अनुभव "अलादीन आरडी।" सुरक्षित रिमोट पहुँच लागू गर्न र COVID-19 विरुद्ध लड्न

हाम्रो कम्पनीमा, धेरै अन्य IT मा जस्तै र IT कम्पनीहरूमा होइन, टाढाको पहुँचको सम्भावना लामो समयदेखि अवस्थित छ, र धेरै कर्मचारीहरूले यसलाई आवश्यकताको बाहिर प्रयोग गरे। विश्वमा कोभिड-१९ फैलिएसँगै हाम्रो IT विभागले कम्पनीको व्यवस्थापनको निर्णयमा विदेश भ्रमणबाट फर्केका कर्मचारीहरूलाई टाढाको काममा स्थानान्तरण गर्न थाल्यो। हो, हामीले मार्चको सुरुदेखि नै होम सेल्फ-आइसोलेसन अभ्यास गर्न थाल्यौं, यो मुख्यधारा बन्नु अघि नै। मार्चको मध्यमा, समाधान पहिले नै सम्पूर्ण कम्पनीमा मापन गरिएको थियो, र मार्चको अन्त्यमा हामी सबैले लगभग सबैको लागि मास रिमोट कार्यको नयाँ मोडमा स्विच गर्यौं।

प्राविधिक रूपमा, नेटवर्कमा रिमोट पहुँच लागू गर्न, हामी Microsoft VPN (RRAS) प्रयोग गर्छौं - Windows Server भूमिकाहरू मध्ये एकको रूपमा। जब तपाइँ सञ्जालमा जडान गर्नुहुन्छ, विभिन्न आन्तरिक स्रोतहरू उपलब्ध हुन्छन्, सेयरपोइन्टहरू, फाइल साझेदारी सेवाहरू, बग ट्र्याकरहरूबाट CRM प्रणालीमा; धेरैका लागि, उनीहरूको कामको लागि यो सबै आवश्यक हुन्छ। अफिसमा अझै पनि वर्कस्टेशनहरू भएकाहरूका लागि, RDP पहुँच RDG गेटवे मार्फत कन्फिगर गरिएको छ।

तपाईंले यो निर्णय किन रोज्नुभयो वा किन यो छनौट गर्न लायक छ? किनभने यदि तपाइँसँग पहिले नै Microsoft बाट डोमेन र अन्य पूर्वाधार छ भने, जवाफ स्पष्ट छ, यो सम्भवतः तपाइँको IT विभागको लागि यसलाई कार्यान्वयन गर्न सजिलो, छिटो र सस्तो हुनेछ। तपाईंले मात्र केही सुविधाहरू थप्न आवश्यक छ। र कर्मचारीहरूलाई थप पहुँच क्लाइन्टहरू डाउनलोड र कन्फिगर गर्नु भन्दा Windows कम्पोनेन्टहरू कन्फिगर गर्न सजिलो हुनेछ।

VPN गेटवेमा पहुँच गर्दा र पछि, कार्यस्थानहरू र महत्त्वपूर्ण वेब स्रोतहरूमा जडान गर्दा, हामी दुई-कारक प्रमाणीकरण प्रयोग गर्छौं। वास्तवमा, यो अनौठो हुनेछ यदि हामीले, दुई-कारक प्रमाणीकरण समाधानहरूको निर्माताको रूपमा, हाम्रा उत्पादनहरू आफैं प्रयोग गरेनौं। यो हाम्रो कर्पोरेट मानक हो; प्रत्येक कर्मचारीसँग व्यक्तिगत प्रमाणपत्रको साथ टोकन हुन्छ, जुन कार्यालय कार्यस्थानमा डोमेन र कम्पनीको आन्तरिक स्रोतहरूमा प्रमाणीकरण गर्न प्रयोग गरिन्छ।

तथ्याङ्क अनुसार, 80% भन्दा बढी सूचना सुरक्षा घटनाहरूले कमजोर वा चोरी पासवर्डहरू प्रयोग गर्छन्। तसर्थ, दुई-कारक प्रमाणीकरणको परिचयले कम्पनी र यसका स्रोतहरूको सुरक्षाको समग्र स्तरलाई धेरै बढाउँछ, तपाईंलाई चोरी वा पासवर्ड अनुमान गर्ने जोखिमलाई लगभग शून्यमा कम गर्न अनुमति दिन्छ, र यो पनि सुनिश्चित गर्दछ कि एक मान्य प्रयोगकर्तासँग सञ्चार हुन्छ। PKI पूर्वाधार कार्यान्वयन गर्दा, पासवर्ड प्रमाणीकरण पूर्ण रूपमा असक्षम गर्न सकिन्छ।

प्रयोगकर्ताको लागि UI दृष्टिकोणबाट, यो योजना लगइन र पासवर्ड प्रविष्ट गर्नु भन्दा पनि सरल छ। कारण यो हो कि जटिल पासवर्ड अब सम्झन आवश्यक छैन, किबोर्ड मुनि स्टिकरहरू राख्न आवश्यक छैन (सबै कल्पनायोग्य सुरक्षा नीतिहरू उल्लङ्घन गर्दै), पासवर्ड प्रत्येक 90 दिनमा एक पटक परिवर्तन गर्न आवश्यक छैन (यद्यपि यो छैन। लामो समयसम्म उत्तम अभ्यास मानिन्छ, तर धेरै ठाउँहरूमा अझै अभ्यास गरिएको छ)। प्रयोगकर्ताले धेरै जटिल पिन कोड लिएर आउनु पर्छ र टोकन गुमाउनु हुँदैन। टोकन आफैंलाई स्मार्ट कार्डको रूपमा बनाउन सकिन्छ, जुन सुविधाजनक रूपमा वालेटमा बोक्न सकिन्छ। कार्यालय परिसरमा पहुँचको लागि टोकन र स्मार्ट कार्डमा RFID ट्यागहरू प्रत्यारोपण गर्न सकिन्छ।
PIN कोड प्रमाणीकरणको लागि, मुख्य जानकारीमा पहुँच प्रदान गर्न र क्रिप्टोग्राफिक रूपान्तरणहरू र जाँचहरू गर्न प्रयोग गरिन्छ। टोकन गुमाउनु डरलाग्दो छैन, किनकि यो PIN कोड अनुमान गर्न असम्भव छ; केही प्रयास पछि, यो अवरुद्ध हुनेछ। एकै समयमा, स्मार्ट कार्ड चिपले मुख्य जानकारीहरू निकासी, क्लोनिङ र अन्य आक्रमणहरूबाट जोगाउँछ।

अरू के?

यदि Microsoft बाट रिमोट पहुँचको समस्याको समाधान कुनै कारणले उपयुक्त छैन भने, त्यसपछि तपाइँ PKI पूर्वाधार लागू गर्न सक्नुहुन्छ र विभिन्न VDI पूर्वाधारहरू (Citrix Virtual Apps र Desktops, Citrix ADC, VMware) मा हाम्रो स्मार्ट कार्डहरू प्रयोग गरेर दुई-कारक प्रमाणीकरण कन्फिगर गर्न सक्नुहुन्छ। Horizon, VMware एकीकृत गेटवे, Huawei Fusion) र हार्डवेयर सुरक्षा प्रणाली (PaloAlto, CheckPoint, Cisco) र अन्य उत्पादनहरू।

केही उदाहरणहरू हाम्रो अघिल्लो लेखहरूमा छलफल गरिएको थियो।

अर्को लेखमा हामी MSCA बाट प्रमाणपत्रहरू प्रयोग गरेर प्रमाणीकरणको साथ OpenVPN सेटअप गर्ने बारे कुरा गर्नेछौं।

एउटै प्रमाणपत्र छैन

यदि PKI पूर्वाधार कार्यान्वयन गर्न र प्रत्येक कर्मचारीको लागि हार्डवेयर यन्त्रहरू खरिद गर्दा धेरै जटिल देखिन्छ वा, उदाहरणका लागि, स्मार्ट कार्ड जडान गर्ने कुनै प्राविधिक सम्भावना छैन भने, हाम्रो JAS प्रमाणीकरण सर्भरमा आधारित एक-पटक पासवर्डहरूको साथ समाधान छ। प्रमाणकहरूको रूपमा, तपाईंले सफ्टवेयर (Google प्रमाणक, यान्डेक्स कुञ्जी), हार्डवेयर (कुनै पनि सम्बन्धित RFC, उदाहरणका लागि, JaCarta WebPass) प्रयोग गर्न सक्नुहुन्छ। लगभग सबै समान समाधानहरू स्मार्ट कार्ड/टोकनहरूको लागि समर्थित छन्। हामीले हाम्रो अघिल्लो पोष्टहरूमा केही कन्फिगरेसन उदाहरणहरूको बारेमा पनि कुरा गर्यौं।

प्रमाणीकरण विधिहरू संयोजन गर्न सकिन्छ, त्यो हो, OTP द्वारा - उदाहरणका लागि, केवल मोबाइल प्रयोगकर्ताहरूलाई अनुमति दिन सकिन्छ, र क्लासिक ल्यापटप/डेस्कटपहरू टोकनमा प्रमाणपत्र प्रयोग गरेर मात्र प्रमाणीकरण गर्न सकिन्छ।

मेरो कामको विशिष्ट प्रकृतिको कारण, धेरै गैर-प्राविधिक साथीहरूले भर्खरै रिमोट पहुँच सेटअप गर्न मद्दतको लागि व्यक्तिगत रूपमा मलाई सम्पर्क गरेका छन्। त्यसोभए हामी यो अवस्थाबाट को बाहिर निस्किरहेको छ र कसरी भईरहेको छ भनेर थोरै झलक लिन सक्षम भयौं। त्यहाँ सुखद आश्चर्यहरू थिए जब धेरै ठूला कम्पनीहरूले प्रसिद्ध ब्रान्डहरू प्रयोग गर्दैनन्, दुई-कारक प्रमाणीकरण समाधानहरू सहित। त्यहाँ पनि केसहरू थिए, विपरित दिशामा अचम्मलाग्दो, जब वास्तवमै धेरै ठूला र प्रख्यात कम्पनीहरूले (IT होइन) उनीहरूको कार्यालय कम्प्युटरहरूमा TeamViewer स्थापना गर्न सिफारिस गरे।

हालको अवस्थामा, कम्पनीका विशेषज्ञहरू "अलादीन आरडी।" तपाईंको कर्पोरेट पूर्वाधारमा टाढाको पहुँचको समस्याहरू समाधान गर्न जिम्मेवार दृष्टिकोण लिन सिफारिस गर्नुहोस्। यस अवसरमा, सामान्य आत्म-पृथक शासनको शुरुवातमा, हामीले सुरु गर्यौं अभियान "कर्मचारीहरूको सुरक्षित दुर्गम कार्यको संगठन".

स्रोत: www.habr.com