W tym roku wiele firm szybko przeszło na pracę zdalną. Niektórym klientom pomogliśmy ponad sto zdalnych stanowisk pracy w ciągu tygodnia. Ważne było, aby zrobić to nie tylko szybko, ale i bezpiecznie. W tym pomogła technologia VDI: dzięki niej łatwo wdrażać polityki bezpieczeństwa na wszystkich stanowiskach i chronić się przed wyciekiem danych.
W tym artykule opowiem, jak działa nasza usługa wirtualnych pulpitów oparta na Citrix VDI z perspektywy bezpieczeństwa informacji. Pokażę, co robimy, aby chronić pulpity klientów przed zewnętrznymi zagrożeniami, takimi jak ransomware czy ukierunkowane ataki.
Jakie zadania bezpieczeństwa rozwiązujemy
Wyróżniliśmy kilka głównych zagrożeń bezpieczeństwa dla usługi. Z jednej strony, wirtualny pulpit może zostać zainfekowany z komputera użytkownika. Z drugiej, istnieje niebezpieczeństwo, że użytkownik wyjdzie z wirtualnego pulpitu w otwarty kosmos internetu i pobierze zainfekowany plik. Nawet jeśli to nastąpi, nie powinno to wpłynąć na całą infrastrukturę. Dlatego przy tworzeniu usługi rozwiązaliśmy kilka zadań:
- Ochrona całego stoiska VDI przed zagrożeniami zewnętrznymi.
- Izolacja klientów od siebie.
- Ochrona samych wirtualnych pulpitów.
- Bezpieczne łączenie użytkowników z dowolnych urządzeń.
Rdzeniem ochrony stał się FortiGate – nowoczesny firewall od Fortinet. Kontroluje on ruch stoiska VDI, zapewnia izolowaną infrastrukturę dla każdego klienta i chroni przed lukami po stronie użytkownika. Jego możliwości wystarczają, aby rozwiązać większość problemów z zakresu bezpieczeństwa informacji.
Jednak jeśli firma ma specjalne wymagania dotyczące bezpieczeństwa, oferujemy dodatkowe możliwości:
- Organizujemy zabezpieczone połączenia do pracy z domowych komputerów.
- Dajemy dostęp do samodzielnej analizy dzienników bezpieczeństwa.
- Zapewniamy zarządzanie ochroną antywirusową na pulpitach.
- Chronimy przed lukami zerowego dnia.
- Konfigurujemy uwierzytelnianie wieloskładnikowe dla dodatkowej ochrony przed nieautoryzowanym dostępem.
Opowiem szczegółowo, jak rozwiązaliśmy te zadania.
Jak chronimy stoisko i zapewniamy bezpieczeństwo sieciowe
Segmentujemy część sieciową. Na stanowisku wyróżniamy zamknięty segment zarządzania do kontrolowania wszystkich zasobów. Segment zarządzania nie jest dostępny z zewnątrz: w przypadku ataku na klienta, przestępcy nie będą mogli się tam dostać.
Ochronę zapewnia FortiGate. Łączy funkcje antywirusowe, zapory sieciowej oraz systemu zapobiegania włamaniom (intrusion prevention system, IPS).
Dla każdego klienta tworzymy izolowany segment sieciowy dla wirtualnych pulpitów. W tym celu w FortiGate istnieje technologia wirtualnych domen, czyli VDOM. Umożliwia ona podział zapory na kilka wirtualnych bytów, przydzielając każdemu klientowi własny VDOM, który działa jak oddzielna zapora. Dla segmentu zarządzania także tworzymy osobny VDOM.
Oto taka schemat:
Między klientami nie ma łączności sieciowej: każdy żyje w swoim VDOM’ie i nie wpływa na innych. Bez tej technologii musielibyśmy dzielić klientów zasadami zapory, co jest ryzykowne z powodu czynnika ludzkiego. Takie zasady można porównać do drzwi, które muszą być stale zamykane. W przypadku VDOM’u nie pozostawiamy w ogóle «drzwi».
W osobnym VDOM’ie klient ma własną adresację i routowanie. Dlatego nakładanie się zakresów nie stanowi problemu dla firmy. Klient może przypisać do wirtualnych pulpitów potrzebne adresy IP. To wygodne dla dużych firm, które mają swoje plany IP.
Rozwiązujemy kwestie łączności z siecią korporacyjną klienta. Osobnym zadaniem jest integracja VDI z infrastrukturą klienta. Jeśli firma trzyma systemy korporacyjne w naszym centrum danych, można po prostu poprowadzić kabel sieciowy od jego sprzętu do zapory. Częściej mamy do czynienia z zdalnym punktem – innym centrum danych lub biurem klienta. W takim przypadku opracowujemy bezpieczną wymianę z punktem i budujemy VPN site-to-site za pomocą IPsec VPN.
Schematy mogą być różne, w zależności od złożoności infrastruktury. Gdzieś wystarczy podłączyć jedną sieć biurową do VDI – wystarczająca jest statyczna rutowanie. W dużych firmach jest wiele sieci, które się ciągle zmieniają; tutaj klient potrzebuje dynamicznego routingu. Używamy różnych protokołów: mieliśmy już przypadki z OSPF (Open Shortest Path First), tunelami GRE (Generic Routing Encapsulation) i BGP (Border Gateway Protocol). FortiGate obsługuje protokoły sieciowe w oddzielnych VDOM-ach, bez wpływu na innych klientów.
Można zbudować również GOST-VPN – szyfrowanie oparte na certyfikowanych rosyjskich środkach ochrony kryptograficznej FSB. Na przykład za pomocą rozwiązań klasy KS1 w wirtualnym środowisku „C-TERRA wirtualny brama” lub PAK ViPNet, APKSH „Kontynent”, „C-TERRA”.
Konfigurujemy zasady grupowe. Uzgadniamy z klientem zasady grupowe, które są stosowane na VDI. Zasady te są konfigurowane tak samo jak polityki w biurze. Ustawiamy integrację z Active Directory i delegujemy klientom kontrolę nad niektórymi zasadami grupowymi. Administratorzy klienta mogą stosować polityki na obiekcie Komputer, zarządzać jednostką organizacyjną w Active Directory i tworzyć użytkowników.
Na FortiGate dla każdego klienta VDOM-a piszemy politykę bezpieczeństwa sieci, określamy ograniczenia dostępu i konfigurujemy kontrolę ruchu. Używamy kilku modułów FortiGate:
- moduł IPS sprawdza ruch pod kątem złośliwego oprogramowania i zapobiega włamaniom;
- antywirus chroni same pulpity przed złośliwym i szpiegowskim oprogramowaniem;
- filtracja internetowa blokuje dostęp do niepewnych zasobów i stron z złośliwą lub nieodpowiednią treścią;
- ustawienia zapory sieciowej mogą zezwalać użytkownikom na dostęp do internetu tylko na określone strony.
Czasami klient chce samodzielnie zarządzać dostępem pracowników do stron. Częściej z takim zapytaniem zwracają się banki: służby bezpieczeństwa wymagają, aby kontrola dostępu pozostawała po stronie firmy. Takie firmy same monitorują ruch i regularnie wprowadzają zmiany w politykach. W takim przypadku cały ruch z FortiGate kierujemy w stronę klienta. W tym celu używamy skonfigurowanego połączenia z infrastrukturą firmy. Następnie klient sam konfiguruje zasady dostępu do sieci korporacyjnej i internetu.
Obserwujemy wydarzenia na stoisku. Razem z FortiGate używamy FortiAnalyzer – kolektor logów od Fortinet. Dzięki niemu przeglądamy wszystkie dzienniki zdarzeń na VDI w jednym miejscu, znajdujemy podejrzane działania i śledzimy korelacje.
Jeden z naszych klientów korzysta z produktów Fortinet w swoim biurze. Dla niego skonfigurowaliśmy eksport logów – w ten sposób klient mógł analizować wszystkie wydarzenia bezpieczeństwa dla komputerów biurowych i wirtualnych pulpitów roboczych.
Jak chronimy wirtualne pulpity robocze
Przed znanymi zagrożeniami. Jeśli klient chce samodzielnie zarządzać ochroną antywirusową, dodatkowo instalujemy Kaspersky Security dla środowisk wirtualnych.
To rozwiązanie dobrze działa w chmurze. Wszyscy przyzwyczailiśmy się, że klasyczny antywirus Kaspersky to "ciężkie" rozwiązanie. W przeciwieństwie do niego, Kaspersky Security dla środowisk wirtualnych nie obciąża wirtualnych maszyn. Wszystkie bazy wirusów znajdują się na serwerze, który wydaje wyroki dla wszystkich wirtualnych maszyn węzła. Na wirtualnym pulpicie roboczym zainstalowany jest tylko lekki agent. Wysyła on pliki do sprawdzenia na serwer.
Taka architektura jednocześnie zapewnia ochronę plików, ochronę internetową, ochronę przed atakami i nie obniża wydajności wirtualnych maszyn. W tym samym czasie klient może sam wprowadzać wyjątki w ochronie plików. Pomagamy w podstawowej konfiguracji rozwiązania. O jego cechach opowiemy w oddzielnym artykule.
Przed nieznanymi zagrożeniami. W tym celu podłączamy FortiSandbox – "piaskownicę" od Fortinet. Używamy jej jako filtra na wypadek, gdyby antywirus przepuścił zagrożenie "zero-day". Po pobraniu pliku najpierw sprawdzamy go antywirusem, a następnie wysyłamy do "piaskownicy". FortiSandbox emuluję wirtualną maszynę, uruchamia plik i obserwuje jego zachowanie: do jakich obiektów w rejestrze się odnosi, czy wysyła zapytania zewnętrzne itd. Jeśli plik zachowuje się podejrzanie, wirtualka w piaskownicy zostaje usunięta, a złośliwy plik nie trafia na użytkownikową VDI.
Jak konfigurujemy bezpieczne połączenie z VDI
Sprawdzamy zgodność urządzenia z wymaganiami bezpieczeństwa informacji. Od początku pracy zdalnej klienci zgłaszali się do nas z prośbą o zapewnienie bezpiecznej pracy użytkowników z ich prywatnych komputerów. Każdy specjalista ds. bezpieczeństwa informacji wie, że ochrona domowych urządzeń jest trudna: nie można zainstalować tam odpowiedniego programu antywirusowego ani zastosować grupowych polityk, ponieważ nie jest to sprzęt biurowy.
Domyślnie VDI staje się bezpieczną „warstwą” między osobistym urządzeniem a siecią firmową. Aby chronić VDI przed atakami z maszyny użytkownika, wyłączamy schowek i zabrania przechodzenia USB. Ale to nie czyni samego urządzenia użytkownika bezpiecznym.
Rozwiązujemy problem za pomocą FortiClient. To narzędzie do ochrony końcówek (ochrona endpointów). Użytkownicy firmy instalują FortiClient na swoich prywatnych komputerach i za jego pomocą łączą się z wirtualnym pulpitem. FortiClient realizuje trzy zadania:
- staje się „jednym oknem” dostępu dla użytkownika;
- sprawdza, czy na osobistym komputerze jest program antywirusowy i najnowsze aktualizacje systemu operacyjnego;
- buduje tunel VPN dla zabezpieczonego dostępu.
Pracownik uzyskuje dostęp tylko wtedy, gdy przechodzi weryfikację. Przy tym same wirtualne pulpity są niedostępne z internetu, co oznacza, że są lepiej chronione przed atakami.
Jeśli firma chce samodzielnie zarządzać ochroną endpointów, oferujemy FortiClient EMS (Endpoint Management Server). Klient może samodzielnie skonfigurować skanowanie pulpitów i zapobieganie włamaniom, tworzyć białą listę adresów.
Dodajemy czynniki uwierzytelniające. Domyślnie użytkownicy uwierzytelniają się za pomocą Citrix netscaler. Tutaj również możemy wzmocnić bezpieczeństwo poprzez uwierzytelnianie wieloskładnikowe oparte na produktach SafeNet. Ten temat zasługuje na osobną uwagę, o tym również opowiemy w osobnym artykule.
Taki doświadczenie w pracy z różnymi rozwiązaniami zdobyliśmy w ciągu ostatniego roku. Usługa VDI jest ustawiana osobno dla każdego klienta, dlatego wybieraliśmy jak najbardziej elastyczne narzędzia. Możliwe, że wkrótce dodamy coś więcej i podzielimy się doświadczeniem.
7 października o 17.00 moi koledzy opowiedzą o wirtualnych pulpita w webinarze „Czy VDI jest potrzebny, czy jak zorganizować pracę zdalną?”
, jeśli chcesz omówić, kiedy firma powinna wdrożyć technologię VDI, a kiedy lepiej skorzystać z innych metod.
Źródło: habr.com
