ປະສົບການ "Aladdin R.D." ໃນການປະຕິບັດການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກທີ່ປອດໄພແລະການຕໍ່ສູ້ກັບ COVID-19

ໃນບໍລິສັດຂອງພວກເຮົາ, ເຊັ່ນດຽວກັນກັບບໍລິສັດໄອທີອື່ນໆແລະບໍ່ແມ່ນບໍລິສັດ IT, ຄວາມເປັນໄປໄດ້ຂອງການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກແມ່ນມີຢູ່ເປັນເວລາດົນນານ, ແລະພະນັກງານຫຼາຍຄົນໄດ້ໃຊ້ມັນອອກຈາກຄວາມຈໍາເປັນ. ດ້ວຍການແຜ່ລະບາດຂອງພະຍາດໂຄວິດ-19 ໃນທົ່ວໂລກ, ພະແນກໄອທີຂອງພວກເຮົາ, ໂດຍການຕັດສິນໃຈຂອງຝ່າຍບໍລິຫານຂອງບໍລິສັດ, ໄດ້ເລີ່ມຍົກຍ້າຍພະນັກງານທີ່ກັບຄືນຈາກການເດີນທາງຢູ່ຕ່າງປະເທດໄປເຮັດວຽກທາງໄກ. ແມ່ນແລ້ວ, ພວກເຮົາເລີ່ມປະຕິບັດການໂດດດ່ຽວຢູ່ເຮືອນຕັ້ງແຕ່ຕົ້ນເດືອນມີນາ, ເຖິງແມ່ນວ່າກ່ອນທີ່ມັນຈະເປັນກະແສຫຼັກ. ມາຮອດກາງເດືອນມີນາ, ການແກ້ໄຂໄດ້ຖືກຂະຫຍາຍໄປທົ່ວບໍລິສັດແລ້ວ, ແລະໃນທ້າຍເດືອນມີນາ, ພວກເຮົາເກືອບທັງຫມົດໄດ້ປ່ຽນໄປສູ່ຮູບແບບໃຫມ່ຂອງການເຮັດວຽກທາງໄກສໍາລັບທຸກຄົນ.

ດ້ານວິຊາການ, ເພື່ອປະຕິບັດການເຂົ້າເຖິງເຄືອຂ່າຍຫ່າງໄກສອກຫຼີກ, ພວກເຮົາໃຊ້ Microsoft VPN (RRAS) - ເປັນຫນຶ່ງໃນບົດບາດຂອງ Windows Server. ເມື່ອທ່ານເຊື່ອມຕໍ່ກັບເຄືອຂ່າຍ, ຊັບພະຍາກອນພາຍໃນຕ່າງໆຈະມີຢູ່, ຈາກຈຸດແບ່ງປັນ, ບໍລິການແບ່ງປັນໄຟລ໌, ບົບຕິດຕາມລຸດ bug ກັບລະບົບ CRM; ສໍາລັບຫຼາຍໆຄົນ, ນີ້ແມ່ນທັງຫມົດທີ່ເຂົາເຈົ້າຕ້ອງການສໍາລັບການເຮັດວຽກຂອງພວກເຂົາ. ສໍາລັບຜູ້ທີ່ຍັງມີສະຖານີເຮັດວຽກຢູ່ໃນຫ້ອງການ, ການເຂົ້າເຖິງ RDP ແມ່ນຖືກຕັ້ງຄ່າຜ່ານປະຕູ RDG.

ເປັນຫຍັງເຈົ້າເລືອກການຕັດສິນໃຈນີ້ ຫຼືເປັນຫຍັງມັນຈຶ່ງສົມຄວນເລືອກ? ເນື່ອງຈາກວ່າຖ້າທ່ານມີໂດເມນແລະໂຄງສ້າງພື້ນຖານອື່ນໆຈາກ Microsoft ແລ້ວ, ຄໍາຕອບແມ່ນຈະແຈ້ງ, ມັນອາດຈະງ່າຍຂຶ້ນ, ໄວກວ່າແລະລາຄາຖືກກວ່າສໍາລັບພະແນກ IT ຂອງທ່ານເພື່ອປະຕິບັດມັນ. ທ່ານພຽງແຕ່ຕ້ອງການເພີ່ມລັກສະນະຈໍານວນຫນຶ່ງ. ແລະມັນຈະງ່າຍຂຶ້ນສໍາລັບພະນັກງານທີ່ຈະ configure ອົງປະກອບ Windows ກ່ວາການດາວໂຫຼດແລະ configure ລູກຄ້າການເຂົ້າເຖິງເພີ່ມເຕີມ.

ເມື່ອເຂົ້າເຖິງປະຕູ VPN ຕົວມັນເອງແລະຕໍ່ມາ, ເມື່ອເຊື່ອມຕໍ່ກັບບ່ອນເຮັດວຽກແລະຊັບພະຍາກອນເວັບທີ່ສໍາຄັນ, ພວກເຮົາໃຊ້ການກວດສອບສອງປັດໃຈ. ແທ້ຈິງແລ້ວ, ມັນຈະເປັນເລື່ອງແປກທີ່ຖ້າພວກເຮົາ, ໃນຖານະເປັນຜູ້ຜະລິດຂອງການແກ້ໄຂການກວດສອບສອງປັດໃຈ, ບໍ່ໄດ້ໃຊ້ຜະລິດຕະພັນຂອງພວກເຮົາເອງ. ນີ້​ແມ່ນ​ມາດ​ຕະ​ຖານ​ຂອງ​ບໍ​ລິ​ສັດ​ຂອງ​ພວກ​ເຮົາ; ພະ​ນັກ​ງານ​ແຕ່​ລະ​ຄົນ​ມີ token ກັບ​ໃບ​ຢັ້ງ​ຢືນ​ການ​ສ່ວນ​ບຸກ​ຄົນ, ທີ່​ຖືກ​ນໍາ​ໃຊ້​ເພື່ອ​ກວດ​ສອບ​ຢູ່​ໃນ​ສະ​ຖາ​ນີ​ເຮັດ​ວຽກ​ຫ້ອງ​ການ​ກັບ​ໂດ​ເມນ​ແລະ​ຊັບ​ພະ​ຍາ​ກອນ​ພາຍ​ໃນ​ຂອງ​ບໍ​ລິ​ສັດ.

ອີງຕາມສະຖິຕິ, ຫຼາຍກວ່າ 80% ຂອງເຫດການຄວາມປອດໄພຂອງຂໍ້ມູນໃຊ້ລະຫັດຜ່ານທີ່ອ່ອນແອຫຼືຖືກລັກ. ດັ່ງນັ້ນ, ການແນະນໍາການກວດສອບສອງປັດໃຈເພີ່ມຂຶ້ນຢ່າງຫຼວງຫຼາຍໃນລະດັບຄວາມປອດໄພຂອງບໍລິສັດແລະຊັບພະຍາກອນຂອງມັນ, ຊ່ວຍໃຫ້ທ່ານສາມາດຫຼຸດຜ່ອນຄວາມສ່ຽງຕໍ່ການລັກຫຼືການຄາດເດົາລະຫັດຜ່ານໃຫ້ເກືອບສູນ, ແລະຍັງຮັບປະກັນວ່າການສື່ສານເກີດຂື້ນກັບຜູ້ໃຊ້ທີ່ຖືກຕ້ອງ. ເມື່ອປະຕິບັດໂຄງສ້າງພື້ນຖານ PKI, ການກວດສອບລະຫັດຜ່ານສາມາດຖືກປິດໃຊ້ງານຢ່າງສົມບູນ.

ຈາກທັດສະນະຂອງ UI ສໍາລັບຜູ້ໃຊ້, ໂຄງການນີ້ແມ່ນງ່າຍດາຍກວ່າການເຂົ້າສູ່ລະບົບແລະລະຫັດຜ່ານ. ເຫດຜົນແມ່ນວ່າລະຫັດຜ່ານທີ່ຊັບຊ້ອນບໍ່ຈໍາເປັນຕ້ອງຈື່, ບໍ່ຈໍາເປັນຕ້ອງໃສ່ສະຕິກເກີພາຍໃຕ້ແປ້ນພິມ (ລະເມີດນະໂຍບາຍຄວາມປອດໄພທີ່ສົມມຸດຕິຖານທັງຫມົດ), ລະຫັດຜ່ານບໍ່ຈໍາເປັນຕ້ອງຖືກປ່ຽນຫນຶ່ງຄັ້ງໃນທຸກໆ 90 ມື້ (ເຖິງແມ່ນວ່ານີ້ແມ່ນບໍ່. ຖືວ່າເປັນການປະຕິບັດທີ່ດີທີ່ສຸດ, ແຕ່ໃນຫຼາຍບ່ອນຍັງປະຕິບັດຢູ່). ຜູ້ໃຊ້ພຽງແຕ່ຈະຕ້ອງມາກັບລະຫັດ PIN ທີ່ບໍ່ສັບສົນຫຼາຍແລະບໍ່ສູນເສຍ token. token ຕົວຂອງມັນເອງສາມາດເຮັດໄດ້ໃນຮູບແບບຂອງບັດ smart, ເຊິ່ງສາມາດປະຕິບັດໄດ້ສະດວກສະບາຍໃນກະເປົາເງິນ. ປ້າຍ RFID ສາມາດຖືກຝັງເຂົ້າໄປໃນ token ແລະບັດ smart ສໍາລັບການເຂົ້າເຖິງຫ້ອງການ.
ລະຫັດ PIN ຖືກນໍາໃຊ້ເພື່ອການກວດສອບຄວາມຖືກຕ້ອງ, ເພື່ອສະຫນອງການເຂົ້າເຖິງຂໍ້ມູນທີ່ສໍາຄັນແລະປະຕິບັດການຫັນເປັນລະຫັດລັບແລະການກວດສອບ. ການສູນເສຍ token ແມ່ນບໍ່ຫນ້າຢ້ານ, ເນື່ອງຈາກວ່າມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະເດົາລະຫັດ PIN ໄດ້; ຫຼັງຈາກຄວາມພະຍາຍາມສອງສາມຄັ້ງ, ມັນຈະຖືກບລັອກ. ໃນເວລາດຽວກັນ, ຊິບບັດອັດສະລິຍະປົກປ້ອງຂໍ້ມູນທີ່ສໍາຄັນຈາກການສະກັດ, ການໂຄນແລະການໂຈມຕີອື່ນໆ.

ມີ​ຫຍັງ​ອີກ?

ຖ້າການແກ້ໄຂບັນຫາຂອງການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກຈາກ Microsoft ບໍ່ເຫມາະສົມກັບເຫດຜົນບາງຢ່າງ, ຫຼັງຈາກນັ້ນທ່ານສາມາດປະຕິບັດໂຄງສ້າງພື້ນຖານ PKI ແລະກໍານົດການພິສູດຢືນຢັນສອງປັດໃຈໂດຍໃຊ້ບັດສະຫມາດຂອງພວກເຮົາໃນໂຄງສ້າງພື້ນຖານ VDI ຕ່າງໆ (Citrix Virtual Apps ແລະ Desktops, Citrix ADC, VMware Horizon, VMware Unified Gateway, Huawei Fusion) ແລະລະບົບຄວາມປອດໄພຂອງຮາດແວ (PaloAlto, CheckPoint, Cisco) ແລະຜະລິດຕະພັນອື່ນໆ.

ບາງຕົວຢ່າງໄດ້ຖືກສົນທະນາໃນບົດຄວາມທີ່ຜ່ານມາຂອງພວກເຮົາ.

ໃນບົດຄວາມຕໍ່ໄປພວກເຮົາຈະເວົ້າກ່ຽວກັບການຕັ້ງຄ່າ OpenVPN ດ້ວຍການກວດສອບຄວາມຖືກຕ້ອງໂດຍໃຊ້ໃບຢັ້ງຢືນຈາກ MSCA.

ບໍ່ແມ່ນໃບຢັ້ງຢືນດຽວ

ຖ້າການປະຕິບັດໂຄງສ້າງພື້ນຖານຂອງ PKI ແລະການຊື້ອຸປະກອນຮາດແວສໍາລັບພະນັກງານແຕ່ລະຄົນເບິ່ງຄືວ່າສັບສົນເກີນໄປຫຼື, ສໍາລັບຕົວຢ່າງ, ບໍ່ມີຄວາມເປັນໄປໄດ້ທາງດ້ານວິຊາການຂອງການເຊື່ອມຕໍ່ບັດສະຫມາດ, ຫຼັງຈາກນັ້ນມີການແກ້ໄຂດ້ວຍລະຫັດຜ່ານຄັ້ງດຽວໂດຍອີງໃສ່ເຄື່ອງແມ່ຂ່າຍການກວດສອບ JAS ຂອງພວກເຮົາ. ໃນຖານະຜູ້ກວດສອບຄວາມຖືກຕ້ອງ, ທ່ານສາມາດນໍາໃຊ້ຊອບແວ (Google Authenticator, Yandex Key), ຮາດແວ (RFC ທີ່ສອດຄ້ອງກັນ, ຕົວຢ່າງ, JaCarta WebPass). ເກືອບ​ທັງ​ຫມົດ​ວິ​ທີ​ແກ້​ໄຂ​ດຽວ​ກັນ​ແມ່ນ​ສະ​ຫນັບ​ສະ​ຫນູນ​ສໍາ​ລັບ​ບັດ smart / tokens​. ພວກເຮົາຍັງໄດ້ສົນທະນາກ່ຽວກັບບາງຕົວຢ່າງການຕັ້ງຄ່າໃນຂໍ້ຄວາມທີ່ຜ່ານມາຂອງພວກເຮົາ.

ວິທີການຢັ້ງຢືນສາມາດຖືກລວມເຂົ້າກັນໄດ້, ນັ້ນແມ່ນ, ໂດຍ OTP - ຕົວຢ່າງ, ມີພຽງແຕ່ຜູ້ໃຊ້ມືຖືເທົ່ານັ້ນທີ່ສາມາດຖືກອະນຸຍາດໃຫ້ເຂົ້າ, ແລະຄອມພິວເຕີໂນດບຸກ / desktop ຄລາສສິກສາມາດກວດສອບໄດ້ໂດຍໃຊ້ໃບຢັ້ງຢືນໃນ token ເທົ່ານັ້ນ.

ເນື່ອງຈາກລັກສະນະສະເພາະຂອງການເຮັດວຽກຂອງຂ້ອຍ, ບໍ່ດົນມານີ້, ຫມູ່ເພື່ອນທີ່ບໍ່ແມ່ນວິຊາການຫຼາຍຄົນໄດ້ເຂົ້າຫາຂ້ອຍເປັນສ່ວນຕົວເພື່ອຂໍຄວາມຊ່ວຍເຫຼືອໃນການຕັ້ງຄ່າການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກ. ດັ່ງ​ນັ້ນ​ພວກ​ເຮົາ​ສາ​ມາດ​ເບິ່ງ​ເລັກ​ນ້ອຍ​ກ່ຽວ​ກັບ​ຜູ້​ທີ່​ໄດ້​ຮັບ​ອອກ​ຈາກ​ສະ​ຖາ​ນະ​ການ​ແລະ​ວິ​ທີ​ການ​. ມີຄວາມແປກໃຈທີ່ຫນ້າພໍໃຈເມື່ອບໍລິສັດບໍ່ໃຫຍ່ຫຼາຍໃຊ້ຍີ່ຫໍ້ທີ່ມີຊື່ສຽງ, ລວມທັງການແກ້ໄຂການກວດສອບສອງປັດໃຈ. ຍັງມີກໍລະນີ, ປະຫລາດໃຈໃນທິດທາງກົງກັນຂ້າມ, ເມື່ອບໍລິສັດຂະຫນາດໃຫຍ່ແລະມີຊື່ສຽງຫຼາຍ (ບໍ່ແມ່ນ IT) ແນະນໍາໃຫ້ຕິດຕັ້ງ TeamViewer ໃນຄອມພິວເຕີຫ້ອງການຂອງພວກເຂົາ.

ໃນສະຖານະການໃນປະຈຸບັນ, ຜູ້ຊ່ຽວຊານຈາກບໍລິສັດ "Aladdin R.D." ແນະນໍາໃຫ້ໃຊ້ວິທີການທີ່ມີຄວາມຮັບຜິດຊອບໃນການແກ້ໄຂບັນຫາການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກຂອງໂຄງສ້າງພື້ນຖານຂອງບໍລິສັດຂອງທ່ານ. ໃນໂອກາດນີ້, ໃນຕອນເລີ່ມຕົ້ນຂອງລະບອບການໂດດດ່ຽວຕົນເອງທົ່ວໄປ, ພວກເຮົາໄດ້ເປີດຕົວ ຂະບວນການ "ການຈັດຕັ້ງວຽກງານຫ່າງໄກສອກຫຼີກທີ່ປອດໄພຂອງພະນັກງານ".

ແຫຼ່ງຂໍ້ມູນ: www.habr.com