हामी कसरी ग्राहकको भर्चुअल डेस्कटपहरूलाई भाइरस, स्पाइवेयर र आक्रमणहरूबाट जोगाउँछौं

यस वर्ष, धेरै कम्पनीहरूले हतारमा टाढाको काममा स्विच गरे। केहि ग्राहकहरु को लागी हामी मद्दत गर्यो प्रति हप्ता सय भन्दा बढी टाढाको कामहरू व्यवस्थित गर्नुहोस्। यो चाँडै मात्र होइन, तर पनि सुरक्षित रूपमा गर्न महत्त्वपूर्ण थियो। VDI टेक्नोलोजी उद्धारको लागि आयो: यसको मद्दतले, सबै कार्यस्थलहरूमा सुरक्षा नीतिहरू वितरण गर्न र डाटा चुहावटबाट जोगाउन यो सुविधाजनक छ। 

यस लेखमा, म तपाईंलाई हाम्रो Citrix VDI- आधारित भर्चुअल डेस्कटप सेवाले सूचना सुरक्षाको सन्दर्भमा कसरी काम गर्छ भनेर बताउनेछु। क्लाइन्ट डेस्कटपहरूलाई बाह्य खतराहरू जस्तै ransomware वा लक्षित आक्रमणहरूबाट जोगाउन हामीले के गर्छौं भनेर म तपाईंलाई देखाउनेछु। 

के सुरक्षा समस्या हामी समाधान गर्छौं 

हामीले सेवामा धेरै प्रमुख सुरक्षा खतराहरू पहिचान गरेका छौं। एकातिर, भर्चुअल डेस्कटपले प्रयोगकर्ताको कम्प्युटरबाट संक्रमित हुने जोखिम बढाउँछ। अर्कोतर्फ, इन्टरनेटको खुला ठाउँमा भर्चुअल डेस्कटपबाट बाहिर निस्कने र संक्रमित फाइल डाउनलोड गर्ने खतरा छ। यस्तो भयो भने पनि यसले सम्पूर्ण पूर्वाधारमा असर पार्नु हुँदैन। त्यसकारण, सेवा सिर्जना गर्दा, हामीले धेरै समस्याहरू समाधान गर्यौं: 

• बाह्य खतराहरूबाट सम्पूर्ण VDI खडाको सुरक्षा।
• एक अर्काबाट ग्राहकहरूको अलगाव।
• भर्चुअल डेस्कटपहरू आफैंलाई सुरक्षित गर्दै। 
• कुनै पनि उपकरणबाट सुरक्षित प्रयोगकर्ता जडान।

FortiGate, Fortinet बाट नयाँ पुस्ताको फायरवाल, सुरक्षाको मूल बन्यो। यसले VDI स्ट्यान्डको ट्राफिकलाई नियन्त्रण गर्दछ, प्रत्येक ग्राहकको लागि पृथक पूर्वाधार प्रदान गर्दछ, र प्रयोगकर्ता-पक्ष कमजोरीहरू विरुद्ध सुरक्षा गर्दछ। यसको क्षमताहरू आईएसका धेरैजसो मुद्दाहरू बन्द गर्न पर्याप्त छन्। 

तर यदि कम्पनीसँग विशेष सुरक्षा आवश्यकताहरू छन् भने, हामी थप विकल्पहरू प्रस्ताव गर्छौं: 

• हामी घरको कम्प्युटरबाट काम गर्नको लागि सुरक्षित जडान व्यवस्थित गर्छौं।
• हामी सुरक्षा लगहरूको आत्म-विश्लेषणमा पहुँच दिन्छौं।
• हामी डेस्कटपहरूमा एन्टिभाइरस सुरक्षाको व्यवस्थापन प्रदान गर्दछौं।
• हामी शून्य-दिन जोखिमहरू विरुद्ध सुरक्षा गर्छौं। 
• अनाधिकृत जडानहरू विरुद्ध अतिरिक्त सुरक्षाको लागि बहु-कारक प्रमाणीकरण सेटअप गर्नुहोस्।

म तपाईंलाई कार्यहरू कसरी समाधान गरियो भन्ने बारे थप बताउनेछु। 

हामी कसरी बुथको सुरक्षा गर्छौं र नेटवर्क सुरक्षा सुनिश्चित गर्छौं

हामी नेटवर्क भाग खण्ड। बुथमा, हामी सबै स्रोतहरू प्रबन्ध गर्नको लागि बन्द व्यवस्थापन खण्ड आवंटित गर्छौं। व्यवस्थापन खण्ड बाहिरबाट पहुँचयोग्य छैन: ग्राहकमा आक्रमणको घटनामा, आक्रमणकारीहरू त्यहाँ पुग्न सक्षम हुनेछैनन्। 

FortiGate सुरक्षा को लागी जिम्मेवार छ। यसले एन्टिभाइरस, फायरवाल, घुसपैठ रोकथाम प्रणाली (आईपीएस) को कार्यहरू संयोजन गर्दछ। 

प्रत्येक ग्राहकको लागि, हामी भर्चुअल डेस्कटपहरूको लागि एक अलग नेटवर्क खण्ड सिर्जना गर्छौं। यो गर्नको लागि, FortiGate सँग भर्चुअल डोमेन टेक्नोलोजी, वा VDOM छ। यसले तपाईंलाई फायरवाललाई धेरै भर्चुअल संस्थाहरूमा विभाजन गर्न र प्रत्येक क्लाइन्टलाई आफ्नै VDOM आवंटित गर्न अनुमति दिन्छ, जसले छुट्टै फायरवाल जस्तै व्यवहार गर्छ। हामीले व्यवस्थापन खण्डको लागि छुट्टै VDOM पनि सिर्जना गर्छौं।

यो यो योजना बाहिर जान्छ:


क्लाइन्टहरू बीच कुनै नेटवर्क जडान छैन: प्रत्येक आफ्नै VDOM मा रहन्छ र अर्कोलाई असर गर्दैन। यो प्रविधि बिना, हामीले फायरवाल नियमहरूसँग क्लाइन्टहरू अलग गर्नुपर्नेछ, र यो मानव कारकको कारणले जोखिमपूर्ण छ। तपाईं त्यस्ता नियमहरू ढोकासँग तुलना गर्न सक्नुहुन्छ जुन निरन्तर बन्द हुनुपर्छ। VDOM को मामला मा, हामी सबै "ढोका" छोड्दैनौं। 

छुट्टै VDOM मा, ग्राहकको आफ्नै ठेगाना र मार्ग छ। तसर्थ, दायराहरूको प्रतिच्छेदन कम्पनीको लागि समस्या बन्दैन। ग्राहकले भर्चुअल डेस्कटपहरूमा इच्छित IP ठेगानाहरू तोक्न सक्छ। यो ठूला कम्पनीहरूको लागि सुविधाजनक छ जसको आफ्नै आईपी योजनाहरू छन्। 

हामी ग्राहकको कर्पोरेट नेटवर्कसँग जडान समस्याहरू समाधान गर्छौं। एक अलग कार्य ग्राहक पूर्वाधार संग VDI को डकिङ छ। यदि कुनै कम्पनीले हाम्रो डाटा सेन्टरमा कर्पोरेट प्रणालीहरू राख्छ भने, तपाईंले यसको उपकरणबाट फायरवालमा नेटवर्क केबल चलाउन सक्नुहुन्छ। तर प्रायः हामी टाढाको साइट - अर्को डाटा सेन्टर वा ग्राहकको कार्यालयसँग काम गरिरहेका छौं। यस अवस्थामा, हामी साइटसँग सुरक्षित विनिमयको बारेमा सोचिरहेका छौं र IPsec VPN प्रयोग गरेर site2site VPN निर्माण गर्दैछौं। 

पूर्वाधारको जटिलताको आधारमा योजनाहरू फरक हुन सक्छन्। कतै यो एकल कार्यालय नेटवर्क VDI मा जडान गर्न पर्याप्त छ - त्यहाँ पर्याप्त स्थिर मार्ग छ। ठूला कम्पनीहरूसँग धेरै नेटवर्कहरू छन् जुन निरन्तर परिवर्तन भइरहेका छन्; यहाँ ग्राहकलाई गतिशील रूटिङ चाहिन्छ। हामी बिभिन्न प्रोटोकलहरू प्रयोग गर्छौं: OSPF (ओपन सर्टेस्ट पाथ फर्स्ट), GRE टनेलहरू (जेनेरिक राउटिङ इन्क्याप्सुलेशन) र BGP (बोर्डर गेटवे प्रोटोकल) मा पहिले नै केसहरू भइसकेका छन्। फोर्टिगेटले अन्य क्लाइन्टहरूलाई असर नगरी अलग VDOM मा नेटवर्क प्रोटोकलहरूलाई समर्थन गर्दछ। 

तपाईं पनि GOST-VPN निर्माण गर्न सक्नुहुन्छ - रूसी संघको FSB द्वारा प्रमाणित क्रिप्टोप्रोटेक्सन उपकरणहरूमा आधारित एन्क्रिप्शन। उदाहरण को लागी, भर्चुअल वातावरण "S-Terra भर्चुअल गेटवे" वा HSS ViPNet, APKSh "Continent", "S-Terra" मा कक्षा KS1 को समाधानहरू प्रयोग गर्दै।

समूह नीतिहरू सेट अप गर्नुहोस्। हामी VDI मा लागू हुने ग्राहक समूह नीतिहरूसँग समन्वय गर्छौं। यहाँ, सेटिङका ​​सिद्धान्तहरू कार्यालयमा नीतिहरू सेटिङ भन्दा फरक छैनन्। हामी सक्रिय डाइरेक्टरीसँग एकीकरण सेटअप गर्दैछौं र ग्राहकहरूलाई केही समूह नीतिहरूको नियन्त्रण प्रत्यायोजन गर्दैछौं। भाडामा लिने प्रशासकहरूले कम्प्यूटर वस्तुमा नीतिहरू लागू गर्न, सक्रिय निर्देशिकामा संगठनात्मक एकाइ व्यवस्थापन गर्न र प्रयोगकर्ताहरू सिर्जना गर्न सक्छन्। 

FortiGate मा, प्रत्येक ग्राहक VDOM को लागी, हामी नेटवर्क सुरक्षा नीति लेख्छौं, पहुँच प्रतिबन्धहरू सेट गर्छौं, र ट्राफिक निरीक्षण सेट अप गर्दछौं। हामी धेरै फोर्टिगेट मोड्युलहरू प्रयोग गर्दछौं: 

• IPS मोड्युलले मालवेयरका लागि ट्राफिक जाँच गर्छ र घुसपैठलाई रोक्छ;
• एन्टिभाइरसले डेस्कटपहरूलाई मालवेयर र स्पाइवेयरबाट जोगाउँछ;
• वेब फिल्टरिङले दुर्भावनापूर्ण वा अनुपयुक्त सामग्री भएका अविश्वसनीय स्रोतहरू र साइटहरूमा पहुँच रोक्छ;
• फायरवाल सेटिङहरूले प्रयोगकर्ताहरूलाई निश्चित साइटहरूमा मात्र इन्टरनेट पहुँच गर्न अनुमति दिन सक्छ। 

कहिलेकाहीँ एक ग्राहक स्वतन्त्र रूपमा साइटहरूमा कर्मचारी पहुँच व्यवस्थापन गर्न चाहन्छ। प्राय: बैंकहरू यस्तो अनुरोधको साथ आउँछन्: सुरक्षा सेवाहरूले पहुँच नियन्त्रण कम्पनीको पक्षमा रहन माग गर्दछ। त्यस्ता कम्पनीहरूले आफैं ट्राफिक अनुगमन गर्छन् र नियमित रूपमा नीतिहरूमा परिवर्तन गर्छन्। यस अवस्थामा, हामी फोर्टिगेटबाट सबै ट्राफिक ग्राहक तर्फ फर्काउँछौं। यो गर्नका लागि, हामी कम्पनीको पूर्वाधारसँग कन्फिगर गरिएको इन्टरफेस प्रयोग गर्छौं। त्यस पछि, ग्राहक आफैले कर्पोरेट नेटवर्क र इन्टरनेट पहुँचको लागि नियमहरू कन्फिगर गर्दछ। 

स्ट्यान्डमा भएका घटनाहरू हेर्दै। फोर्टिगेटको साथमा, हामी फोर्टिनेटबाट लग कलेक्टर, फोर्टीएनालाइजर प्रयोग गर्छौं। यसको मद्दतले, हामी VDI मा सबै घटना लगहरू एकै ठाउँमा हेर्छौं, शंकास्पद गतिविधिहरू फेला पार्छौं र सहसंबंधहरू ट्र्याक गर्छौं। 

हाम्रा एक ग्राहकले आफ्नो कार्यालयमा फोर्टिनेट उत्पादनहरू प्रयोग गर्छन्। यसको लागि, हामीले लग अपलोडिङ सेट अप गर्यौं - ताकि क्लाइन्टले अफिस मेसिन र भर्चुअल डेस्कटपहरूको लागि सबै सुरक्षा घटनाहरू विश्लेषण गर्न सकून्।

हामी कसरी भर्चुअल डेस्कटपहरू सुरक्षित गर्छौं

ज्ञात धम्कीबाट। यदि ग्राहकले स्वतन्त्र रूपमा एन्टिभाइरस सुरक्षा प्रबन्ध गर्न चाहन्छ भने, हामी थप रूपमा भर्चुअलाइजेसनको लागि Kaspersky सुरक्षा स्थापना गर्छौं। 

यो समाधान क्लाउड मा राम्रो काम गर्दछ। हामी सबै यस तथ्यमा अभ्यस्त छौं कि क्लासिक Kaspersky एन्टिभाइरस एक "भारी" समाधान हो। यसको विपरीत, Virtualization को लागी Kaspersky सुरक्षा भर्चुअल मेसिनहरू लोड गर्दैन। सबै भाइरस डाटाबेसहरू सर्भरमा अवस्थित छन्, जसले सबै होस्ट भर्चुअल मेसिनहरूको लागि निर्णयहरू जारी गर्दछ। भर्चुअल डेस्कटपमा मात्र लाइट एजेन्ट स्थापना गरिएको छ। यसले प्रमाणीकरणको लागि सर्भरमा फाइलहरू पठाउँछ। 

यो वास्तुकलाले एकै साथ फाइल सुरक्षा, इन्टरनेट सुरक्षा, आक्रमणहरू विरुद्ध सुरक्षा प्रदान गर्दछ र भर्चुअल मेसिनहरूको प्रदर्शनलाई कम गर्दैन। यस अवस्थामा, क्लाइन्टले फाइल सुरक्षामा अपवाद बनाउन सक्छ। हामी समाधानको आधारभूत सेटअपमा मद्दत गर्छौं। हामी एक अलग लेख मा यसको विशेषताहरु बारेमा कुरा गर्नेछौं।

अज्ञात धम्कीबाट। यो गर्नको लागि, हामी फोर्टिनेटबाट स्यान्डबक्स, फोर्टिस्यान्डबक्स जडान गर्छौं। एन्टिभाइरसले शून्य-दिन खतरा छुटेको अवस्थामा हामी यसलाई फिल्टरको रूपमा प्रयोग गर्छौं। फाइल डाउनलोड गरेपछि, हामी यसलाई पहिले एन्टिभाइरसको साथ जाँच गर्छौं, र त्यसपछि यसलाई स्यान्डबक्समा पठाउनुहोस्। FortiSandbox ले भर्चुअल मेसिनको अनुकरण गर्छ, फाइल सुरु गर्छ र यसको व्यवहारलाई निगरानी गर्दछ: यसले रजिस्ट्रीमा कुन वस्तुहरू पहुँच गर्दछ, यसले बाह्य अनुरोधहरू पठाउँछ, र यस्तै। यदि फाइलले शंकास्पद व्यवहार गर्छ भने, स्यान्डबक्स गरिएको VM मेटाइन्छ र खराब फाइल प्रयोगकर्ताको VDI मा राखिएको छैन। 

VDI मा सुरक्षित जडान कसरी सेट अप गर्ने

हामी सूचना सुरक्षा को आवश्यकताहरु संग उपकरण को अनुपालन जाँच। टाढाको कामको शुरुवातदेखि, ग्राहकहरूले हामीलाई अनुरोधहरूको साथ सम्पर्क गर्दै आएका छन्: तिनीहरूको व्यक्तिगत कम्प्युटरबाट प्रयोगकर्ताहरूको सुरक्षित सञ्चालन सुनिश्चित गर्न। कुनै पनि सूचना सुरक्षा विशेषज्ञलाई थाहा छ कि घरका उपकरणहरू सुरक्षित गर्न गाह्रो छ: तपाईंले त्यहाँ आवश्यक एन्टिभाइरस स्थापना गर्न सक्नुहुन्न वा समूह नीतिहरू लागू गर्न सक्नुहुन्न, किनकि यी कार्यालयका उपकरणहरू होइनन्। 

पूर्वनिर्धारित रूपमा, VDI व्यक्तिगत उपकरण र कर्पोरेट नेटवर्क बीच एक सुरक्षित "तह" बन्छ। VDI लाई प्रयोगकर्ताको मेसिनबाट आक्रमणहरूबाट जोगाउन, हामी क्लिपबोर्ड असक्षम पार्छौं, USB फर्वार्डिङ असक्षम पार्छौं। तर यसले प्रयोगकर्ताको यन्त्रलाई सुरक्षित बनाउँदैन। 

हामी FortiClient को मद्दतले समस्या समाधान गर्छौं। यो अन्तिम बिन्दु (अन्तबिन्दु सुरक्षा) को सुरक्षा को लागी एक उपकरण हो। कम्पनीका प्रयोगकर्ताहरूले आफ्नो घरको कम्प्युटरमा FortiClient स्थापना गर्छन् र यसलाई भर्चुअल डेस्कटपमा जडान गर्न प्रयोग गर्छन्। FortiClient ले एकैचोटि 3 कार्यहरू हल गर्दछ: 

• प्रयोगकर्ताको लागि पहुँचको "एकल विन्डो" बन्छ;
• व्यक्तिगत कम्प्युटरमा एन्टिभाइरस र भर्खरको ओएस अद्यावधिकहरू छन् भने जाँच गर्दछ; 
• सुरक्षित पहुँचको लागि VPN टनेल बनाउँछ। 

कर्मचारीले प्रमाणीकरण पास गरे मात्र पहुँच पाउँछ। एकै समयमा, भर्चुअल डेस्कटपहरू इन्टरनेटबाट पहुँचयोग्य छैनन्, जसको मतलब तिनीहरू आक्रमणहरूबाट राम्रोसँग सुरक्षित छन्। 

यदि कुनै कम्पनीले अन्त्यबिन्दु सुरक्षा आफैं व्यवस्थापन गर्न चाहन्छ भने, हामी FortiClient EMS (अन्तबिन्दु व्यवस्थापन सर्भर) प्रस्ताव गर्दछौं। क्लाइन्टले डेस्कटप स्क्यानिङ र घुसपैठ रोकथाम कन्फिगर गर्न सक्छ, ठेगानाहरूको सेतो सूची बनाउन सक्छ। 

प्रमाणीकरण कारकहरू थप्नुहोस्। पूर्वनिर्धारित रूपमा, प्रयोगकर्ताहरूलाई Citrix netscaler मार्फत प्रमाणीकरण गरिन्छ। यहाँ पनि, हामी SafeNet उत्पादनहरूमा आधारित बहु-कारक प्रमाणीकरणको साथ सुरक्षा बढाउन सक्छौं। यो विषय विशेष ध्यान योग्य छ, हामी पनि एक अलग लेख मा यसको बारेमा कुरा गर्नेछौं। 

हामीले कामको पछिल्लो वर्षमा विभिन्न समाधानहरूसँग काम गर्ने यस्तो अनुभव संकलन गरेका छौं। VDI सेवा प्रत्येक ग्राहकको लागि छुट्टै कन्फिगर गरिएको छ, त्यसैले हामीले सबैभन्दा लचिलो उपकरणहरू छनोट गर्यौं। हुनसक्छ निकट भविष्यमा हामी केहि थप्नेछौं र हाम्रो अनुभव साझा गर्नेछौं।

अक्टोबर 7 मा 17.00 मा मेरा सहकर्मीहरूले वेबिनारमा भर्चुअल डेस्कटपहरूको बारेमा कुरा गर्नेछन् "के मलाई VDI चाहिन्छ, वा टाढाको काम कसरी व्यवस्थित गर्ने?"
अहिले नै दर्ता गर्नुहोस, यदि तपाइँ छलफल गर्न चाहनुहुन्छ भने VDI प्रविधि कम्पनीको लागि उपयुक्त छ, र कहिले अन्य विधिहरू प्रयोग गर्न राम्रो छ।

स्रोत: www.habr.com