व्हायरस, स्पायवेअर आणि हल्ल्यांपासून आम्ही ग्राहक व्हर्च्युअल डेस्कटॉपचे संरक्षण कसे करतो

या वर्षी, अनेक कंपन्यांनी घाईघाईने दूरस्थ कामावर स्विच केले. काही ग्राहकांसाठी आम्ही मदत केली दर आठवड्याला शंभरहून अधिक रिमोट नोकर्‍या आयोजित करा. हे केवळ त्वरीतच नव्हे तर सुरक्षितपणे करणे देखील महत्त्वाचे होते. व्हीडीआय तंत्रज्ञान बचावासाठी आले आहे: त्याच्या मदतीने, सर्व कामाच्या ठिकाणी सुरक्षा धोरणे वितरित करणे आणि डेटा लीकपासून संरक्षण करणे सोयीचे आहे. 

या लेखात मी तुम्हाला सांगेन की Citrix VDI वर आधारित आमची आभासी डेस्कटॉप सेवा माहिती सुरक्षिततेच्या दृष्टिकोनातून कशी कार्य करते. रॅन्समवेअर किंवा लक्ष्यित हल्ल्यांसारख्या बाह्य धोक्यांपासून क्लायंट डेस्कटॉपचे संरक्षण करण्यासाठी आम्ही काय करतो ते मी तुम्हाला दाखवतो. 

आम्ही कोणत्या सुरक्षा समस्या सोडवतो? 

आम्ही सेवेसाठी अनेक मुख्य सुरक्षा धोके ओळखले आहेत. एकीकडे, व्हर्च्युअल डेस्कटॉप वापरकर्त्याच्या संगणकावरून संक्रमित होण्याचा धोका आहे. दुसरीकडे, व्हर्च्युअल डेस्कटॉपवरून इंटरनेटच्या मोकळ्या जागेत जाऊन संक्रमित फाइल डाउनलोड करण्याचा धोका आहे. असे झाले तरी त्याचा परिणाम संपूर्ण पायाभूत सुविधांवर होता कामा नये. म्हणून, सेवा तयार करताना, आम्ही अनेक समस्यांचे निराकरण केले: 

• संपूर्ण VDI स्टँडचे बाह्य धोक्यांपासून संरक्षण करते.
• ग्राहकांना एकमेकांपासून वेगळे करणे.
• व्हर्च्युअल डेस्कटॉपचे स्वतःचे संरक्षण करणे. 
• कोणत्याही डिव्हाइसवरून वापरकर्त्यांना सुरक्षितपणे कनेक्ट करा.

संरक्षणाचा मुख्य भाग फोर्टीगेट, फोर्टिनेट मधील नवीन पिढीची फायरवॉल होता. हे व्हीडीआय बूथ ट्रॅफिकचे निरीक्षण करते, प्रत्येक क्लायंटसाठी वेगळ्या पायाभूत सुविधा प्रदान करते आणि वापरकर्त्याच्या बाजूने असुरक्षिततेपासून संरक्षण करते. बहुतेक माहिती सुरक्षा समस्यांचे निराकरण करण्यासाठी त्याची क्षमता पुरेशी आहे. 

परंतु एखाद्या कंपनीला विशेष सुरक्षा आवश्यकता असल्यास, आम्ही अतिरिक्त पर्याय ऑफर करतो: 

• आम्ही घरगुती संगणकावरून काम करण्यासाठी सुरक्षित कनेक्शन आयोजित करतो.
• आम्ही सुरक्षा लॉगच्या स्वतंत्र विश्लेषणासाठी प्रवेश प्रदान करतो.
• आम्ही डेस्कटॉपवर अँटीव्हायरस संरक्षणाचे व्यवस्थापन प्रदान करतो.
• आम्ही शून्य-दिवस असुरक्षिततेपासून संरक्षण करतो. 
• अनाधिकृत कनेक्शन्सपासून अतिरिक्त संरक्षणासाठी आम्ही मल्टी-फॅक्टर ऑथेंटिकेशन कॉन्फिगर करतो.

आम्ही समस्यांचे निराकरण कसे केले ते मी तुम्हाला अधिक तपशीलवार सांगेन. 

स्टँडचे संरक्षण कसे करावे आणि नेटवर्क सुरक्षितता कशी सुनिश्चित करावी

चला नेटवर्क भाग विभाजित करूया. स्टँडवर आम्ही सर्व संसाधने व्यवस्थापित करण्यासाठी बंद व्यवस्थापन विभाग हायलाइट करतो. व्यवस्थापन विभाग बाहेरून प्रवेश करण्यायोग्य नाही: क्लायंटवर हल्ला झाल्यास, हल्लेखोर तेथे पोहोचू शकणार नाहीत. 

फोर्टिगेट संरक्षणासाठी जबाबदार आहे. हे अँटीव्हायरस, फायरवॉल आणि घुसखोरी प्रतिबंध प्रणाली (IPS) ची कार्ये एकत्र करते. 

प्रत्येक क्लायंटसाठी आम्ही व्हर्च्युअल डेस्कटॉपसाठी एक वेगळा नेटवर्क विभाग तयार करतो. या उद्देशासाठी, FortiGate कडे व्हर्च्युअल डोमेन तंत्रज्ञान किंवा VDOM आहे. हे तुम्हाला फायरवॉलला अनेक आभासी संस्थांमध्ये विभाजित करण्यास आणि प्रत्येक क्लायंटला स्वतःचे VDOM वाटप करण्यास अनुमती देते, जे वेगळ्या फायरवॉलसारखे वागते. आम्ही व्यवस्थापन विभागासाठी स्वतंत्र VDOM देखील तयार करतो.

हे खालील आकृती असल्याचे बाहेर वळते:


क्लायंटमध्ये नेटवर्क कनेक्टिव्हिटी नाही: प्रत्येकजण त्याच्या स्वत: च्या VDOM मध्ये राहतो आणि इतरांवर प्रभाव टाकत नाही. या तंत्रज्ञानाशिवाय, आम्हाला फायरवॉल नियमांसह क्लायंट वेगळे करावे लागतील, जे मानवी चुकांमुळे धोकादायक आहे. आपण अशा नियमांची तुलना दरवाजाशी करू शकता जो सतत बंद असणे आवश्यक आहे. VDOM च्या बाबतीत, आम्ही कोणतेही "दार" सोडत नाही. 

वेगळ्या VDOM मध्ये, क्लायंटचा स्वतःचा पत्ता आणि राउटिंग आहे. त्यामुळे, श्रेणी ओलांडणे कंपनीसाठी समस्या बनत नाही. क्लायंट व्हर्च्युअल डेस्कटॉपला आवश्यक IP पत्ते नियुक्त करू शकतो. हे मोठ्या कंपन्यांसाठी सोयीचे आहे ज्यांच्या स्वतःच्या आयपी योजना आहेत. 

आम्ही क्लायंटच्या कॉर्पोरेट नेटवर्कसह कनेक्टिव्हिटी समस्या सोडवतो. व्हीडीआयला क्लायंट इन्फ्रास्ट्रक्चरशी जोडणे हे वेगळे काम आहे. जर एखादी कंपनी आमच्या डेटा सेंटरमध्ये कॉर्पोरेट सिस्टम ठेवत असेल, तर आम्ही फक्त त्याच्या उपकरणापासून फायरवॉलपर्यंत नेटवर्क केबल चालवू शकतो. परंतु बर्‍याचदा आम्ही रिमोट साइट - दुसरे डेटा सेंटर किंवा क्लायंटचे कार्यालय हाताळतो. या प्रकरणात, आम्ही साइटसह सुरक्षित एक्सचेंजद्वारे विचार करतो आणि IPsec VPN वापरून site2site VPN तयार करतो. 

पायाभूत सुविधांच्या जटिलतेनुसार योजना बदलू शकतात. काही ठिकाणी व्हीडीआयशी एकल ऑफिस नेटवर्क कनेक्ट करणे पुरेसे आहे - तेथे स्थिर राउटिंग पुरेसे आहे. मोठ्या कंपन्यांकडे अनेक नेटवर्क आहेत जे सतत बदलत असतात; येथे क्लायंटला डायनॅमिक राउटिंगची आवश्यकता आहे. आम्ही वेगवेगळे प्रोटोकॉल वापरतो: OSPF (ओपन शॉर्टेस्ट पाथ फर्स्ट), GRE बोगदे (जेनेरिक राउटिंग एन्कॅप्सुलेशन) आणि BGP (बॉर्डर गेटवे प्रोटोकॉल) ची प्रकरणे आधीच आली आहेत. फोर्टिगेट इतर क्लायंटना प्रभावित न करता वेगळ्या VDOM मध्ये नेटवर्क प्रोटोकॉलचे समर्थन करते. 

आपण GOST-VPN देखील तयार करू शकता - क्रिप्टोग्राफिक संरक्षणावर आधारित एन्क्रिप्शन म्हणजे रशियन फेडरेशनच्या FSB द्वारे प्रमाणित. उदाहरणार्थ, आभासी वातावरणात KS1 वर्ग उपाय वापरणे “S-Terra Virtual Gateway” किंवा PAK ViPNet, APKSH “Continent”, “S-Terra”.

गट धोरणे सेट करणे. VDI वर लागू केलेल्या गट धोरणांवर आम्ही क्लायंटशी सहमत आहोत. येथे सेटिंगची तत्त्वे कार्यालयातील धोरणे ठरवण्यापेक्षा वेगळी नाहीत. आम्ही ऍक्टिव्ह डिरेक्ट्रीसह एकत्रीकरण सेट केले आणि काही ग्रुप पॉलिसींचे व्यवस्थापन क्लायंटला दिले. भाडेकरू प्रशासक संगणक ऑब्जेक्टवर धोरणे लागू करू शकतात, सक्रिय निर्देशिकामध्ये संस्थात्मक युनिट व्यवस्थापित करू शकतात आणि वापरकर्ते तयार करू शकतात. 

FortiGate वर, प्रत्येक क्लायंट VDOM साठी आम्ही नेटवर्क सुरक्षा धोरण लिहितो, प्रवेश प्रतिबंध सेट करतो आणि रहदारी तपासणी कॉन्फिगर करतो. आम्ही अनेक फोर्टिगेट मॉड्यूल वापरतो: 

• IPS मॉड्यूल मालवेअरसाठी रहदारी स्कॅन करते आणि घुसखोरी प्रतिबंधित करते;
• अँटीव्हायरस डेस्कटॉपचे स्वतःला मालवेअर आणि स्पायवेअरपासून संरक्षण करतो;
• वेब फिल्टरिंग दुर्भावनापूर्ण किंवा अयोग्य सामग्रीसह अविश्वसनीय संसाधने आणि साइट्सवर प्रवेश अवरोधित करते;
• फायरवॉल सेटिंग्ज वापरकर्त्यांना फक्त काही साइट्सवर इंटरनेट ऍक्सेस करण्याची परवानगी देऊ शकतात. 

काहीवेळा क्लायंट वेबसाइटवर कर्मचारी प्रवेश स्वतंत्रपणे व्यवस्थापित करू इच्छितो. बर्‍याचदा, बँका ही विनंती घेऊन येतात: सुरक्षा सेवांना प्रवेश नियंत्रण कंपनीच्या बाजूने असणे आवश्यक आहे. अशा कंपन्या स्वतः रहदारीचे निरीक्षण करतात आणि नियमितपणे धोरणांमध्ये बदल करतात. या प्रकरणात, आम्ही फोर्टीगेटपासून सर्व रहदारी क्लायंटकडे वळवतो. हे करण्यासाठी, आम्ही कंपनीच्या पायाभूत सुविधांसह कॉन्फिगर केलेला इंटरफेस वापरतो. यानंतर, क्लायंट स्वतः कॉर्पोरेट नेटवर्क आणि इंटरनेटवर प्रवेश करण्यासाठी नियम कॉन्फिगर करतो. 

आम्ही स्टँडवरील कार्यक्रम पाहतो. FortiGate सोबत आम्ही FortiAnalyzer, Fortinet चे लॉग कलेक्टर वापरतो. त्याच्या मदतीने, आम्ही VDI वरील सर्व इव्हेंट लॉग एकाच ठिकाणी पाहतो, संशयास्पद क्रिया शोधतो आणि परस्परसंबंधांचा मागोवा घेतो. 

आमचा एक क्लायंट त्यांच्या ऑफिसमध्ये फोर्टिनेट उत्पादने वापरतो. त्यासाठी, आम्ही लॉग अपलोडिंग कॉन्फिगर केले - त्यामुळे क्लायंट ऑफिस मशीन आणि व्हर्च्युअल डेस्कटॉपसाठी सर्व सुरक्षा इव्हेंट्सचे विश्लेषण करू शकला.

व्हर्च्युअल डेस्कटॉपचे संरक्षण कसे करावे

ज्ञात धमक्या पासून. क्लायंटला अँटी-व्हायरस संरक्षण स्वतंत्रपणे व्यवस्थापित करायचे असल्यास, आम्ही व्हर्च्युअल वातावरणासाठी कॅस्परस्की सुरक्षा देखील स्थापित करतो. 

हे समाधान मेघमध्ये चांगले कार्य करते. क्लासिक कॅस्परस्की अँटीव्हायरस हा एक “भारी” उपाय आहे या वस्तुस्थितीची आपल्या सर्वांना सवय झाली आहे. याउलट, व्हर्च्युअलायझेशनसाठी कॅस्परस्की सिक्युरिटी व्हर्च्युअल मशीन लोड करत नाही. सर्व व्हायरस डेटाबेस सर्व्हरवर स्थित आहेत, जे नोडच्या सर्व आभासी मशीनसाठी निर्णय जारी करतात. वर्च्युअल डेस्कटॉपवर फक्त लाईट एजंट स्थापित केला आहे. ते पडताळणीसाठी फायली सर्व्हरकडे पाठवते. 

हे आर्किटेक्चर एकाच वेळी व्हर्च्युअल मशीनच्या कार्यक्षमतेशी तडजोड न करता फाइल संरक्षण, इंटरनेट संरक्षण आणि आक्रमण संरक्षण प्रदान करते. या प्रकरणात, क्लायंट स्वतंत्रपणे फाइल संरक्षणासाठी अपवाद सादर करू शकतो. आम्ही सोल्यूशनच्या मूलभूत सेटअपमध्ये मदत करतो. आम्ही एका स्वतंत्र लेखात त्याच्या वैशिष्ट्यांबद्दल बोलू.

अज्ञात धमक्या पासून. हे करण्यासाठी, आम्ही FortiSandbox – Fortinet मधील “सँडबॉक्स” कनेक्ट करतो. अँटीव्हायरसने शून्य-दिवस धोका गमावल्यास आम्ही ते फिल्टर म्हणून वापरतो. फाइल डाउनलोड केल्यानंतर, आम्ही प्रथम ती अँटीव्हायरससह स्कॅन करतो आणि नंतर ती सँडबॉक्समध्ये पाठवतो. FortiSandbox व्हर्च्युअल मशीनचे अनुकरण करते, फाइल चालवते आणि त्याचे वर्तन पाहते: रेजिस्ट्रीमधील कोणत्या वस्तूंमध्ये प्रवेश केला जातो, ते बाह्य विनंत्या पाठवते की नाही, इत्यादी. जर एखादी फाइल संशयास्पदरीत्या वागली तर, सँडबॉक्स केलेले व्हर्च्युअल मशीन हटवले जाते आणि दुर्भावनायुक्त फाइल वापरकर्त्याच्या VDI वर संपत नाही. 

VDI ला सुरक्षित कनेक्शन कसे सेट करावे

आम्ही डिव्हाइसची माहिती सुरक्षा आवश्यकतांचे पालन तपासतो. रिमोट कामाच्या सुरुवातीपासून, क्लायंट आमच्याकडे विनंत्या घेऊन आले आहेत: वापरकर्त्यांचे त्यांच्या वैयक्तिक संगणकावरून सुरक्षित ऑपरेशन सुनिश्चित करण्यासाठी. कोणत्याही माहिती सुरक्षा तज्ञाला माहित आहे की घरगुती उपकरणांचे संरक्षण करणे कठीण आहे: आपण आवश्यक अँटीव्हायरस स्थापित करू शकत नाही किंवा गट धोरणे लागू करू शकत नाही, कारण हे कार्यालयीन उपकरणे नाही. 

डीफॉल्टनुसार, VDI वैयक्तिक उपकरण आणि कॉर्पोरेट नेटवर्क दरम्यान एक सुरक्षित "स्तर" बनते. वापरकर्ता मशीनच्या हल्ल्यांपासून VDI चे संरक्षण करण्यासाठी, आम्ही क्लिपबोर्ड अक्षम करतो आणि USB फॉरवर्डिंग प्रतिबंधित करतो. परंतु यामुळे वापरकर्त्याचे डिव्हाइस स्वतःच सुरक्षित होत नाही. 

आम्ही FortiClient वापरून समस्या सोडवतो. हे एंडपॉइंट संरक्षण साधन आहे. कंपनीचे वापरकर्ते त्यांच्या होम कॉम्प्युटरवर FortiClient इन्स्टॉल करतात आणि व्हर्च्युअल डेस्कटॉपशी कनेक्ट करण्यासाठी वापरतात. FortiClient एकाच वेळी 3 समस्या सोडवते: 

• वापरकर्त्यासाठी प्रवेशाची "सिंगल विंडो" बनते;
• तुमच्या वैयक्तिक संगणकावर अँटीव्हायरस आणि नवीनतम OS अद्यतने आहेत की नाही ते तपासते; 
• सुरक्षित प्रवेशासाठी VPN बोगदा तयार करते. 

एखाद्या कर्मचाऱ्याने पडताळणी उत्तीर्ण केल्यासच प्रवेश मिळतो. त्याच वेळी, व्हर्च्युअल डेस्कटॉप स्वतः इंटरनेटवरून प्रवेश करण्यायोग्य नसतात, याचा अर्थ ते हल्ल्यांपासून अधिक चांगले संरक्षित आहेत. 

जर एखाद्या कंपनीला एंडपॉईंट संरक्षण स्वतः व्यवस्थापित करायचे असेल, तर आम्ही FortiClient EMS (एंडपॉईंट मॅनेजमेंट सर्व्हर) ऑफर करतो. क्लायंट डेस्कटॉप स्कॅनिंग आणि घुसखोरी प्रतिबंध कॉन्फिगर करू शकतो आणि पत्त्यांची पांढरी सूची तयार करू शकतो. 

प्रमाणीकरण घटक जोडणे. डीफॉल्टनुसार, वापरकर्त्यांना Citrix netscaler द्वारे प्रमाणीकृत केले जाते. येथे, आम्ही सेफनेट उत्पादनांवर आधारित मल्टीफॅक्टर ऑथेंटिकेशन वापरून सुरक्षा वाढवू शकतो. हा विषय विशेष लक्ष देण्यास पात्र आहे; आम्ही याबद्दल एका स्वतंत्र लेखात देखील बोलू. 

कामाच्या गेल्या वर्षभरात वेगवेगळ्या उपायांसह काम करताना आम्ही असा अनुभव जमा केला आहे. VDI सेवा प्रत्येक क्लायंटसाठी स्वतंत्रपणे कॉन्फिगर केली आहे, म्हणून आम्ही सर्वात लवचिक साधने निवडली. कदाचित नजीकच्या भविष्यात आम्ही आणखी काहीतरी जोडू आणि आमचे अनुभव सामायिक करू.

7 ऑक्टोबर रोजी 17.00 वाजता माझे सहकारी वेबिनारमध्ये व्हर्च्युअल डेस्कटॉपबद्दल बोलतील "VDI आवश्यक आहे का, किंवा दूरस्थ कार्य कसे आयोजित करावे?"
नोंदणी करा, व्हीडीआय तंत्रज्ञान कंपनीसाठी केव्हा योग्य आहे आणि इतर पद्धती वापरणे केव्हा चांगले आहे यावर चर्चा करायची असल्यास.

स्त्रोत: www.habr.com