Quest’anno molte aziende si sono affrettate a passare al lavoro remoto. Alcuni clienti noi a organizzare più di cento postazioni di lavoro remote in una settimana. È stato fondamentale farlo non solo velocemente, ma anche in sicurezza. La tecnologia VDI è stata la soluzione: consente di applicare facilmente le politiche di sicurezza su tutti i posti di lavoro e proteggersi dalle perdite di dati.
In questo articolo, parlerò di come funziona il nostro servizio di desktop virtuali basato su Citrix VDI dal punto di vista della sicurezza informatica. Mostrerò cosa facciamo per proteggere i desktop dei clienti dalle minacce esterne come i ransomware o attacchi mirati.
Quali problemi di sicurezza affrontiamo
Abbiamo identificato diverse minacce principali per il servizio. Da un lato, il desktop virtuale rischia di essere infettato dal computer dell'utente. Dall'altro ci sono il rischio di uscire dal desktop virtuale nel vasto spazio aperto di Internet e scaricare un file infetto. Anche se ciò dovesse accadere, non dovrebbe influire su tutta l'infrastruttura. Pertanto, nella creazione del servizio, abbiamo affrontato diverse sfide:
- Proteggere l'intero stand VDI dalle minacce esterne.
- Isolamento tra i clienti.
- Protezione dei desktop virtuali.
- Connessione sicura per gli utenti da qualsiasi dispositivo.
Al centro della protezione c'è FortiGate, un firewall di nuova generazione di Fortinet. Controlla il traffico del stand VDI, garantisce un'infrastruttura isolata per ogni cliente e protegge da vulnerabilità lato utente. Le sue capacità sono sufficienti per affrontare la maggior parte delle questioni di sicurezza informatica.
Tuttavia, se l'azienda ha requisiti di sicurezza specifici, offriamo funzionalità aggiuntive:
- Organizziamo una connessione sicura per il lavoro da computer domestici.
- Forniamo accesso per l'analisi autonoma dei registri di sicurezza.
- Offriamo la gestione della protezione antivirus sui desktop.
- Proteggiamo dalle vulnerabilità "zero-day".
- Configuriamo l'autenticazione multifattoriale per una protezione aggiuntiva contro accessi non autorizzati.
Spiegherò in dettaglio come abbiamo affrontato queste sfide.
Come proteggiamo il stand e garantiamo la sicurezza di rete
Segmentiamo la parte di rete. Nel nostro stand evidenziamo un segmento di gestione chiuso per la gestione di tutte le risorse. Il segmento di gestione non è accessibile dall'esterno: in caso di attacco al cliente, i malintenzionati non potranno accedervi.
La protezione è garantita da FortiGate. Combina funzioni di antivirus, firewall e sistema di prevenzione delle intrusioni (intrusion prevention system, IPS).
Creiamo un segmento di rete isolato per ogni cliente per i desktop virtuali. A questo scopo, FortiGate utilizza la tecnologia dei domini virtuali, o VDOM. Questa consente di suddividere il firewall in entità virtuali e assegnare a ciascun cliente il proprio VDOM, che si comporta come un firewall separato. Creiamo anche un VDOM separato per il segmento di gestione.
Ecco come appare lo schema:
Tra i clienti non esiste connettività di rete: ciascuno vive nel proprio VDOM e non influisce sugli altri. Senza questa tecnologia saremmo costretti a separare i clienti con le regole del firewall, il che è rischioso a causa del fattore umano. Queste regole possono essere paragonate a una porta che deve essere chiusa costantemente. Con il VDOM, non lasciamo affatto "porte" aperte.
In un VDOM separato, il cliente ha la propria assegnazione e instradamento. Pertanto, la sovrapposizione degli intervalli non rappresenta un problema per l'azienda. Il cliente può associare gli indirizzi IP necessari ai desktop virtuali. Questo è utile per le grandi aziende che dispongono di propri piani IP.
Gestiamo le questioni di connessione con la rete aziendale del cliente. Una sfida separata è l'integrazione del VDI con l'infrastruttura del cliente. Se l'azienda tiene i sistemi aziendali nel nostro datacenter, è possibile semplicemente estendere un cavo di rete dall'attrezzatura fino al firewall. Tuttavia, più frequentemente ci troviamo a gestire una sede remota – un altro datacenter o l'ufficio del cliente. In questo caso, pensiamo a uno scambio sicuro con la sede e costruiamo un VPN site-to-site utilizzando IPsec VPN.
Gli schemi possono variare a seconda della complessità dell'infrastruttura. In alcuni casi, è sufficiente connettere una sola rete d'ufficio al VDI - in questo basta la routing statica. Nelle grandi aziende ci sono molte reti che cambiano continuamente; qui il cliente ha bisogno di routing dinamico. Utilizziamo vari protocolli: abbiamo già avuto casi con OSPF (Open Shortest Path First), tunnel GRE (Generic Routing Encapsulation) e BGP (Border Gateway Protocol). FortiGate supporta i protocolli di rete in diverse VDOM, senza influenzare gli altri clienti.
È possibile costruire anche un VPN GOST - crittografia basata su strumenti di crittosicurezza certificati dal FSB della Federazione Russa. Ad esempio, utilizzando soluzioni di classe KS1 nell'ambiente virtuale 'S-Terra Gateway Virtuale' o PAK ViPNet, APKSH 'Continente', 'S-Terra'.
Configurazione delle Group Policies. Concordiamo con il cliente le policy di gruppo che vengono applicate su VDI. I principi di configurazione non si discostano dalle impostazioni delle policy in ufficio. Configuriamo l'integrazione con Active Directory e deleghiamo ai clienti la gestione di alcune policy di gruppo. Gli amministratori del cliente possono applicare le policy sugli oggetti Computer, gestire le unità organizzative in Active Directory e creare utenti.
Su FortiGate, per ciascun VDOM del cliente, scriviamo la policy di sicurezza di rete, impostiamo le restrizioni di accesso e configuriamo il controllo del traffico. Utilizziamo diversi moduli di FortiGate:
- il modulo IPS controlla il traffico per minacce e previene intrusioni;
- l'antivirus protegge i desktop stessi da malware e spyware;
- il web filtering blocca l'accesso a risorse poco affidabili e a siti con contenuti dannosi o inaccettabili;
- le impostazioni del firewall possono consentire agli utenti di accedere a internet solo su determinati siti.
A volte i clienti desiderano gestire autonomamente l'accesso dei dipendenti ai siti. Spesso, questo tipo di richiesta proviene dalle banche: i servizi di sicurezza richiedono che il controllo degli accessi resti sotto il controllo della società. Queste aziende monitorano il traffico in modo autonomo e aggiornano regolarmente le politiche. In questo caso, dirigiamo tutto il traffico di FortiGate verso il cliente. Per farlo, utilizziamo un collegamento configurato con l'infrastruttura dell'azienda. Successivamente, il cliente può impostare le regole di accesso alla rete aziendale e a Internet.
Osserviamo gli eventi allo stand. Insieme a FortiGate utilizziamo FortiAnalyzer – il raccoglitore di log di Fortinet. Con questo strumento, esaminiamo tutti i log degli eventi su VDI in un unico luogo, troviamo attività sospette e monitoriamo le correlazioni.
Uno dei nostri clienti utilizza i prodotti Fortinet nel proprio ufficio. Per lui, abbiamo configurato l'esportazione dei log – così il cliente ha potuto analizzare tutti gli eventi di sicurezza per le macchine da ufficio e i desktop virtuali.
Come proteggiamo i desktop virtuali
Dalle minacce conosciute. Se il cliente desidera gestire autonomamente la protezione antivirus, installiamo Kaspersky Security per ambienti virtuali.
Questa soluzione funziona bene nel cloud. Siamo tutti abituati a considerare l'antivirus classico di Kaspersky come una soluzione 'pesante'. A differenza di essa, Kaspersky Security per ambienti virtuali non grava sulle macchine virtuali. Tutte le basi virus si trovano su un server che emette sentenze per tutte le macchine virtuali del nodo. Sul desktop virtuale è installato solo un agente leggero. Esso invia i file da controllare al server.
Questa architettura fornisce al contempo protezione dei file, protezione internet, protezione contro attacchi e non riduce le prestazioni delle macchine virtuali. Inoltre, il cliente può aggiungere eccezioni alla protezione dei file. Noi assistiamo con la configurazione di base della soluzione. Ne discuteremo in un articolo separato.
Da minacce sconosciute. Per questo connettiamo FortiSandbox, la "sandbox" di Fortinet. La utilizziamo come filtro nel caso in cui l'antivirus non rilevi una minaccia "zero-day". Dopo aver scaricato il file, prima lo verifichiamo con l'antivirus e poi lo inviamo nella "sandbox". FortiSandbox emula una macchina virtuale, esegue il file e osserva il suo comportamento: a quali oggetti nel registro si riferisce, se invia richieste esterne e così via. Se il file si comporta in modo sospetto, la virtual machine nella sandbox viene eliminata e il file dannoso non entra nella VDI degli utenti.
Come impostiamo una connessione sicura alla VDI
Verifichiamo la conformità del dispositivo ai requisiti di sicurezza informatica. Dall'inizio del lavoro remoto, i clienti ci hanno contattato con richieste di garantire un lavoro sicuro per gli utenti dai loro computer personali. Qualsiasi specialista di sicurezza informatica sa che proteggere i dispositivi domestici è difficile: non è possibile installare il giusto antivirus o applicare politiche di gruppo, poiché non si tratta di attrezzature d'ufficio.
Per impostazione predefinita, VDI diventa uno strato di sicurezza tra il dispositivo personale e la rete aziendale. Per proteggere il VDI dagli attacchi provenienti dal dispositivo dell'utente, disabilitiamo il copia e incolla e vietiamo il passaggio tramite USB. Tuttavia, questo non rende il dispositivo dell'utente stesso sicuro.
Risolveremo il problema utilizzando FortiClient. Questo strumento fornisce protezione per gli endpoint. Gli utenti aziendali installano FortiClient sui propri computer domestici e lo utilizzano per connettersi al desktop virtuale. FortiClient affronta tre compiti contemporaneamente:
- diventa una "finestra unica" di accesso per l'utente;
- controlla la presenza di un antivirus e gli aggiornamenti recenti del sistema operativo sul computer personale;
- crea un tunnel VPN per un accesso sicuro.
L'utente può accedere solo se supera il controllo. Inoltre, i desktop virtuali non sono accessibili da internet, quindi sono meglio protetti dagli attacchi.
Se l'azienda desidera gestire autonomamente la protezione degli endpoint, offriamo FortiClient EMS (Endpoint Management Server). Il cliente può configurare autonomamente la scansione dei desktop e la prevenzione delle intrusioni, nonché creare una lista bianca di indirizzi.
Aggiungiamo fattori di autenticazione. Per impostazione predefinita, gli utenti si autenticano tramite Citrix Netscaler. Qui possiamo anche migliorare la sicurezza utilizzando l'autenticazione a più fattori basata sui prodotti SafeNet. Questo argomento merita un'attenzione particolare e ne parleremo in un articolo dedicato.
Abbiamo accumulato un'esperienza lavorativa con varie soluzioni nell'ultimo anno. Il servizio VDI è configurato separatamente per ciascun cliente, quindi abbiamo scelto strumenti il più flessibili possibile. È possibile che presto aggiungiamo qualcosa di nuovo e condivideremo la nostra esperienza.
Il 7 ottobre alle 17:00, i miei colleghi parleranno dei desktop virtuali nel webinar "Serve il VDI, o come organizzare il lavoro da remoto?"
, se volete discutere su quando la tecnologia VDI sia adatta per un'azienda e quando sarebbe meglio utilizzare altri metodi.
Fonte: habr.com
