"알라딘 R.D."를 경험해보세요 안전한 원격 액세스 구현 및 코로나19 퇴치

우리 회사에서는 IT 회사가 아닌 다른 많은 IT와 마찬가지로 원격 액세스 가능성이 오랫동안 존재해 왔으며 많은 직원이 필요에 따라 이를 사용했습니다. 코로나19가 전 세계적으로 확산됨에 따라 당사 IT 부서는 회사 경영진의 결정에 따라 해외 여행에서 돌아온 직원을 원격 근무로 전환하기 시작했습니다. 네, 자가격리가 주류화되기 전인 XNUMX월 초부터 자가격리를 시작했습니다. XNUMX월 중순까지 솔루션은 이미 회사 전체로 확장되었으며, XNUMX월 말에 우리 모두는 모든 사람을 위한 새로운 대량 원격 작업 모드로 거의 원활하게 전환했습니다.

기술적으로 네트워크에 대한 원격 액세스를 구현하기 위해 Microsoft VPN(RRAS)을 Windows Server 역할 중 하나로 사용합니다. 네트워크에 연결하면 공유 포인트, 파일 공유 서비스, 버그 추적기, CRM 시스템 등 다양한 내부 리소스를 사용할 수 있으며 많은 경우 이것이 업무에 필요한 전부입니다. 사무실에 아직 워크스테이션이 있는 경우 RDP 액세스는 RDG 게이트웨이를 통해 구성됩니다.

이 결정을 선택한 이유는 무엇이며 선택할 가치가 있는 이유는 무엇입니까? 이미 Microsoft의 도메인과 기타 인프라가 있다면 대답은 분명하므로 IT 부서에서 이를 구현하는 것이 더 쉽고 빠르며 저렴할 것입니다. 몇 가지 기능만 추가하면 됩니다. 그리고 직원들이 추가 액세스 클라이언트를 다운로드하고 구성하는 것보다 Windows 구성 요소를 구성하는 것이 더 쉬울 것입니다.

VPN 게이트웨이 자체에 액세스할 때와 그 이후에 워크스테이션 및 중요한 웹 리소스에 연결할 때 우리는 XNUMX단계 인증을 사용합니다. 사실, 이중 인증 솔루션 제조업체로서 우리 제품을 직접 사용하지 않는다면 이상할 것입니다. 이는 회사 표준이며 각 직원은 사무실 워크스테이션에서 도메인과 회사 내부 리소스를 인증하는 데 사용되는 개인 인증서가 포함된 토큰을 갖습니다.

통계에 따르면, 정보보안 사고의 80% 이상이 취약하거나 도난당한 비밀번호를 사용하고 있습니다. 따라서 XNUMX단계 인증을 도입하면 회사와 리소스의 전반적인 보안 수준이 크게 향상되고, 도난 또는 비밀번호 추측 위험을 거의 XNUMX으로 줄일 수 있으며, 유효한 사용자와의 통신이 이루어지도록 할 수 있습니다. PKI 인프라를 구현할 때 비밀번호 인증을 완전히 비활성화할 수 있습니다.

사용자의 UI 관점에서 볼 때 이 구성표는 로그인 및 비밀번호를 입력하는 것보다 훨씬 간단합니다. 그 이유는 복잡한 비밀번호를 더 이상 기억할 필요가 없고, 키보드 밑에 스티커를 붙일 필요도 없고(가능한 모든 보안 정책을 위반함), 비밀번호를 90일마다 한 번씩 변경할 필요도 없기 때문입니다. 오랫동안 모범 사례로 간주되었지만 여전히 많은 곳에서 실행되고 있습니다.) 사용자는 매우 복잡하지 않은 PIN 코드를 제시하고 토큰을 잃지 않으면 됩니다. 토큰 자체는 스마트카드 형태로 만들어 지갑에 넣어 편리하게 휴대할 수 있다. 사무실 구내에 접근하기 위해 RFID 태그를 토큰과 스마트 카드에 이식할 수 있습니다.
PIN 코드는 인증, 주요 정보에 대한 액세스 제공, 암호화 변환 및 확인을 수행하는 데 사용됩니다. PIN 코드를 추측하는 것은 불가능하므로 토큰을 잃어도 두렵지 않습니다. 몇 번 시도하면 토큰이 차단됩니다. 동시에 스마트 카드 칩은 추출, 복제 및 기타 공격으로부터 핵심 정보를 보호합니다.

또 뭐야?

Microsoft의 원격 액세스 문제에 대한 솔루션이 어떤 이유로 적합하지 않은 경우 PKI 인프라를 구현하고 다양한 VDI 인프라(Citrix Virtual Apps and Desktops, Citrix ADC, VMware)에서 스마트 카드를 사용하여 XNUMX단계 인증을 구성할 수 있습니다. Horizon, VMware Unified Gateway, Huawei Fusion) 및 하드웨어 보안 시스템(PaloAlto, CheckPoint, Cisco) 및 기타 제품.

일부 예는 이전 기사에서 논의되었습니다.

다음 기사에서는 MSCA 인증서를 사용한 인증으로 OpenVPN을 설정하는 방법에 대해 설명합니다.

인증서가 하나도 없습니다.

PKI 인프라를 구현하고 각 직원을 위한 하드웨어 장치를 구매하는 것이 너무 복잡해 보이거나 스마트 카드를 연결할 기술적인 가능성이 없는 경우 JAS 인증 서버를 기반으로 하는 일회용 비밀번호를 사용하는 솔루션이 있습니다. 인증자로서 소프트웨어(Google Authenticator, Yandex Key), 하드웨어(JaCarta WebPass와 같은 해당 RFC)를 사용할 수 있습니다. 스마트 카드/토큰과 거의 동일한 솔루션이 지원됩니다. 또한 이전 게시물에서 몇 가지 구성 예에 대해 이야기했습니다.

인증 방법은 OTP를 통해 결합할 수 있습니다. 예를 들어 모바일 사용자만 허용할 수 있고 클래식 노트북/데스크톱은 토큰의 인증서를 통해서만 인증할 수 있습니다.

내 작업의 특수한 특성으로 인해 기술 지식이 없는 많은 친구들이 최근 원격 액세스 설정에 대한 도움을 받기 위해 개인적으로 나에게 접근했습니다. 그래서 우리는 누가 어떻게 그 상황에서 빠져나가는지 살짝 엿볼 수 있었습니다. 이중 인증 솔루션을 포함하여 그다지 큰 회사가 유명 브랜드를 사용하지 않을 때 즐거운 놀라움이 있었습니다. 반대 방향으로 놀랍게도 매우 크고 잘 알려진 회사(IT 아님)가 사무실 컴퓨터에 TeamViewer를 설치하도록 권장하는 경우도 있었습니다.

현재 상황에서 "Aladdin R.D."회사의 전문가들이 있습니다. 기업 인프라에 대한 원격 액세스 문제를 해결하기 위해 책임감 있는 접근 방식을 취하는 것이 좋습니다. 이번 기회에 우리는 일반적인 자가격리 체제가 시작되는 시점에 캠페인 “직원들의 안전한 원격근무 조직”.

출처 : habr.com