In diesem Jahr haben viele Unternehmen hastig auf Homeoffice umgestellt. Einige Kunden haben wir mehr als hundert Heimarbeitsplätze innerhalb einer Woche einzurichten. Es war wichtig, dies nicht nur schnell, sondern auch sicher zu tun. Hier kam die VDI-Technologie ins Spiel: Damit lassen sich Sicherheitsrichtlinien bequem auf alle Arbeitsplätze ausweiten und Datenlecks verhindern.
In diesem Artikel erkläre ich, wie unser virtueller Desktop-Service auf Basis von Citrix VDI aus Sicht der Informationssicherheit funktioniert. Ich zeige, was wir tun, um die Arbeitsplätze unserer Kunden vor externen Bedrohungen wie Ransomware oder gezielten Attacken zu schützen.
Welche Sicherheitsaufgaben wir angehen
Wir haben mehrere wesentliche Sicherheitsbedrohungen für den Dienst identifiziert. Einerseits droht ein virtueller Desktop, sich über den Computer des Benutzers zu infizieren. Andererseits besteht die Gefahr, vom virtuellen Desktop in den offenen Internetraum überzugehen und eine infizierte Datei herunterzuladen. Selbst wenn dies geschieht, sollte es nicht die gesamte Infrastruktur beeinträchtigen. Daher haben wir bei der Erstellung des Dienstes mehrere Herausforderungen angehen müssen:
- Schutz des gesamten VDI-Standorts vor externen Bedrohungen.
- Isolation der Kunden voneinander.
- Schutz der virtuellen Arbeitsplätze selbst.
- Sichere Verbindung für Benutzer von allen Geräten.
Das Kernstück des Schutzes ist FortiGate – die nächste Generation der Firewalls von Fortinet. Es kontrolliert den Datenverkehr des VDI-Stands, bietet eine isolierte Infrastruktur für jeden Kunden und schützt vor Benutzer-seitigen Schwachstellen. Seine Möglichkeiten reichen aus, um die meisten Fragen zur Informationssicherheit zu klären.
Wenn das Unternehmen spezielle Sicherheitsanforderungen hat, bieten wir zusätzliche Möglichkeiten an:
- Wir organisieren eine sichere Verbindung zum Arbeiten von Heimcomputern aus.
- Wir geben Zugang zur selbstständigen Analyse von Sicherheitsprotokollen.
- Wir bieten Verwaltung des Virenschutzes auf den Arbeitsplätzen an.
- Wir schützen vor Zero-Day-Schwachstellen.
- Wir konfigurieren eine Multi-Faktor-Authentifizierung für zusätzlichen Schutz gegen unbefugte Zugriffe.
Ich erläutere, wie wir diese Herausforderungen gelöst haben.
Wie wir die Stände sichern und die Netzwerksicherheit gewährleisten.
Wir segmentieren den Netzwerkbereich. Am Stand heben wir den geschlossenen Management-Segment hervor, um alle Ressourcen zu verwalten. Der Management-Segment ist von außen nicht zugänglich: Im Falle eines Angriffs auf den Kunden können Angreifer dort nicht eindringen.
Die Sicherheit wird von FortiGate übernommen. Es kombiniert die Funktionen eines Antivirenprogramms, einer Firewall und eines Intrusion Prevention Systems (IPS).
Für jeden Kunden erstellen wir ein isoliertes Netzwerksegment für virtuelle Desktops. Dafür bietet FortiGate die Technologie der virtuellen Domänen (VDOM). Diese ermöglicht es, die Firewall in mehrere virtuelle Entitäten aufzuteilen und jedem Kunden sein eigenes VDOM zuzuweisen, das sich wie eine separate Firewall verhält. Auch für das Management-Segment erstellen wir ein separates VDOM.
So sieht das Schema aus:
Zwischen den Kunden besteht keine Netzwerkverbindung: Jeder lebt in seinem eigenen VDOM und hat keinen Einfluss auf den anderen. Ohne diese Technologie müssten wir die Kunden durch Firewall-Regeln trennen, was aufgrund des menschlichen Faktors riskant ist. Man kann solche Regeln mit einer Tür vergleichen, die ständig geschlossen werden muss. Mit VDOM lassen wir überhaupt keine "Türen" offen.
In einem separaten VDOM hat der Kunde seine eigene Adressierung und Routing. Daher wird die Überschneidung von Adressbereichen nicht zu einem Problem für die Firma. Der Kunde kann die benötigten IP-Adressen für virtuelle Arbeitsplätze zuweisen. Dies ist besonders praktisch für große Unternehmen, die eigene IP-Pläne haben.
Wir lösen die Konnektivitätsfragen mit dem Unternehmensnetz des Kunden. Eine separate Aufgabe ist die Anbindung von VDI an die Infrastruktur des Kunden. Wenn das Unternehmen seine Unternehmenssysteme in unserem Rechenzentrum betreibt, kann einfach ein Netzwerkkabel von seiner Hardware zum Firewall angeschlossen werden. Häufig haben wir es jedoch mit einem entfernten Standort zu tun – einem anderen Rechenzentrum oder dem Büro des Kunden. In diesem Fall planen wir einen sicheren Austausch mit dem Standort und erstellen ein site-to-site VPN mit IPsec VPN.
Die Netzwerkschemata können unterschiedlich sein, abhängig von der Komplexität der Infrastruktur. In manchen Fällen reicht es aus, eine einzige Büronetzwerkverbindung zum VDI herzustellen – hier genügt statische Routen. In großen Unternehmen gibt es viele Netzwerke, die sich ständig ändern; hier ist dynamisches Routing für den Kunden erforderlich. Wir verwenden verschiedene Protokolle: bereits gab es Fälle mit OSPF (Open Shortest Path First), GRE-Tunneln (Generic Routing Encapsulation) und BGP (Border Gateway Protocol). FortiGate unterstützt Netzwerkprotokolle in separaten VDOMs, ohne die anderen Kunden zu beeinflussen.
Es ist auch möglich, ein GOST-VPN zu erstellen – Verschlüsselung basierend auf durch die FSB der Russischen Föderation zertifizierten Krypto-Schutzmitteln. Zum Beispiel mit Lösungen der Klasse K1 in der virtuellen Umgebung "S-Terra virtueller Gateway" oder PAK ViPNet, APKSH "Kontinent", "S-Terra".
Wir konfigurieren Gruppenrichtlinien. Wir stimmen mit dem Kunden Gruppenrichtlinien ab, die auf VDI angewendet werden. Die Grundsätze der Konfiguration unterscheiden sich nicht von den Richtlinieneinstellungen im Büro. Wir richten die Integration mit Active Directory ein und delegieren den Kunden die Verwaltung bestimmter Gruppenrichtlinien. Die Administratoren des Kunden können Richtlinien auf das Objekt Computer anwenden, die organisatorische Einheit in Active Directory verwalten und Benutzer erstellen.
Auf der FortiGate schreiben wir für jede Kunden-VDOM eine Netzwerksicherheitsrichtlinie, legen Zugangsbeschränkungen fest und konfigurieren die Verkehrskontrolle. Wir verwenden mehrere FortiGate-Module:
- das IPS-Modul überprüft den Verkehr auf Schadsoftware und verhindert Angriffe;
- der Antivirus schützt die Desktop-Umgebungen vor schadhafter und spyware;
- Webfilterung blockiert den Zugang zu unsicheren Ressourcen und Websites mit schädlichen oder unangemessenen Inhalten;
- die Firewall-Einstellungen können es Benutzern erlauben, nur auf bestimmte Websites im Internet zuzugreifen.
Manchmal möchte ein Kunde selbstständig den Zugriff der Mitarbeiter auf Websites verwalten. Häufig kommen solche Anfragen von Banken: Die Sicherheitsdienste verlangen, dass die Zugriffskontrolle im Unternehmen bleibt. Diese Unternehmen überwachen selbst den Datenverkehr und passen regelmäßig die Richtlinien an. In diesem Fall leiten wir den gesamten Datenverkehr über FortiGate in Richtung des Kunden. Dafür nutzen wir eine konfigurierte Schnittstelle mit der Unternehmensinfrastruktur. Anschließend konfiguriert der Kunde selbst die Zugriffsregeln für das Firmennetzwerk und das Internet.
Wir beobachten die Ereignisse am Stand. Zusammen mit FortiGate verwenden wir FortiAnalyzer – den Protokollsammler von Fortinet. Damit betrachten wir alle Ereignisprotokolle an der VDI an einem Ort, identifizieren verdächtige Aktivitäten und verfolgen Korrelationen.
Einer unserer Kunden nutzt die Produkte von Fortinet in seinem Büro. Für ihn haben wir die Protokollübermittlung eingerichtet – so konnte der Kunde alle Sicherheitsereignisse für Büromaschinen und virtuelle Arbeitsplätze analysieren.
Wie wir virtuelle Arbeitsplätze schützen
Vor bekannten Bedrohungen. Wenn der Kunde die Antiviren-Schutz selbst verwalten möchte, installieren wir zusätzlich Kaspersky Security für virtuelle Umgebungen.
Diese Lösung funktioniert gut in der Cloud. Wir alle sind es gewohnt, dass das klassische Antivirenprogramm von Kaspersky eine "schwere" Lösung ist. Im Gegensatz dazu belastet Kaspersky Security für virtuelle Umgebungen die virtuellen Maschinen nicht. Alle Virendatenbanken befinden sich auf einem Server, der die Urteile für alle virtuellen Maschinen des Knotens abgibt. Auf dem virtuellen Desktop ist nur ein leichtes Agentenprogramm installiert. Dieses sendet Dateien zur Überprüfung an den Server.
Diese Architektur bietet gleichzeitig Dateischutz, Internet-Schutz, Schutz vor Angriffen und verringert nicht die Leistung der virtuellen Maschinen. Zudem kann der Kunde selbst Ausnahmen im Dateischutz festlegen. Wir unterstützen bei der grundlegenden Einrichtung der Lösung. Über ihre Besonderheiten werden wir in einem separaten Artikel berichten.
Vor unbekannten Bedrohungen. Dazu verbinden wir FortiSandbox – die "Sandbox" von Fortinet. Wir verwenden sie als Filter für den Fall, dass ein Antivirus eine "Zero-Day"-Bedrohung übersieht. Nach dem Herunterladen der Datei prüfen wir sie zuerst mit Antivirus und senden sie dann in die "Sandbox". FortiSandbox emuliert eine virtuelle Maschine, startet die Datei und beobachtet ihr Verhalten: auf welche Objekte in der Registry zugegriffen wird, ob äußere Anfragen gesendet werden usw. Wenn sich die Datei verdächtig verhält, wird die virtuelle Maschine in der Sandbox gelöscht, und die bösartige Datei erreicht nicht den Benutzer-VDI.
So stellen wir eine sichere Verbindung zu VDI her
Wir überprüfen die Konformität des Geräts mit den Anforderungen der Informationssicherheit. Seit dem Beginn des Homeoffice haben Kunden uns mit Anfragen kontaktiert: die sichere Nutzung ihrer persönlichen Computer durch Mitarbeiter zu gewährleisten. Jeder Informationssicherheitsspezialist weiß, dass es schwierig ist, private Geräte zu schützen: Es ist nicht möglich, die erforderliche Antivirus-Software zu installieren oder Gruppenrichtlinien anzuwenden, da es sich nicht um Bürogeräte handelt.
Standardmäßig fungiert VDI als eine sichere „Schicht“ zwischen dem persönlichen Gerät und dem Unternehmensnetzwerk. Um VDI vor Angriffen vom Benutzergerät zu schützen, deaktivieren wir die Zwischenablage und verbieten die Nutzung von USB. Doch das macht das Benutzergerät selbst nicht sicher.
Das Problem lösen wir mit FortiClient. Dies ist ein Tool zum Schutz von Endpunkten. Mitarbeiter des Unternehmens installieren FortiClient auf ihren privaten Computern, um sich damit mit dem virtuellen Desktop zu verbinden. FortiClient erfüllt gleich drei Aufgaben:
- es wird zum „einzigen Zugang“ für den Benutzer;
- es überprüft, ob auf dem persönlichen Computer ein Antivirus und die neuesten Betriebssystemupdates vorhanden sind;
- es baut einen VPN-Tunnel für einen sicheren Zugriff auf.
Ein Mitarbeiter erhält Zugriff, nur wenn er die Überprüfung besteht. Dabei sind die virtuellen Desktops selbst nicht aus dem Internet zugänglich, was sie besser vor Angriffen schützt.
Wenn das Unternehmen die Endpoint-Sicherheit selbst verwalten möchte, bieten wir FortiClient EMS (Endpoint Management Server) an. Der Kunde kann das Scannen der Desktops und die Eindringungsschutzmaßnahmen selbst konfigurieren sowie eine Whitelist von Adressen erstellen.
Wir fügen Authentifizierungsfaktoren hinzu. Standardmäßig authentifizieren sich Benutzer über Citrix Netscaler. Hier können wir die Sicherheit auch durch eine Multi-Faktor-Authentifizierung basierend auf SafeNet-Produkten erhöhen. Dieses Thema verdient besondere Aufmerksamkeit, darüber werden wir auch in einem separaten Artikel berichten.
Im letzten Jahr haben wir umfangreiche Erfahrungen mit verschiedenen Lösungen gesammelt. Der VDI-Service wird individuell für jeden Kunden konfiguriert, daher haben wir die flexibelsten Werkzeuge ausgewählt. Möglicherweise werden wir in naher Zukunft weitere Lösungen hinzufügen und unsere Erfahrungen teilen.
Am 7. Oktober um 17:00 Uhr werden meine Kollegen im Webinar "Braucht man VDI, oder wie organisiert man remote Arbeit?" über virtuelle Arbeitsplätze berichten.
, wenn Sie besprechen möchten, wann die VDI-Technologie für Unternehmen geeignet ist und wann es besser ist, andere Methoden zu verwenden.
Quelle: habr.com
