כיצד אנו מגנים על שולחנות עבודה וירטואליים של לקוחות מפני וירוסים, תוכנות ריגול והתקפות

השנה חברות רבות עברו בחיפזון לעבודה מרחוק. עבור חלק מהלקוחות אנחנו עזר לארגן יותר ממאה משרות מרוחקות בשבוע. היה חשוב לעשות זאת לא רק במהירות, אלא גם בבטחה. טכנולוגיית VDI באה לעזרה: בעזרתה נוח להפיץ מדיניות אבטחה לכל מקומות העבודה ולהגן מפני דליפות נתונים. 

במאמר זה אספר לכם כיצד פועל שירות שולחן העבודה הווירטואלי שלנו המבוסס על Citrix VDI מנקודת מבט של אבטחת מידע. אני אראה לך מה אנחנו עושים כדי להגן על שולחנות עבודה של לקוחות מפני איומים חיצוניים כגון תוכנות כופר או התקפות ממוקדות. 

אילו בעיות אבטחה אנחנו פותרים? 

זיהינו מספר איומי אבטחה עיקריים לשירות. מצד אחד, שולחן העבודה הווירטואלי מסתכן להידבק מהמחשב של המשתמש. מצד שני, קיימת סכנה לצאת משולחן העבודה הוירטואלי למרחב הפתוח של האינטרנט ולהוריד קובץ נגוע. גם אם זה יקרה, זה לא אמור להשפיע על כל התשתית. לכן, בעת יצירת השירות, פתרנו מספר בעיות: 

• מגן על כל עמדת ה-VDI מפני איומים חיצוניים.
• בידוד לקוחות אחד מהשני.
• הגנה על שולחנות העבודה הווירטואליים עצמם. 
• חבר משתמשים בצורה מאובטחת מכל מכשיר.

ליבת ההגנה הייתה FortiGate, חומת אש מהדור החדש מבית Fortinet. הוא עוקב אחר תעבורת דוכני VDI, מספק תשתית מבודדת לכל לקוח ומגן מפני פגיעויות בצד המשתמש. היכולות שלו מספיקות כדי לפתור את רוב בעיות אבטחת המידע. 

אבל אם לחברה יש דרישות אבטחה מיוחדות, אנו מציעים אפשרויות נוספות: 

• אנו מארגנים חיבור מאובטח לעבודה ממחשבים ביתיים.
• אנו מספקים גישה לניתוח עצמאי של יומני אבטחה.
• אנו מספקים ניהול של הגנת אנטי וירוס במחשבים שולחניים.
• אנו מגנים מפני פגיעויות של יום אפס. 
• אנו מגדירים אימות רב-גורמי להגנה נוספת מפני חיבורים לא מורשים.

אני אספר לך ביתר פירוט כיצד פתרנו את הבעיות. 

כיצד להגן על המעמד ולהבטיח אבטחת רשת

בואו נפלח את חלק הרשת. בדוכן אנו מדגישים מגזר ניהול סגור לניהול כל המשאבים. מקטע הניהול אינו נגיש מבחוץ: במקרה של התקפה על הלקוח, התוקפים לא יוכלו להגיע לשם. 

FortiGate אחראית להגנה. הוא משלב את הפונקציות של אנטי וירוס, חומת אש ומערכת למניעת חדירות (IPS). 

עבור כל לקוח אנו יוצרים קטע רשת מבודד עבור שולחנות עבודה וירטואליים. לצורך כך, ל-FortiGate יש טכנולוגיית דומיין וירטואלי, או VDOM. הוא מאפשר לפצל את חומת האש למספר ישויות וירטואליות ולהקצות לכל לקוח VDOM משלו, שמתנהג כמו חומת אש נפרדת. אנו גם יוצרים VDOM נפרד עבור מגזר הניהול.

מסתבר שזו התרשים הבא:


אין קישוריות רשת בין לקוחות: כל אחד חי ב-VDOM שלו ואינו משפיע על האחר. ללא טכנולוגיה זו, נצטרך להפריד בין לקוחות עם חוקי חומת אש, דבר שמסוכן עקב טעות אנוש. אתה יכול להשוות כללים כאלה לדלת שחייבת להיות סגורה כל הזמן. במקרה של VDOM, אנחנו לא משאירים "דלתות" כלל. 

ב-VDOM נפרד, ללקוח יש כתובת וניתוב משלו. לכן, חציית טווחים אינה הופכת לבעיה עבור החברה. הלקוח יכול להקצות את כתובות ה-IP הדרושות למחשבים שולחניים וירטואליים. זה נוח לחברות גדולות שיש להן תוכניות IP משלהן. 

אנו פותרים בעיות קישוריות עם הרשת הארגונית של הלקוח. משימה נפרדת היא חיבור VDI עם תשתית הלקוח. אם חברה מחזיקה מערכות ארגוניות במרכז הנתונים שלנו, אנחנו יכולים פשוט להפעיל כבל רשת מהציוד שלה לחומת האש. אבל לעתים קרובות יותר אנחנו עוסקים באתר מרוחק - מרכז נתונים אחר או משרד של לקוח. במקרה זה, אנו חושבים דרך החלפה מאובטחת עם האתר ובונים VPN של site2site באמצעות IPsec VPN. 

הסכמות עשויות להשתנות בהתאם למורכבות התשתית. במקומות מסוימים מספיק לחבר רשת משרדית בודדת ל-VDI – מספיק שם ניתוב סטטי. לחברות גדולות יש רשתות רבות שמשתנות כל הזמן; כאן הלקוח זקוק לניתוב דינמי. אנו משתמשים בפרוטוקולים שונים: כבר היו מקרים עם OSPF (Open Shortest Path First), מנהרות GRE (Generic Routing Encapsulation) ו-BGP (Border Gateway Protocol). FortiGate תומך בפרוטוקולי רשת ב-VDOMs נפרדים, מבלי להשפיע על לקוחות אחרים. 

אתה יכול גם לבנות GOST-VPN - הצפנה המבוססת על אמצעי הגנה קריפטוגרפיים מאושרים על ידי ה-FSB של הפדרציה הרוסית. לדוגמה, שימוש בפתרונות כיתה KS1 בסביבה הוירטואלית "S-Terra Virtual Gateway" או PAK ViPNet, APKSH "Continent", "S-Terra".

הגדרת מדיניות קבוצתית. אנו מסכימים עם הלקוח לגבי מדיניות קבוצתית המיושמת ב-VDI. כאן עקרונות ההגדרה אינם שונים מקביעת מדיניות במשרד. אנחנו מגדירים אינטגרציה עם Active Directory ומאצילים את הניהול של חלק מהמדיניות הקבוצתית ללקוחות. מנהלי דיירים יכולים להחיל מדיניות על אובייקט המחשב, לנהל את היחידה הארגונית ב-Active Directory וליצור משתמשים. 

ב-FortiGate, עבור כל VDOM של לקוח אנו כותבים מדיניות אבטחת רשת, מגדירים הגבלות גישה ומגדירים בדיקת תעבורה. אנו משתמשים במספר מודולים של FortiGate: 

• מודול IPS סורק תעבורה לאיתור תוכנות זדוניות ומונע חדירות;
• האנטי וירוס מגן על שולחן העבודה עצמם מפני תוכנות זדוניות ותוכנות ריגול;
• סינון אינטרנט חוסם גישה למשאבים ולא אמינים עם תוכן זדוני או לא הולם;
• הגדרות חומת האש עשויות לאפשר למשתמשים לגשת לאינטרנט רק לאתרים מסוימים. 

לפעמים לקוח רוצה לנהל באופן עצמאי את גישת העובדים לאתרי אינטרנט. לא פעם, בנקים מגיעים עם בקשה זו: שירותי אבטחה דורשים שבקרת הגישה תישאר בצד של החברה. חברות כאלה עוקבות בעצמן אחר התעבורה ועושות באופן קבוע שינויים במדיניות. במקרה זה, אנו מפנים את כל התעבורה מ-FortiGate לכיוון הלקוח. לשם כך, אנו משתמשים בממשק מוגדר עם תשתית החברה. לאחר מכן, הלקוח עצמו מגדיר את הכללים לגישה לרשת הארגונית ולאינטרנט. 

אנו צופים באירועים בדוכן. יחד עם FortiGate אנו משתמשים ב-FortiAnalyzer, אוסף בולי עץ מבית Fortinet. בעזרתו, אנו מסתכלים על כל יומני האירועים ב-VDI במקום אחד, מוצאים פעולות חשודות ועוקבים אחר מתאמים. 

אחד מלקוחותינו משתמש במוצרי Fortinet במשרדו. עבורו, הגדרנו העלאת יומן - כך שהלקוח היה מסוגל לנתח את כל אירועי האבטחה עבור מכונות משרדיות ומחשבים שולחניים וירטואליים.

כיצד להגן על שולחנות עבודה וירטואליים

מאיומים ידועים. אם הלקוח רוצה לנהל באופן עצמאי הגנת אנטי וירוס, אנו מתקינים בנוסף את Kaspersky Security עבור סביבות וירטואליות. 

פתרון זה עובד היטב בענן. כולנו רגילים לעובדה שהאנטי וירוס הקלאסי של קספרסקי הוא פתרון "כבד". לעומת זאת, Kaspersky Security for Virtualization אינה טוענת מכונות וירטואליות. כל מסדי הנתונים של וירוסים ממוקמים על השרת, המוציא פסק דין עבור כל המכונות הוירטואליות של הצומת. רק סוכן האור מותקן על שולחן העבודה הווירטואלי. זה שולח קבצים לשרת לאימות. 

ארכיטקטורה זו מספקת בו-זמנית הגנה על קבצים, הגנת אינטרנט והגנה מפני התקפה מבלי לפגוע בביצועים של מכונות וירטואליות. במקרה זה, הלקוח יכול להציג באופן עצמאי חריגים להגנה על קבצים. אנו מסייעים בהגדרה בסיסית של הפתרון. על תכונותיו נדבר במאמר נפרד.

מאיומים לא ידועים. לשם כך, אנו מחברים את FortiSandbox - "ארגז חול" מבית Fortinet. אנו משתמשים בו כמסנן למקרה שהאנטי וירוס מחמיץ איום של יום אפס. לאחר הורדת הקובץ, אנו סורקים אותו תחילה עם אנטי וירוס ולאחר מכן שולחים אותו לארגז החול. FortiSandbox מחקה מכונה וירטואלית, מפעילה את הקובץ ומתבוננת בהתנהגותו: לאילו אובייקטים ברישום ניגשים, האם הוא שולח בקשות חיצוניות וכן הלאה. אם קובץ מתנהג בצורה חשודה, המחשב הוירטואלי בארגז החול נמחק והקובץ הזדוני לא מגיע ל-VDI של המשתמש. 

כיצד להגדיר חיבור מאובטח ל-VDI

אנו בודקים את תאימות המכשיר לדרישות אבטחת מידע. מאז תחילת העבודה מרחוק, לקוחות פנו אלינו בבקשות: להבטיח הפעלה בטוחה של המשתמשים מהמחשב האישי שלהם. כל מומחה אבטחת מידע יודע שקשה להגן על מכשירים ביתיים: לא ניתן להתקין את האנטי וירוס הדרוש או להחיל מדיניות קבוצתית, שכן לא מדובר בציוד משרדי. 

כברירת מחדל, VDI הופך ל"שכבה" מאובטחת בין מכשיר אישי לרשת הארגונית. כדי להגן על VDI מפני התקפות ממחשב המשתמש, אנו משביתים את הלוח ואוסרים העברת USB. אבל זה לא הופך את המכשיר של המשתמש עצמו לאבטח. 

אנו פותרים את הבעיה באמצעות FortiClient. זהו כלי להגנה על נקודות קצה. משתמשי החברה מתקינים את FortiClient במחשבים הביתיים שלהם ומשתמשים בו כדי להתחבר לשולחן עבודה וירטואלי. FortiClient פותר 3 בעיות בבת אחת: 

• הופך ל"חלון יחיד" של גישה עבור המשתמש;
• בודק אם למחשב האישי שלך יש אנטי וירוס ועדכוני מערכת ההפעלה האחרונים; 
• בונה מנהרת VPN לגישה מאובטחת. 

עובד מקבל גישה רק אם הוא עובר את האימות. יחד עם זאת, שולחנות העבודה הווירטואליים עצמם אינם נגישים מהאינטרנט, מה שאומר שהם מוגנים טוב יותר מפני התקפות. 

אם חברה רוצה לנהל את הגנת נקודות הקצה בעצמה, אנו מציעים FortiClient EMS (שרת ניהול נקודות קצה). הלקוח יכול להגדיר סריקה בשולחן העבודה ומניעת חדירה, וליצור רשימה לבנה של כתובות. 

הוספת גורמי אימות. כברירת מחדל, משתמשים מאומתים באמצעות Citrix netscaler. גם כאן נוכל לשפר את האבטחה באמצעות אימות רב-גורמי המבוסס על מוצרי SafeNet. נושא זה ראוי לתשומת לב מיוחדת; נדבר על כך גם במאמר נפרד. 

ניסיון שכזה צברנו בעבודה עם פתרונות שונים במהלך שנת העבודה האחרונה. שירות VDI מוגדר בנפרד עבור כל לקוח, ולכן בחרנו בכלים הגמישים ביותר. אולי בעתיד הקרוב נוסיף עוד משהו ונחלוק את הניסיון שלנו.

ב-7 באוקטובר בשעה 17.00 ידברו עמיתיי על שולחנות עבודה וירטואליים בסמינר האינטרנט "האם VDI נחוץ, או איך לארגן עבודה מרחוק?"
הירשם עכשיו, אם אתה רוצה לדון מתי טכנולוגיית VDI מתאימה לחברה ומתי עדיף להשתמש בשיטות אחרות.

מקור: www.habr.com