ProHoster > Blogg > Administration > Hur vi skyddar kundernas virtuella skrivbord mot virus, spioner och attacker

Hur vi skyddar kundernas virtuella skrivbord mot virus, spioner och attacker

I Är har mÄnga företag hastigt övergÄtt till distansarbete. För vissa kunder har vi hjÀlpt att organisera mer Àn hundra distansarbetsplatser pÄ en vecka. Det var viktigt att göra detta snabbt men ocksÄ sÀkert. VDI-teknologin kom till hjÀlp: den gör det enkelt att sprida sÀkerhetspolicyer till alla arbetsplatser och skydda sig mot dataintrÄng. 

I den hÀr artikeln kommer jag att berÀtta hur vÄr tjÀnst med virtuella skrivbord baserad pÄ Citrix VDI fungerar ur perspektivet av informationssÀkerhet. Jag kommer att visa vad vi gör för att skydda kundernas skrivbord frÄn externa hot som ransomware eller riktade attacker. 

Hur vi skyddar kundernas virtuella skrivbord mot virus, spioner och attacker

Vilka sÀkerhetsutmaningar vi hanterar 

Vi har identifierat nĂ„gra grundlĂ€ggande sĂ€kerhetshot för tjĂ€nsten. Å ena sidan riskerar det virtuella skrivbordet att smittas frĂ„n anvĂ€ndarens dator. Å andra sidan finns det en risk att gĂ„ ut frĂ„n det virtuella skrivbordet till det fria internet och ladda ner en infekterad fil. Även om detta skulle intrĂ€ffa bör det inte pĂ„verka hela infrastrukturen. DĂ€rför har vi vid skapandet av tjĂ€nsten hanterat flera uppgifter: 

  • Skydd av hela VDI-stĂ„ndet mot externa hot.
  • Isolering av kunder frĂ„n varandra.
  • Skydd av de virtuella skrivborden sjĂ€lva. 
  • SĂ€ker anslutning för anvĂ€ndare frĂ„n alla enheter.

KĂ€rnan i vĂ„rt skydd Ă€r FortiGate – en nĂ€sta generations brandvĂ€gg frĂ„n Fortinet. Den kontrollerar trafiken för VDI-stĂ„ndet, tillhandahĂ„ller en isolerad infrastruktur för varje kund och skyddar mot sĂ„rbarheter pĂ„ anvĂ€ndarsidan. Dess funktioner Ă€r tillrĂ€ckliga för att lösa en stor del av sĂ€kerhetsfrĂ„gorna. 

Men om ett företag har speciella sÀkerhetskrav erbjuder vi ytterligare möjligheter: 

  • Vi organiserar en sĂ€ker anslutning för arbete frĂ„n hem-PC.
  • Vi ger tillgĂ„ng till sjĂ€lvstĂ€ndig analys av sĂ€kerhetsloggar.
  • Vi tillhandahĂ„ller hantering av antivirus Skydd pĂ„ skrivborden.
  • Vi skyddar mot sĂ„rbarheter "pĂ„ den nollte dagen". 
  • Vi konfigurerar multifaktorautentisering för extra skydd mot obehörig Ă„tkomst.

Jag kommer att berÀtta mer om hur vi löste uppgifterna. 

Hur vi skyddar stÄndet och sÀkerstÀller nÀtverkssÀkerhet

Vi segmenterar den nÀtverksdel. Vid monteringen framhÀver vi det stÀngda managementsegmentet för att hantera alla resurser. Managementsegmentet Àr inte tillgÀngligt utifrÄn: vid en attack mot kunden kan angriparna inte komma in dÀr. 

Skyddet hanteras av FortiGate. Det kombinerar funktionerna hos ett antivirus, en brandvÀgg och ett system för intrÄngsskydd (intrusion prevention system, IPS). 

För varje kund skapar vi ett isolerat nÀtverkssegment för virtuella arbetsstationer. För detta finns det en teknik för virtuella domÀner, eller VDOM, i FortiGate. Det gör att man kan dela upp brandvÀggen i flera virtuella enheter och ge varje kund sin egen VDOM, som fungerar som en separat brandvÀgg. Vi skapar ocksÄ en separat VDOM för managementsegmentet.

Detta resulterar i följande schema:
Hur vi skyddar kundernas virtuella skrivbord mot virus, spioner och attacker

Det finns ingen nÀtverkskoppling mellan kunderna: varje kund lever i sin egen VDOM och pÄverkar inte den andra. Utan denna teknologi skulle vi behöva separera kunderna med brandvÀggsregler, vilket Àr riskabelt pÄ grund av den mÀnskliga faktorn. Man kan jÀmföra sÄdana regler med en dörr som stÀndigt mÄste stÀngas. Med VDOM lÀmnar vi överhuvudtaget inga "dörrar". 

I en separat VDOM har kunden sin egen adressering och routning. DÀrför blir överlappningen av adresser inte ett problem för företaget. Kunden kan tilldela de nödvÀndiga IP-adresserna till de virtuella arbetsstationerna. Detta Àr praktiskt för stora företag som har sina egna IP-planer. 

Vi löser kopplingsfrĂ„gor med kundens företagsnĂ€t. En separat uppgift Ă€r att koppla VDI med kundens infrastruktur. Om företaget har sina företagsystem i vĂ„r datacenter kan vi helt enkelt dra en nĂ€tverkskabel frĂ„n dess utrustning till brandvĂ€ggen. Men oftare hanterar vi en avlĂ€gsen plats – en annan datacenter eller kundkontor. I det hĂ€r fallet planerar vi en sĂ€ker anslutning med platsen och bygger en site-to-site VPN med hjĂ€lp av IPsec VPN. 

Scheman kan variera beroende pĂ„ infrastrukturens komplexitet. I vissa fall rĂ€cker det med att koppla en enda kontorsnĂ€tverk till VDI – dĂ€r rĂ€cker statisk routning. I stora företag finns det mĂ„nga nĂ€tverk som stĂ€ndigt förĂ€ndras; hĂ€r behöver kunden dynamisk routning. Vi anvĂ€nder olika protokoll: vi har redan haft fall med OSPF (Open Shortest Path First), GRE-tunnlar (Generic Routing Encapsulation) och BGP (Border Gateway Protocol). FortiGate stöder nĂ€tverksprotokoll i separata VDOM:ar, utan pĂ„verkan pĂ„ andra kunder. 

Det gĂ„r att bygga en GOST-VPN – kryptering baserad pĂ„ certifierade medel för kryptoskydd frĂ„n FSB i Ryssland. Till exempel med hjĂ€lp av klass KS1-lösningar i den virtuella miljön "C-Terra virtuell gateway" eller PAK ViPNet, APKSH "Kontinent", "C-Terra".

Vi konfigurerar Group Policies. Vi kommer överens med kunden om grupperingspolicyer som tillÀmpas pÄ VDI. HÀr skiljer sig konfigurationsprinciperna inget frÄn policyn i kontoret. Vi konfigurerar integration med Active Directory och delegerar till kunderna att hantera vissa grupperingspolicyer. Kundens administratörer kan tillÀmpa policyer pÄ objektet Computer, administrera organisatoriska enheter i Active Directory och skapa anvÀndare. 

PÄ FortiGate skriver vi en sÀkerhetspolicy för varje kunds VDOM, stÀller in ÄtkomstbegrÀnsningar och konfigurerar trafikövervakning. Vi anvÀnder flera moduler frÄn FortiGate: 

  • IPS-modulen övervakar trafiken för skadlig programvara och förhindrar intrĂ„ng;
  • antivirus skyddar arbetsstationerna frĂ„n skadlig och spionprogramvara;
  • webbfiltrering blockerar Ă„tkomst till opĂ„litliga resurser och webbplatser med skadligt eller oacceptabelt innehĂ„ll;
  • instĂ€llningar för brandvĂ€ggen kan tillĂ„ta att anvĂ€ndare fĂ„r tillgĂ„ng till internet endast pĂ„ vissa webbplatser. 

Ibland vill kunden sjÀlva hantera anstÀlldas Ätkomst till webbplatser. Oftare kommer sÄdana förfrÄgningar frÄn banker: sÀkerhetstjÀnster krÀver att Ätkomstkontroll förblir pÄ företagets sida. Dessa företag övervakar sjÀlva trafiken och uppdaterar regelbundet policyerna. I det hÀr fallet dirigerar vi all trafik frÄn FortiGate mot kunden. För detta anvÀnder vi en konfigurerad koppling till företagets infrastruktur. Efter det konfigurerar kunden sjÀlv Ätkomstregler till det interna nÀtverket och internet. 

Vi övervakar hĂ€ndelserna vid montern. Tillsammans med FortiGate anvĂ€nder vi FortiAnalyzer – logginsamlaren frĂ„n Fortinet. Med den kan vi titta pĂ„ alla hĂ€ndelseloggar pĂ„ VDI pĂ„ ett och samma stĂ€lle, identifiera misstĂ€nkt aktivitet och spĂ„ra korrelationer. 

En av vĂ„ra kunder anvĂ€nder Fortinets produkter pĂ„ sitt kontor. För honom har vi konfigurerat loggexport – sĂ„ att kunden kan analysera alla sĂ€kerhetshĂ€ndelser för kontorsmaskiner och virtuella skrivbord.

SĂ„ skyddar vi virtuella skrivbord

FrÄn kÀnda hot. Om kunden vill hantera antivirus skyddet sjÀlv, installerar vi dessutom Kaspersky Security för virtuella miljöer. 

Denna lösning fungerar bra i molnet. Vi Àr alla vana vid att den klassiska Kaspersky-antivirus Àr en "tung" lösning. Till skillnad frÄn den, belastar Kaspersky Security för virtuella miljöer inte de virtuella maskinerna. Alla virusdatar finns pÄ servern, som ger domar för alla virtuella maskiner i noden. PÄ det virtuella skrivbordet Àr endast en lÀtt agent installerad. Den skickar filer för kontroll till servern. 

Denna arkitektur erbjuder samtidigt filskydd, internet-skydd, skydd mot attacker och sÀnker inte prestandan pÄ de virtuella maskinerna. Kunden kan ocksÄ sjÀlv lÀgga till undantag i filskyddet. Vi hjÀlper till med grundinstÀllningen av lösningen. Vi kommer att berÀtta mer om dess funktioner i en separat artikel.

FrĂ„n okĂ€nda hot. För detta ansluter vi FortiSandbox – "sandlĂ„dan" frĂ„n Fortinet. Vi anvĂ€nder den som ett filter ifall antiviruset skulle missa ett "noll-dags-hot". Efter att ha laddat ner en fil, kontrollerar vi den först med antivirus och skickar sedan till "sandlĂ„dan". FortiSandbox emulerar en virtuell maskin, kör filen och observerar dess beteende: vilka registerobjekt den kontaktar, om den skickar externa förfrĂ„gningar, och sĂ„ vidare. Om filen upptrĂ€der misstĂ€nkt tas den virtuella maskinen i sandlĂ„dan bort, och den skadliga filen nĂ„r inte anvĂ€ndarens VDI. 

SÄ konfigurerar vi en sÀker anslutning till VDI

Vi kontrollerar att enheten uppfyller krav inom informationssÀkerhet. Sedan distansarbetet började har kunder kontaktat oss med förfrÄgningar: att sÀkerstÀlla en sÀker arbetsmiljö för anvÀndare med deras personliga datorer. Varje cybersÀkerhetsspecialist vet att det Àr svÄrt att skydda hem-enheter: det gÄr inte att installera nödvÀndiga antivirusprogram eller tillÀmpa grupppolicyer, eftersom detta inte Àr kontorsutrustning. 

Som standard blir VDI ett sÀkert "skikt" mellan den personliga enheten och företagsnÀtverket. För att skydda VDI frÄn attacker frÄn anvÀndarens maskin inaktiverar vi urklipp och förbjuder USB-genomföringar. Men detta gör inte sjÀlva anvÀndardatorn sÀker. 

Vi löser problemet med FortiClient. Detta Àr ett verktyg för skydd av slutpunkter (endpoint-skydd). Företagets anvÀndare installerar FortiClient pÄ sina hemcomputers och ansluter via detta till den virtuella arbetsstationen. FortiClient löser omedelbart tre uppgifter: 

  • blir "ett enda fönster" för anvĂ€ndarens Ă„tkomst;
  • kontrollerar om det finns antivirus och de senaste operativsystemuppdateringarna pĂ„ den personliga datorn; 
  • bygger en VPN-tunnel för sĂ€ker Ă„tkomst. 

AnvÀndaren fÄr Ätkomst endast om hen klarar av kontrollen. De virtuella arbetsstationerna Àr dock inte tillgÀngliga frÄn internet, vilket gör dem bÀttre skyddade mot attacker. 

Om företaget vill hantera endpoint-skyddet sjÀlva erbjuder vi FortiClient EMS (Endpoint Management Server). Kunden kan sjÀlv konfigurera skanning av arbetsstationer och förebyggande av intrÄng samt skapa en vit lista med adresser. 

Vi lÀgger till autentiseringsfaktorer. Som standard autentiseras anvÀndare via Citrix netscaler. HÀr kan vi ocksÄ stÀrka sÀkerheten med hjÀlp av multifaktorautentisering baserad pÄ SafeNet-produkter. Detta Àmne förtjÀnar sÀrskild uppmÀrksamhet, och vi kommer att berÀtta mer om det i en separat artikel. 

Denna erfarenhet av att arbeta med olika lösningar har vi samlat pÄ oss under det senaste Äret. TjÀnsten VDI anpassas sÀrskilt för varje kund, sÄ vi har valt sÄ flexibla verktyg som möjligt. Kanske kommer vi inom kort att lÀgga till nÄgot ytterligare och dela med oss av vÄr erfarenhet.

Den 7 oktober klockan 17.00 kommer mina kollegor att berÀtta om virtuella arbetsstationer i webbinariet "Behöver vi VDI, eller hur organiserar vi distansarbete?"
Registrera dig, om ni vill diskutera nÀr VDI-teknologin passar för ett företag och nÀr det Àr bÀttre att anvÀnda andra metoder.

KĂ€lla: habr.com

Köp pĂ„litlig webbhotell med DDoS-skydd, VPS VDS-servrar đŸ”„ Köp pĂ„litlig webbhotell med DDoS-skydd, VPS VDS-servrar | ProHoster