Quest'anno molte aziende si sono affrettate a passare al lavoro a distanza. A alcuni clienti abbiamo a organizzare più di cento postazioni di lavoro remote in una settimana. Era importante farlo non solo rapidamente, ma anche in modo sicuro. La tecnologia VDI è stata fondamentale: grazie a essa è semplice applicare le politiche di sicurezza a tutte le postazioni di lavoro e proteggersi dalle perdite di dati.
In questo articolo parlerò del funzionamento del nostro servizio di desktop virtuali basato su Citrix VDI dal punto di vista della sicurezza informatica. Mostrerò cosa facciamo per proteggere i desktop dei clienti dalle minacce esterne come i ransomware o gli attacchi mirati.
Quali sono le sfide di sicurezza che affrontiamo
Abbiamo identificato alcune delle principali minacce alla sicurezza per il servizio. Da un lato, il desktop virtuale rischia di infettarsi dal computer dell'utente. Dall'altro, c'è il pericolo di uscire dal desktop virtuale nel vasto spazio di internet e scaricare un file infetto. Anche se ciò dovesse accadere, non dovrebbe influenzare l'intera infrastruttura. Perciò, nella creazione del servizio, abbiamo affrontato diverse sfide:
- Proteggere l'intero stand VDI da minacce esterne.
- Isolamento dei clienti l'uno dall'altro.
- Protezione dei desktop virtuali stessi.
- Connessione sicura degli utenti da qualsiasi dispositivo.
Il cuore della protezione è rappresentato da FortiGate – il firewall di nuova generazione di Fortinet. Controlla il traffico dello stand VDI, fornisce un'infrastruttura isolata per ciascun cliente e protegge dalle vulnerabilità sul lato utente. Le sue capacità sono sufficienti per risolvere gran parte delle problematiche di sicurezza informatica.
Ma se l'azienda ha requisiti di sicurezza speciali, offriamo opzioni aggiuntive:
- Organizziamo connessioni sicure per il lavoro da computer domestici.
- Offriamo accesso per l'analisi autonoma dei registri di sicurezza.
- Fornendo la gestione della protezione antivirus sui desktop.
- Difendiamo contro le vulnerabilità zero-day.
- Configuriamo l'autenticazione a più fattori per una protezione aggiuntiva contro le connessioni non autorizzate.
Parlerò nel dettaglio di come abbiamo affrontato queste sfide.
Come proteggiamo lo stand e garantiamo la sicurezza della rete
Segmentiamo la parte di rete. Nel nostro stand evidenziamo il segmento di gestione chiuso per la gestione di tutte le risorse. Il segmento di gestione non è accessibile dall'esterno: in caso di attacco al cliente, i malintenzionati non potranno entrarvi.
La protezione è affidata a FortiGate. Esso combina le funzioni di antivirus, firewall e sistema di prevenzione delle intrusioni (intrusion prevention system, IPS).
Per ogni cliente creiamo un segmento di rete isolato per i desktop virtuali. A tal fine, FortiGate dispone della tecnologia dei domini virtuali, o VDOM. Essa consente di suddividere il firewall in diverse entità virtuali e di assegnare a ciascun cliente il proprio VDOM, che si comporta come un firewall separato. Creiamo un VDOM separato anche per il segmento di gestione.
Ecco lo schema:
Tra i clienti non c'è connettività di rete: ognuno vive nel proprio VDOM e non influisce sugli altri. Senza questa tecnologia, saremmo stati costretti a separare i clienti tramite regole del firewall, il che è rischioso a causa del fattore umano. Possiamo paragonare tali regole a una porta che deve essere continuamente chiusa. Nel caso del VDOM, non lasciamo affatto "porte".
In un VDOM separato, il cliente ha la sua indirizzabilità e routing. Pertanto, la sovrapposizione degli intervalli non diventa un problema per l'azienda. Il cliente può associare gli indirizzi IP desiderati ai desktop virtuali. Questo è conveniente per le grandi aziende che hanno i propri piani IP.
Affrontiamo le questioni di connettività con la rete aziendale del cliente. Un compito separato è sincronizzare il VDI con l'infrastruttura del cliente. Se l'azienda mantiene i sistemi aziendali nel nostro data center, è sufficiente estendere un cavo di rete dal suo hardware al firewall. Ma più frequentemente ci troviamo a dover gestire un sito remoto – un altro data center o un ufficio del cliente. In questo caso, pensiamo a uno scambio sicuro con il sito e costruiamo un VPN site-to-site utilizzando IPsec VPN.
Gli schemi possono essere diversi, a seconda della complessità dell'infrastruttura. In alcuni casi, è sufficiente collegare una singola rete d'ufficio al VDI – lì è sufficiente il routing statico. Nelle grandi aziende ci sono molte reti che cambiano continuamente; qui il cliente ha bisogno di routing dinamico. Utilizziamo vari protocolli: ci sono già stati casi con OSPF (Open Shortest Path First), tunnel GRE (Generic Routing Encapsulation) e BGP (Border Gateway Protocol). FortiGate supporta i protocolli di rete in VDOM separati, senza influire su altri clienti.
È possibile costruire anche un VPN secondo le normative GOST – crittografia basata su strumenti di crittografia certificati dal FSB della Federazione Russa. Ad esempio, utilizzando soluzioni di classe KС1 nell'ambiente virtuale "S-Terra virtual gateway" o PAC ViPNet, APKSH "Continente", "S-Terra".
Configuriamo le Group Policies. Siamo in consultazione con il cliente riguardo alle politiche di gruppo che vengono applicate sul VDI. Qui i principi di configurazione non differiscono da quelli delle politiche in ufficio. Configuriamo l'integrazione con Active Directory e delegiamo ai clienti la gestione di alcune politiche di gruppo. Gli amministratori del cliente possono applicare politiche all'oggetto Computer, gestire l'unità organizzativa in Active Directory e creare utenti.
Su FortiGate, per ogni VDOM cliente, scriviamo una politica di sicurezza di rete, impostiamo le restrizioni di accesso e configuriamo il monitoraggio del traffico. Utilizziamo diversi moduli FortiGate:
- il modulo IPS verifica il traffico per rilevare malware e prevenire intrusioni;
- l'antivirus protegge gli stessi desktop da software dannoso e spyware;
- il web filtering blocca l'accesso a risorse inaffidabili e siti con contenuti dannosi o inaccettabili;
- le impostazioni del firewall possono consentire agli utenti di accedere a Internet solo su determinati siti.
A volte il cliente desidera gestire autonomamente l'accesso dei dipendenti ai siti. Più spesso tali richieste provengono da banche: i dipartimenti di sicurezza richiedono che il controllo degli accessi rimanga sotto il controllo dell'azienda. Queste aziende monitorano autonomamente il traffico e apportano regolarmente modifiche alle politiche. In questo caso, tutto il traffico di FortiGate viene indirizzato verso il cliente. A questo scopo, utilizziamo un'interfaccia configurata con l'infrastruttura aziendale. Dopo di che, il cliente imposta autonomamente le regole di accesso alla rete aziendale e a Internet.
Stiamo seguendo gli eventi nello stand. Insieme a FortiGate utilizziamo FortiAnalyzer, il collezionista di log di Fortinet. Con esso possiamo visualizzare tutti i registri degli eventi su VDI in un unico posto, identificare attività sospette e monitorare le correlazioni.
Uno dei nostri clienti utilizza i prodotti Fortinet nel proprio ufficio. Per lui abbiamo configurato l'esportazione dei registri, consentendo al cliente di analizzare tutti gli eventi di sicurezza per i computer da ufficio e le workstation virtuali.
Come proteggiamo le workstation virtuali
Da minacce conosciute. Se il cliente desidera gestire autonomamente la protezione antivirus, installiamo anche Kaspersky Security per ambienti virtuali.
Questa soluzione funziona bene nel cloud. Siamo tutti abituati a considerare l'antivirus classico di Kaspersky come una soluzione "pesante". A differenza di questo, Kaspersky Security per ambienti virtuali non grava sulle macchine virtuali. Tutte le basi virus si trovano su un server che fornisce i giudizi per tutte le macchine virtuali del nodo. Sulla workstation virtuale è installato solo un leggero agente che invia i file per la verifica al server.
Questa architettura offre al contempo protezione dei file, protezione internet, protezione dagli attacchi e non riduce le prestazioni delle macchine virtuali. Inoltre, il cliente può apportare eccezioni alla protezione dei file. Aiutiamo con la configurazione di base della soluzione. Ne parleremo in un articolo separato.
Da minacce sconosciute. A tal fine integriamo FortiSandbox, la "sandbox" di Fortinet. La utilizziamo come filtro nel caso in cui l'antivirus trascuri una minaccia "zero day". Dopo aver scaricato un file, controlliamo prima con l'antivirus e poi lo inviamo nella "sandbox". FortiSandbox emula una macchina virtuale, esegue il file e osserva il suo comportamento: quali oggetti nel registro tocca, se invia richieste esterne e così via. Se il file si comporta in modo sospetto, la macchina virtuale nella sandbox viene cancellata e il file dannoso non arriva alla VDI dell'utente.
Come configuriamo una connessione sicura a VDI
Verifichiamo la conformità del dispositivo ai requisiti di sicurezza informatica. Dall'inizio del lavoro a distanza, i clienti si sono rivolti a noi con richieste: garantire un lavoro sicuro per gli utenti dai propri computer personali. Qualsiasi esperto di sicurezza informatica sa che proteggere i dispositivi domestici è difficile: non si può installare l'antivirus necessario o applicare politiche di gruppo, poiché non si tratta di attrezzatura da ufficio.
Di default, il VDI diventa un "interfaccia sicura" tra il dispositivo personale e la rete aziendale. Per proteggere il VDI dagli attacchi provenienti dal computer dell'utente, disabilitiamo il copia e incolla, vietiamo il passaggio di dispositivi USB. Ma questo non rende il dispositivo dell'utente stesso sicuro.
Affrontiamo il problema con FortiClient. Questo strumento serve a proteggere i dispositivi finali (endpoint protection). Gli utenti dell'azienda installano FortiClient sui propri computer domestici e tramite questo si collegano al desktop virtuale. FortiClient risolve immediatamente 3 problemi:
- diventa un "punto unico" di accesso per l'utente;
- controlla se sul computer personale è presente un antivirus e gli ultimi aggiornamenti del sistema operativo;
- crea un tunnel VPN per l'accesso sicuro.
L'utente ottiene accesso solo se supera il controllo. Inoltre, i desktop virtuali non sono accessibili da Internet, e quindi sono meglio protetti dagli attacchi.
Se l'azienda vuole gestire autonomamente la protezione degli endpoint, proponiamo FortiClient EMS (Endpoint Management Server). Il cliente può configurare autonomamente la scansione dei desktop e la prevenzione delle intrusioni, creando una lista bianca di indirizzi.
Aggiungiamo fattori di autenticazione. Di default, gli utenti si autenticano tramite Citrix netscaler. Anche qui possiamo rafforzare la sicurezza tramite l'autenticazione multifattoriale basata sui prodotti SafeNet. Questo tema merita un'attenzione particolare, ne parleremo in un altro articolo.
Abbiamo accumulato un'esperienza di lavoro con diverse soluzioni nell'ultimo anno. Il servizio VDI viene configurato separatamente per ogni cliente, quindi abbiamo scelto strumenti il più flessibili possibile. È probabile che in un prossimo futuro aggiungeremo ulteriori strumenti e condivideremo l'esperienza.
Il 7 ottobre alle 17:00, i miei colleghi parleranno di desktop virtuali durante il webinar "È necessario un VDI, o come organizzare il lavoro a distanza?"
, se desideri discutere quando la tecnologia VDI è adatta per le aziende e quando è meglio utilizzare altri metodi.
Fonte: habr.com
