"अलादीन आरडी" चा अनुभव घ्या. सुरक्षित रिमोट ऍक्सेस लागू करण्यासाठी आणि कोविड-19 चा सामना करण्यासाठी

आमच्या कंपनीत, इतर आयटी कंपन्यांप्रमाणेच आणि आयटी कंपन्यांमध्ये नाही, रिमोट ऍक्सेसची शक्यता बर्याच काळापासून अस्तित्त्वात आहे आणि अनेक कर्मचार्‍यांनी ते आवश्यकतेशिवाय वापरले. जगात कोविड-19 चा प्रसार झाल्यामुळे, आमच्या आयटी विभागाने, कंपनीच्या व्यवस्थापनाच्या निर्णयाने, परदेशातील सहलींवरून परत आलेल्या कर्मचार्‍यांना दूरस्थ कामावर स्थानांतरित करण्यास सुरुवात केली. होय, आम्ही मुख्य प्रवाहात येण्यापूर्वीच मार्चच्या सुरुवातीपासूनच होम सेल्फ-आयसोलेशनचा सराव करायला सुरुवात केली. मार्चच्या मध्यापर्यंत, सोल्यूशन आधीच संपूर्ण कंपनीसाठी मोजले गेले होते आणि मार्चच्या शेवटी आम्ही सर्वांनी जवळजवळ प्रत्येकासाठी मोठ्या प्रमाणात रिमोट वर्कच्या नवीन मोडवर स्विच केले.

तांत्रिकदृष्ट्या, नेटवर्कवर रिमोट ऍक्सेस लागू करण्यासाठी, आम्ही Microsoft VPN (RRAS) - विंडोज सर्व्हरच्या भूमिकांपैकी एक म्हणून वापरतो. जेव्हा तुम्ही नेटवर्कशी कनेक्ट करता, तेव्हा शेअरपॉईंट्स, फाइल शेअरिंग सेवा, बग ट्रॅकर्सपासून ते CRM सिस्टीमपर्यंत विविध अंतर्गत संसाधने उपलब्ध होतात; अनेकांसाठी, त्यांना त्यांच्या कामासाठी एवढेच आवश्यक असते. ज्यांच्याकडे अजूनही ऑफिसमध्ये वर्कस्टेशन्स आहेत, त्यांच्यासाठी RDP ऍक्सेस RDG गेटवेद्वारे कॉन्फिगर केला आहे.

आपण हा निर्णय का निवडला किंवा तो निवडण्यासारखे का आहे? कारण जर तुमच्याकडे आधीच मायक्रोसॉफ्टचे डोमेन आणि इतर पायाभूत सुविधा असतील, तर उत्तर स्पष्ट आहे, तुमच्या आयटी विभागासाठी ते कार्यान्वित करणे बहुधा सोपे, जलद आणि स्वस्त असेल. आपल्याला फक्त काही वैशिष्ट्ये जोडण्याची आवश्यकता आहे. आणि कर्मचार्‍यांना अतिरिक्त ऍक्सेस क्लायंट डाउनलोड आणि कॉन्फिगर करण्यापेक्षा Windows घटक कॉन्फिगर करणे सोपे होईल.

VPN गेटवेमध्ये प्रवेश करताना आणि नंतर, वर्कस्टेशन्स आणि महत्त्वाच्या वेब संसाधनांशी कनेक्ट करताना, आम्ही द्वि-घटक प्रमाणीकरण वापरतो. खरंच, जर आम्ही, द्वि-घटक प्रमाणीकरण सोल्यूशन्सचे निर्माता म्हणून, आमची उत्पादने स्वतः वापरली नाहीत तर ते विचित्र होईल. हे आमचे कॉर्पोरेट मानक आहे; प्रत्येक कर्मचार्‍याकडे वैयक्तिक प्रमाणपत्रासह टोकन असते, ज्याचा उपयोग ऑफिस वर्कस्टेशनवर डोमेन आणि कंपनीच्या अंतर्गत संसाधनांना प्रमाणित करण्यासाठी केला जातो.

आकडेवारीनुसार, 80% पेक्षा जास्त माहिती सुरक्षा घटनांमध्ये कमकुवत किंवा चोरीला गेलेला पासवर्ड वापरला जातो. म्हणून, द्वि-घटक प्रमाणीकरणाचा परिचय कंपनी आणि त्याच्या संसाधनांच्या सुरक्षिततेची एकूण पातळी मोठ्या प्रमाणात वाढवते, आपल्याला चोरी किंवा संकेतशब्द अंदाज लावण्याचा धोका जवळजवळ शून्यावर कमी करण्यास अनुमती देते आणि वैध वापरकर्त्यासह संप्रेषण होते याची देखील खात्री देते. PKI इन्फ्रास्ट्रक्चर लागू करताना, पासवर्ड प्रमाणीकरण पूर्णपणे अक्षम केले जाऊ शकते.

वापरकर्त्याच्या UI दृष्टिकोनातून, ही योजना लॉगिन आणि पासवर्ड टाकण्यापेक्षा अगदी सोपी आहे. याचे कारण असे आहे की एक जटिल पासवर्ड यापुढे लक्षात ठेवण्याची गरज नाही, कीबोर्डखाली स्टिकर्स लावण्याची गरज नाही (सर्व कल्पना करण्यायोग्य सुरक्षा धोरणांचे उल्लंघन करत आहे), पासवर्ड दर 90 दिवसांनी एकदा बदलण्याची गरज नाही (जरी हे नाही. यापुढे सर्वोत्तम सराव मानला जातो, परंतु बर्‍याच ठिकाणी अजूनही सराव केला जातो). वापरकर्त्याला फक्त फार क्लिष्ट नसलेला पिन कोड आणावा लागेल आणि टोकन गमावू नये. टोकन स्वतः स्मार्ट कार्डच्या स्वरूपात बनवले जाऊ शकते, जे वॉलेटमध्ये सोयीस्करपणे नेले जाऊ शकते. कार्यालय परिसरात प्रवेश करण्यासाठी टोकन आणि स्मार्ट कार्डमध्ये RFID टॅग लावले जाऊ शकतात.
पिन कोड प्रमाणीकरणासाठी, मुख्य माहितीमध्ये प्रवेश प्रदान करण्यासाठी आणि क्रिप्टोग्राफिक परिवर्तन आणि तपासणी करण्यासाठी वापरला जातो. टोकन गमावणे भीतीदायक नाही, कारण पिन कोडचा अंदाज लावणे अशक्य आहे; काही प्रयत्नांनंतर, तो अवरोधित केला जाईल. त्याच वेळी, स्मार्ट कार्ड चिप मुख्य माहिती काढणे, क्लोनिंग आणि इतर हल्ल्यांपासून संरक्षित करते.

अजून काय?

मायक्रोसॉफ्टकडून रिमोट ऍक्सेसच्या समस्येचे निराकरण काही कारणास्तव योग्य नसल्यास, आपण PKI इन्फ्रास्ट्रक्चर लागू करू शकता आणि विविध व्हीडीआय इन्फ्रास्ट्रक्चर्स (सिट्रिक्स व्हर्च्युअल अॅप्स आणि डेस्कटॉप, सिट्रिक्स एडीसी, व्हीएमवेअर) मध्ये आमचे स्मार्ट कार्ड वापरून द्वि-घटक प्रमाणीकरण कॉन्फिगर करू शकता. Horizon, VMware युनिफाइड गेटवे, Huawei Fusion) आणि हार्डवेअर सुरक्षा प्रणाली (PaloAlto, CheckPoint, Cisco) आणि इतर उत्पादने.

आमच्या मागील लेखांमध्ये काही उदाहरणांवर चर्चा केली होती.

पुढील लेखात आम्ही MSCA कडून प्रमाणपत्रे वापरून प्रमाणीकरणासह OpenVPN सेट करण्याबद्दल बोलू.

एकही प्रमाणपत्र नाही

PKI इन्फ्रास्ट्रक्चरची अंमलबजावणी करणे आणि प्रत्येक कर्मचाऱ्यासाठी हार्डवेअर उपकरणे खरेदी करणे खूप क्लिष्ट वाटत असल्यास किंवा, उदाहरणार्थ, स्मार्ट कार्ड कनेक्ट करण्याची कोणतीही तांत्रिक शक्यता नसल्यास, आमच्या JAS प्रमाणीकरण सर्व्हरवर आधारित वन-टाइम पासवर्डसह एक उपाय आहे. प्रमाणक म्हणून, तुम्ही सॉफ्टवेअर (Google Authenticator, Yandex Key), हार्डवेअर (कोणत्याही संबंधित RFC, उदाहरणार्थ, JaCarta WebPass) वापरू शकता. स्मार्ट कार्ड/टोकन्ससाठी जवळपास सर्व समान उपाय समर्थित आहेत. आम्ही आमच्या मागील पोस्टमध्ये काही कॉन्फिगरेशन उदाहरणांबद्दल देखील बोललो.

प्रमाणीकरण पद्धती एकत्रित केल्या जाऊ शकतात, म्हणजे, OTP द्वारे - उदाहरणार्थ, फक्त मोबाइल वापरकर्त्यांना परवानगी दिली जाऊ शकते आणि क्लासिक लॅपटॉप/डेस्कटॉप्स केवळ टोकनवरील प्रमाणपत्र वापरून प्रमाणीकृत केले जाऊ शकतात.

माझ्या कामाच्या विशिष्ट स्वरूपामुळे, अनेक गैर-तांत्रिक मित्रांनी अलीकडेच दूरस्थ प्रवेश सेट करण्यासाठी मदतीसाठी वैयक्तिकरित्या माझ्याशी संपर्क साधला आहे. त्यामुळे या परिस्थितीतून कोण आणि कसे बाहेर पडत आहे हे आम्ही थोडे डोकावून पाहू शकलो. जेव्हा दोन-घटक प्रमाणीकरण समाधानांसह फार मोठ्या कंपन्या प्रसिद्ध ब्रँड वापरत नाहीत तेव्हा सुखद आश्चर्य होते. अशी प्रकरणे देखील होती, उलट दिशेने आश्चर्यचकित करणारे, जेव्हा खरोखर खूप मोठ्या आणि सुप्रसिद्ध कंपन्यांनी (आयटी नाही) फक्त त्यांच्या ऑफिस संगणकांवर टीम व्ह्यूअर स्थापित करण्याची शिफारस केली.

सध्याच्या परिस्थितीत, "अलादीन आर.डी." कंपनीचे विशेषज्ञ. तुमच्या कॉर्पोरेट इन्फ्रास्ट्रक्चरमध्ये रिमोट ऍक्सेसच्या समस्यांचे निराकरण करण्यासाठी जबाबदार दृष्टीकोन घेण्याची शिफारस करा. या प्रसंगी, सामान्य स्व-पृथक्करण शासनाच्या अगदी सुरुवातीस, आम्ही लाँच केले मोहीम "कर्मचाऱ्यांच्या सुरक्षित दूरस्थ कामाची संघटना".

स्त्रोत: www.habr.com