हम ग्राहक वर्चुअल डेस्कटॉप को वायरस, स्पाइवेयर और हमलों से कैसे बचाते हैं

इस साल, कई कंपनियों ने जल्दबाजी में दूरस्थ कार्य पर स्विच कर दिया। कुछ ग्राहकों के लिए हम मदद की प्रति सप्ताह सौ से अधिक दूरस्थ कार्य व्यवस्थित करें। इसे न केवल शीघ्रता से, बल्कि सुरक्षित रूप से करना भी महत्वपूर्ण था। वीडीआई तकनीक बचाव के लिए आई है: इसकी मदद से, सभी कार्यस्थलों पर सुरक्षा नीतियों को वितरित करना और डेटा लीक से बचाव करना सुविधाजनक है। 

इस लेख में मैं आपको बताऊंगा कि Citrix VDI पर आधारित हमारी वर्चुअल डेस्कटॉप सेवा सूचना सुरक्षा के दृष्टिकोण से कैसे काम करती है। मैं आपको दिखाऊंगा कि हम क्लाइंट डेस्कटॉप को रैंसमवेयर या लक्षित हमलों जैसे बाहरी खतरों से बचाने के लिए क्या करते हैं। 

हम किन सुरक्षा समस्याओं का समाधान करते हैं? 

हमने सेवा के लिए कई मुख्य सुरक्षा खतरों की पहचान की है। एक ओर, वर्चुअल डेस्कटॉप उपयोगकर्ता के कंप्यूटर से संक्रमित होने का जोखिम रखता है। दूसरी ओर, वर्चुअल डेस्कटॉप से ​​बाहर इंटरनेट की खुली जगह में जाकर किसी संक्रमित फ़ाइल को डाउनलोड करने का भी ख़तरा रहता है। अगर ऐसा होता भी है तो इसका असर पूरे इंफ्रास्ट्रक्चर पर नहीं पड़ना चाहिए. इसलिए, सेवा बनाते समय, हमने कई समस्याओं का समाधान किया: 

• संपूर्ण VDI स्टैंड को बाहरी खतरों से बचाता है।
• ग्राहकों का एक दूसरे से अलगाव.
• वर्चुअल डेस्कटॉप की स्वयं सुरक्षा करना। 
• उपयोगकर्ताओं को किसी भी डिवाइस से सुरक्षित रूप से कनेक्ट करें।

सुरक्षा का मूल फ़ोर्टिगेट था, जो फ़ोर्टिनेट की एक नई पीढ़ी का फ़ायरवॉल था। यह वीडीआई बूथ ट्रैफ़िक की निगरानी करता है, प्रत्येक ग्राहक के लिए एक अलग बुनियादी ढाँचा प्रदान करता है, और उपयोगकर्ता पक्ष पर कमजोरियों से बचाता है। इसकी क्षमताएं अधिकांश सूचना सुरक्षा समस्याओं को हल करने के लिए पर्याप्त हैं। 

लेकिन यदि किसी कंपनी की विशेष सुरक्षा आवश्यकताएँ हैं, तो हम अतिरिक्त विकल्प प्रदान करते हैं: 

• हम घरेलू कंप्यूटर से काम करने के लिए एक सुरक्षित कनेक्शन की व्यवस्था करते हैं।
• हम सुरक्षा लॉग के स्वतंत्र विश्लेषण के लिए पहुँच प्रदान करते हैं।
• हम डेस्कटॉप पर एंटीवायरस सुरक्षा का प्रबंधन प्रदान करते हैं।
• हम शून्य-दिन की कमजोरियों से रक्षा करते हैं। 
• हम अनधिकृत कनेक्शन के विरुद्ध अतिरिक्त सुरक्षा के लिए बहु-कारक प्रमाणीकरण कॉन्फ़िगर करते हैं।

मैं आपको अधिक विस्तार से बताऊंगा कि हमने समस्याओं का समाधान कैसे किया। 

स्टैंड की सुरक्षा कैसे करें और नेटवर्क सुरक्षा कैसे सुनिश्चित करें

आइए नेटवर्क भाग को विभाजित करें। स्टैंड पर हम सभी संसाधनों के प्रबंधन के लिए एक बंद प्रबंधन खंड पर प्रकाश डालते हैं। प्रबंधन खंड बाहर से पहुंच योग्य नहीं है: ग्राहक पर हमले की स्थिति में, हमलावर वहां नहीं पहुंच पाएंगे। 

सुरक्षा के लिए फोर्टीगेट जिम्मेदार है। यह एंटीवायरस, फ़ायरवॉल और घुसपैठ रोकथाम प्रणाली (आईपीएस) के कार्यों को जोड़ती है। 

प्रत्येक क्लाइंट के लिए हम वर्चुअल डेस्कटॉप के लिए एक अलग नेटवर्क सेगमेंट बनाते हैं। इस उद्देश्य के लिए, FortiGate के पास वर्चुअल डोमेन तकनीक या VDOM है। यह आपको फ़ायरवॉल को कई वर्चुअल इकाइयों में विभाजित करने और प्रत्येक क्लाइंट को अपना स्वयं का VDOM आवंटित करने की अनुमति देता है, जो एक अलग फ़ायरवॉल की तरह व्यवहार करता है। हम प्रबंधन खंड के लिए एक अलग VDOM भी बनाते हैं।

यह निम्नलिखित चित्र बनता है:


ग्राहकों के बीच कोई नेटवर्क कनेक्टिविटी नहीं है: प्रत्येक अपने स्वयं के वीडीओएम में रहता है और दूसरे को प्रभावित नहीं करता है। इस तकनीक के बिना, हमें ग्राहकों को फ़ायरवॉल नियमों से अलग करना होगा, जो मानवीय त्रुटि के कारण जोखिम भरा है। आप ऐसे नियमों की तुलना उस दरवाजे से कर सकते हैं जो लगातार बंद रहना चाहिए। वीडीओएम के मामले में, हम कोई भी "दरवाजा" नहीं छोड़ते हैं। 

एक अलग VDOM में, क्लाइंट का अपना पता और रूटिंग होता है। इसलिए, सीमाएं पार करना कंपनी के लिए कोई समस्या नहीं बनती। क्लाइंट वर्चुअल डेस्कटॉप को आवश्यक आईपी पते निर्दिष्ट कर सकता है। यह उन बड़ी कंपनियों के लिए सुविधाजनक है जिनके पास अपनी स्वयं की आईपी योजनाएँ हैं। 

हम ग्राहक के कॉर्पोरेट नेटवर्क के साथ कनेक्टिविटी समस्याओं का समाधान करते हैं। एक अलग कार्य VDI को क्लाइंट इंफ्रास्ट्रक्चर से जोड़ना है। यदि कोई कंपनी हमारे डेटा सेंटर में कॉर्पोरेट सिस्टम रखती है, तो हम उसके उपकरण से फ़ायरवॉल तक एक नेटवर्क केबल आसानी से चला सकते हैं। लेकिन अक्सर हम किसी दूरस्थ साइट - किसी अन्य डेटा सेंटर या ग्राहक के कार्यालय के साथ काम कर रहे होते हैं। इस मामले में, हम साइट के साथ एक सुरक्षित आदान-प्रदान के बारे में सोचते हैं और IPsec VPN का उपयोग करके साइट2साइट वीपीएन बनाते हैं। 

बुनियादी ढांचे की जटिलता के आधार पर योजनाएं भिन्न हो सकती हैं। कुछ स्थानों पर एकल कार्यालय नेटवर्क को VDI से जोड़ना पर्याप्त है - वहाँ स्थैतिक रूटिंग ही पर्याप्त है। बड़ी कंपनियों के पास कई नेटवर्क होते हैं जो लगातार बदलते रहते हैं; यहां क्लाइंट को डायनेमिक रूटिंग की आवश्यकता है। हम विभिन्न प्रोटोकॉल का उपयोग करते हैं: ओएसपीएफ (ओपन शॉर्टेस्ट पाथ फर्स्ट), जीआरई टनल (जेनेरिक रूटिंग इनकैप्सुलेशन) और बीजीपी (बॉर्डर गेटवे प्रोटोकॉल) के मामले पहले ही आ चुके हैं। FortiGate अन्य ग्राहकों को प्रभावित किए बिना, अलग-अलग VDOM में नेटवर्क प्रोटोकॉल का समर्थन करता है। 

आप GOST-VPN भी बना सकते हैं - रूसी संघ के FSB द्वारा प्रमाणित क्रिप्टोग्राफ़िक सुरक्षा साधनों पर आधारित एन्क्रिप्शन। उदाहरण के लिए, आभासी वातावरण "एस-टेरा वर्चुअल गेटवे" या PAK ViPNet, APKSH "महाद्वीप", "एस-टेरा" में KS1 वर्ग समाधान का उपयोग करना।

समूह नीतियों की स्थापना. हम वीडीआई पर लागू होने वाली समूह नीतियों पर ग्राहक से सहमत हैं। यहां सेटिंग के सिद्धांत कार्यालय में नीतियां तय करने से भिन्न नहीं हैं। हम सक्रिय निर्देशिका के साथ एकीकरण स्थापित करते हैं और कुछ समूह नीतियों का प्रबंधन ग्राहकों को सौंपते हैं। किरायेदार प्रशासक कंप्यूटर ऑब्जेक्ट पर नीतियां लागू कर सकते हैं, सक्रिय निर्देशिका में संगठनात्मक इकाई का प्रबंधन कर सकते हैं और उपयोगकर्ता बना सकते हैं। 

FortiGate पर, प्रत्येक क्लाइंट VDOM के लिए हम एक नेटवर्क सुरक्षा नीति लिखते हैं, पहुंच प्रतिबंध निर्धारित करते हैं और ट्रैफ़िक निरीक्षण कॉन्फ़िगर करते हैं। हम कई FortiGate मॉड्यूल का उपयोग करते हैं: 

• आईपीएस मॉड्यूल मैलवेयर के लिए ट्रैफ़िक को स्कैन करता है और घुसपैठ को रोकता है;
• एंटीवायरस डेस्कटॉप को मैलवेयर और स्पाइवेयर से बचाता है;
• वेब फ़िल्टरिंग अविश्वसनीय संसाधनों और दुर्भावनापूर्ण या अनुचित सामग्री वाली साइटों तक पहुंच को अवरुद्ध करता है;
• फ़ायरवॉल सेटिंग्स उपयोगकर्ताओं को केवल कुछ साइटों तक इंटरनेट तक पहुंचने की अनुमति दे सकती हैं। 

कभी-कभी कोई ग्राहक स्वतंत्र रूप से वेबसाइटों तक कर्मचारी की पहुंच का प्रबंधन करना चाहता है। अक्सर, बैंक इस अनुरोध के साथ आते हैं: सुरक्षा सेवाओं के लिए आवश्यक है कि पहुंच नियंत्रण कंपनी के पक्ष में रहे। ऐसी कंपनियाँ स्वयं ट्रैफ़िक की निगरानी करती हैं और नियमित रूप से नीतियों में बदलाव करती हैं। इस मामले में, हम फोर्टीगेट से क्लाइंट की ओर सारा ट्रैफ़िक मोड़ देते हैं। ऐसा करने के लिए, हम कंपनी के बुनियादी ढांचे के साथ कॉन्फ़िगर इंटरफ़ेस का उपयोग करते हैं। इसके बाद, क्लाइंट स्वयं कॉर्पोरेट नेटवर्क और इंटरनेट तक पहुंच के नियमों को कॉन्फ़िगर करता है। 

हम स्टैंड पर घटनाओं को देखते हैं। FortiGate के साथ मिलकर हम FortiAnalyzer का उपयोग करते हैं, जो Fortinet का एक लॉग संग्राहक है। इसकी मदद से, हम वीडीआई पर सभी इवेंट लॉग को एक ही स्थान पर देखते हैं, संदिग्ध गतिविधियों का पता लगाते हैं और सहसंबंधों को ट्रैक करते हैं। 

हमारा एक ग्राहक अपने कार्यालय में फोर्टिनेट उत्पादों का उपयोग करता है। इसके लिए, हमने लॉग अपलोडिंग को कॉन्फ़िगर किया - ताकि क्लाइंट कार्यालय मशीनों और वर्चुअल डेस्कटॉप के लिए सभी सुरक्षा घटनाओं का विश्लेषण करने में सक्षम हो सके।

वर्चुअल डेस्कटॉप की सुरक्षा कैसे करें

ज्ञात खतरों से. यदि ग्राहक स्वतंत्र रूप से एंटी-वायरस सुरक्षा का प्रबंधन करना चाहता है, तो हम आभासी वातावरण के लिए अतिरिक्त रूप से कैस्परस्की सुरक्षा स्थापित करते हैं। 

यह समाधान क्लाउड में अच्छा काम करता है। हम सभी इस तथ्य के आदी हैं कि क्लासिक कैस्पर्सकी एंटीवायरस एक "भारी" समाधान है। इसके विपरीत, वर्चुअलाइजेशन के लिए कैस्परस्की सिक्योरिटी वर्चुअल मशीनों को लोड नहीं करती है। सभी वायरस डेटाबेस सर्वर पर स्थित होते हैं, जो नोड की सभी वर्चुअल मशीनों के लिए निर्णय जारी करता है। वर्चुअल डेस्कटॉप पर केवल लाइट एजेंट स्थापित है। यह सत्यापन के लिए सर्वर पर फ़ाइलें भेजता है। 

यह आर्किटेक्चर वर्चुअल मशीनों के प्रदर्शन से समझौता किए बिना एक साथ फ़ाइल सुरक्षा, इंटरनेट सुरक्षा और हमले से सुरक्षा प्रदान करता है। इस मामले में, ग्राहक स्वतंत्र रूप से फ़ाइल सुरक्षा के लिए अपवाद प्रस्तुत कर सकता है। हम समाधान के बुनियादी सेटअप में मदद करते हैं। इसके फीचर्स के बारे में हम एक अलग आर्टिकल में बात करेंगे.

अज्ञात धमकियों से. ऐसा करने के लिए, हम FortiSandbox - Fortinet से एक "सैंडबॉक्स" कनेक्ट करते हैं। यदि एंटीवायरस शून्य-दिन का खतरा चूक जाता है तो हम इसे फ़िल्टर के रूप में उपयोग करते हैं। फ़ाइल डाउनलोड करने के बाद हम पहले उसे एंटीवायरस से स्कैन करते हैं और फिर सैंडबॉक्स में भेजते हैं। FortiSandbox एक वर्चुअल मशीन का अनुकरण करता है, फ़ाइल चलाता है और उसके व्यवहार का निरीक्षण करता है: रजिस्ट्री में कौन से ऑब्जेक्ट एक्सेस किए जाते हैं, क्या यह बाहरी अनुरोध भेजता है, इत्यादि। यदि कोई फ़ाइल संदिग्ध व्यवहार करती है, तो सैंडबॉक्स वाली वर्चुअल मशीन हटा दी जाती है और दुर्भावनापूर्ण फ़ाइल उपयोगकर्ता VDI पर समाप्त नहीं होती है। 

VDI से सुरक्षित कनेक्शन कैसे स्थापित करें

हम सूचना सुरक्षा आवश्यकताओं के साथ डिवाइस के अनुपालन की जांच करते हैं। दूरस्थ कार्य की शुरुआत के बाद से, ग्राहकों ने अनुरोधों के साथ हमसे संपर्क किया है: अपने व्यक्तिगत कंप्यूटर से उपयोगकर्ताओं के सुरक्षित संचालन को सुनिश्चित करने के लिए। कोई भी सूचना सुरक्षा विशेषज्ञ जानता है कि घरेलू उपकरणों की सुरक्षा करना कठिन है: आप आवश्यक एंटीवायरस स्थापित नहीं कर सकते या समूह नीतियां लागू नहीं कर सकते, क्योंकि यह कार्यालय उपकरण नहीं है। 

डिफ़ॉल्ट रूप से, VDI व्यक्तिगत डिवाइस और कॉर्पोरेट नेटवर्क के बीच एक सुरक्षित "परत" बन जाता है। VDI को उपयोगकर्ता मशीन के हमलों से बचाने के लिए, हम क्लिपबोर्ड को अक्षम कर देते हैं और USB अग्रेषण को प्रतिबंधित कर देते हैं। लेकिन इससे यूजर का डिवाइस ही सुरक्षित नहीं हो जाता. 

हम FortiClient का उपयोग करके समस्या का समाधान करते हैं। यह एक समापन बिंदु सुरक्षा उपकरण है. कंपनी के उपयोगकर्ता अपने घरेलू कंप्यूटर पर FortiClient इंस्टॉल करते हैं और वर्चुअल डेस्कटॉप से ​​कनेक्ट करने के लिए इसका उपयोग करते हैं। FortiClient एक साथ 3 समस्याओं का समाधान करता है: 

• उपयोगकर्ता के लिए पहुंच की "एकल खिड़की" बन जाती है;
• जाँचता है कि आपके पर्सनल कंप्यूटर में एंटीवायरस और नवीनतम OS अपडेट हैं या नहीं; 
• सुरक्षित पहुंच के लिए एक वीपीएन सुरंग बनाता है। 

किसी कर्मचारी को केवल तभी पहुंच प्राप्त होती है जब वे सत्यापन पास कर लेते हैं। साथ ही, वर्चुअल डेस्कटॉप स्वयं इंटरनेट से पहुंच योग्य नहीं हैं, जिसका अर्थ है कि वे हमलों से बेहतर रूप से सुरक्षित हैं। 

यदि कोई कंपनी स्वयं एंडपॉइंट सुरक्षा का प्रबंधन करना चाहती है, तो हम FortiClient EMS (एंडपॉइंट मैनेजमेंट सर्वर) की पेशकश करते हैं। क्लाइंट डेस्कटॉप स्कैनिंग और घुसपैठ की रोकथाम को कॉन्फ़िगर कर सकता है, और पतों की एक सफेद सूची बना सकता है। 

प्रमाणीकरण कारक जोड़ना. डिफ़ॉल्ट रूप से, उपयोगकर्ताओं को Citrix नेटस्केलर के माध्यम से प्रमाणित किया जाता है। यहां भी, हम सेफनेट उत्पादों पर आधारित मल्टीफैक्टर प्रमाणीकरण का उपयोग करके सुरक्षा बढ़ा सकते हैं। यह विषय विशेष ध्यान देने योग्य है, हम इस बारे में एक अलग लेख में भी बात करेंगे। 

हमने पिछले वर्ष के कार्य में विभिन्न समाधानों के साथ काम करने का ऐसा अनुभव अर्जित किया है। VDI सेवा प्रत्येक क्लाइंट के लिए अलग से कॉन्फ़िगर की गई है, इसलिए हमने सबसे लचीले टूल को चुना। शायद निकट भविष्य में हम कुछ और जोड़ेंगे और अपना अनुभव साझा करेंगे।

7 अक्टूबर को 17.00 बजे मेरे सहकर्मी वेबिनार में वर्चुअल डेस्कटॉप के बारे में बात करेंगे "क्या वीडीआई आवश्यक है, या दूरस्थ कार्य को कैसे व्यवस्थित करें?"
साइन अप करें, यदि आप चर्चा करना चाहते हैं कि कब VDI तकनीक किसी कंपनी के लिए उपयुक्त है और कब अन्य तरीकों का उपयोग करना बेहतर है।

स्रोत: www.habr.com