Wie wir die virtuellen Desktops unserer Kunden vor Viren, Spyware und Angriffen schützen

In diesem Jahr haben viele Unternehmen hastig auf Homeoffice umgestellt. Einige Kunden haben wir unterstützt innerhalb einer Woche über hundert Homeoffice-Arbeitsplätze einzurichten. Es war wichtig, dies nicht nur schnell, sondern auch sicher zu tun. Die Technologie VDI kam uns zur Hilfe: Damit lassen sich Sicherheitsrichtlinien bequem auf alle Arbeitsplätze verteilen und Datenlecks verhindern. 

In diesem Artikel werde ich erläutern, wie unser virtueller Desktop-Service auf Basis von Citrix VDI aus der Perspektive der Informationssicherheit funktioniert. Ich werde aufzeigen, was wir tun, um die Kundendesk von externen Bedrohungen wie Ransomware oder gezielten Angriffen zu schützen. 

Welche Sicherheitsaufgaben wir lösen 

Wir haben mehrere wesentliche Sicherheitsbedrohungen für den Service identifiziert. Einerseits kann der virtuelle Desktop durch den Computer des Nutzers infiziert werden. Andererseits besteht die Gefahr, dass man vom virtuellen Desktop ins weite Internet gelangt und eine infizierte Datei herunterlädt. Selbst wenn dies passiert, sollte es nicht die gesamte Infrastruktur beeinträchtigen. Daher haben wir bei der Erstellung des Services mehrere Aufgaben berücksichtigt: 

• Schutz des gesamten VDI-Standes vor externen Bedrohungen.
• Isolation der Kunden voneinander.
• Schutz der virtuellen Desktops selbst. 
• Sichere Verbindung für Benutzer von jedem Gerät aus.

Das Kernstück des Schutzes ist FortiGate – eine nächste Generation Firewall von Fortinet. Sie überwacht den Datenverkehr des VDI-Standes, sorgt für eine isolierte Infrastruktur für jeden Kunden und schützt vor Schwachstellen auf der Benutzerseite. Ihre Möglichkeiten sind ausreichend, um die meisten Fragen zur Informationssicherheit zu klären. 

Aber wenn ein Unternehmen spezielle Sicherheitsanforderungen hat, bieten wir zusätzliche Möglichkeiten an: 

• Ein sicheres Verbindung für die Arbeit von Heimcomputern einrichten.
• Zugang zur eigenständigen Analyse der Sicherheitsprotokolle gewähren.
• Verwaltung des Virenschutzes auf den Desktops bereitstellen.
• Schutz vor „Zero-Day“-Schwachstellen. 
• Einrichten von Mehr-Faktor-Authentifizierung für zusätzlichen Schutz vor unbefugtem Zugriff.

Ich werde näher erläutern, wie wir diese Aufgaben gelöst haben. 

Wie wir den Stand schützen und die Netzwerksicherheit gewährleisten

Wir segmentieren den Netzwerkbereich. Am Stand heben wir den geschlossenen Management-Segment hervor, der für die Verwaltung aller Ressourcen zuständig ist. Das Management-Segment ist von außen nicht zugänglich: Im Falle eines Angriffs auf den Kunden können Angreifer nicht darauf zugreifen. 

Für die Sicherheit ist FortiGate verantwortlich. Es kombiniert die Funktionen eines Antivirenprogramms, einer Firewall und eines Intrusion Prevention Systems (IPS). 

Für jeden Kunden wird ein isolierter Netzwerk-Segment für virtuelle Arbeitsplätze erstellt. Dafür gibt es in FortiGate die Technologie der virtuellen Domänen oder VDOM. Sie ermöglicht es, die Firewall in mehrere virtuelle Einheiten zu unterteilen und jedem Kunden seinen eigenen VDOM zuzuweisen, der sich wie eine separate Firewall verhält. Auch für das Management-Segment erstellen wir einen separaten VDOM.

Es ergibt sich folgendes Schema:


Zwischen den Kunden besteht keine Netzwerkverbindung: Jeder lebt in seinem VDOM und beeinflusst den anderen nicht. Ohne diese Technologie müssten wir die Kunden durch Firewall-Regeln trennen, was aufgrund des menschlichen Faktors riskant ist. Man kann solche Regeln mit einer Tür vergleichen, die ständig geschlossen werden muss. Im Fall von VDOM lassen wir überhaupt keine "Türen" offen. 

In einem separaten VDOM hat der Kunde seine eigene Adressierung und Routing. Daher wird die Überlappung der Bereiche für das Unternehmen kein Problem. Der Kunde kann den virtuellen Arbeitsplätzen die benötigten IP-Adressen zuweisen. Das ist bequem für große Unternehmen mit eigenen IP-Plänen. 

Wir lösen Fragen der Konnektivität mit dem Unternehmensnetz des Kunden. Eine separate Aufgabe besteht darin, die VDI mit der Kundeninfrastruktur zu verbinden. Wenn das Unternehmen seine Unternehmenssysteme in unserem Rechenzentrum hält, kann das Netzwerkkabel einfach von deren Equipment zur Firewall gezogen werden. Oftmals haben wir es jedoch mit einem Remote-Standort zu tun – einem anderen Rechenzentrum oder dem Büro des Kunden. In diesem Fall planen wir einen sicheren Austausch mit dem Standort und bauen eine Site-to-Site-VPN mit IPsec VPN auf. 

Die Netzwerkanordnungen können unterschiedlich sein, je nach Komplexität der Infrastruktur. An manchen Orten genügt es, ein einziges Büro-Netzwerk an den VDI anzuschließen – dort reicht eine statische Routing. In großen Unternehmen gibt es viele Netzwerke, die sich ständig ändern; hier benötigt der Kunde dynamisches Routing. Wir verwenden verschiedene Protokolle: es gab bereits Fälle mit OSPF (Open Shortest Path First), GRE-Tunneln (Generic Routing Encapsulation) und BGP (Border Gateway Protocol). FortiGate unterstützt Netzwerkprotokolle in separaten VDOMs, ohne andere Kunden zu beeinflussen. 

Es ist auch möglich, ein GOST-VPN zu erstellen – Verschlüsselung auf der Grundlage von zertifizierten Mitteln der FSB RF für kryptographischen Schutz. Zum Beispiel mit Lösungen der Klasse KS1 in der virtuellen Umgebung „S-Terra virtueller Gateway“ oder PAK ViPNet, APKSH „Kontinent“, „S-Terra“.

Wir konfigurieren Gruppenrichtlinien. Wir stimmen die Gruppenrichtlinien mit dem Kunden ab, die im VDI angewendet werden. Die Prinzipien der Konfiguration unterscheiden sich hierbei nicht von den Richtlinieneinstellungen im Büro. Wir konfigurieren die Integration mit Active Directory und delegieren den Kunden die Verwaltung einiger Gruppenrichtlinien. Die Administratoren des Kunden können Richtlinien auf dem Objekt Computer anwenden, die organisatorische Einheit in Active Directory verwalten und Benutzer erstellen. 

Für jeden Kunden-VDOM auf FortiGate erstellen wir eine Netzwerksicherheitsrichtlinie, setzen Zugangsrestriktionen fest und konfigurieren die Überprüfung des Datenverkehrs. Wir verwenden mehrere FortiGate-Module: 

• Das IPS-Modul überprüft den Datenverkehr auf Schadsoftware und verhindert Angriffe;
• Der Antivirenschutz schützt die Arbeitsplätze vor schädlicher und spionierender Software;
• Webfilterung blockiert den Zugriff auf unsichere Ressourcen und Webseiten mit schädlichem oder unzulässigem Inhalt;
• Die Konfiguration der Firewall kann es den Benutzern erlauben, nur auf bestimmte Webseiten im Internet zuzugreifen. 

Manchmal möchte der Kunde den Zugang seiner Mitarbeiter zu Webseiten selbst verwalten. Häufig kommen solche Anfragen von Banken: Die Sicherheitsdienste verlangen, dass die Zugriffskontrolle auf Seiten des Unternehmens bleibt. Solche Unternehmen überwachen selbst den Datenverkehr und nehmen regelmäßig Änderungen an den Richtlinien vor. In diesem Fall leiten wir den gesamten Datenverkehr von FortiGate in Richtung des Kunden. Dazu verwenden wir eine konfigurierte Schnittstelle zur Infrastruktur des Unternehmens. Danach konfiguriert der Kunde selbst die Zugangsregeln zum Unternehmensnetzwerk und zum Internet. 

Wir beobachten die Ereignisse am Stand. Zusammen mit FortiGate verwenden wir FortiAnalyzer – den Log-Kollektor von Fortinet. Damit betrachten wir alle Ereignisprotokolle in VDI an einem Ort, finden verdächtige Aktivitäten und verfolgen Korrelationen. 

Einer unserer Kunden verwendet Fortinet-Produkte in seinem Büro. Für ihn haben wir den Export der Protokolle eingerichtet – so konnte der Kunde alle Sicherheitsereignisse für Bürocomputer und virtuelle Desktops analysieren.

Wie wir virtuelle Desktops schützen

Vor bekannten Bedrohungen. Wenn der Kunde selbst die Antivirus-Schutzverwaltung übernehmen möchte, installieren wir zusätzlich Kaspersky Security für virtuelle Umgebungen. 

Diese Lösung funktioniert gut in der Cloud. Wir sind alle daran gewöhnt, dass der klassische Kaspersky Antivirus eine "schwere" Lösung ist. Im Gegensatz dazu belastet Kaspersky Security für virtuelle Umgebungen die virtuellen Maschinen nicht. Alle Virus-Datenbanken befinden sich auf dem Server, der Urteile für alle virtuellen Maschinen innerhalb des Hosts fällt. Auf dem virtuellen Desktop ist nur ein leichtes Agent installiert. Er sendet Dateien zur Überprüfung an den Server. 

Diese Architektur bietet gleichzeitig Dateischutz, Internetschutz, Schutz vor Angriffen und verringert nicht die Leistung der virtuellen Maschinen. Der Kunde kann selbst Ausnahmen beim Dateischutz vornehmen. Wir unterstützen bei der grundlegenden Einrichtung der Lösung. Über ihre Besonderheiten werden wir in einem separaten Artikel berichten.

Vor unbekannten Bedrohungen. Dazu verbinden wir FortiSandbox – die "Sandobox" von Fortinet. Wir verwenden sie als Filter für den Fall, dass das Antivirus eine "Zero-Day"-Bedrohung übersieht. Nach dem Herunterladen der Datei überprüfen wir sie zuerst mit dem Antivirus und senden sie dann in die "Sandbox". FortiSandbox emuliert eine virtuelle Maschine, startet die Datei und beobachtet ihr Verhalten: auf welche Objekte im Registry sie zugreift, ob sie externe Anfragen sendet und so weiter. Wenn sich die Datei verdächtig verhält, wird die virtuelle Maschine in der Sandbox gelöscht und die schadhafte Datei gelangt nicht auf die Benutzer-VDI. 

Wie wir sichere Verbindungen zu VDI einrichten

Wir überprüfen die Konformität des Geräts mit den IT-Sicherheitsanforderungen. Seit Beginn der Telearbeit haben die Kunden uns mit Anfragen kontaktiert: eine sichere Nutzung der Nutzer mit ihren privaten Computern sicherzustellen. Jeder IT-Sicherheitsspezialist weiß, dass es schwierig ist, private Geräte zu schützen: Man kann dort kein notwendiges Antivirenprogramm installieren oder Gruppenrichtlinien anwenden, da es sich nicht um Bürogeräte handelt. 

Standardmäßig wird VDI zu einer sicheren "Zwischenschicht" zwischen dem persönlichen Gerät und dem Unternehmensnetzwerk. Um VDI vor Angriffen von Benutzergeräten zu schützen, deaktivieren wir die Zwischenablage und verbieten die USB-Durchreiche. Aber das macht das Benutzergerät selbst nicht sicher. 

Das Problem lösen wir mit FortiClient. Dies ist ein Mittel zum Schutz von Endgeräten. Die Benutzer des Unternehmens installieren FortiClient auf ihren privaten Computern und verbinden sich damit mit dem virtuellen Desktop. FortiClient erfüllt gleichzeitig 3 Aufgaben: 

• es wird zu einem "einzigen Zugangspunkt" für den Benutzer;
• es überprüft, ob auf dem persönlichen Computer ein Antivirenprogramm und die neuesten Betriebssystemaktualisierungen vorhanden sind; 
• es erstellt einen VPN-Tunnel für den sicheren Zugriff. 

Ein Mitarbeiter erhält Zugriff, nur wenn er die Überprüfung bestanden hat. Dabei sind die virtuellen Desktops nicht aus dem Internet zugänglich, was sie besser gegen Angriffe schützt. 

Wenn das Unternehmen die Endpoint-Sicherheit selbst verwalten möchte, bieten wir FortiClient EMS (Endpoint Management Server) an. Der Kunde kann selbst die Scans der Desktops und die Eindringungsschutzmaßnahmen konfigurieren und einen Adressfilter erstellen. 

Wir fügen Authentifizierungsfaktoren hinzu. Standardmäßig authentifizieren sich die Benutzer über Citrix Netscaler. Hier können wir die Sicherheit ebenfalls durch Multi-Faktor-Authentifizierung auf der Grundlage von SafeNet-Produkten erhöhen. Dieses Thema verdient besondere Aufmerksamkeit, darüber werden wir in einem separaten Artikel berichten. 

In dem letzten Jahr haben wir so viel Erfahrung mit verschiedenen Lösungen gesammelt. Der VDI-Service wird individuell für jeden Kunden konfiguriert, daher haben wir die flexibelsten Werkzeuge ausgewählt. Möglicherweise werden wir in naher Zukunft noch etwas hinzufügen und unsere Erfahrungen teilen.

Am 7. Oktober um 17:00 Uhr werden meine Kollegen in einem Webinar über virtuelle Desktops mit dem Thema "Braucht man VDI, oder wie organisiere ich die Telearbeit?" berichten.
Melden Sie sich an, wenn Sie besprechen möchten, wann die VDI-Technologie für Unternehmen geeignet ist und wann es besser ist, andere Methoden zu verwenden.

Quelle: habr.com