Искусете го „Aladdin R.D.“ во спроведувањето безбеден далечински пристап и борбата против COVID-19

Во нашата компанија, како и во многу други ИТ и не толку ИТ компании, можноста за далечински пристап постои одамна, а многу вработени ја користеле од потреба. Со ширењето на СОВИД-19 во светот, нашиот ИТ оддел, со одлука на менаџментот на компанијата, почна да ги префрла на работа на далечина вработените кои се враќаат од патувања во странство. Да, почнавме да практикуваме домашна самоизолација од самиот почеток на март, дури и пред да стане мејнстрим. До средината на март, решението веќе беше опфатено на целата компанија, а на крајот на март сите речиси беспрекорно се префрливме на нов режим на масовна работа на далечина за секого.

Технички, за имплементирање на далечински пристап до мрежата, користиме Microsoft VPN (RRAS) - како една од улогите на Windows Server. Кога ќе се поврзете на мрежата, различни внатрешни ресурси стануваат достапни, од точки за споделување, услуги за споделување датотеки, следење на грешки до систем за CRM; за многумина ова е сè што им треба за нивната работа. За оние кои сè уште имаат работни станици во канцеларијата, пристапот до RDP е конфигуриран преку портата RDG.

Зошто ја избравте оваа одлука или зошто вреди да се избере? Бидејќи ако веќе имате домен и друга инфраструктура од Microsoft, тогаш одговорот е очигледен, најверојатно ќе биде полесно, побрзо и поевтино за вашиот ИТ оддел да го имплементира. Треба само да додадете неколку функции. И на вработените ќе им биде полесно да ги конфигурираат компонентите на Windows отколку да преземаат и конфигурираат дополнителни клиенти за пристап.

Кога пристапуваме до самата порта VPN и потоа, кога се поврзуваме со работни станици и важни веб-ресурси, користиме двофакторна автентикација. Навистина, би било чудно ако ние, како производител на решенија за автентикација со два фактори, самите не ги користиме нашите производи. Ова е нашиот корпоративен стандард; секој вработен има токен со личен сертификат, кој се користи за автентикација на канцелариската работна станица на доменот и на внатрешните ресурси на компанијата.

Според статистичките податоци, повеќе од 80% од инцидентите со безбедноста на информациите користат слаби или украдени лозинки. Затоа, воведувањето на двофакторна автентикација во голема мера го зголемува целокупното ниво на безбедност на компанијата и нејзините ресурси, ви овозможува да го намалите ризикот од кражба или погодување лозинка на речиси нула, а исто така да се осигурате дека комуникацијата се јавува со валиден корисник. При имплементирање на PKI инфраструктура, автентикацијата на лозинката може целосно да се оневозможи.

Од гледна точка на интерфејсот за корисникот, оваа шема е уште поедноставна од внесување најава и лозинка. Причината е што сложената лозинка повеќе не треба да се запомнува, нема потреба да ставате налепници под тастатурата (нарушувајќи ги сите замисливи безбедносни политики), лозинката дури и не треба да се менува еднаш на секои 90 дена (иако тоа не е подолго се смета за најдобра практика, но на многу места сè уште се практикува). Корисникот ќе треба само да излезе со не многу комплициран ПИН-код и да не го изгуби токенот. Самиот токен може да се направи во форма на паметна картичка, која лесно може да се носи во паричник. РФИД ознаките може да се вградат во токенот и паметната картичка за пристап до канцелариските простории.
ПИН-кодот се користи за автентикација, за обезбедување пристап до клучните информации и за вршење криптографски трансформации и проверки. Губењето на токенот не е страшно, бидејќи е невозможно да се погоди ПИН-кодот, по неколку обиди, тој ќе биде блокиран. Во исто време, чипот за паметна картичка ги штити клучните информации од екстракција, клонирање и други напади.

Што друго?

Ако решението за проблемот со далечинскиот пристап од Microsoft не е соодветно поради некоја причина, тогаш можете да имплементирате инфраструктура PKI и да конфигурирате двофакторна автентикација користејќи ги нашите паметни картички во различни VDI инфраструктури (Виртуелни апликации и десктоп компјутери Citrix, Citrix ADC, VMware Horizon, VMware Unified Gateway, Huawei Fusion) и хардверски безбедносни системи (PaloAlto, CheckPoint, Cisco) и други производи.

Некои од примерите беа разгледани во нашите претходни написи.

Во следната статија ќе зборуваме за поставување OpenVPN со автентикација користејќи сертификати од MSCA.

Ниту еден сертификат

Ако имплементирањето на PKI инфраструктура и купувањето хардверски уреди за секој вработен изгледа премногу комплицирано или, на пример, не постои техничка можност за поврзување на паметна картичка, тогаш постои решение со еднократни лозинки базирани на нашиот сервер за автентикација JAS. Како автентикатори, можете да користите софтвер (Google Authenticator, Yandex Key), хардвер (било кој соодветен RFC, на пример, JaCarta WebPass). Поддржани се скоро сите исти решенија како за паметните картички/токени. Зборувавме и за некои примери за конфигурација во нашите претходни објави.

Методите за автентикација може да се комбинираат, односно преку OTP - на пример, само мобилните корисници можат да бидат дозволени, а класичните лаптопи/десктопи може да се автентични само со користење на сертификат на токен.

Поради специфичната природа на мојата работа, многу пријатели кои не се технички лица неодамна ми се обратија лично за помош при поставувањето далечински пристап. Така можевме малку да ѕирнеме кој и како излегува од ситуацијата. Имаше пријатни изненадувања кога не многу големи компании користат познати брендови, вклучително и решенија за автентикација со два фактори. Имаше и случаи, изненадувачки во спротивна насока, кога навистина многу големи и добро познати компании (не ИТ) препорачаа едноставно инсталирање на TeamViewer на нивните канцелариски компјутери.

Во сегашната ситуација, специјалисти од компанијата „Аладин Р.Д. препорачуваме да преземете одговорен пристап за решавање на проблемите со далечински пристап до вашата корпоративна инфраструктура. Во оваа прилика, на самиот почеток на генералниот режим на самоизолација, започнавме кампања „Организација на безбедно далечинско работење на вработените“.

Извор: www.habr.com