바이러스, 스파이웨어 및 공격으로부터 고객 가상 데스크톱을 보호하는 방법

올해는 많은 기업이 서둘러 원격근무로 전환했다. 일부 고객의 경우 우리는 도움이 된 매주 XNUMX개 이상의 원격 작업을 구성합니다. 이 작업을 신속하게 수행하는 것뿐만 아니라 안전하게 수행하는 것도 중요했습니다. VDI 기술이 구출되었습니다. 이 기술의 도움으로 모든 작업장에 보안 정책을 배포하고 데이터 유출로부터 보호하는 것이 편리합니다. 

이 기사에서는 정보 보안 측면에서 Citrix VDI 기반 가상 데스크탑 서비스가 어떻게 작동하는지 설명하겠습니다. 랜섬웨어나 표적 공격과 같은 외부 위협으로부터 클라이언트 데스크탑을 보호하기 위해 우리가 무엇을 하는지 보여드리겠습니다. 

어떤 보안 문제를 해결합니까? 

우리는 서비스에 대한 몇 가지 주요 보안 위협을 확인했습니다. 한편, 가상 데스크톱은 사용자의 컴퓨터에서 감염될 위험이 있습니다. 반면, 가상 데스크톱을 빠져나와 인터넷이라는 열린 공간으로 들어가 감염된 파일을 다운로드 받을 위험도 있다. 이런 일이 발생하더라도 전체 인프라에 영향을 주어서는 안 됩니다. 따라서 서비스를 만들 때 몇 가지 문제를 해결했습니다. 

• 외부 위협으로부터 VDI 스탠드 전체를 보호합니다.
• 클라이언트를 서로 격리합니다.
• 가상 데스크톱 자체를 보호합니다. 
• 모든 장치에서 사용자 연결을 안전하게 보호하세요.

포티넷의 차세대 방화벽인 FortiGate가 보호의 핵심이 되었습니다. VDI 스탠드의 트래픽을 제어하고, 각 클라이언트에 격리된 인프라를 제공하며, 사용자 측 취약점으로부터 보호합니다. 그 기능은 대부분의 IS 문제를 해결하기에 충분합니다. 

그러나 회사에 특별한 보안 요구 사항이 있는 경우 추가 옵션을 제공합니다. 

• 우리는 가정용 컴퓨터에서 작업할 수 있도록 보안 연결을 구성합니다.
• 보안 로그에 대한 자체 분석에 대한 액세스 권한을 부여합니다.
• 우리는 데스크탑에 대한 안티 바이러스 보호 관리를 제공합니다.
• 제로데이 취약점으로부터 보호합니다. 
• 무단 연결에 대한 추가 보호를 위해 다단계 인증을 설정합니다.

문제를 어떻게 해결했는지 자세히 알려드리겠습니다. 

부스를 보호하고 네트워크 보안을 보장하는 방법

네트워크 부분을 분할합니다. 부스에서는 모든 리소스를 관리하기 위해 폐쇄형 관리 세그먼트를 할당합니다. 관리 세그먼트는 외부에서 액세스할 수 없습니다. 클라이언트에 대한 공격이 발생하는 경우 공격자는 해당 세그먼트에 접근할 수 없습니다. 

FortiGate는 보호를 담당합니다. 바이러스 백신, 방화벽, 침입 방지 시스템(IPS)의 기능을 결합합니다. 

각 클라이언트에 대해 가상 데스크톱을 위한 격리된 네트워크 세그먼트를 생성합니다. 이를 위해 FortiGate에는 가상 도메인 기술, 즉 VDOM이 있습니다. 이를 통해 방화벽을 여러 가상 엔터티로 분할하고 별도의 방화벽처럼 작동하는 자체 VDOM을 각 클라이언트에 할당할 수 있습니다. 또한 관리 세그먼트에 대해 별도의 VDOM을 생성합니다.

이 계획은 다음과 같습니다.


클라이언트 간에는 네트워크 연결이 없습니다. 각 클라이언트는 자체 VDOM에 있으며 다른 클라이언트에 영향을 주지 않습니다. 이 기술이 없으면 방화벽 규칙으로 클라이언트를 분리해야 하며 이는 인적 요소로 인해 위험합니다. 이러한 규칙은 항상 닫혀 있어야 하는 문과 비교할 수 있습니다. VDOM의 경우 "문"을 전혀 남기지 않습니다. 

별도의 VDOM에서 클라이언트는 자체 주소 지정 및 라우팅을 갖습니다. 따라서 범위의 교차는 회사에 문제가 되지 않습니다. 클라이언트는 원하는 IP 주소를 가상 데스크톱에 할당할 수 있습니다. 이는 자체 IP 계획을 갖고 있는 대기업에 편리합니다. 

고객 기업 네트워크와의 연결 문제를 해결해 드립니다. 별도의 작업은 VDI를 클라이언트 인프라와 연결하는 것입니다. 회사가 데이터 센터에 기업 시스템을 유지하는 경우 장비에서 방화벽까지 네트워크 케이블을 간단히 연결할 수 있습니다. 그러나 우리는 다른 데이터 센터나 고객 사무실과 같은 원격 사이트를 다루는 경우가 더 많습니다. 이 경우 사이트와의 보안 교환을 고려하고 IPsec VPN을 사용하여 site2site VPN을 구축합니다. 

인프라의 복잡성에 따라 체계가 다를 수 있습니다. 단일 사무실 네트워크를 VDI에 연결하는 것만으로도 충분합니다. 정적 라우팅이 충분합니다. 대기업에는 끊임없이 변화하는 많은 네트워크가 있습니다. 여기서 클라이언트에는 동적 라우팅이 필요합니다. 우리는 다른 프로토콜을 사용합니다. 이미 OSPF(Open Shortest Path First), GRE 터널(Generic Routing Encapsulation) 및 BGP(Border Gateway Protocol)의 사례가 있습니다. FortiGate는 다른 클라이언트에 영향을 주지 않고 별도의 VDOM에서 네트워크 프로토콜을 지원합니다. 

또한 러시아 연방 FSB에서 인증한 암호화 보호 도구를 기반으로 하는 암호화인 GOST-VPN을 구축할 수도 있습니다. 예를 들어 가상 환경 "S-Terra 가상 게이트웨이" 또는 HSS ViPNet, APKSh "Continent", "S-Terra"에서 클래스 KS1 솔루션을 사용합니다.

그룹 정책을 설정합니다. VDI에 적용되는 클라이언트 그룹 정책을 조정합니다. 여기서 설정원칙은 사무실에서 정책을 설정하는 것과 다르지 않습니다. 우리는 Active Directory와의 통합을 설정하고 일부 그룹 정책에 대한 제어권을 클라이언트에 위임하고 있습니다. 테넌트 관리자는 컴퓨터 개체에 정책을 적용하고, Active Directory에서 조직 단위를 관리하고, 사용자를 생성할 수 있습니다. 

FortiGate에서는 각 클라이언트 VDOM에 대해 네트워크 보안 정책을 작성하고 액세스 제한을 설정하며 트래픽 검사를 설정합니다. 우리는 여러 FortiGate 모듈을 사용합니다. 

• IPS 모듈은 트래픽에 악성 코드가 있는지 확인하고 침입을 방지합니다.
• 바이러스 백신은 맬웨어 및 스파이웨어로부터 데스크톱 자체를 보호합니다.
• 웹 필터링은 신뢰할 수 없는 리소스와 악의적이거나 부적절한 콘텐츠가 포함된 사이트에 대한 액세스를 차단합니다.
• 방화벽 설정을 통해 사용자는 특정 사이트에서만 인터넷에 액세스할 수 있습니다. 

때로는 클라이언트가 사이트에 대한 직원 액세스를 독립적으로 관리하기를 원합니다. 은행에서는 이러한 요청을 받는 경우가 더 많습니다. 보안 서비스에서는 액세스 제어를 회사 측에서 유지하도록 요구합니다. 이러한 회사는 트래픽을 자체적으로 모니터링하고 정기적으로 정책을 변경합니다. 이 경우 FortiGate의 모든 트래픽을 클라이언트로 전환합니다. 이를 위해 회사 인프라에 구성된 인터페이스를 사용합니다. 그 후 클라이언트는 회사 네트워크 및 인터넷에 대한 액세스 규칙을 직접 구성합니다. 

스탠드에서 이벤트를 지켜보고 있습니다. FortiGate와 함께 Fortinet의 로그 수집기인 FortiAnalyzer를 사용합니다. 그 도움으로 우리는 VDI의 모든 이벤트 로그를 한 곳에서 살펴보고 의심스러운 활동을 찾아내고 상관 관계를 추적합니다. 

우리 고객 중 한 명이 사무실에서 Fortinet 제품을 사용하고 있습니다. 이를 위해 우리는 로그 업로드를 설정했습니다. 그래서 클라이언트는 사무실 컴퓨터와 가상 데스크톱에 대한 모든 보안 이벤트를 분석할 수 있습니다.

가상 데스크탑을 보호하는 방법

알려진 위협으로부터. 클라이언트가 안티 바이러스 보호를 독립적으로 관리하려는 경우 Kaspersky Security for Virtualization을 추가로 설치합니다. 

이 솔루션은 클라우드에서 잘 작동합니다. 우리 모두는 기존 Kaspersky 바이러스 백신이 "무거운" 솔루션이라는 사실에 익숙합니다. 이와 달리 Kaspersky Security for Virtualization은 가상 머신을 로드하지 않습니다. 모든 바이러스 데이터베이스는 모든 호스트 가상 시스템에 대한 판정을 내리는 서버에 있습니다. 가상 데스크톱에는 Light Agent만 설치됩니다. 확인을 위해 서버로 파일을 보냅니다. 

이 아키텍처는 가상 머신의 성능을 저하시키지 않으면서 파일 보호, 인터넷 보호 및 공격 방지를 동시에 제공합니다. 이 경우 클라이언트는 파일 보호에 대한 예외를 독립적으로 도입할 수 있습니다. 솔루션의 기본 설정을 도와드립니다. 해당 기능에 대해서는 별도의 기사에서 설명하겠습니다.

알려지지 않은 위협으로부터. 이를 위해 Fortinet의 샌드박스인 FortiSandbox를 연결합니다. 바이러스 백신이 제로 데이 위협을 놓친 경우를 대비하여 이를 필터로 사용합니다. 파일을 다운로드한 후 먼저 바이러스 백신으로 확인한 다음 샌드박스로 보냅니다. FortiSandbox는 가상 머신을 에뮬레이션하고, 파일을 실행하고, 해당 동작(액세스하는 레지스트리의 개체, 외부 요청 전송 여부 등)을 모니터링합니다. 파일이 의심스럽게 동작하면 샌드박스가 적용된 VM이 삭제되고 악성 파일이 사용자의 VDI에 배치되지 않습니다. 

VDI에 대한 보안 연결을 설정하는 방법

우리는 장치가 정보 보안 요구 사항을 준수하는지 확인합니다. 원격 작업이 시작된 이래로 고객들은 개인 컴퓨터에서 사용자의 안전한 작업을 보장해 달라는 요청으로 우리에게 연락해 왔습니다. 정보 보안 전문가라면 누구나 가정용 장치를 보호하는 것이 어렵다는 것을 알고 있습니다. 사무용 장비가 아니기 때문에 필요한 바이러스 백신을 설치하거나 그룹 정책을 적용할 수 없습니다. 

기본적으로 VDI는 개인 장치와 회사 네트워크 사이의 보안 "계층"이 됩니다. 사용자 컴퓨터의 공격으로부터 VDI를 보호하기 위해 클립보드를 비활성화하고 USB 전달을 비활성화합니다. 그러나 이것이 사용자 장치 자체를 안전하게 만드는 것은 아닙니다. 

FortiClient의 도움으로 문제를 해결합니다. 엔드포인트 보호(Endpoint Protection)를 위한 도구입니다. 회사 사용자는 집에 있는 컴퓨터에 FortiClient를 설치하고 이를 사용하여 가상 데스크톱에 연결합니다. FortiClient는 한 번에 3가지 작업을 해결합니다. 

• 사용자에 대한 액세스의 "단일 창"이 됩니다.
• 개인용 컴퓨터에 바이러스 백신 및 최신 OS 업데이트가 있는지 확인합니다. 
• 안전한 액세스를 위해 VPN 터널을 구축합니다. 

직원은 확인을 통과한 경우에만 액세스할 수 있습니다. 동시에 가상 데스크톱 자체는 인터넷에서 액세스할 수 없으므로 공격으로부터 더 잘 보호됩니다. 

기업이 엔드포인트 보호 자체를 관리하고 싶다면 FortiClient EMS(엔드포인트 관리 서버)를 제공합니다. 클라이언트는 데스크톱 검색 및 침입 방지를 구성하고 화이트 주소 목록을 구성할 수 있습니다. 

인증 요소를 추가합니다. 기본적으로 사용자는 Citrix netscaler를 통해 인증됩니다. 여기에서도 SafeNet 제품을 기반으로 한 다단계 인증으로 보안을 강화할 수 있습니다. 이 주제는 특별한 관심을 기울일 가치가 있으며 별도의 기사에서도 이에 대해 이야기하겠습니다. 

우리는 지난 XNUMX년간 다양한 솔루션을 사용해 작업한 경험을 축적했습니다. VDI 서비스는 클라이언트별로 별도로 구성되므로 가장 유연한 도구를 선택했습니다. 아마도 가까운 시일 내에 우리는 다른 것을 추가하고 우리의 경험을 공유할 것입니다.

7월 17.00일 XNUMX시에 동료들이 "VDI가 필요합니까, 아니면 원격 작업을 구성하는 방법?" 웹 세미나에서 가상 데스크톱에 대해 이야기할 예정입니다.
가입, VDI 기술이 기업에 적합한 경우와 다른 방법을 사용하는 것이 더 나은 경우에 대해 논의하고 싶다면.

출처 : habr.com