અમે ગ્રાહક વર્ચ્યુઅલ ડેસ્કટોપને વાયરસ, સ્પાયવેર અને હુમલાઓથી કેવી રીતે સુરક્ષિત કરીએ છીએ

આ વર્ષે, ઘણી કંપનીઓએ ઉતાવળમાં રિમોટ વર્ક પર સ્વિચ કર્યું. કેટલાક ગ્રાહકો માટે અમે મદદ કરી દર અઠવાડિયે સોથી વધુ દૂરસ્થ નોકરીઓ ગોઠવો. આ ફક્ત ઝડપથી જ નહીં, પણ સલામત રીતે કરવું મહત્વપૂર્ણ હતું. VDI ટેક્નોલોજી બચાવમાં આવી છે: તેની મદદથી, તમામ કાર્યસ્થળો પર સુરક્ષા નીતિઓનું વિતરણ કરવું અને ડેટા લીક સામે રક્ષણ કરવું અનુકૂળ છે. 

આ લેખમાં હું તમને જણાવીશ કે કેવી રીતે Citrix VDI પર આધારિત અમારી વર્ચ્યુઅલ ડેસ્કટોપ સેવા માહિતી સુરક્ષાના દૃષ્ટિકોણથી કામ કરે છે. હું તમને બતાવીશ કે ક્લાયન્ટ ડેસ્કટોપને રેન્સમવેર અથવા લક્ષિત હુમલાઓ જેવા બાહ્ય જોખમોથી બચાવવા માટે અમે શું કરીએ છીએ. 

અમે કઈ સુરક્ષા સમસ્યાઓ હલ કરીએ છીએ? 

અમે સેવા માટેના ઘણા મુખ્ય સુરક્ષા જોખમોને ઓળખ્યા છે. એક તરફ, વર્ચ્યુઅલ ડેસ્કટોપ વપરાશકર્તાના કમ્પ્યુટરથી ચેપ લાગવાનું જોખમ ચલાવે છે. બીજી તરફ, વર્ચ્યુઅલ ડેસ્કટોપમાંથી બહાર નીકળીને ઈન્ટરનેટની ખુલ્લી જગ્યામાં જઈને ઈન્ફેકટેડ ફાઈલ ડાઉનલોડ થવાનો ભય રહે છે. જો આમ થાય તો પણ તેની અસર સમગ્ર ઈન્ફ્રાસ્ટ્રક્ચર પર ન થવી જોઈએ. તેથી, સેવા બનાવતી વખતે, અમે ઘણી સમસ્યાઓ હલ કરી: 

• સમગ્ર VDI સ્ટેન્ડને બાહ્ય જોખમોથી સુરક્ષિત કરે છે.
• એકબીજાથી ગ્રાહકોને અલગ પાડવું.
• વર્ચ્યુઅલ ડેસ્કટોપનું રક્ષણ કરવું. 
• કોઈપણ ઉપકરણથી વપરાશકર્તાઓને સુરક્ષિત રીતે કનેક્ટ કરો.

સંરક્ષણનો મુખ્ય ભાગ ફોર્ટિગેટ હતો, જે ફોર્ટીનેટની નવી પેઢીની ફાયરવોલ હતી. તે VDI બૂથ ટ્રાફિકને મોનિટર કરે છે, દરેક ક્લાયન્ટ માટે એક અલગ ઈન્ફ્રાસ્ટ્રક્ચર પૂરું પાડે છે અને વપરાશકર્તા બાજુની નબળાઈઓ સામે રક્ષણ આપે છે. તેની ક્ષમતાઓ મોટાભાગની માહિતી સુરક્ષા સમસ્યાઓને ઉકેલવા માટે પૂરતી છે. 

પરંતુ જો કોઈ કંપનીને વિશેષ સુરક્ષા આવશ્યકતાઓ હોય, તો અમે વધારાના વિકલ્પો ઓફર કરીએ છીએ: 

• અમે ઘરના કમ્પ્યુટર્સથી કામ કરવા માટે સુરક્ષિત કનેક્શન ગોઠવીએ છીએ.
• અમે સુરક્ષા લોગના સ્વતંત્ર વિશ્લેષણ માટે ઍક્સેસ પ્રદાન કરીએ છીએ.
• અમે ડેસ્કટોપ પર એન્ટિવાયરસ સુરક્ષાનું સંચાલન પ્રદાન કરીએ છીએ.
• અમે શૂન્ય-દિવસની નબળાઈઓ સામે રક્ષણ કરીએ છીએ. 
• અમે અનધિકૃત જોડાણો સામે વધારાના રક્ષણ માટે બહુ-પરિબળ પ્રમાણીકરણને ગોઠવીએ છીએ.

હું તમને વધુ વિગતવાર જણાવીશ કે અમે સમસ્યાઓ કેવી રીતે હલ કરી. 

સ્ટેન્ડનું રક્ષણ કેવી રીતે કરવું અને નેટવર્ક સુરક્ષા કેવી રીતે સુનિશ્ચિત કરવી

ચાલો નેટવર્કના ભાગને વિભાજિત કરીએ. સ્ટેન્ડ પર અમે તમામ સંસાધનોનું સંચાલન કરવા માટે બંધ મેનેજમેન્ટ સેગમેન્ટને હાઇલાઇટ કરીએ છીએ. મેનેજમેન્ટ સેગમેન્ટ બહારથી અગમ્ય છે: ક્લાયંટ પર હુમલાની ઘટનામાં, હુમલાખોરો ત્યાં પહોંચી શકશે નહીં. 

ફોર્ટિગેટ રક્ષણ માટે જવાબદાર છે. તે એન્ટીવાયરસ, ફાયરવોલ અને ઈન્ટ્રુઝન પ્રિવેન્શન સિસ્ટમ (IPS) ના કાર્યોને જોડે છે. 

દરેક ક્લાયન્ટ માટે અમે વર્ચ્યુઅલ ડેસ્કટોપ માટે એક અલગ નેટવર્ક સેગમેન્ટ બનાવીએ છીએ. આ હેતુ માટે, ફોર્ટિગેટ પાસે વર્ચ્યુઅલ ડોમેન ટેકનોલોજી અથવા VDOM છે. તે તમને ફાયરવોલને અનેક વર્ચ્યુઅલ એન્ટિટીમાં વિભાજિત કરવાની અને દરેક ક્લાયન્ટને તેનું પોતાનું VDOM ફાળવવા માટે પરવાનગી આપે છે, જે એક અલગ ફાયરવોલની જેમ વર્તે છે. અમે મેનેજમેન્ટ સેગમેન્ટ માટે અલગ VDOM પણ બનાવીએ છીએ.

આ નીચેનો આકૃતિ હોવાનું બહાર આવ્યું છે:


ક્લાયન્ટ્સ વચ્ચે કોઈ નેટવર્ક કનેક્ટિવિટી નથી: દરેક તેના પોતાના VDOM માં રહે છે અને બીજાને પ્રભાવિત કરતું નથી. આ ટેક્નોલોજી વિના, અમારે ક્લાયન્ટ્સને ફાયરવોલ નિયમોથી અલગ કરવા પડશે, જે માનવીય ભૂલને કારણે જોખમી છે. તમે આવા નિયમોની તુલના દરવાજા સાથે કરી શકો છો જે સતત બંધ હોવા જોઈએ. VDOM ના કિસ્સામાં, અમે કોઈ પણ "દરવાજા" છોડતા નથી. 

અલગ VDOM માં, ક્લાયંટનું પોતાનું એડ્રેસિંગ અને રૂટીંગ છે. તેથી, રેન્જને પાર કરવી કંપની માટે કોઈ સમસ્યા નથી. ક્લાયંટ વર્ચ્યુઅલ ડેસ્કટોપને જરૂરી IP એડ્રેસ અસાઇન કરી શકે છે. આ મોટી કંપનીઓ માટે અનુકૂળ છે જેમની પોતાની IP યોજનાઓ છે. 

અમે ક્લાયન્ટના કોર્પોરેટ નેટવર્ક સાથે કનેક્ટિવિટી સમસ્યાઓ હલ કરીએ છીએ. VDI ને ક્લાયંટ ઈન્ફ્રાસ્ટ્રક્ચર સાથે જોડવાનું એક અલગ કાર્ય છે. જો કોઈ કંપની અમારા ડેટા સેન્ટરમાં કોર્પોરેટ સિસ્ટમ્સ રાખે છે, તો અમે તેના સાધનોથી ફાયરવોલ સુધી નેટવર્ક કેબલ ચલાવી શકીએ છીએ. પરંતુ વધુ વખત અમે દૂરસ્થ સાઇટ - અન્ય ડેટા સેન્ટર અથવા ક્લાયંટની ઑફિસ સાથે વ્યવહાર કરીએ છીએ. આ કિસ્સામાં, અમે સાઇટ સાથે સુરક્ષિત વિનિમય દ્વારા વિચારીએ છીએ અને IPsec VPN નો ઉપયોગ કરીને site2site VPN બનાવીએ છીએ. 

ઈન્ફ્રાસ્ટ્રક્ચરની જટિલતાને આધારે યોજનાઓ બદલાઈ શકે છે. કેટલાક સ્થળોએ તે એક જ ઓફિસ નેટવર્કને VDI સાથે કનેક્ટ કરવા માટે પૂરતું છે - ત્યાં સ્થિર રૂટીંગ પર્યાપ્ત છે. મોટી કંપનીઓ પાસે ઘણા નેટવર્ક્સ છે જે સતત બદલાતા રહે છે; અહીં ક્લાયંટને ડાયનેમિક રૂટીંગની જરૂર છે. અમે અલગ-અલગ પ્રોટોકોલનો ઉપયોગ કરીએ છીએ: OSPF (ઓપન શોર્ટેસ્ટ પાથ ફર્સ્ટ), GRE ટનલ (જેનેરિક રાઉટીંગ એન્કેપ્સ્યુલેશન) અને BGP (બોર્ડર ગેટવે પ્રોટોકોલ) સાથે પહેલાથી જ કેસ થયા છે. ફોર્ટિગેટ અન્ય ક્લાયંટને અસર કર્યા વિના અલગ VDOM માં નેટવર્ક પ્રોટોકોલને સપોર્ટ કરે છે. 

તમે GOST-VPN પણ બનાવી શકો છો - ક્રિપ્ટોગ્રાફિક સંરક્ષણ પર આધારિત એન્ક્રિપ્શન એટલે કે રશિયન ફેડરેશનના FSB દ્વારા પ્રમાણિત. ઉદાહરણ તરીકે, વર્ચ્યુઅલ વાતાવરણમાં KS1 ક્લાસ સોલ્યુશન્સનો ઉપયોગ “S-Terra Virtual Gateway” અથવા PAK ViPNet, APKSH “ખંડ”, “S-Terra”.

જૂથ નીતિઓ સુયોજિત કરી રહ્યા છીએ. VDI પર લાગુ કરવામાં આવતી જૂથ નીતિઓ પર અમે ક્લાયન્ટ સાથે સંમત છીએ. અહીં સેટિંગના સિદ્ધાંતો ઓફિસમાં સેટિંગ પોલિસીથી અલગ નથી. અમે એક્ટિવ ડિરેક્ટરી સાથે એકીકરણ સેટ કર્યું છે અને ક્લાયન્ટને કેટલીક જૂથ નીતિઓનું સંચાલન સોંપ્યું છે. ભાડૂત સંચાલકો કમ્પ્યુટર ઑબ્જેક્ટ પર નીતિઓ લાગુ કરી શકે છે, સક્રિય ડિરેક્ટરીમાં સંસ્થાકીય એકમનું સંચાલન કરી શકે છે અને વપરાશકર્તાઓ બનાવી શકે છે. 

FortiGate પર, દરેક ક્લાયંટ VDOM માટે અમે નેટવર્ક સુરક્ષા નીતિ લખીએ છીએ, ઍક્સેસ પ્રતિબંધો સેટ કરીએ છીએ અને ટ્રાફિક નિરીક્ષણ ગોઠવીએ છીએ. અમે ઘણા ફોર્ટિગેટ મોડ્યુલોનો ઉપયોગ કરીએ છીએ: 

• IPS મોડ્યુલ માલવેર માટે ટ્રાફિકને સ્કેન કરે છે અને ઘૂસણખોરી અટકાવે છે;
• એન્ટીવાયરસ ડેસ્કટોપને માલવેર અને સ્પાયવેરથી સુરક્ષિત કરે છે;
• વેબ ફિલ્ટરિંગ દૂષિત અથવા અયોગ્ય સામગ્રી સાથે અવિશ્વસનીય સંસાધનો અને સાઇટ્સની ઍક્સેસને અવરોધે છે;
• ફાયરવોલ સેટિંગ્સ વપરાશકર્તાઓને ફક્ત અમુક સાઇટ્સ પર જ ઇન્ટરનેટ ઍક્સેસ કરવાની મંજૂરી આપી શકે છે. 

કેટલીકવાર ક્લાયંટ વેબસાઇટ્સની કર્મચારીની ઍક્સેસને સ્વતંત્ર રીતે સંચાલિત કરવા માંગે છે. ઘણી વાર નહીં, બેંકો આ વિનંતી સાથે આવે છે: સુરક્ષા સેવાઓ માટે જરૂરી છે કે ઍક્સેસ નિયંત્રણ કંપનીની બાજુમાં રહે. આવી કંપનીઓ પોતે ટ્રાફિકનું નિરીક્ષણ કરે છે અને નિયમિતપણે નીતિઓમાં ફેરફાર કરે છે. આ કિસ્સામાં, અમે ફોર્ટિગેટથી તમામ ટ્રાફિકને ક્લાયન્ટ તરફ ફેરવીએ છીએ. આ કરવા માટે, અમે કંપનીના ઇન્ફ્રાસ્ટ્રક્ચર સાથે રૂપરેખાંકિત ઇન્ટરફેસનો ઉપયોગ કરીએ છીએ. આ પછી, ક્લાયંટ પોતે કોર્પોરેટ નેટવર્ક અને ઇન્ટરનેટની ઍક્સેસ માટેના નિયમોને ગોઠવે છે. 

અમે સ્ટેન્ડ પરની ઘટનાઓ જોઈએ છીએ. FortiGate સાથે મળીને અમે FortiAnalyzer નો ઉપયોગ કરીએ છીએ, જે Fortinet ના લોગ કલેક્ટર છે. તેની મદદથી, અમે VDI પરના તમામ ઇવેન્ટ લોગને એક જ જગ્યાએ જોઈએ છીએ, શંકાસ્પદ ક્રિયાઓ શોધીએ છીએ અને સહસંબંધોને ટ્રૅક કરીએ છીએ. 

અમારા ગ્રાહકોમાંથી એક તેમની ઓફિસમાં Fortinet ઉત્પાદનોનો ઉપયોગ કરે છે. તેના માટે, અમે લોગ અપલોડિંગને ગોઠવ્યું છે - જેથી ક્લાયંટ ઓફિસ મશીનો અને વર્ચ્યુઅલ ડેસ્કટોપ માટે તમામ સુરક્ષા ઘટનાઓનું વિશ્લેષણ કરવામાં સક્ષમ હતું.

વર્ચ્યુઅલ ડેસ્કટોપને કેવી રીતે સુરક્ષિત કરવું

જાણીતી ધમકીઓથી. જો ક્લાયંટ સ્વતંત્ર રીતે એન્ટિ-વાયરસ સુરક્ષાનું સંચાલન કરવા માંગે છે, તો અમે વર્ચ્યુઅલ વાતાવરણ માટે કેસ્પરસ્કી સુરક્ષા પણ ઇન્સ્ટોલ કરીએ છીએ. 

આ સોલ્યુશન ક્લાઉડમાં સારી રીતે કામ કરે છે. આપણે બધા એ હકીકતથી ટેવાયેલા છીએ કે ક્લાસિક કેસ્પરસ્કી એન્ટીવાયરસ એ "ભારે" સોલ્યુશન છે. તેનાથી વિપરીત, વર્ચ્યુઅલાઈઝેશન માટે કેસ્પરસ્કી સુરક્ષા વર્ચ્યુઅલ મશીનો લોડ કરતી નથી. બધા વાયરસ ડેટાબેસેસ સર્વર પર સ્થિત છે, જે નોડના તમામ વર્ચ્યુઅલ મશીનો માટે ચુકાદાઓ જારી કરે છે. વર્ચ્યુઅલ ડેસ્કટોપ પર ફક્ત લાઇટ એજન્ટ ઇન્સ્ટોલ કરેલ છે. તે ચકાસણી માટે સર્વર પર ફાઇલો મોકલે છે. 

આ આર્કિટેક્ચર વારાફરતી ફાઇલ પ્રોટેક્શન, ઈન્ટરનેટ પ્રોટેક્શન અને એટેક પ્રોટેક્શન વર્ચ્યુઅલ મશીનોના પર્ફોર્મન્સ સાથે સમાધાન કર્યા વિના પૂરું પાડે છે. આ કિસ્સામાં, ક્લાયંટ સ્વતંત્ર રીતે ફાઇલ સુરક્ષા માટે અપવાદો રજૂ કરી શકે છે. અમે ઉકેલના મૂળભૂત સેટઅપમાં મદદ કરીએ છીએ. અમે એક અલગ લેખમાં તેના લક્ષણો વિશે વાત કરીશું.

અજાણ્યા ધમકીઓથી. આ કરવા માટે, અમે FortiSandbox ને જોડીએ છીએ – Fortinet નું “સેન્ડબોક્સ”. જો એન્ટિવાયરસ શૂન્ય-દિવસની ધમકી ચૂકી જાય તો અમે તેનો ઉપયોગ ફિલ્ટર તરીકે કરીએ છીએ. ફાઇલ ડાઉનલોડ કર્યા પછી, અમે તેને પહેલા એન્ટીવાયરસથી સ્કેન કરીએ છીએ અને પછી તેને સેન્ડબોક્સમાં મોકલીએ છીએ. FortiSandbox વર્ચ્યુઅલ મશીનનું અનુકરણ કરે છે, ફાઇલ ચલાવે છે અને તેની વર્તણૂકનું નિરીક્ષણ કરે છે: રજિસ્ટ્રીમાં કયા ઑબ્જેક્ટ્સ એક્સેસ કરવામાં આવે છે, શું તે બાહ્ય વિનંતીઓ મોકલે છે, વગેરે. જો ફાઇલ શંકાસ્પદ રીતે વર્તે છે, તો સેન્ડબોક્સવાળી વર્ચ્યુઅલ મશીન કાઢી નાખવામાં આવે છે અને દૂષિત ફાઇલ વપરાશકર્તા VDI પર સમાપ્ત થતી નથી. 

VDI સાથે સુરક્ષિત કનેક્શન કેવી રીતે સેટ કરવું

અમે માહિતી સુરક્ષા જરૂરિયાતો સાથે ઉપકરણનું પાલન તપાસીએ છીએ. દૂરસ્થ કાર્યની શરૂઆતથી, ગ્રાહકોએ વિનંતીઓ સાથે અમારો સંપર્ક કર્યો છે: તેમના વ્યક્તિગત કમ્પ્યુટર્સમાંથી વપરાશકર્તાઓની સલામત કામગીરીની ખાતરી કરવા માટે. કોઈપણ માહિતી સુરક્ષા નિષ્ણાત જાણે છે કે ઘરનાં ઉપકરણોને સુરક્ષિત રાખવું મુશ્કેલ છે: તમે જરૂરી એન્ટિવાયરસ ઇન્સ્ટોલ કરી શકતા નથી અથવા જૂથ નીતિઓ લાગુ કરી શકતા નથી, કારણ કે આ ઓફિસ સાધનો નથી. 

મૂળભૂત રીતે, VDI વ્યક્તિગત ઉપકરણ અને કોર્પોરેટ નેટવર્ક વચ્ચે સુરક્ષિત "સ્તર" બની જાય છે. VDI ને વપરાશકર્તા મશીનના હુમલાઓથી બચાવવા માટે, અમે ક્લિપબોર્ડને અક્ષમ કરીએ છીએ અને USB ફોરવર્ડિંગને પ્રતિબંધિત કરીએ છીએ. પરંતુ આનાથી યુઝરનું ઉપકરણ પોતે જ સુરક્ષિત નથી થતું. 

અમે FortiClient નો ઉપયોગ કરીને સમસ્યા હલ કરીએ છીએ. આ એક એન્ડપોઇન્ટ પ્રોટેક્શન ટૂલ છે. કંપનીના વપરાશકર્તાઓ તેમના ઘરના કમ્પ્યુટર્સ પર FortiClient ઇન્સ્ટોલ કરે છે અને તેનો ઉપયોગ વર્ચ્યુઅલ ડેસ્કટોપ સાથે કનેક્ટ કરવા માટે કરે છે. FortiClient એકસાથે 3 સમસ્યાઓ હલ કરે છે: 

• વપરાશકર્તા માટે ઍક્સેસની "સિંગલ વિન્ડો" બની જાય છે;
• તમારા પર્સનલ કમ્પ્યુટરમાં એન્ટીવાયરસ અને નવીનતમ OS અપડેટ્સ છે કે કેમ તે તપાસે છે; 
• સુરક્ષિત ઍક્સેસ માટે VPN ટનલ બનાવે છે. 

કર્મચારી માત્ર ત્યારે જ ઍક્સેસ મેળવે છે જો તેઓ ચકાસણી પાસ કરે. તે જ સમયે, વર્ચ્યુઅલ ડેસ્કટોપ્સ પોતે ઇન્ટરનેટથી અગમ્ય છે, જેનો અર્થ છે કે તેઓ હુમલાઓથી વધુ સારી રીતે સુરક્ષિત છે. 

જો કોઈ કંપની એન્ડપોઇન્ટ પ્રોટેક્શનને જાતે જ સંચાલિત કરવા માંગે છે, તો અમે FortiClient EMS (એન્ડપોઇન્ટ મેનેજમેન્ટ સર્વર) ઓફર કરીએ છીએ. ક્લાયંટ ડેસ્કટોપ સ્કેનિંગ અને ઘૂસણખોરી નિવારણને ગોઠવી શકે છે, અને સરનામાંઓની સફેદ સૂચિ બનાવી શકે છે. 

પ્રમાણીકરણ પરિબળો ઉમેરી રહ્યા છીએ. મૂળભૂત રીતે, વપરાશકર્તાઓ Citrix નેટસ્કેલર દ્વારા પ્રમાણિત થાય છે. અહીં પણ, અમે SafeNet ઉત્પાદનો પર આધારિત મલ્ટિફેક્ટર પ્રમાણીકરણનો ઉપયોગ કરીને સુરક્ષા વધારી શકીએ છીએ. આ વિષય વિશેષ ધ્યાન આપવાનું પાત્ર છે; અમે આ વિશે એક અલગ લેખમાં પણ વાત કરીશું. 

અમે કામના પાછલા વર્ષમાં જુદા જુદા ઉકેલો સાથે કામ કરવાનો આવો અનુભવ સંચિત કર્યો છે. VDI સેવા દરેક ક્લાયન્ટ માટે અલગથી ગોઠવેલ છે, તેથી અમે સૌથી વધુ લવચીક સાધનો પસંદ કર્યા છે. કદાચ નજીકના ભવિષ્યમાં અમે કંઈક બીજું ઉમેરીશું અને અમારા અનુભવને શેર કરીશું.

7 ઓક્ટોબરે 17.00 વાગ્યે મારા સાથીદારો વેબિનારમાં વર્ચ્યુઅલ ડેસ્કટોપ વિશે વાત કરશે "શું VDI જરૂરી છે, અથવા રિમોટ વર્ક કેવી રીતે ગોઠવવું?"
અત્યારે નોંધાવો, જો તમે ચર્ચા કરવા માંગતા હોવ કે VDI ટેક્નોલોજી કંપની માટે ક્યારે યોગ્ય છે અને અન્ય પદ્ધતિઓનો ઉપયોગ ક્યારે કરવો તે વધુ સારું છે.

સોર્સ: www.habr.com