התנסו ב-"Aladdin R.D." ביישום גישה מאובטחת מרחוק ובמאבק ב-COVID-19

בחברה שלנו, כמו בהרבה חברות IT אחרות ולא כל כך, האפשרות לגישה מרחוק קיימת כבר זמן רב, ועובדים רבים השתמשו בה מכורח הנסיבות. עם התפשטות ה-COVID-19 בעולם, מחלקת ה-IT שלנו, על פי החלטת הנהלת החברה, החלה להעביר עובדים שחזרו מנסיעות לחו"ל לעבודה מרחוק. כן, התחלנו לתרגל בידוד עצמי ביתי כבר מתחילת מרץ, עוד לפני שזה הפך למיינסטרים. באמצע מרץ, הפתרון כבר הוגדל לכל החברה, ובסוף מרץ כולנו עברנו כמעט בצורה חלקה למצב חדש של עבודה מרחוק המונית לכולם.

מבחינה טכנית, כדי ליישם גישה מרחוק לרשת, אנו משתמשים ב- Microsoft VPN (RRAS) - כאחד מתפקידי Windows Server. כאשר אתה מתחבר לרשת, משאבים פנימיים שונים הופכים לזמינים, החל מנקודות Sharepoint, שירותי שיתוף קבצים, מעקבי באגים ועד למערכת CRM; עבור רבים, זה כל מה שהם צריכים לעבודתם. לאלו שעדיין יש להם תחנות עבודה במשרד, גישת RDP מוגדרת דרך שער ה-RDG.

מדוע בחרת בהחלטה זו או מדוע כדאי לבחור? כי אם כבר יש לך דומיין ותשתית אחרת ממיקרוסופט, אז התשובה ברורה, סביר להניח שלמחלקת ה-IT שלך יהיה קל, מהיר וזול יותר ליישם אותה. אתה רק צריך להוסיף כמה תכונות. וזה יהיה קל יותר לעובדים להגדיר את רכיבי Windows מאשר להוריד ולהגדיר לקוחות גישה נוספים.

בעת גישה לשער ה-VPN עצמו ולאחר מכן, בעת חיבור לתחנות עבודה ומשאבי אינטרנט חשובים, אנו משתמשים באימות דו-גורמי. אכן, זה יהיה מוזר אם אנחנו, כיצרנית של פתרונות אימות דו-גורמי, לא נשתמש במוצרים שלנו בעצמנו. זהו התקן הארגוני שלנו; לכל עובד יש אסימון עם תעודה אישית, המשמש לאימות בתחנת העבודה המשרדית לדומיין ולמשאבים הפנימיים של החברה.

על פי הסטטיסטיקה, יותר מ-80% מאירועי אבטחת המידע משתמשים בסיסמאות חלשות או גנובות. לכן, הכנסת אימות דו-גורמי מגדילה מאוד את רמת האבטחה הכוללת של החברה ומשאביה, מאפשרת לצמצם את הסיכון לגניבה או ניחוש סיסמא לכמעט אפס, וגם להבטיח שהתקשורת מתרחשת עם משתמש חוקי. בעת יישום תשתית PKI, ניתן להשבית לחלוטין את אימות הסיסמה.

מנקודת מבט של ממשק המשתמש עבור המשתמש, סכימה זו היא אפילו פשוטה יותר מאשר הזנת פרטי כניסה וסיסמה. הסיבה היא שכבר לא צריך לזכור סיסמה מורכבת, אין צורך לשים מדבקות מתחת למקלדת (הפרה את כל מדיניות האבטחה האפשרית), אפילו אין צורך להחליף את הסיסמה אחת ל-90 יום (למרות שזה לא נחשבת זמן רב יותר לתרגול הטוב ביותר, אך במקומות רבים עדיין נהוגה). המשתמש רק יצטרך לבוא עם קוד PIN לא מאוד מסובך ולא לאבד את האסימון. האסימון עצמו יכול להתבצע בצורה של כרטיס חכם, אותו ניתן לשאת בנוחות בארנק. ניתן להשתיל תגי RFID לתוך האסימון והכרטיס החכם לגישה לשטחי המשרד.
קוד ה-PIN משמש לאימות, למתן גישה למידע מפתח ולביצוע טרנספורמציות ובדיקות קריפטוגרפיות, אובדן האסימון אינו מפחיד, שכן אי אפשר לנחש את קוד ה-PIN, לאחר מספר ניסיונות הוא ייחסם. במקביל, שבב הכרטיס החכם מגן על מידע מפתח מפני חילוץ, שיבוט והתקפות אחרות.

מה עוד?

אם הפתרון לבעיית הגישה מרחוק ממיקרוסופט אינו מתאים מסיבה כלשהי, אז אתה יכול ליישם תשתית PKI ולהגדיר אימות דו-גורמי באמצעות הכרטיסים החכמים שלנו בתשתיות VDI שונות (Citrix Virtual Apps and Desktops, Citrix ADC, VMware Horizon, VMware Unified Gateway, Huawei Fusion) ומערכות אבטחת חומרה (PaloAlto, CheckPoint, Cisco) ומוצרים נוספים.

חלק מהדוגמאות נדונו במאמרים הקודמים שלנו.

במאמר הבא נדבר על הגדרת OpenVPN עם אימות באמצעות אישורים מ-MSCA.

אף תעודה אחת

אם הטמעת תשתית PKI ורכישת התקני חומרה עבור כל עובד נראית מסובכת מדי או, למשל, אין אפשרות טכנית לחיבור כרטיס חכם, אז יש פתרון עם סיסמאות חד פעמיות המבוססות על שרת האימות JAS שלנו. כמאמתים, אתה יכול להשתמש בתוכנה (Google Authenticator, Yandex Key), חומרה (כל RFC מתאים, למשל, JaCarta WebPass). כמעט כל אותם פתרונות נתמכים כמו עבור כרטיסים חכמים/אסימונים. דיברנו גם על כמה דוגמאות תצורה בפוסטים הקודמים שלנו.

ניתן לשלב שיטות אימות, כלומר על ידי OTP - לדוגמה, ניתן להכניס רק משתמשים ניידים, וניתן לאמת מחשבים ניידים/שולחניים קלאסיים רק באמצעות אישור על אסימון.

בשל האופי הספציפי של עבודתי, לאחרונה חברים רבים שאינם טכניים פנו אלי באופן אישי לעזרה בהגדרת גישה מרחוק. אז יכולנו להציץ קצת מי יוצא מהמצב ואיך. היו הפתעות נעימות כאשר חברות לא גדולות במיוחד משתמשות במותגים מפורסמים, כולל עם פתרונות אימות דו-גורמי. היו גם מקרים, מפתיעים בכיוון ההפוך, כשחברות ממש גדולות ומוכרות (לא IT) המליצו פשוט להתקין את TeamViewer במחשבי המשרד שלהם.

במצב הנוכחי, מומחים מחברת "Aladdin R.D." ממליץ לנקוט בגישה אחראית לפתרון בעיות של גישה מרחוק לתשתית הארגונית שלך. בהזדמנות זו, ממש בתחילת משטר הבידוד העצמי הכללי, השקנו קמפיין "ארגון עבודה מרחוק בטוח של עובדים".

מקור: www.habr.com