Како ги заштитуваме виртуелните работни површини на клиентите од вируси, шпионски софтвер и напади

Оваа година, многу компании набрзина се префрлија на работа на далечина. За некои клиенти ние помогна организираат повеќе од сто далечни работни места неделно. Важно беше да се направи ова не само брзо, туку и безбедно. Технологијата VDI дојде на помош: со нејзина помош, погодно е да се дистрибуираат безбедносни политики на сите работни места и да се заштити од протекување податоци. 

Во оваа статија ќе ви кажам како нашата услуга за виртуелна работна површина базирана на Citrix VDI работи од гледна точка на безбедноста на информациите. Ќе ви покажам што правиме за да ги заштитиме десктоп компјутерите на клиентите од надворешни закани, како што се ransomware или насочени напади. 

Кои безбедносни проблеми ги решаваме? 

Идентификувавме неколку главни безбедносни закани за услугата. Од една страна, виртуелната работна површина ризикува да биде заразена од компјутерот на корисникот. Од друга страна, постои опасност да излезете од виртуелната работна површина во отворениот простор на Интернет и да преземете заразена датотека. Дури и да се случи ова, тоа не треба да влијае на целата инфраструктура. Затоа, при креирањето на услугата, решивме неколку проблеми: 

• Го заштитува целиот штанд VDI од надворешни закани.
• Изолација на клиентите едни од други.
• Заштита на самите виртуелни работни површини. 
• Безбедно поврзете ги корисниците од кој било уред.

Јадрото на заштитата беше FortiGate, нова генерација заштитен ѕид од Fortinet. Го следи сообраќајот на кабината VDI, обезбедува изолирана инфраструктура за секој клиент и штити од ранливости на корисничката страна. Неговите способности се доволни за да се решат повеќето прашања за безбедноста на информациите. 

Но, ако компанијата има посебни безбедносни барања, ние нудиме дополнителни опции: 

• Организираме безбедна врска за работа од домашни компјутери.
• Обезбедуваме пристап за независна анализа на безбедносните дневници.
• Обезбедуваме управување со антивирусна заштита на десктоп компјутерите.
• Ние заштитуваме од ранливости на нула-ден. 
• Конфигурираме повеќефакторска автентикација за дополнителна заштита од неовластени врски.

Ќе ви кажам подетално како ги решивме проблемите. 

Како да се заштити штандот и да се обезбеди безбедност на мрежата

Ајде да го сегментираме мрежниот дел. На штандот истакнуваме затворен менаџмент сегмент за управување со сите ресурси. Сегментот за управување е недостапен однадвор: во случај на напад на клиентот, напаѓачите нема да можат да стигнат таму. 

FortiGate е одговорен за заштита. Ги комбинира функциите на антивирус, заштитен ѕид и систем за спречување на упад (IPS). 

За секој клиент создаваме изолиран мрежен сегмент за виртуелни работни површини. За таа цел, FortiGate има технологија за виртуелен домен или VDOM. Ви овозможува да го поделите заштитниот ѕид на неколку виртуелни ентитети и на секој клиент да му доделите сопствен VDOM, кој се однесува како посебен заштитен ѕид. Ние исто така создаваме посебен VDOM за сегментот за управување.

Излегува дека ова е следниов дијаграм:


Не постои мрежна поврзаност помеѓу клиентите: секој живее во свој VDOM и не влијае на другиот. Без оваа технологија, ќе моравме да ги одвоиме клиентите со правила за заштитен ѕид, што е ризично поради човечка грешка. Можете да ги споредите таквите правила со врата која мора постојано да се затвора. Во случајот со ВДОМ, воопшто не оставаме „врати“. 

Во посебен VDOM, клиентот има свое адресирање и рутирање. Затоа, преминувањето на опсезите не станува проблем за компанијата. Клиентот може да ги додели потребните IP адреси на виртуелни работни површини. Ова е погодно за големите компании кои имаат свои планови за IP. 

Ги решаваме проблемите со поврзувањето со корпоративната мрежа на клиентот. Посебна задача е поврзувањето на VDI со клиентската инфраструктура. Ако компанијата чува корпоративни системи во нашиот центар за податоци, можеме едноставно да извршиме мрежен кабел од нејзината опрема до заштитниот ѕид. Но, почесто се занимаваме со оддалечена локација - друг центар за податоци или канцеларија на клиент. Во овој случај, размислуваме преку сигурна размена со страницата и градиме VPN на site2site користејќи IPsec VPN. 

Шемите може да варираат во зависност од сложеноста на инфраструктурата. На некои места доволно е да поврзете една канцелариска мрежа на VDI - таму е доволно статичко рутирање. Големите компании имаат многу мрежи кои постојано се менуваат; овде на клиентот му треба динамично рутирање. Ние користиме различни протоколи: веќе има случаи со OSPF (Прво отворена најкратка патека), тунели GRE (Генеричко рутирање енкапсулација) и BGP (Border Gateway Protocol). FortiGate поддржува мрежни протоколи во посебни VDOM, без да влијае на другите клиенти. 

Можете исто така да изградите ГОСТ-ВПН - шифрирање засновано на средства за криптографска заштита потврдени од ФСБ на Руската Федерација. На пример, користејќи решенија од класата KS1 во виртуелната средина „S-Terra Virtual Gateway“ или PAK ViPNet, APKSH „Continent“, „S-Terra“.

Поставување групни политики. Се согласуваме со клиентот за групните политики што се применуваат на VDI. Овде принципите на поставување не се разликуваат од поставувањето политики во канцеларијата. Поставивме интеграција со Active Directory и делегиравме управување со некои групни политики на клиенти. Администраторите на закупците можат да применуваат политики на објектот Компјутер, да управуваат со организациската единица во Active Directory и да создаваат корисници. 

На FortiGate, за секој клиент VDOM пишуваме мрежна безбедносна политика, поставуваме ограничувања за пристап и конфигурираме сообраќајна инспекција. Ние користиме неколку FortiGate модули: 

• IPS модулот го скенира сообраќајот за малициозен софтвер и спречува упади;
• антивирусот ги штити самите работни површини од малициозен софтвер и шпионски софтвер;
• веб-филтрирањето го блокира пристапот до несигурни ресурси и страници со злонамерна или несоодветна содржина;
• Поставките на заштитниот ѕид може да им овозможат на корисниците пристап на Интернет само до одредени локации. 

Понекогаш клиентот сака самостојно да управува со пристапот на вработените до веб-страниците. Почесто отколку не, банките доаѓаат со ова барање: безбедносните служби бараат контролата на пристапот да остане на страната на компанијата. Таквите компании самите го следат сообраќајот и редовно прават промени во политиките. Во овој случај, го насочуваме целиот сообраќај од FortiGate кон клиентот. За да го направите ова, ние користиме конфигуриран интерфејс со инфраструктурата на компанијата. По ова, самиот клиент ги конфигурира правилата за пристап до корпоративната мрежа и Интернет. 

Ги следиме настаните на штандот. Заедно со FortiGate користиме FortiAnalyzer, собирач на дневници од Fortinet. Со негова помош, ги разгледуваме сите дневници на настани на VDI на едно место, наоѓаме сомнителни дејства и ги следиме корелациите. 

Еден од нашите клиенти ги користи производите на Фортинет во својата канцеларија. За него, конфигуриравме поставување на дневници - така што клиентот можеше да ги анализира сите безбедносни настани за канцелариски машини и виртуелни работни површини.

Како да ги заштитите виртуелните работни површини

Од познатите закани. Доколку клиентот сака самостојно да управува со антивирусната заштита, дополнително инсталираме Kaspersky Security за виртуелни средини. 

Ова решение работи добро во облакот. Сите сме навикнати на фактот дека класичниот антивирус Kaspersky е „тешко“ решение. Спротивно на тоа, Kaspersky Security за виртуелизација не ги вчитува виртуелните машини. Сите бази на податоци за вируси се наоѓаат на серверот, кој издава пресуди за сите виртуелни машини на јазолот. Само светлосниот агент е инсталиран на виртуелната работна површина. Испраќа датотеки до серверот за верификација. 

Оваа архитектура истовремено обезбедува заштита на датотеки, заштита на Интернет и заштита од напади без да се загрозат перформансите на виртуелните машини. Во овој случај, клиентот може самостојно да воведе исклучоци од заштитата на датотеките. Ние помагаме со основното поставување на решението. Ќе зборуваме за неговите карактеристики во посебна статија.

Од непознати закани. За да го направите ова, го поврзуваме FortiSandbox – „песок“ од Fortinet. Го користиме како филтер во случај антивирусот да пропушти нулта дневна закана. Откако ќе ја преземеме датотеката, прво ја скенираме со антивирус, а потоа ја испраќаме во песокот. FortiSandbox емулира виртуелна машина, ја извршува датотеката и го набљудува нејзиното однесување: до кои објекти во регистарот се пристапува, дали испраќа надворешни барања итн. Ако датотеката се однесува сомнително, виртуелната машина со песок се брише и злонамерната датотека не завршува на корисникот VDI. 

Како да поставите безбедна врска со VDI

Ја проверуваме усогласеноста на уредот со барањата за безбедност на информациите. Од почетокот на работата на далечина, клиентите ни пристапија со барања: да обезбедиме безбедно работење на корисниците од нивните персонални компјутери. Секој специјалист за безбедност на информации знае дека е тешко да се заштитат домашните уреди: не можете да го инсталирате потребниот антивирус или да примените групни политики, бидејќи ова не е канцелариска опрема. 

Стандардно, VDI станува безбеден „слој“ помеѓу личниот уред и корпоративната мрежа. За да го заштитиме VDI од напади од корисничката машина, ја оневозможуваме таблата со исечоци и забрануваме препраќање преку USB. Но, ова не го прави самиот уред на корисникот безбеден. 

Ние го решаваме проблемот користејќи FortiClient. Ова е алатка за заштита на крајната точка. Корисниците на компанијата инсталираат FortiClient на нивните домашни компјутери и го користат за поврзување со виртуелна работна површина. FortiClient решава 3 проблеми одеднаш: 

• станува „еден прозорец“ за пристап за корисникот;
• проверува дали вашиот персонален компјутер има антивирус и најновите ажурирања на ОС; 
• гради VPN тунел за безбеден пристап. 

Вработен добива пристап само ако помине верификација. Во исто време, самите виртуелни работни површини се недостапни од Интернет, што значи дека се подобро заштитени од напади. 

Ако некоја компанија сака сама да управува со заштитата на крајната точка, ние нудиме FortiClient EMS (сервер за управување со крајна точка). Клиентот може да конфигурира скенирање на работната површина и спречување на упад и да креира бела листа на адреси. 

Додавање фактори за автентикација. Стандардно, корисниците се автентицирани преку Citrix netscaler. Овде, исто така, можеме да ја подобриме безбедноста користејќи повеќефакторска автентикација врз основа на производите на SafeNet. Оваа тема заслужува посебно внимание; ние исто така ќе зборуваме за ова во посебна статија. 

Вакво искуство во работењето со различни решенија имаме акумулирано во текот на изминатата година на работа. Услугата VDI е конфигурирана посебно за секој клиент, па затоа ги избравме најфлексибилните алатки. Можеби во блиска иднина ќе додадеме нешто друго и ќе го споделиме нашето искуство.

На 7 октомври во 17.00 часот моите колеги ќе зборуваат за виртуелни десктоп компјутери на вебинарот „Дали е потребно VDI или како да се организира работа на далечина?“
Пријавете се, ако сакате да разговарате кога VDI технологијата е погодна за една компанија и кога е подобро да користите други методи.

Извор: www.habr.com