধ ব্যবস্থাপনা বিভাগ হাইলাইট করি। ম্যানেজমেন্ট সেগমেন্টটি বাইরে থেকে অ্যাক্সেসযোগ্য নয়: ক্লায়েন্টের উপর আক্রমণের ক্ষেত্রে, আক্রমণকারীরা সেখানে যেতে সক্ষম হবে না। 

FortiGate সুরক্ষা জন্য দায়ী. এটি একটি অ্যান্টিভাইরাস, ফায়ারওয়াল এবং অনুপ্রবেশ প্রতিরোধ ব্যবস্থা (আইপিএস) এর কাজগুলিকে একত্রিত করে। 

প্রতিটি ক্লায়েন্টের জন্য আমরা ভার্চুয়াল ডেস্কটপের জন্য একটি বিচ্ছিন্ন নেটওয়ার্ক সেগমেন্ট তৈরি করি। এই উদ্দেশ্যে, FortiGate ভার্চুয়াল ডোমেইন প্রযুক্তি, বা VDOM আছে। এটি আপনাকে কয়েকটি ভার্চুয়াল সত্তায় ফায়ারওয়াল বিভক্ত করতে এবং প্রতিটি ক্লায়েন্টকে তার নিজস্ব VDOM বরাদ্দ করতে দেয়, যা একটি পৃথক ফায়ারওয়ালের মতো আচরণ করে। আমরা ব্যবস্থাপনা বিভাগের জন্য একটি পৃথক VDOM তৈরি করি।

এটি নিম্নলিখিত ডায়াগ্রাম হতে দেখা যাচ্ছে:


ক্লায়েন্টদের মধ্যে কোন নেটওয়ার্ক সংযোগ নেই: প্রতিটি তার নিজস্ব VDOM-এ থাকে এবং অন্যকে প্রভাবিত করে না। এই প্রযুক্তি না থাকলে, আমাদের ক্লায়েন্টদের ফায়ারওয়াল নিয়মের সাথে আলাদা করতে হবে, যা মানুষের ত্রুটির কারণে ঝুঁকিপূর্ণ। আপনি একটি দরজা যে ক্রমাগত বন্ধ করা আবশ্যক এই ধরনের নিয়ম তুলনা করতে পারেন। ভিডিওএম-এর ক্ষেত্রে, আমরা কোনও "দরজা" ছাড়ি না। 

একটি পৃথক VDOM-এ, ক্লায়েন্টের নিজস্ব ঠিকানা এবং রাউটিং রয়েছে। অতএব, রেঞ্জ অতিক্রম করা কোম্পানির জন্য একটি সমস্যা হয়ে ওঠে না। ক্লায়েন্ট ভার্চুয়াল ডেস্কটপগুলিতে প্রয়োজনীয় আইপি ঠিকানা বরাদ্দ করতে পারে। এটি বড় কোম্পানিগুলির জন্য সুবিধাজনক যেগুলির নিজস্ব আইপি পরিকল্পনা রয়েছে৷ 

আমরা ক্লায়েন্টের কর্পোরেট নেটওয়ার্কের সাথে সংযোগ সমস্যা সমাধান করি। একটি পৃথক কাজ হল ক্লায়েন্ট পরিকাঠামোর সাথে ভিডিআই সংযোগ করা। যদি একটি কোম্পানি আমাদের ডেটা সেন্টারে কর্পোরেট সিস্টেম রাখে, তাহলে আমরা তার সরঞ্জাম থেকে ফায়ারওয়াল পর্যন্ত একটি নেটওয়ার্ক কেবল চালাতে পারি। তবে প্রায়শই আমরা একটি দূরবর্তী সাইট নিয়ে কাজ করি - অন্য ডেটা সেন্টার বা একটি ক্লায়েন্টের অফিস। এই ক্ষেত্রে, আমরা সাইটের সাথে একটি নিরাপদ বিনিময়ের মাধ্যমে চিন্তা করি এবং IPsec VPN ব্যবহার করে site2site VPN তৈরি করি। 

পরিকাঠামোর জটিলতার উপর নির্ভর করে স্কিম পরিবর্তিত হতে পারে। কিছু জায়গায় ভিডিআই-তে একটি একক অফিস নেটওয়ার্ক সংযোগ করা যথেষ্ট - সেখানে স্ট্যাটিক রাউটিং যথেষ্ট। বড় কোম্পানীর অনেক নেটওয়ার্ক আছে যেগুলো ক্রমাগত পরিবর্তনশীল; এখানে ক্লায়েন্টের গতিশীল রাউটিং প্রয়োজন। আমরা বিভিন্ন প্রোটোকল ব্যবহার করি: ওএসপিএফ (ওপেন শর্টেস্ট পাথ ফার্স্ট), জিআরই টানেল (জেনারিক রাউটিং এনক্যাপসুলেশন) এবং বিজিপি (বর্ডার গেটওয়ে প্রোটোকল) নিয়ে ইতিমধ্যেই কিছু ঘটনা ঘটেছে। FortiGate আলাদা VDOM-এ নেটওয়ার্ক প্রোটোকল সমর্থন করে, অন্য ক্লায়েন্টদের প্রভাবিত না করে। 

এছাড়াও আপনি GOST-VPN তৈরি করতে পারেন - ক্রিপ্টোগ্রাফিক সুরক্ষার উপর ভিত্তি করে এনক্রিপশন মানে রাশিয়ান ফেডারেশনের FSB দ্বারা প্রত্যয়িত। উদাহরণস্বরূপ, ভার্চুয়াল পরিবেশে KS1 ক্লাস সমাধান ব্যবহার করে “S-Terra Virtual Gateway” বা PAK ViPNet, APKSH “মহাদেশ”, “S-Terra”।

গ্রুপ নীতি সেট আপ করা. আমরা ভিডিআই-তে প্রয়োগ করা গ্রুপ নীতিতে ক্লায়েন্টের সাথে একমত। এখানে সেটিংয়ের নীতিগুলি অফিসে নীতি নির্ধারণের থেকে আলাদা নয়। আমরা অ্যাক্টিভ ডিরেক্টরির সাথে ইন্টিগ্রেশন সেট আপ করি এবং ক্লায়েন্টদের কিছু গোষ্ঠী নীতির ব্যবস্থাপনা অর্পণ করি। ভাড়াটে প্রশাসকরা কম্পিউটার অবজেক্টে নীতি প্রয়োগ করতে পারেন, সক্রিয় ডিরেক্টরিতে সাংগঠনিক ইউনিট পরিচালনা করতে পারেন এবং ব্যবহারকারী তৈরি করতে পারেন। 

FortiGate-এ, প্রতিটি ক্লায়েন্ট VDOM-এর জন্য আমরা একটি নেটওয়ার্ক নিরাপত্তা নীতি লিখি, অ্যাক্সেসের সীমাবদ্ধতা সেট করি এবং ট্র্যাফিক পরিদর্শন কনফিগার করি। আমরা বেশ কয়েকটি FortiGate মডিউল ব্যবহার করি: 

• আইপিএস মডিউল ম্যালওয়্যারের জন্য ট্র্যাফিক স্ক্যান করে এবং অনুপ্রবেশ প্রতিরোধ করে;
• অ্যান্টিভাইরাস ডেস্কটপগুলিকে ম্যালওয়্যার এবং স্পাইওয়্যার থেকে রক্ষা করে;
• ওয়েব ফিল্টারিং দূষিত বা অনুপযুক্ত বিষয়বস্তু সহ অবিশ্বস্ত সংস্থান এবং সাইটগুলিতে অ্যাক্সেস ব্লক করে;
• ফায়ারওয়াল সেটিংস ব্যবহারকারীদের শুধুমাত্র নির্দিষ্ট সাইটে ইন্টারনেট অ্যাক্সেস করার অনুমতি দিতে পারে। 

কখনও কখনও একটি ক্লায়েন্ট স্বাধীনভাবে ওয়েবসাইটগুলিতে কর্মচারী অ্যাক্সেস পরিচালনা করতে চায়। প্রায়শই না, ব্যাঙ্কগুলি এই অনুরোধটি নিয়ে আসে: সুরক্ষা পরিষেবাগুলির প্রয়োজন যে অ্যাক্সেস নিয়ন্ত্রণ কোম্পানির পক্ষে থাকে। এই ধরনের সংস্থাগুলি নিজেরাই ট্র্যাফিক পর্যবেক্ষণ করে এবং নিয়মিত নীতি পরিবর্তন করে। এই ক্ষেত্রে, আমরা FortiGate থেকে সমস্ত ট্রাফিক ক্লায়েন্টের দিকে ঘুরিয়ে দিই। এটি করার জন্য, আমরা কোম্পানির পরিকাঠামোর সাথে একটি কনফিগার করা ইন্টারফেস ব্যবহার করি। এর পরে, ক্লায়েন্ট নিজেই কর্পোরেট নেটওয়ার্ক এবং ইন্টারনেট অ্যাক্সেসের নিয়মগুলি কনফিগার করে। 

আমরা স্ট্যান্ডে ঘটনা দেখি। FortiGate এর সাথে একসাথে আমরা FortiAnalyzer ব্যবহার করি, Fortinet-এর লগ কালেক্টর। এর সাহায্যে, আমরা ভিডিআই-এর সমস্ত ইভেন্ট লগ এক জায়গায় দেখি, সন্দেহজনক অ্যাকশন খুঁজে পাই এবং পারস্পরিক সম্পর্ক ট্র্যাক করি। 

আমাদের একজন ক্লায়েন্ট তাদের অফিসে Fortinet পণ্য ব্যবহার করে। এটির জন্য, আমরা লগ আপলোডিং কনফিগার করেছি - তাই ক্লায়েন্ট অফিস মেশিন এবং ভার্চুয়াল ডেস্কটপের জন্য সমস্ত নিরাপত্তা ইভেন্ট বিশ্লেষণ করতে সক্ষম হয়েছিল।

ভার্চুয়াল ডেস্কটপ কিভাবে রক্ষা করবেন

পরিচিত হুমকি থেকে. যদি ক্লায়েন্ট স্বাধীনভাবে অ্যান্টি-ভাইরাস সুরক্ষা পরিচালনা করতে চায় তবে আমরা ভার্চুয়াল পরিবেশের জন্য ক্যাসপারস্কি সুরক্ষা ইনস্টল করি। 

এই সমাধান ক্লাউডে ভাল কাজ করে। আমরা সবাই এই সত্যে অভ্যস্ত যে ক্লাসিক ক্যাসপারস্কি অ্যান্টিভাইরাস একটি "ভারী" সমাধান। বিপরীতে, ভার্চুয়ালাইজেশনের জন্য ক্যাসপারস্কি নিরাপত্তা ভার্চুয়াল মেশিন লোড করে না। সমস্ত ভাইরাস ডাটাবেস সার্ভারে অবস্থিত, যা নোডের সমস্ত ভার্চুয়াল মেশিনের জন্য রায় জারি করে। ভার্চুয়াল ডেস্কটপে শুধুমাত্র লাইট এজেন্ট ইনস্টল করা আছে। এটি যাচাইয়ের জন্য সার্ভারে ফাইল পাঠায়। 

এই আর্কিটেকচারটি একই সাথে ভার্চুয়াল মেশিনের কর্মক্ষমতার সাথে আপস না করে ফাইল সুরক্ষা, ইন্টারনেট সুরক্ষা এবং আক্রমণ সুরক্ষা প্রদান করে। এই ক্ষেত্রে, ক্লায়েন্ট স্বাধীনভাবে ফাইল সুরক্ষার ব্যতিক্রমগুলি প্রবর্তন করতে পারে। আমরা সমাধানের মৌলিক সেটআপে সাহায্য করি। আমরা একটি পৃথক নিবন্ধে এর বৈশিষ্ট্য সম্পর্কে কথা বলব।

অজানা হুমকি থেকে। এটি করার জন্য, আমরা FortiSandbox - Fortinet থেকে একটি "স্যান্ডবক্স" সংযুক্ত করি। অ্যান্টিভাইরাস শূন্য-দিনের হুমকি মিস করলে আমরা এটিকে ফিল্টার হিসেবে ব্যবহার করি। ফাইলটি ডাউনলোড করার পরে, আমরা প্রথমে এটি একটি অ্যান্টিভাইরাস দিয়ে স্ক্যান করি এবং তারপর স্যান্ডবক্সে পাঠাই। FortiSandbox একটি ভার্চুয়াল মেশিন অনুকরণ করে, ফাইল চালায় এবং এর আচরণ পর্যবেক্ষণ করে: রেজিস্ট্রিতে কোন বস্তুগুলি অ্যাক্সেস করা হয়, এটি বহিরাগত অনুরোধ পাঠায় কিনা ইত্যাদি। যদি একটি ফাইল সন্দেহজনকভাবে আচরণ করে, তাহলে স্যান্ডবক্স করা ভার্চুয়াল মেশিনটি মুছে ফেলা হয় এবং ক্ষতিকারক ফাইলটি ব্যবহারকারী VDI-তে শেষ হয় না। 

কিভাবে VDI এর সাথে একটি নিরাপদ সংযোগ সেট আপ করবেন

আমরা তথ্য সুরক্ষা প্রয়োজনীয়তার সাথে ডিভাইসের সম্মতি পরীক্ষা করি। দূরবর্তী কাজ শুরু করার পর থেকে, ক্লায়েন্টরা আমাদের কাছে অনুরোধ নিয়ে এসেছেন: তাদের ব্যক্তিগত কম্পিউটার থেকে ব্যবহারকারীদের নিরাপদ অপারেশন নিশ্চিত করতে। যেকোন তথ্য নিরাপত্তা বিশেষজ্ঞ জানেন যে বাড়ির ডিভাইসগুলি রক্ষা করা কঠিন: আপনি প্রয়োজনীয় অ্যান্টিভাইরাস ইনস্টল করতে বা গ্রুপ নীতিগুলি প্রয়োগ করতে পারবেন না, যেহেতু এটি অফিস সরঞ্জাম নয়। 

ডিফল্টরূপে, ভিডিআই একটি ব্যক্তিগত ডিভাইস এবং কর্পোরেট নেটওয়ার্কের মধ্যে একটি নিরাপদ "স্তর" হয়ে ওঠে। ব্যবহারকারী মেশিনের আক্রমণ থেকে VDI রক্ষা করতে, আমরা ক্লিপবোর্ড অক্ষম করি এবং USB ফরওয়ার্ডিং নিষিদ্ধ করি। তবে এটি ব্যবহারকারীর ডিভাইসটিকে নিজেই সুরক্ষিত করে তোলে না। 

আমরা FortiClient ব্যবহার করে সমস্যার সমাধান করি। এটি একটি এন্ডপয়েন্ট সুরক্ষা টুল। কোম্পানির ব্যবহারকারীরা তাদের হোম কম্পিউটারে FortiClient ইনস্টল করে এবং এটি একটি ভার্চুয়াল ডেস্কটপের সাথে সংযোগ করতে ব্যবহার করে। FortiClient একবারে 3টি সমস্যার সমাধান করে: 

• ব্যবহারকারীর জন্য অ্যাক্সেসের একটি "একক উইন্ডো" হয়ে যায়;
• আপনার ব্যক্তিগত কম্পিউটারে একটি অ্যান্টিভাইরাস এবং সর্বশেষ OS আপডেট আছে কিনা তা পরীক্ষা করে; 
• নিরাপদ অ্যাক্সেসের জন্য একটি VPN টানেল তৈরি করে। 

একজন কর্মচারী শুধুমাত্র তখনই অ্যাক্সেস লাভ করে যদি তারা ভেরিফিকেশন পাস করে। একই সময়ে, ভার্চুয়াল ডেস্কটপগুলি নিজেরাই ইন্টারনেট থেকে অ্যাক্সেসযোগ্য নয়, যার অর্থ তারা আক্রমণ থেকে আরও ভাল সুরক্ষিত। 

যদি একটি কোম্পানি নিজেই এন্ডপয়েন্ট সুরক্ষা পরিচালনা করতে চায়, আমরা FortiClient EMS (এন্ডপয়েন্ট ম্যানেজমেন্ট সার্ভার) অফার করি। ক্লায়েন্ট ডেস্কটপ স্ক্যানিং এবং অনুপ্রবেশ প্রতিরোধ কনফিগার করতে পারে এবং ঠিকানাগুলির একটি সাদা তালিকা তৈরি করতে পারে। 

প্রমাণীকরণ কারণ যোগ করা হচ্ছে। ডিফল্টরূপে, ব্যবহারকারীরা Citrix netscaler এর মাধ্যমে প্রমাণীকৃত হয়। এখানেও, আমরা SafeNet পণ্যের উপর ভিত্তি করে মাল্টিফ্যাক্টর প্রমাণীকরণ ব্যবহার করে নিরাপত্তা বাড়াতে পারি। এই বিষয়টি বিশেষ মনোযোগের দাবি রাখে; আমরা একটি পৃথক নিবন্ধে এটি সম্পর্কেও কথা বলব। 

আমরা কাজের গত এক বছরে বিভিন্ন সমাধানের সাথে কাজ করার ক্ষেত্রে এই ধরনের অভিজ্ঞতা সঞ্চয় করেছি। VDI পরিষেবাটি প্রতিটি ক্লায়েন্টের জন্য আলাদাভাবে কনফিগার করা হয়েছে, তাই আমরা সবচেয়ে নমনীয় টুল বেছে নিয়েছি। সম্ভবত অদূর ভবিষ্যতে আমরা অন্য কিছু যোগ করব এবং আমাদের অভিজ্ঞতা ভাগ করব।

7 অক্টোবর 17.00 এ আমার সহকর্মীরা ওয়েবিনারে ভার্চুয়াল ডেস্কটপ সম্পর্কে কথা বলবেন "ভিডিআই কি প্রয়োজনীয়, বা কীভাবে দূরবর্তী কাজ সংগঠিত করা যায়?"
এখন নিবন্ধন করুন, যদি আপনি আলোচনা করতে চান কখন VDI প্রযুক্তি কোন কোম্পানির জন্য উপযুক্ত এবং কখন অন্যান্য পদ্ধতি ব্যবহার করা ভালো।

উত্স: www.habr.com