ספק, הגדר את האנטי וירוס שלי ל-VDI

בין לקוחותינו ישנן חברות המשתמשות בפתרונות קספרסקי כסטנדרט תאגידי ומנהלות בעצמן את הגנת האנטי וירוס. נראה ששירות שולחן עבודה וירטואלי שבו האנטי וירוס מנוטר על ידי הספק לא מתאים להם במיוחד. היום אראה כיצד לקוחות יכולים לנהל את האבטחה שלהם בעצמם מבלי להתפשר על האבטחה של שולחנות עבודה וירטואליים.

В פוסט אחרון כבר תיארנו באופן כללי כיצד אנו מגנים על שולחנות העבודה הווירטואליים של הלקוחות. אנטי וירוס בתוך שירות VDI עוזר לחזק את ההגנה על מכונות בענן ולשלוט בו באופן עצמאי.

בחלק הראשון של המאמר, אראה כיצד אנו מנהלים את הפתרון בענן ומשווה את הביצועים של קספרסקי מבוססת הענן עם אבטחת קצה המסורתית. החלק השני יעסוק באפשרויות של ניהול עצמאי.

איך אנחנו מנהלים את הפתרון

כך נראית ארכיטקטורת הפתרונות בענן שלנו. לאנטי וירוס אנו מקצים שני מקטעי רשת:

• פלח לקוחות, היכן ממוקמות תחנות העבודה הווירטואליות של המשתמשים,
• מגזר ניהול, שבו נמצא החלק של שרת האנטי וירוס.

מגזר הניהול נשאר בשליטת המהנדסים שלנו; ללקוח אין גישה לחלק זה. מגזר הניהול כולל את שרת הניהול הראשי של KSC, המכיל קבצי רישיון ומפתחות להפעלת תחנות עבודה של לקוח.

מזה מורכב הפתרון במונחים של מעבדת קספרסקי.

• מותקן על שולחנות עבודה וירטואליים של משתמשים חומר אור (LA). הוא לא בודק קבצים, אלא שולח אותם ל-SVM ומחכה ל"פסק הדין מלמעלה". כתוצאה מכך, משאבי שולחן העבודה של משתמשים אינם מבוזבזים על פעילות אנטי-וירוס, והעובדים אינם מתלוננים כי "VDI איטי". 
• צ'קים בנפרד מכונת אבטחה וירטואלית (SVM). זהו מכשיר אבטחה ייעודי המארח מסדי נתונים של תוכנות זדוניות. במהלך בדיקות, העומס מושם על ה-SVM: באמצעותו, סוכן האור מתקשר עם השרת.
• מרכז האבטחה של קספרסקי (KSC) מנהל הגנה על מכונות וירטואליות. זוהי מסוף עם הגדרות למשימות ומדיניות שיוחלו על מכשירי קצה.

תכנית פעולה זו מבטיחה לחסוך עד 30% ממשאבי החומרה של המחשב של המשתמש בהשוואה לאנטי וירוס במחשב של המשתמש. בוא נראה מה קורה בפועל.

לשם השוואה, לקחתי את המחשב הנייד של העבודה שלי עם Kaspersky Endpoint Security מותקן, רצתי סריקה ובדקתי את צריכת המשאבים:

 

אבל אותו מצב מתרחש על שולחן עבודה וירטואלי עם מאפיינים דומים בתשתית שלנו. צריכת הזיכרון בערך זהה, אך עומס המעבד נמוך פי שניים:

KSC עצמו הוא גם די עתיר משאבים. אנחנו מקצים לזה
מספיק כדי שהמנהל ירגיש בנוח לעבוד. תראה בעצמך:

מה שנותר בשליטת הלקוח

אז, סידרנו את המשימות בצד של הספק, כעת נספק ללקוח שליטה על הגנת אנטי וירוס. לשם כך, אנו יוצרים שרת KSC צאצא ומעבירים אותו לפלח הלקוח:

בוא נלך לקונסולה ב-KSC של הלקוח ונראה אילו הגדרות יהיו ללקוח כברירת מחדל.

ניטור. בכרטיסייה הראשונה אנו רואים את לוח הניטור. ברור מייד לאילו אזורים בעייתיים עליך לשים לב: 

בואו נעבור לסטטיסטיקה. כמה דוגמאות למה שאתה יכול לראות כאן.

כאן המנהל יראה מיד אם העדכון לא הותקן במכונות מסוימות
או שיש בעיה אחרת הקשורה לתוכנה על שולחנות עבודה וירטואליים. שֶׁלָהֶם
העדכון עשוי להשפיע על האבטחה של המחשב הוירטואלי כולו:

בכרטיסייה זו, תוכל לנתח את האיומים שנמצאו עד לאיום הספציפי שנמצא במכשירים המוגנים:

הכרטיסייה השלישית מכילה את כל האפשרויות האפשריות לדוחות מוגדרים מראש. לקוחות יכולים ליצור דוחות משלהם מתבניות ולבחור איזה מידע יוצג. אתה יכול להגדיר שליחה בדוא"ל לפי לוח זמנים או להציג דוחות מקומית מהשרת
מינהל (KSC).   

 
קבוצות ניהול. בצד ימין אנו רואים את כל המכשירים המנוהלים: במקרה שלנו, שולחנות עבודה וירטואליים המנוהלים על ידי שרת KSC.

ניתן לשלב אותם לקבוצות כדי ליצור משימות ומדיניות קבוצתית משותפים עבור מחלקות שונות או עבור כל המשתמשים בו זמנית.

ברגע שהלקוח יצר מכונה וירטואלית בענן פרטי, היא מזוהה מיד ברשת, וקספרסקי שולחת אותה למכשירים שלא הוקצו:

מכשירים שלא הוקצו אינם מכוסים במדיניות הקבוצתית. כדי להימנע מהקצאה ידנית של שולחנות עבודה וירטואליים לקבוצות, אתה יכול להשתמש בכללים. כך אנו הופכים את העברת המכשירים לאוטומטיים לקבוצות.

לדוגמה, שולחנות עבודה וירטואליים עם Windows 10, אך ללא סוכן הניהול המותקן, ייכללו בקבוצת VDI_1, ועם Windows 10 והסוכן מותקנים, הם ייכללו בקבוצת VDI_2. באנלוגיה לכך, מכשירים יכולים להיות מופצים אוטומטית גם על פי השתייכותם לדומיין, לפי מיקום ברשתות שונות ולפי תגיות מסוימות שהלקוח יכול להגדיר על סמך משימותיו וצרכיו באופן עצמאי. 

כדי ליצור כלל, פשוט הפעל את האשף להפצת מכשירים לקבוצות:

משימות קבוצתיות. באמצעות משימות, KSC מבצע אוטומציה של ביצוע כללים מסוימים בזמן מסוים או ברגע מסוים, לדוגמה: סריקת וירוסים מבוצעת בשעות שאינן עובדות או כאשר המכונה הוירטואלית "בטלה", מה שבתורו מפחית את העומס ב-VM. סעיף זה נוח להפעלת סריקות מתוזמנות על שולחנות עבודה וירטואליים בתוך קבוצה, כמו גם עדכון מסדי נתונים של וירוסים. 

להלן הרשימה המלאה של המשימות הזמינות:

מדיניות קבוצתית. מה-KSC הילד, הלקוח יכול להפיץ באופן עצמאי הגנה למחשבים שולחניים וירטואליים חדשים, לעדכן חתימות ולהגדיר חריגים
עבור קבצים ורשתות, בנה דוחות ונהל את כל סוגי הסריקות של המכונות שלך. זה כולל הגבלת גישה לקבצים, אתרים או מארחים ספציפיים.

ניתן להפעיל מחדש את המדיניות והכללים של השרת הראשי אם משהו משתבש. במקרה הגרוע ביותר, אם מוגדרים בצורה שגויה, סוכני אור יאבדו קשר עם ה-SVM וישאירו שולחנות עבודה וירטואליים לא מוגנים. המהנדסים שלנו יקבלו הודעה מיידית על כך ויוכלו לאפשר הורשת מדיניות משרת KSC הראשי.

אלו ההגדרות העיקריות שרציתי לדבר עליהן היום. 

מקור: www.habr.com