პროვაიდერი, დააინსტალირე ჩემი ანტივირუსი VDI-ზე

ჩვენს კლიენტებს შორის არის კომპანიები, რომლებიც იყენებენ Kaspersky გადაწყვეტილებებს, როგორც კორპორატიულ სტანდარტს და თავად მართავენ ანტივირუსულ დაცვას. როგორც ჩანს, ვირტუალური დესკტოპის სერვისი, რომელშიც ანტივირუსს აკონტროლებს პროვაიდერი, მათთვის არც თუ ისე შესაფერისია. დღეს მე გაჩვენებთ, თუ როგორ შეუძლიათ კლიენტებს მართონ საკუთარი უსაფრთხოება ვირტუალური დესკტოპების უსაფრთხოებაზე კომპრომისის გარეშე.

В ბოლო პოსტი ჩვენ უკვე აღვწერეთ ზოგადად, თუ როგორ ვიცავთ მომხმარებლების ვირტუალურ სამუშაო მაგიდას. VDI სერვისის ფარგლებში ანტივირუსი ხელს უწყობს ღრუბელში მანქანების დაცვის გაძლიერებას და მის დამოუკიდებლად კონტროლს.

სტატიის პირველ ნაწილში მე გაჩვენებთ, თუ როგორ ვმართავთ გადაწყვეტას ღრუბელში და შევადარებთ ღრუბელზე დაფუძნებული კასპერსკის მუშაობას ტრადიციულ Endpoint Security-სთან. მეორე ნაწილი იქნება დამოუკიდებელი მენეჯმენტის შესაძლებლობებზე.

როგორ ვმართავთ გამოსავალს

ასე გამოიყურება გადაწყვეტის არქიტექტურა ჩვენს ღრუბელში. ანტივირუსისთვის ჩვენ გამოვყოფთ ქსელის ორ სეგმენტს:

• კლიენტის სეგმენტისადაც განთავსებულია მომხმარებლების ვირტუალური სამუშაო სადგურები,
• მართვის სეგმენტი, სადაც მდებარეობს ანტივირუსული სერვერის ნაწილი.

მენეჯმენტის სეგმენტი რჩება ჩვენი ინჟინრების კონტროლის ქვეშ, მომხმარებელს არ აქვს წვდომა ამ ნაწილზე. მართვის სეგმენტი მოიცავს მთავარ KSC ადმინისტრაციულ სერვერს, რომელიც შეიცავს სალიცენზიო ფაილებს და კლავიშებს კლიენტის სამუშაო სადგურების გასააქტიურებლად.

სწორედ ამისგან შედგება გამოსავალი კასპერსკის ლაბორატორიის თვალსაზრისით.

• დაინსტალირებულია მომხმარებლის ვირტუალურ სამუშაო მაგიდაზე მსუბუქი აგენტი (LA). ის არ ამოწმებს ფაილებს, მაგრამ აგზავნის მათ SVM-ში და ელოდება „განაჩენს ზემოდან“. შედეგად, მომხმარებლის დესკტოპის რესურსები არ იხარჯება ანტივირუსულ აქტივობაზე და თანამშრომლები არ ჩივიან, რომ „VDI ნელია“. 
• ამოწმებს ცალკე უსაფრთხოების ვირტუალური მანქანა (SVM). ეს არის უსაფრთხოების სპეციალური მოწყობილობა, რომელიც მასპინძლობს მავნე პროგრამების მონაცემთა ბაზებს. შემოწმების დროს დატვირთვა მოთავსებულია SVM-ზე: მისი მეშვეობით სინათლის აგენტი ურთიერთობს სერვერთან.
• კასპერსკის უსაფრთხოების ცენტრი (KSC) მართავს დაცვის ვირტუალურ მანქანებს. ეს არის კონსოლი ამოცანებისა და წესების პარამეტრებით, რომლებიც გამოყენებული იქნება ბოლო მოწყობილობებზე.

ოპერაციის ეს სქემა გვპირდება მომხმარებლის აპარატის აპარატურის რესურსების 30%-მდე დაზოგვას მომხმარებლის კომპიუტერის ანტივირუსთან შედარებით. ვნახოთ რა მოხდება პრაქტიკაში.

შედარებისთვის, ავიღე ჩემი სამუშაო ლეპტოპი დაინსტალირებული Kaspersky Endpoint Security, ჩავატარე სკანირება და გადავხედე რესურსის მოხმარებას:

 

მაგრამ იგივე სიტუაცია ხდება ვირტუალურ სამუშაო მაგიდაზე მსგავსი მახასიათებლებით ჩვენს ინფრასტრუქტურაში. მეხსიერების მოხმარება დაახლოებით იგივეა, მაგრამ CPU დატვირთვა ორჯერ ნაკლებია:

თავად KSC ასევე საკმაოდ რესურსზე ინტენსიურია. ამისთვის გამოვყოფთ
საკმარისია ადმინისტრატორმა კომფორტულად იგრძნოს მუშაობა. თავად ნახეთ:

რაც რჩება მომხმარებლის კონტროლის ქვეშ

ასე რომ, ჩვენ მოვაგვარეთ ამოცანები პროვაიდერის მხრიდან, ახლა მომხმარებელს მივაწვდით ანტივირუსული დაცვის კონტროლს. ამისათვის ჩვენ ვქმნით საბავშვო KSC სერვერს და გადავიტანთ მას კლიენტის სეგმენტში:

მოდით გადავიდეთ KSC კლიენტის კონსოლზე და ვნახოთ რა პარამეტრები ექნება მომხმარებელს ნაგულისხმევად.

მონიტორინგი. პირველ ჩანართზე ვხედავთ მონიტორინგის პანელს. მაშინვე ნათელია, რომელ პრობლემურ სფეროებს უნდა მიაქციოთ ყურადღება: 

გადავიდეთ სტატისტიკაზე. რამდენიმე მაგალითი იმისა, რაც შეგიძლიათ ნახოთ აქ.

აქ ადმინისტრატორი დაუყოვნებლივ დაინახავს, ​​თუ განახლება არ არის დაინსტალირებული ზოგიერთ აპარატზე
ან არის სხვა პრობლემა, რომელიც დაკავშირებულია პროგრამულ უზრუნველყოფასთან ვირტუალურ სამუშაო მაგიდაზე. მათი
განახლებამ შეიძლება გავლენა მოახდინოს მთელი ვირტუალური მანქანის უსაფრთხოებაზე:

ამ ჩანართში შეგიძლიათ გაანალიზოთ დაცულ მოწყობილობებზე ნაპოვნი კონკრეტული საფრთხეები:

მესამე ჩანართი შეიცავს ყველა შესაძლო ვარიანტს წინასწარ კონფიგურირებული მოხსენებებისთვის. კლიენტებს შეუძლიათ შექმნან საკუთარი ანგარიშები შაბლონებიდან და აირჩიონ რა ინფორმაცია იქნება ნაჩვენები. თქვენ შეგიძლიათ დააყენოთ ელ.ფოსტის გაგზავნა გრაფიკით ან ნახოთ ანგარიშები ადგილობრივად სერვერიდან
ადმინისტრაცია (KSC).   

 
ადმინისტრაციული ჯგუფები. მარჯვნივ ჩვენ ვხედავთ ყველა მართულ მოწყობილობას: ჩვენს შემთხვევაში, ვირტუალური სამუშაო მაგიდა, რომელსაც მართავს KSC სერვერი.

ისინი შეიძლება გაერთიანდეს ჯგუფებად, რათა შეიქმნას საერთო ამოცანები და ჯგუფის პოლიტიკა სხვადასხვა დეპარტამენტისთვის ან ყველა მომხმარებლისთვის ერთდროულად.

როგორც კი მომხმარებელი შექმნის ვირტუალურ მანქანას კერძო ღრუბელში, ის მაშინვე იდენტიფიცირებულია ქსელში და კასპერსკი აგზავნის მას მიუვალ მოწყობილობებზე:

მინიჭებული მოწყობილობები არ ვრცელდება ჯგუფური წესებით. ვირტუალური სამუშაო მაგიდის ჯგუფებისთვის ხელით მინიჭების თავიდან ასაცილებლად, შეგიძლიათ გამოიყენოთ წესები. ამ გზით ჩვენ ავტომატიზირებთ მოწყობილობების ჯგუფებად გადაცემას.

მაგალითად, ვირტუალური დესკტოპები Windows 10-ით, მაგრამ დაინსტალირებული ადმინისტრაციის აგენტის გარეშე, მოხვდება VDI_1 ჯგუფში, ხოლო Windows 10 და დაინსტალირებული აგენტის შემთხვევაში ისინი მოხვდება VDI_2 ჯგუფში. ამის ანალოგიით, მოწყობილობები ასევე შეიძლება ავტომატურად განაწილდეს მათი დომენის კუთვნილების მიხედვით, სხვადასხვა ქსელში მდებარეობისა და გარკვეული ტეგების მიხედვით, რომლებიც კლიენტს შეუძლია დამოუკიდებლად დააყენოს თავისი ამოცანებისა და საჭიროებების მიხედვით. 

წესის შესაქმნელად, უბრალოდ გაუშვით ოსტატი მოწყობილობების ჯგუფებად განაწილებისთვის:

ჯგუფური დავალებები. ამოცანების გამოყენებით, KSC ავტომატიზირებს გარკვეული წესების შესრულებას გარკვეულ დროს ან გარკვეულ მომენტში, მაგალითად: ვირუსის სკანირება ხორციელდება არასამუშაო საათებში ან როდესაც ვირტუალური მანქანა არის „მოქცეული“, რაც, თავის მხრივ, ამცირებს დატვირთვას. VM-ზე. ეს განყოფილება მოსახერხებელია ჯგუფის ფარგლებში ვირტუალურ სამუშაო მაგიდაზე დაგეგმილი სკანირებისთვის, ასევე ვირუსების მონაცემთა ბაზის განახლებისთვის. 

აქ არის ხელმისაწვდომი ამოცანების სრული სია:

ჯგუფის პოლიტიკა. ბავშვის KSC-დან მომხმარებელს შეუძლია დამოუკიდებლად გაავრცელოს დაცვა ახალ ვირტუალურ სამუშაო მაგიდაზე, განაახლოს ხელმოწერები და დააკონფიგურიროს გამონაკლისები
ფაილებისა და ქსელებისთვის, შექმენით ანგარიშები და მართეთ თქვენი აპარატების ყველა ტიპის სკანირება. ეს მოიცავს კონკრეტულ ფაილებზე, საიტებსა თუ ჰოსტებზე წვდომის შეზღუდვას.

მთავარი სერვერის წესები და წესები შეიძლება ისევ ჩართოთ, თუ რამე არასწორედ მოხდება. უარეს შემთხვევაში, არასწორად კონფიგურაციის შემთხვევაში, სინათლის აგენტები დაკარგავენ კონტაქტს SVM-თან და დაუცველს დატოვებენ ვირტუალურ სამუშაო კომპიუტერებს. ჩვენი ინჟინრები დაუყოვნებლივ მიიღებენ შეტყობინებას ამის შესახებ და შეძლებენ გაააქტიურონ პოლიტიკის მემკვიდრეობა მთავარი KSC სერვერიდან.

ეს არის ის ძირითადი პარამეტრები, რომლებზეც დღეს მინდოდა საუბარი. 

წყარო: www.habr.com