Sikker arbejdsplads til fjernarbejde: IT-sikkerhedsguide

Introduktion

Remote og hybrid arbejde giver medarbejdere større fleksibilitet, men de udvider også adgangen ud over det administrerede kontornetværk. Brugere kan oprette forbindelse via hjemme-routere, offentligt Wi-Fi eller personlige enheder. IT-teams har derfor brug for et sikkert arbejdsområde, der kontrollerer adgangen, beskytter systemer og data, og som forbliver enkelt nok til dagligt arbejde.

Hvad er et sikkert arbejdsområde for fjernarbejde?

Et sikkert arbejdsområde for fjernarbejde er et kontrolleret digitalt miljø, hvor medarbejdere, entreprenører og administratorer kan få adgang til virksomhedens ressourcer uden for kontoret. Afhængigt af deres rolle kan brugere have brug for en komplet Windows-desktop, en specifik forretningsapplikation, en cloud-tjeneste eller et administrativt værktøj.

De forbindelser kan komme fra virksomhedens bærbare computere, personlige enheder, kundesteder eller hjemmenetværk. Fordi organisationen ikke kontrollerer hver placering, kan sikkerheden ikke længere udelukkende afhænge af den traditionelle kontorperimeter. I stedet skal beskyttelsen følge brugeren og sessionen, uanset hvor forbindelsen begynder.

Et arbejdsområde er mere end en fjernforbindelse

Kryptering er en vigtig del af fjernadgang, men en krypteret forbindelse er ikke automatisk en sikker forbindelse. Hvis en angriber har stjålet gyldige legitimationsoplysninger, er slutpunktet inficeret, eller brugeren har for mange rettigheder, kan den beskyttede forbindelse stadig misbruges.

Et sikkert fjernarbejdsområde samler identitetskontroller, enhedsbeskyttelse, adgangsbegrænsninger, serversikkerhed, applikationstilladelser og overvågning. Disse foranstaltninger fungerer bedst som sammenkoblede lag snarere end som separate sikkerhedsprojekter.

Sikkerhedskæden for fjernadgang

Det hjælper at tænke på remote access som en sammenkoblet kæde:

Brugeridentitet → Endepunktsenhed → Netværksforbindelse → Remote access-platform → Applikation → Forretningsdata

Fordi Remote Desktop-sikkerhed afhænger af endpoint-holdning, netværkseksponering og konto kontrol. en svaghed på ethvert tidspunkt kan påvirke hele sessionen. Multifaktorautentifikation kan forhindre en angriber i at bruge en stjålet adgangskode, men den kan ikke beskytte en upatchad applikationsserver eller en konto med unødvendige administrative rettigheder. Et sikkert arbejdsområde skal derfor beskytte hver fase, mens adgangen holdes passende i forhold til hver brugers rolle.

Hvorfor betyder sikre fjernarbejdspladser noget?

Fjernarbejde og hybridarbejde spreder brugere, enheder og adgangsveje på tværs af lokationer, som organisationer ikke altid kan styre direkte, en udfordring dækket af NIST vejledning om telearbejde, fjernadgang og BYOD-sikkerhed Medarbejdere kan oprette forbindelse gennem hjemme-routere, offentligt Wi-Fi, mobile netværk eller personlige computere, mens de arbejder med følsomme applikationer og data.

Som et resultat har IT-teams brug for et klart overblik over, hvem der opretter forbindelse, hvilken enhed de bruger, hvad de forsøger at nå, og om forbindelsen matcher den forventede adfærd.

Fjernarbejde fjerner den traditionelle perimeter

I et konventionelt kontor skabte netværkskontroller en klar grænse omkring brugere og systemer. Fjernarbejde ændrer den model, fordi legitime forbindelser nu begynder uden for det interne netværk.

Angribere kan målrette mod udsatte Remote Desktop Protocol-tjenester, svagt beskyttede portaler, genbrugte adgangskoder, upatchede virtuelle private netværksenheder og kompromitterede slutpunkter. Når de først logger ind med gyldige legitimationsoplysninger, kan deres aktivitet i starten se ud som en autoriseret brugers. Dette er grunden til, at identitet, enhedskontekst og sessionsadfærd nu spiller en så central rolle i sikkerheden ved fjernarbejde.

Sikkerhedskontroller skal bevare brugervenligheden

Sikkerhedsforanstaltninger, der gør normalt arbejde for vanskeligt, kan skabe problemer i sig selv. Når det godkendte arbejdsområde er langsomt, forvirrende eller upålideligt, kan brugere gemme adgangskoder usikkert, flytte filer gennem personlige tjenester eller tage uautoriserede applikationer i brug.

Et veludformet sikkert arbejdsområde reducerer risikoen uden at tilføje unødvendig friktion. Medarbejdere bør kun se de applikationer, de har brug for, få adgang til dem gennem en konsekvent adgangsvej og fuldføre autentificeringen uden undgåelig kompleksitet. Samtidig bør centraliserede politikker og logfiler gøre denne oplevelse lettere for IT-teams at administrere.

Kerne sikkerhedslagene i et fjernarbejdsområde

Ingen enkelt teknologi kan beskytte fjernarbejde alene. Et modstandsdygtigt arbejdsområde bruger flere forsvarslag, så en fejl i en kontrol ikke straks udsætter applikationer eller data.

Identitet og autentificering

Identitetskontroller bestemmer, om nogen skal have lov til at starte en fjernsession. Adgangskoder spiller stadig en rolle i de fleste autentificeringssystemer, men de er ikke nok til at beskytte mod phishing, genbrug af adgangskoder og credential stuffing.

Fjernbrugere og administratorer bør bruge multifaktorautentifikation, hvor det er muligt. Politikker for kontolåsning, loginrategrænser og advarsler for gentagne fejl tilføjer et ekstra beskyttelseslag. Organisationer bør også hurtigt fjerne inaktive konti og holde standardbrugeridentiteter adskilt fra privilegerede administrative konti.

Endpoint tillid

Endpointet er den enhed, som den fjernforbindelse starter fra. Selv når brugeren er legitim, kan en kompromitteret computer afsløre legitimationsoplysninger, introducere malware eller tillade følsomme filer at forlade organisationen.

Administrerede enheder bør modtage opdateringer til operativsystemet, endpoint-detektion og -respons, beskyttelse mod malware, firewall-politikker og disk-kryptering. IT-teams skal også beslutte, om brugere må gemme data lokalt, omdirigere udklipsholdere eller forbinde lokale drev til en fjernsession.

Bring Your Own Device-politikker bør definere de minimale sikkerhedskrav til personligt udstyr. Når organisationen ikke kan stole fuldt ud på en endpoint, kan browserbaseret applikationsadgang eller en begrænset fjernsession hjælpe med at reducere lokal dataeksponering.

Kontrolleret fjernadgang

Adgangslaget bestemmer, hvordan brugere når interne applikationer og skriveborde. Når det er muligt, bør IT-teams undgå at udsætte backend-applikationsservere direkte for internettet. En sikker gateway, omvendt proxy eller webportal kan i stedet give et kontrolleret adgangspunkt.

Applikationspublisering kan reducere eksponeringen endnu mere. En finansmedarbejder, der kun har brug for en regnskabsapplikation, har måske ikke brug for adgang til en fuld desktop eller det bredere interne netværk.

Uanset hvad sikkert fjernadgangsmodel organisationen vælger, den bør tilbyde krypteret kommunikation, granulære brugeropgaver og centraliseret sessionkontrol. Virtuelle private netværk forbliver nyttige, når brugere virkelig har brug for netværksniveau forbindelse, men de er ikke altid det bedste standardvalg for hver fjernarbejder.

Applikations- og sessionssikkerhed

Sikkerhed stopper ikke, når en bruger logger ind. Fjernsessioner bør fortsætte med at begrænse adgangen til de applikationer, filer, printere og administrative funktioner, der er nødvendige for brugerens arbejde.

Rollebaseret adgangskontrol og mindst privilegium hjælper med at reducere skaden, som en kompromitteret konto kan forårsage. Sessionstimeouts, begrænsninger i arbejdstid og politikker for enhedsredirecting kan også begrænse uovervåget eller upassende adgang.

Privilegerede sessioner kræver endnu strammere kontrol. Administratorer bør bruge separate konti, godkendte enheder og yderligere overvågning, når de arbejder med følsomme systemer.

Databeskyttelse

Et sikkert arbejdsområde bør forhindre unødvendig bevægelse af forretningsdata til fjerntliggende slutpunkter. Centraliseret applikations- eller desktoplevering kan hjælpe ved at holde filer og behandling på organisationskontrollerede servere, mens der kun sendes sessionens grænseflade til brugeren.

Følsomme oplysninger bør forblive krypteret både under overførsel og i hvile. Backup-systemer bør også opbevare beskyttede gendannelseskopier, som en kompromitteret produktionskonto ikke kan ændre.

For regulerede eller fortrolige data kan organisationer også have brug for filadgangsrevision, opbevaringspolitikker og kontroller for datatab.

Overvågning og respons

Godkendelse og sessionaktivitet bør oprette logfiler, som administratorer kan gennemgå og korrelere. Nyttefulde begivenheder inkluderer succesfulde og mislykkede login, blokerede forbindelser, nye kildeplaceringer, ændringer i privilegier, filadgang og ændringer i sikkerhedskonfiguration.

Advarsler er mest nyttige, når de peger på adfærd, der kræver handling. Gentagne loginfejl, en privilegeret konto, der opretter forbindelse fra en ny placering, eller en kilde, der forsøger at nå flere servere, er alle eksempler.

Overvågning hjælper kun, når organisationen ved, hvordan man skal reagere. IT-teams har brug for klare procedurer for at deaktivere en konto, isolere en vært, afslutte en session og bevare beviser, når mistænkelig aktivitet optræder.

Hvad er de almindelige trusler mod fjernarbejdspladser?

Angreb på fjernarbejdspladser kombinerer ofte flere almindelige svagheder i stedet for at stole på en enkelt sofistikeret udnyttelse. At se på den sandsynlige angrebsvej hjælper IT-teams med at beslutte, hvilke kontroller der fortjener mest opmærksomhed.

Credentialtyveri og phishing

Phishing forbliver en af de mest almindelige måder at opnå legitimationsoplysninger til fjernadgang. Angribere kan kopiere Microsoft 365 login-sider, supportportaler eller prompts til multifaktorautentifikation for at narre brugere til at godkende adgang.

Multi-faktorautentifikation gør en stjålet adgangskode mindre nyttig, men brugerbevidsthed er stadig vigtig. Privilegerede og højrisiko-konti kan også kræve stærkere, phishing-modstandsdygtige autentifikationsmetoder.

Udsatte fjernservices

Internet-facing remote access services scannes kontinuerligt for svage legitimationsoplysninger, kendte sårbarheder og konfigurationsfejl. Direkte eksponering af Remote Desktop Protocol port 3389 skaber unødvendig risiko, når en gateway eller mæglet adgangsmetode er tilgængelig.

Når offentlig eksponering ikke kan undgås, bør IT-teams begrænse kildeadresser, hvor det er praktisk, anvende sikkerhedsopdateringer hurtigt, håndhæve netværksniveauautentifikation og overvåge mislykkede forbindelsesforsøg.

Ransomware og aktivitet efter login

En angriber, der får adgang gennem en fjernkonto, kan bruge legitime systemværktøjer til at udforske miljøet, eskalere privilegier og implementere ransomware. At forhindre den indledende login er vigtigt, men en ransomware playbook for RDS-miljøer skal også begrænse, hvad en autentificeret session kan nå.

Netværkssegmentering, begrænsede tilladelser, beskyttede sikkerhedskopier og adfærdsmonitorering kan reducere virkningen af et vellykket kompromis.

Uadministrerede enheder og skygge-IT

Personlige enheder og uautoriserede cloud-tjenester kan flytte virksomhedens data uden for organisatorisk kontrol. Medarbejdere tyer ofte til disse værktøjer, fordi det godkendte arbejdsområde ikke understøtter et praktisk behov.

I stedet for kun at stole på forbud, bør IT-teams tage fat på arbejdsgangen bag adfærden. En pålidelig browserportal, godkendt filoverførselsmetode eller applikationsudgivelsestjeneste kan gøre skygge-IT mindre attraktivt.

Hvordan man bygger et sikkert fjernarbejdsområde?

Et sikkert arbejdsområde fungerer bedst, når det introduceres som et struktureret program snarere end som en samling af urelaterede produkter. Følgende sekvens hjælper IT-teams med at håndtere de vigtigste risici først.

Kortlæg brugere, enheder og ressourcer

Start med at identificere alle, der har brug for fjernadgang. Medarbejdere, entreprenører, administratorer, managed service providers og andre tredjeparter bør betragtes som separate grupper, fordi deres krav og risici er forskellige.

For hver gruppe skal du registrere de applikationer, data, forbindelsestider og endpoint-typer, de kræver. Disse oplysninger danner grundlaget for adgangspolitikker.

Reducer unødvendig eksponering

Følgende CISA vejledning til sikring af fjernadgangssoftware Gennemgå hver internetvendt fjernadgangstjeneste og fjern alt, der ikke længere er nødvendigt. Når det er muligt, placer en sikker gateway, omvendt proxy eller webportal foran applikationsservere i stedet for at offentliggøre dem direkte.

At offentliggøre individuelle applikationer i stedet for komplette skriveborde eller netværk kan reducere eksponeringen yderligere. En mindre adgangsoverflade er normalt lettere at beskytte og overvåge.

Styrk autentificering

Krav om multifaktorautentifikation for fjernbrugere og administratorer. Privilegerede konti bør have stærkere betingelser, såsom separate legitimationsoplysninger og adgang fra godkendte enheder.

Beskyttelse mod gentagne loginforsøg bør også aktiveres og overvåges. Adgangskodepolitikker bør opfordre til lange, unikke legitimationsoplysninger uden at stole på forudsigelige rotationsplaner.

Anvend mindst privilegeret adgang

Tildel applikationer og filer gennem bruger- eller rollebaserede grupper. Hver person bør kun modtage den adgang, der er nødvendig for deres nuværende ansvar.

Tilladelser bør gennemgås regelmæssigt og fjernes, når medarbejdere skifter roller, eller når entreprenører afslutter deres arbejde. Administrative konti bør også forblive adskilt fra konti, der bruges til daglig applikationsadgang.

Beskyt endpoints og servere

Hold endpoint-operativsystemer, browsere, forretningsapplikationer og remote access-software opdateret. Administrerede enheder bør også bruge endpoint-beskyttelse, firewall-politikker og disk-kryptering.

Fjernsession værter og applikationsservere har brug for den samme opmærksomhed. IT-teams bør opdatere dem regelmæssigt, fjerne ubrugte tjenester og beskytte dem mod brute-force angreb, ransomware aktivitet og uautoriserede konfigurationsændringer.

Overvåg den komplette adgangsvej

Indsaml begivenheder fra identitetssystemer, fjernadgangsporte, Windows-servere, endpoint-værktøjer og forretningsapplikationer. At samle disse optegnelser gør det lettere at se en sekvens af aktivitet snarere end en samling af isolerede advarsler.

Respons tærskler bør dække gentagne fejl, usædvanlige placeringer, privilegerede login og adgang uden for godkendte arbejdstider. Politikker bør også gennemgås efter hændelser, infrastrukturændringer og ændringer i arbejdsstyrken.

Test genoprettelsesprocedurer

Backups skal forblive tilgængelige, selv når produktionsservere eller legitimationsoplysninger er kompromitteret. Backupadministration bør beskyttes separat, og gendannelsesprocedurer bør testes efter en regelmæssig tidsplan.

Hændelsesøvelser bør bekræfte, at teamet kan tilbagekalde adgang, isolere systemer, gendanne tjenester og kommunikere med brugerne. Indtil disse procedurer er blevet testet, forbliver genopretningsplanen en antagelse.

Hvordan kan du vælge sikre arbejdspladsteknologier?

Et sikkert fjernarbejdsområde kombinerer normalt flere teknologier, hvor hver enkelt adresserer en forskellig del af adgangsprocessen.

Teknologi	Primært formål	Bedst egnet til
Fjernskrivebordstjenester	Centraliserede Windows-skriveborde og sessioner	Organisationer, der leverer fulde Windows-arbejdspladser
Applikationsudgivelse	Levering af valgte applikationer	Brugere, der ikke har brug for en fuld desktop
Sikker adgangsgateway	Brokeret adgang uden direkte servereksponering	Internettet-facing fjernadgangsmiljøer
HTML5 webportal	Browser-baseret adgang uden en dedikeret klient	Entreprenører, mobile brugere og blandede slutpunkter
Virtuelt privat netværk	Krypteret netværksniveau forbindelse	Brugere, der kræver adgang til flere interne tjenester
Multi-faktor godkendelse	Yderligere identitetsbekræftelse	Alle fjernbrugere, især administratorer
Endpoint protection	Malware-detektion og enhedsbeskyttelse	Administrerede bærbare computere, stationære computere og servere
Sikkerhedsovervågning	Opdagelse, undersøgelse og respons	Alle produktions fjernadgangsmiljøer

Den rigtige arkitektur afhænger af, hvad hver bruger faktisk har brug for at nå. I de fleste tilfælde bør IT-teams vælge den snævreste adgangsmetode, der stadig understøtter det nødvendige arbejde.

Hvordan vurderer man en sikker arbejdspladsløsning?

Produktudvælgelsen bør starte med organisationens adgangsmodel snarere end en lang funktionscheckliste. Først skal IT-teams beslutte, om brugerne har brug for fuld netværksadgang, komplette skriveborde eller kun udvalgte applikationer. At give alle bred adgang kan skabe unødvendig kompleksitet og risiko, når en mere begrænset model ville understøtte det samme arbejde.

Evalueringen bør fokusere på fem områder:

• Identitets- og adgangskontroller, herunder multifaktorautentifikation, rollebaserede tilladelser og integration med eksisterende identitetstjenester
• Leveringsmuligheder for applikationer og skriveborde, understøttet af sikre gateway- eller reverse-proxy-funktioner
• Sessionsikkerhed, herunder enhedsredirigeringspolitikker, aktivitetsbegrænsninger og administratorkontroller
• Overvågning og beskyttelse gennem logning, alarmer, rapporter, serversikkerhed og ransomware-forsvar
• Operationel egnethed, herunder implementeringsindsats, opdatering, Windows-kompatibilitet, skalerbarhed og samlede omkostninger

Et proof of concept bør bruge rigtige brugere, applikationer, enheder og netværksforhold. Det bør også vise, hvordan administratorer kan tilbagekalde adgang, undersøge mistænkelig aktivitet, anvende opdateringer og gendanne tjenesten efter en serverfejl eller sikkerhedshændelse.

Hvordan understøtter TSplus et sikkert fjernarbejdsområde?

TSplus Advanced Security stærker Windows-serverne, der understøtter fjernarbejde. Det tilføjer specialiseret beskyttelse mod trusler, der påvirker Remote Desktop Protocol-sessioner, applikationsservere og andre internet-udsendte Windows-miljøer. Administratorer kan centralt styre disse kontroller for at reducere eksponeringen uden at gøre legitim fjernadgang unødigt kompleks.

Dens vigtigste sikkerhedsfunktioner inkluderer:

• Bruteforce Protection overvåger mislykkede loginforsøg og blokerer IP-adresser, der overskrider de konfigurerede grænser.
• Geografisk beskyttelse begrænser indkommende forbindelser i henhold til deres oprindelsesland.
• Ransomware Protection opdager mistænkelig filaktivitet og kan blokere berørte processer, før et angreb spreder sig.
• Sikre sessioner og tilladelser begrænser, hvad brugere kan få adgang til og udføre under Windows-sessioner.
• Arbejdstimer begrænser fjernforbindelser til godkendte tidsplaner.
• Betroede enheder forbinder adgang med autoriserede slutpunkter.
• Firewall og IP-administrationsværktøjer hjælper administratorer med at tillade, blokere og gennemgå netværkskilder.
• Sikkerhedshændelser, advarsler og rapporter giver indsigt i mistænkelig aktivitet og politikhandlinger.

TSplus Advanced Security skal fungere som en del af en lagdelt sikkerhedsstrategi, der også inkluderer multifaktorautentifikation, endpoint-beskyttelse, patchstyring, beskyttede sikkerhedskopier og administration med mindst privilegier. Sammen hjælper disse kontroller IT-teams med at beskytte fjernarbejdspladser mod brute-force angreb, ransomware og uautoriseret adgang uden at stole på et enkelt forsvarsforanstaltning.

Konklusion

Et sikkert arbejdsområde for fjernarbejde defineres ikke af et specifikt produkt eller forbindelsesmetode. Det er et lagdelt miljø, der beskytter brugeridentitet, endpoint-enheder, netværksforbindelser, fjernsessioner, applikationer og forretningsdata som en kontinuerlig adgangskæde.

IT-teams bør reducere unødvendig eksponering, håndhæve stærk autentificering og anvende mindst privilegeret adgang, før de tilføjer endpoint-beskyttelse, serverhærdning og centraliseret overvågning. Kombineret med testede backup- og gendannelsesprocedurer skaber disse foranstaltninger et modstandsdygtigt arbejdsområde, der understøtter fjernproduktivitet, samtidig med at de begrænser virkningen af kompromitterede konti, enheder eller sessioner.