)
)
Εισαγωγή
Η απομακρυσμένη και υβριδική εργασία έχει μεταφέρει την πρόσβαση των επιχειρήσεων πέρα από το εταιρικό δίκτυο. Οι υπάλληλοι συνδέονται τώρα από τα σπίτια τους, από τοποθεσίες πελατών και δημόσια δίκτυα μέσω διαχειριζόμενων ή προσωπικών συσκευών. Οι ομάδες IT πρέπει να ασφαλίσουν αυτό το ευρύτερο περιβάλλον χωρίς να καθιστούν την εγκεκριμένη πρόσβαση τόσο δύσκολη ώστε οι υπάλληλοι να καταφεύγουν σε μη ασφαλείς συντομεύσεις ή μη υποστηριζόμενα εργαλεία.
Τι είναι η ασφάλεια απομακρυσμένης εργασίας;
Η ασφάλεια της απομακρυσμένης εργασίας είναι ο συνδυασμός πολιτικών, διαδικασιών και τεχνικών ελέγχων που χρησιμοποιούνται για την προστασία των ατόμων που έχουν πρόσβαση σε οργανωτικούς πόρους εκτός ενός κεντρικά διαχειριζόμενου δικτύου γραφείου.
Αυτοί οι άνθρωποι μπορεί να είναι υπάλληλοι, εργολάβοι, διαχειριστές, πάροχοι διαχειριζόμενων υπηρεσιών ή άλλοι εξουσιοδοτημένοι τρίτοι. Μπορεί να συνδέονται από ένα γραφείο στο σπίτι μία ημέρα και από έναν πελάτη την επόμενη, μερικές φορές χρησιμοποιώντας έναν υπολογιστή της εταιρείας και μερικές φορές χρησιμοποιώντας μια προσωπική συσκευή.
Η εξασφάλιση αυτής της δραστηριότητας περιλαμβάνει πολύ περισσότερα από την κρυπτογράφηση μιας σύνδεσης δικτύου. Στην πράξη, οι ομάδες IT προστατεύουν μια πλήρη αλυσίδα πρόσβασης:
Ταυτότητα χρήστη → συσκευή τερματικού → σύνδεση δικτύου → πλατφόρμα απομακρυσμένης πρόσβασης → εφαρμογή → δεδομένα
Γιατί η ασφάλεια της απομακρυσμένης εργασίας απαιτεί επίπεδα
Μια αδυναμία σε οποιοδήποτε στάδιο μπορεί να υπονομεύσει τους ελέγχους γύρω από αυτήν. Η πολυπαραγοντική αυθεντικοποίηση μπορεί να μειώσει τον κίνδυνο κλοπής κωδικών πρόσβασης, αλλά δεν μπορεί να αφαιρέσει κακόβουλο λογισμικό από έναν μη υποστηριγμένο υπολογιστή. Η κρυπτογράφηση μπορεί να προστατεύσει την κίνηση από παρεμβολές, αλλά δεν μπορεί να αποτρέψει έναν υπερβολικά προνομιούχο λογαριασμό από το να ανοίξει αρχεία που δεν χρειάζεται ο χρήστης.
Η ασφάλεια της απομακρυσμένης εργασίας λειτουργεί καλύτερα ως ένα πολυεπίπεδο σύστημα. Η προστασία ταυτότητας, η διαχείριση τερματικών, η ελεγχόμενη πρόσβαση, οι περιορισμένες άδειες, η παρακολούθηση και η αποκατάσταση πρέπει όλες να υποστηρίζουν η μία την άλλη.
Τι καλύπτει η ασφάλεια απομακρυσμένης εργασίας;
Η έκταση της ασφάλειας της απομακρυσμένης εργασίας είναι ευρύτερη από το λάπτοπ που χρησιμοποιεί ένας υπάλληλος ή την πύλη που δέχεται τη σύνδεση. Περιλαμβάνει κάθε στοιχείο που εμπλέκεται στην πρόσβαση, τη χρήση και τη διαχείριση ενός επιχειρηματικού πόρου.
Συστήματα, Εφαρμογές και Δεδομένα
Οι απομακρυσμένοι χρήστες μπορεί να χρειάζονται πρόσβαση σε:
- Εσωτερικές επιχειρηματικές εφαρμογές
- Windows επιτραπέζιοι υπολογιστές και διακομιστές
- Κοινές χρήσεις αρχείων και βάσεις δεδομένων
- Σύννεφο και πλατφόρμες Λογισμικού ως Υπηρεσία
- Εργαλεία ηλεκτρονικού ταχυδρομείου και συνεργασίας
- Περιβάλλοντα ανάπτυξης και παραγωγής
- Διαχειριστικές διεπαφές
- Υποδομή αντιγράφων ασφαλείας και αποκατάστασης
Αυτοί οι πόροι δεν φέρουν το ίδιο επίπεδο κινδύνου. Το άνοιγμα ενός γενικού εταιρικού πορτάλ είναι πολύ διαφορετικό από τη διαχείριση ενός παραγωγικού διακομιστή ή τη λήψη αρχείων πελατών. Η ασφάλεια της απομακρυσμένης εργασίας θα πρέπει να αντικατοπτρίζει αυτές τις διαφορές αντί να εφαρμόζει μία πολιτική σε κάθε σύστημα.
Συσκευές και Απομακρυσμένες Συνεδρίες
Οι συσκευές που χρησιμοποιούνται για απομακρυσμένη εργασία αποτελούν επίσης μέρος των ορίων ασφαλείας. Οι υπολογιστές που διαχειρίζεται η εταιρεία μπορούν να ακολουθούν κεντρικά επιβεβλημένες πολιτικές για την ενημέρωση, την κρυπτογράφηση και την προστασία των τερματικών. Οι προσωπικές συσκευές είναι πιο δύσκολο να ελεγχθούν, επομένως μπορεί να απαιτούν πρόσβαση μέσω προγράμματος περιήγησης, απομόνωση εφαρμογών ή αυστηρότερους περιορισμούς.
Η απομακρυσμένη συνεδρία χρειάζεται επίσης προσοχή. Η πρόσβαση στο πρόχειρο, οι μεταφορές αρχείων, η χαρτογράφηση τοπικών δίσκων, η ανακατεύθυνση εκτυπωτών και οι συνδέσεις USB μπορούν να υποστηρίξουν νόμιμη εργασία. Ταυτόχρονα, κάθε δυνατότητα μπορεί να παρέχει μια διαδρομή για διαρροή δεδομένων ή μεταφορά κακόβουλου λογισμικού. Οι ομάδες IT θα πρέπει να αποφασίσουν ποιες λειτουργίες απαιτεί πραγματικά κάθε ομάδα χρηστών.
Λειτουργικές Διαδικασίες
Η απομακρυσμένη ασφάλεια εξαρτάται επίσης από τη ρουτίνα διαχείρισης. Η παροχή λογαριασμών, οι αναθεωρήσεις αδειών, η αποχώρηση εργολάβων, η διαχείριση ενημερώσεων και οι δοκιμές αντιγράφων ασφαλείας επηρεάζουν άμεσα την ασφάλεια του περιβάλλοντος.
Ένας ξεχασμένος λογαριασμός εργολάβου ή μια μη ενημερωμένη πύλη μπορεί να αποδυναμώσει μια καλοσχεδιασμένη αρχιτεκτονική. Η ασφάλεια της απομακρυσμένης εργασίας πρέπει επομένως να περιλαμβάνει τις διαδικασίες που διατηρούν τους τεχνικούς ελέγχους ακριβείς με την πάροδο του χρόνου.
Γιατί η απομακρυσμένη εργασία αλλάζει το μοντέλο ασφάλειας;
Η παραδοσιακή ασφάλεια των επιχειρήσεων υποθέτει ότι οι χρήστες εργάζονται στις εγκαταστάσεις της εταιρείας, χρησιμοποιούν συσκευές που διαχειρίζεται ο οργανισμός και συνδέονται μέσω προστατευμένων εσωτερικών δικτύων. Τα τείχη προστασίας και άλλοι έλεγχοι περιμέτρου διαχωρίζουν τους αξιόπιστους πόρους από το δημόσιο διαδίκτυο.
Η απομακρυσμένη εργασία καθιστά αυτό το όριο λιγότερο σαφές. Ένας υπάλληλος μπορεί να συνδεθεί μέσω ενός καταναλωτικού δρομολογητή που η πληροφορική δεν μπορεί να ελέγξει, ενώ ένας εργολάβος μπορεί να χρησιμοποιήσει έναν προσωπικό υπολογιστή χωρίς κεντρική προστασία τερματικού. Οι διαχειριστές μπορεί επίσης να χρειαστεί να έχουν πρόσβαση σε κρίσιμα συστήματα από δίκτυα που μοιράζονται με άγνωστους χρήστες.
Οι υπηρεσίες απομακρυσμένης πρόσβασης και οι επιχειρηματικές εφαρμογές μπορεί επίσης να είναι προσβάσιμες από το διαδίκτυο. Αυτό δίνει στους επιτιθέμενους περισσότερες ευκαιρίες να σαρώσουν τις υπηρεσίες, να δοκιμάσουν διαπιστευτήρια και να στοχεύσουν σε υποδομές που δεν έχουν ενημερωθεί.
Οι ομάδες ασφαλείας χρειάζονται περισσότερα συμφραζόμενα πριν επιτρέψουν την πρόσβαση. Η ταυτότητα, η δύναμη της αυθεντικοποίησης, η κατάσταση της συσκευής, η τοποθεσία, ο ρόλος του χρήστη, ο χρόνος σύνδεσης και ο ζητούμενος πόρος έχουν σημασία. Μια σύνδεση δεν θα πρέπει να θεωρείται αξιόπιστη απλώς και μόνο επειδή ο χρήστης εισήγαγε τον σωστό κωδικό πρόσβασης ή προήλθε από ένα γνωστό δίκτυο.
Ποιες είναι οι κύριοι κίνδυνοι ασφάλειας για την απομακρυσμένη εργασία;
Η απομακρυσμένη εργασία αυξάνει την έκθεση σε αρκετές γνωστές απειλές. Αυτοί οι κίνδυνοι σπάνια παραμένουν απομονωμένοι, γι' αυτό και ένας παραβιασμένος κωδικός πρόσβασης ή σημείο πρόσβασης μπορεί γρήγορα να οδηγήσει σε ευρύτερη πρόσβαση.
Διακυβευμένα Διαπιστευτήρια και Επιθέσεις Αυθεντικοποίησης
Phishing, επαναχρησιμοποίηση κωδικών πρόσβασης, κακόβουλο λογισμικό infostealer και stuffing διαπιστευτηρίων μπορούν να δώσουν στους επιτιθέμενους έγκυρα ονόματα χρήστη και κωδικούς πρόσβασης. Μόλις αυθεντικοποιηθεί, ένας επιτιθέμενος μπορεί να ανοίξει εφαρμογές, να δημιουργήσει μια απομακρυσμένη συνεδρία ή να αναζητήσει υψηλότερα προνόμια.
Υπηρεσίες σύνδεσης που είναι προσβάσιμες μέσω του διαδικτύου προσελκύουν επίσης επιθέσεις brute-force και password-spraying Οι υπηρεσίες πρωτοκόλλου απομακρυσμένης επιφάνειας εργασίας, οι διαδικτυακές πύλες, οι πύλες εικονικού ιδιωτικού δικτύου και οι διαχειριστικές διεπαφές είναι κοινές στόχοι.
Η πολυπαραγοντική αυθεντικοποίηση, οι διαχειριστές κωδικών πρόσβασης, ο περιορισμός ρυθμού και η ανίχνευση ανώμαλων συνδέσεων καθιστούν αυτές τις επιθέσεις πιο δύσκολες στην ολοκλήρωση. Σκοπός είναι όχι μόνο η προστασία του κωδικού πρόσβασης αλλά και η αναγνώριση όταν χρησιμοποιούνται έγκυρα διαπιστευτήρια με ασυνήθιστο τρόπο.
Εκτεθειμένες Υπηρεσίες Απομακρυσμένης Επιφάνειας Εργασίας
Το πρωτόκολλο απομακρυσμένης επιφάνειας εργασίας είναι ένας τυπικός τρόπος πρόσβασης σε συστήματα Windows, αλλά εκθέτοντας έναν RDP διακομιστή απευθείας στο δημόσιο διαδίκτυο δημιουργεί αποφεύξιμο κίνδυνο. Οι επιτιθέμενοι μπορούν να βρουν προσβάσιμα συστήματα, να δοκιμάσουν διαπιστευτήρια και να στοχεύσουν αδυναμίες στην περιβάλλουσα υποδομή.
Οι συνδέσεις απομακρυσμένων επιτραπέζιων υπολογιστών θα πρέπει κανονικά να περνούν μέσω μιας ασφαλούς πύλης, μεσολαβητή ή στρώματος δημοσίευσης εφαρμογών. Αυτό κρατά τους διακομιστές συνεδριών μακριά από άμεση έκθεση στο διαδίκτυο και δίνει στους διαχειριστές ένα κεντρικό σημείο για την επιβολή της αυθεντικοποίησης, των πολιτικών πρόσβασης και της καταγραφής.
Ανεξέλεγκτες Συσκευές και Κακόβουλο Λογισμικό
Οι πολιτικές Bring-your-own-device παρέχουν στους υπαλλήλους ευελιξία, αλλά μειώνουν τον έλεγχο της οργάνωσης σχετικά με τη διαμόρφωση των τερματικών. Μια προσωπική συσκευή μπορεί να μην έχει τις τρέχουσες ενημερώσεις, πλήρη κρυπτογράφηση δίσκου, ανίχνευση τερματικού ή ασφαλείς ρυθμίσεις προγράμματος περιήγησης.
Οι απομακρυσμένες συσκευές μπορούν επίσης να παραβιαστούν μέσω κακόβουλων συνημμένων, ψεύτικων ενημερώσεων, μη ασφαλών επεκτάσεων ή μη εξουσιοδοτημένου λογισμικού. Μόλις το κακόβουλο λογισμικό φτάσει στη συσκευή ή τη συνεδρία, μπορεί να στοχεύσει διαπιστευτήρια, κοινόχρηστους φακέλους, χαρτογραφημένους δίσκους και συνδεδεμένους διακομιστές.
Οι οργανισμοί θα πρέπει να αποφασίσουν ποιους πόρους μπορούν να έχουν πρόσβαση οι μη διαχειριζόμενες συσκευές. Ευαίσθητα διοικητικά και παραγωγικά συστήματα θα πρέπει να παραμένουν μη διαθέσιμα όταν μια συσκευή δεν μπορεί να πληροί τις καθορισμένες απαιτήσεις ασφαλείας.
Υπερβολικά Προνόμια και Πλευρική Κίνηση
Η απομακρυσμένη πρόσβαση συχνά είναι πιο ευρεία από ό,τι χρειάζεται. Οι εργολάβοι μπορεί να διατηρούν δικαιώματα μετά την ολοκλήρωση ενός έργου; οι κανονικοί χρήστες μπορεί να διατηρούν δικαιώματα τοπικού διαχειριστή και οι ομάδες υποστήριξης μπορεί να βασίζονται σε κοινά προνόμια λογαριασμών.
Εάν ένας λογαριασμός παραβιαστεί, οι υπερβολικές άδειες δίνουν σε έναν επιτιθέμενο περισσότερα συστήματα για εξερεύνηση και περισσότερα δεδομένα για πρόσβαση. Η πρόσβαση θα πρέπει να αντικατοπτρίζει τον πραγματικό ρόλο του χρήστη.
Ένα άτομο που χρειάζεται μία δημοσιευμένη εφαρμογή δεν θα πρέπει αυτόματα να λαμβάνει έναν πλήρη επιτραπέζιο υπολογιστή ή ευρεία συνδεσιμότητα δικτύου. Η τμηματοποίηση θα πρέπει επίσης να αποτρέπει μια παραβιασμένη συνεδρία από το να φτάσει σε συστήματα αντιγράφων ασφαλείας, ελεγκτές τομέα ή άσχετους πόρους παραγωγής.
Σκιά IT και Διαρροή Δεδομένων
Οι υπάλληλοι μερικές φορές υιοθετούν μη ασφαλή εργαλεία επειδή η εγκεκριμένη διαδικασία είναι πολύ αργή ή περιοριστική. Μπορεί να χρησιμοποιούν προσωπικό email, υπηρεσίες αποθήκευσης καταναλωτών ή μια μη εγκεκριμένη εφαρμογή απομακρυσμένης πρόσβασης.
Ο αποκλεισμός αυτών των εργαλείων είναι μόνο μέρος της απάντησης. Οι ομάδες IT πρέπει επίσης να κατανοήσουν γιατί οι υπάλληλοι τα χρησιμοποιούν. Ένα αξιόπιστο portal περιηγητή ή υπηρεσία δημοσίευσης εφαρμογών μπορεί να λύσει το πρόβλημα ροής εργασίας πιο αποτελεσματικά από μια άλλη πολιτική προειδοποίησης.
Η επιτρεπτική πρόσβαση στο πρόχειρο, η χαρτογράφηση δίσκων και οι ρυθμίσεις μεταφοράς αρχείων μπορεί να δημιουργήσουν παρόμοιες ανησυχίες. Αυτές οι δυνατότητες μπορεί να διευκολύνουν τη δουλειά, αλλά μπορούν επίσης να μεταφέρουν ευαίσθητα δεδομένα εκτός των διαχειριζόμενων συστημάτων.
Έκθεση συνεδρίας και περιορισμένη ορατότητα
Η αυθεντικοποίηση είναι μόνο η αρχή μιας απομακρυσμένης συνεδρίας. Ένας χρήστης μπορεί να αφήσει μια συσκευή ξεκλείδωτη, να διατηρήσει έναν ενεργό τόκο περιηγητή ή να ξεχάσει να αποσυνδεθεί από ένα ευαίσθητο σύστημα.
Οι χρόνοι αδράνειας, η αυτόματη κλείδωμα και η επαναπιστοποίηση μπορούν να μειώσουν αυτή την έκθεση. Πιο περιοριστικές πολιτικές μπορεί να είναι κατάλληλες για διαχειριστές, εργολάβους και χρήστες που χειρίζονται ευαίσθητες πληροφορίες.
Οι ομάδες IT πρέπει επίσης να είναι σε θέση να βλέπουν τι συμβαίνει. Η απομακρυσμένη δραστηριότητα συχνά διασπείρεται σε πλατφόρμες ταυτότητας, τερματικά, πύλες, εφαρμογές και διακομιστές. Όταν τα αρχεία καταγραφής παραμένουν κατακερματισμένα, είναι πιο δύσκολο να συνδεθούν ύποπτα γεγονότα και τα περιστατικά απαιτούν περισσότερο χρόνο για να διερευνηθούν.
Ποιες είναι οι επτά στρώσεις προστασίας του απομακρυσμένου εργατικού δυναμικού;
Κανένα μεμονωμένο προϊόν δεν μπορεί να εξασφαλίσει μια κατανεμημένη εργατική δύναμη από μόνο του. Η αποτελεσματική προστασία προέρχεται από αρκετά επίπεδα που μειώνουν την πιθανότητα παραβίασης, περιορίζουν τον αντίκτυπό της και υποστηρίζουν την αποκατάσταση.
Ενίσχυση Ταυτότητας και Αυθεντικοποίησης
Η ταυτότητα είναι ένα από τα κύρια όρια ασφαλείας σε ένα απομακρυσμένο περιβάλλον. Η πολυπαραγοντική αυθεντικοποίηση θα πρέπει να προστατεύει απομακρυσμένα επιτραπέζια υπολογιστές, συνδέσεις VPN, εφαρμογές cloud, διαχειριστικούς λογαριασμούς και άλλες ευαίσθητες λειτουργίες.
Όπου είναι δυνατόν, οι οργανισμοί θα πρέπει να υιοθετούν μεθόδους ανθεκτικές στο phishing. Η αυθεντικοποίηση που βασίζεται σε εφαρμογές είναι γενικά προτιμότερη από την εξάρτηση μόνο από κωδικούς SMS, αν και η επιλογή θα εξαρτηθεί από τα συστήματα που είναι ήδη σε εφαρμογή.
Μια ηχητική βάση ταυτότητας περιλαμβάνει:
- Μια μοναδική εγγραφή για κάθε χρήστη
- Διαχωρίστε τις ταυτότητες των κανονικών και προνομιακών διαχειριστών
- Ορισμένες ημερομηνίες λήξης για την πρόσβαση των εργολάβων
- Αυτοματοποιημένη απενεργοποίηση ανενεργών λογαριασμών
- Κανονικές αναθεωρήσεις αδειών και μέλους ομάδας
Η παρακολούθηση της αυθεντικοποίησης προσθέτει ένα ακόμη επίπεδο. Επαναλαμβανόμενες αποτυχίες, απροσδόκητες εγγραφές συσκευών ή πρόσβαση από ασυνήθιστες τοποθεσίες μπορεί να αποκαλύψουν μια επίθεση ακόμη και όταν χρησιμοποιείται ο σωστός κωδικός πρόσβασης.
Εφαρμογή πρόσβασης με τις λιγότερες προνόμια
Οι απομακρυσμένοι χρήστες θα πρέπει να λαμβάνουν μόνο τα συστήματα και τις εφαρμογές που απαιτούνται για την εργασία τους. Η ευρεία πρόσβαση στο δίκτυο μπορεί να είναι απλή στην παραμετροποίηση, αλλά καθιστά έναν παραβιασμένο λογαριασμό πολύ πιο χρήσιμο για έναν επιτιθέμενο.
Ο έλεγχος πρόσβασης με βάση ρόλους βοηθά στη σύνδεση των δικαιωμάτων με τις επαγγελματικές ευθύνες. Οι περιορισμένες χρονικά διαδικασίες διαχείρισης και έγκρισης μπορούν να μειώσουν περαιτέρω τον αριθμό των μόνιμα προνομιακών λογαριασμών.
Τα περιβάλλοντα Windows προσφέρουν επίσης στους διαχειριστές μια επιλογή μεταξύ της παροχής ενός πλήρους επιτραπέζιου υπολογιστή και της δημοσίευσης μιας συγκεκριμένης εφαρμογής. Όταν οι χρήστες χρειάζονται μόνο ένα ή δύο εργαλεία εργασίας, η δημοσίευση εφαρμογών μπορεί να μειώσει την περιττή έκθεση διατηρώντας την εμπειρία οικεία.
Η ελάχιστη προνομία θα πρέπει να παραμείνει πρακτική. Οι άδειες που είναι πολύ περιοριστικές δημιουργούν προβλήματα υποστήριξης και μπορεί να ενθαρρύνουν εναλλακτικές λύσεις. Ο στόχος είναι να παρέχεται αρκετή πρόσβαση για τον ρόλο, αλλά όχι περισσότερη.
Σκληραίνετε και Διαχειριστείτε τα Τερματικά
Κάθε απομακρυσμένη συσκευή είναι ένα πιθανό σημείο εισόδου, επομένως οι διαχειριζόμενοι από την εταιρεία τερματικοί σταθμοί χρειάζονται μια συνεπή βάση ασφαλείας. Τουλάχιστον, αυτό θα πρέπει να καλύπτει:
- Αυτοματοποιημένες ενημερώσεις λειτουργικού συστήματος και εφαρμογών
- Ανίχνευση σημείων και προστασία από κακόβουλο λογισμικό
- Κρυπτογράφηση πλήρους δίσκου και κανόνες τείχους προστασίας βάσει υπολογιστή
- Κλείδωμα οθόνης και περιορισμένα δικαιώματα τοπικού διαχειριστή
- Έλεγχοι προγράμματος περιήγησης, επέκτασης και εφαρμογής
- Καταγραφή συσκευών και κεντρική τηλεμετρία
Ένας υπολογιστής που έχει σταματήσει να αναφέρει, έχει χάσει σημαντικές ενημερώσεις ή έχει απενεργοποιήσει τον πράκτορα ασφαλείας του δεν θα πρέπει να συνεχίσει να έχει την ίδια πρόσβαση με μια συμβατή συσκευή.
Οι προσωπικές συσκευές απαιτούν μια διαφορετική προσέγγιση. Η διαχείριση κινητών συσκευών, η πρόσβαση μέσω προγράμματος περιήγησης, τα κοντέινερ εφαρμογών και οι δημοσιευμένες εφαρμογές μπορούν να μειώσουν την ποσότητα των επιχειρηματικών δεδομένων που αποθηκεύονται τοπικά χωρίς να απαιτείται από την πληροφορική να διαχειρίζεται κάθε πτυχή της συσκευής.
Ασφαλίστε τη Διαδρομή Απομακρυσμένης Πρόσβασης
Οι απομακρυσμένες συνδέσεις χρειάζονται τρέχουσα κρυπτογράφηση, ισχυρή αυθεντικοποίηση και αυστηρά καθορισμένους κανόνες πρόσβασης. Οι διακομιστές συνεδριών και οι διεπαφές διαχείρισης δεν θα πρέπει να εκτίθενται στο δημόσιο διαδίκτυο χωρίς σαφή επιχειρησιακό λόγο.
Ένας πύλη ή μεσολαβητής μπορεί να κεντρικοποιήσει την πρόσβαση σε απομακρυσμένα επιτραπέζια υπολογιστικά συστήματα και εφαρμογές. Δίνει στους διαχειριστές ένα μέρος για να επιβάλλουν άδειες, να παρακολουθούν τις συνδέσεις και να κρατούν τους εσωτερικούς διακομιστές συνεδριών μακριά από άμεση έκθεση.
Οι δημόσιες συνιστώσες χρειάζονται ακόμη προσεκτική συντήρηση. Οι ανενεργοί θύρες θα πρέπει να κλείνουν, τα μη υποστηριζόμενα πρωτόκολλα να απενεργοποιούνται και οι πύλες να ενημερώνονται άμεσα. Οι προεπιλεγμένοι λογαριασμοί και οι παρωχημένες υπηρεσίες θα πρέπει να αφαιρούνται αντί να παραμένουν στη θέση τους για ευκολία.
Γεωγραφικοί και βασισμένοι σε IP περιορισμοί μπορούν να μειώσουν την ανεπιθύμητη κίνηση, αλλά θα πρέπει να συμπληρώνουν την αυθεντικοποίηση αντί να την αντικαθιστούν. Οι επιτιθέμενοι μπορούν να δρομολογούν δραστηριότητα μέσω διαμεσολαβητών, υπηρεσιών cloud ή παραβιασμένων συστημάτων σε επιτρεπόμενες περιοχές.
Συστήματα τμημάτων και προστασία δεδομένων
Μια επιτυχής απομακρυσμένη σύνδεση δεν θα πρέπει να ανοίγει ολόκληρο το εσωτερικό δίκτυο. Η τμηματοποίηση θα πρέπει να χωρίζει τους κανονικούς απομακρυσμένους χρήστες από τους διαχειριστές, τους εργολάβους, τα συστήματα παραγωγής, την υποδομή αντιγράφων ασφαλείας και άλλα ευαίσθητα περιβάλλοντα.
Οι κανόνες μεταξύ αυτών των περιοχών θα πρέπει να αντικατοπτρίζουν τις πραγματικές επιχειρηματικές απαιτήσεις. Ένας χρήστης που χρειάζεται μια εφαρμογή χρηματοοικονομικών δεν θα πρέπει αυτόματα να αποκτά ορατότητα στο δίκτυο σε διακομιστές ανάπτυξης ή διεπαφές διαχείρισης.
Οι εφαρμογές χρειάζονται επίσης εξουσιοδότηση βάσει ρόλου, χρονικά όρια συνεδρίας, αρχεία καταγραφής ελέγχου και περιορισμούς στην εξαγωγή δεδομένων. Η κρυπτογράφηση προστατεύει τις πληροφορίες κατά τη μεταφορά και την αποθήκευση, αλλά οι άδειες εξακολουθούν να καθορίζουν ποιος μπορεί να τις χρησιμοποιήσει.
Οι ρυθμίσεις απομακρυσμένης συνεδρίας θα πρέπει να διαφέρουν ανά ρόλο. Η κοινή χρήση του clipboard ή η πρόσβαση σε τοπικούς δίσκους μπορεί να είναι απαραίτητη για μια ομάδα και ακατάλληλη για μια άλλη. Μια επιτρεπτική πολιτική για κάθε χρήστη είναι πιο εύκολη στη διαχείριση, αλλά σπάνια αντικατοπτρίζει τον πραγματικό κίνδυνο.
Επιδιόρθωση και παρακολούθηση ολόκληρης της στοίβας
Η επιδιόρθωση των τερματικών είναι σημαντική, αλλά η απομακρυσμένη πρόσβαση βασίζεται σε μια ευρύτερη τεχνολογική υποδομή. Οι πύλες, οι μεσολαβητές, οι διακομιστές απομακρυσμένων επιτραπέζιων υπολογιστών, η υποδομή VPN, τα τείχη προστασίας, οι υπηρεσίες ταυτοποίησης, οι διαδικτυακές πύλες, οι περιηγητές και οι πράκτορες ασφαλείας απαιτούν όλοι ενημερώσεις.
Οι ευπάθειες που σχετίζονται με την πρόσβαση στο διαδίκτυο και την αυθεντικοποίηση αξίζουν προτεραιότητα, καθώς οι επιτιθέμενοι μπορούν να τις στοχεύσουν χωρίς πρώτα να εισέλθουν στο εσωτερικό δίκτυο. Τα μη υποστηριζόμενα προϊόντα θα πρέπει να αναβαθμιστούν, να απομονωθούν ή να αντικατασταθούν.
Η παρακολούθηση θα πρέπει να εστιάζει σε γεγονότα που βοηθούν τους διαχειριστές να ενεργούν:
- Επαναλαμβανόμενες αποτυχίες αυθεντικοποίησης
- Νέοι λογαριασμοί διαχειριστή ή αλλαγές δικαιωμάτων
- Πρόσβαση εκτός κανονικών ωρών εργασίας
- Απενεργοποιημένες υπηρεσίες ασφάλειας ή τερματικού
- Ασυνήθιστες αλλαγές αρχείων ή μεταφορές δεδομένων
- Συνδέσεις από άγνωστες συσκευές ή τοποθεσίες
Η ποιότητα μιας ειδοποίησης έχει σημασία επίσης. Οι διαχειριστές χρειάζονται τον λογαριασμό, τη συσκευή προέλευσης, τη διεύθυνση IP, την ώρα, την τοποθεσία και τον ζητούμενο πόρο, όχι απλώς ένα μήνυμα που λέει ότι μια σύνδεση φαίνεται ύποπτη.
Ετοιμαστείτε για Ανάκτηση και Εκπαιδεύστε Χρήστες
Οι προληπτικοί έλεγχοι μειώνουν τον κίνδυνο, αλλά δεν μπορούν να εγγυηθούν ότι ένα περιστατικό δεν θα συμβεί ποτέ. Οι αντίγραφα ασφαλείας θα πρέπει να χρησιμοποιούν ξεχωριστά διαπιστευτήρια διαχείρισης και να παραμένουν απομονωμένα από τους τυπικούς λογαριασμούς χρηστών. . Πρέπει επίσης να είναι κρυπτογραφημένα, παρακολουθούμενα και δοκιμασμένα τακτικά.
Η δοκιμή αποκατάστασης πρέπει να ξεπερνά την αποκατάσταση ενός δείγματος αρχείου. Οι ομάδες IT θα πρέπει να επιβεβαιώσουν ότι μπορούν να ανακατασκευάσουν τις υπηρεσίες ταυτότητας, την υποδομή απομακρυσμένης πρόσβασης και τους κρίσιμους διακομιστές εφαρμογών εντός των στόχων αποκατάστασης του οργανισμού.
Οι υπάλληλοι έχουν επίσης έναν πρακτικό ρόλο στην ασφάλεια. Πρέπει να αναγνωρίζουν τις απόπειρες phishing, να προστατεύουν τις συσκευές αυθεντικοποίησης, να αναφέρουν απροσδόκητες προτροπές και να γνωρίζουν πώς να επικοινωνούν με το IT μέσω ενός επαληθευμένου καναλιού.
Η εκπαίδευση λειτουργεί καλύτερα όταν είναι σύντομη και συνδεδεμένη με τα εργαλεία που χρησιμοποιούν οι άνθρωποι καθημερινά. Οι υπάλληλοι είναι πιο πιθανό να ακολουθήσουν την πολιτική ασφάλειας όταν η εγκεκριμένη απομακρυσμένη πρόσβαση είναι σαφής, αξιόπιστη και σχετικά εύκολη στη χρήση.
Πώς να δημιουργήσετε μια στρατηγική ασφάλειας για απομακρυσμένη εργασία;
Ένα πρόγραμμα ασφάλειας απομακρυσμένης εργασίας θα πρέπει να αναπτύσσεται με ελεγχόμενη ακολουθία. Η προσθήκη άσχετων προϊόντων χωρίς πρώτα να κατανοηθούν οι χρήστες, τα συστήματα και οι κίνδυνοι συχνά δημιουργεί περισσότερη πολυπλοκότητα χωρίς να παρέχει συνεπή προστασία.
Καταγραφή του Περιβάλλοντος
Αρχίστε προσδιορίζοντας ποιοι συνδέονται απομακρυσμένα, ποιες συσκευές χρησιμοποιούν και ποιους πόρους χρειάζονται. Συμπεριλάβετε υπαλλήλους, διαχειριστές, εργολάβους, παρόχους υπηρεσιών και άλλους τρίτους.
Η απογραφή θα πρέπει επίσης να καταγράφει τις δημόσιες υπηρεσίες, τους προνομιούχους λογαριασμούς, τις ευαίσθητες αποθήκες δεδομένων και τα μη υποστηριζόμενα συστήματα. Οι άγνωστοι πόροι και οι ξεχασμένοι λογαριασμοί δεν μπορούν να διαχειριστούν αξιόπιστα.
Κατηγοριοποίηση Πρόσβασης κατά Κίνδυνο
Όχι κάθε απομακρυσμένη σύνδεση απαιτεί την ίδια προστασία. Η διαχειριστική πρόσβαση σε έναν παραγωγικό διακομιστή έχει διαφορετική επίδραση από την πρόσβαση σε μια γενική εσωτερική πύλη.
Η ταξινόμηση κινδύνου θα πρέπει να λαμβάνει υπόψη τα προνόμια του χρήστη, την ιδιοκτησία της συσκευής, την ευαισθησία των δεδομένων, την έκθεση στο διαδίκτυο και τη σημασία της επιχείρησης για τον πόρο. Αυτοί οι παράγοντες βοηθούν στον προσδιορισμό ποιες συνδέσεις χρειάζονται ισχυρότερη αυθεντικοποίηση, διαχειριζόμενες συσκευές ή πιο λεπτομερή παρακολούθηση.
Ορίστε μια Εφαρμόσιμη Πολιτική
Το πολιτική απομακρυσμένης πρόσβασης θα πρέπει να εξηγήσει ποιες μέθοδοι σύνδεσης είναι εγκεκριμένες, ποια πρότυπα πρέπει να πληρούν οι συσκευές και πότε απαιτείται η πολυπαραγοντική αυθεντικοποίηση. Θα πρέπει επίσης να καλύπτει τις προσωπικές συσκευές, τη διαχείριση δεδομένων, την καταγραφή, την αποχώρηση εργολάβων και την έγκριση εξαιρέσεων.
Μια πολιτική είναι πιο αξιόπιστη όταν η τεχνολογία την επιβάλλει. Οι γραπτοί κανόνες μπορεί να λένε στους χρήστες να μην έχουν πρόσβαση σε συστήματα παραγωγής από προσωπικές συσκευές, αλλά ένας έλεγχος πρόσβασης που μπλοκάρει τη σύνδεση παρέχει ισχυρότερη προστασία.
Αντιμετωπίστε πρώτα τους υψηλότερους κινδύνους
Η αρχική υλοποίηση μπορεί να ακολουθήσει μια εστιασμένη ακολουθία:
- Αφαιρέστε τις περιττές υπηρεσίες που είναι προσβάσιμες από το διαδίκτυο.
- Προστατέψτε την απομακρυσμένη πρόσβαση με πολυπαραγοντική αυθεντικοποίηση.
- Ενημερώστε τις εκτεθειμένες πύλες και διακομιστές.
- Αφαιρέστε τους κοινόχρηστους, ανενεργούς και υπερβολικά προνομιούχους λογαριασμούς.
- Αναπτύξτε προστασία τερματικού και ελέγχους συμμόρφωσης συσκευών.
- Διαχωρίστε τους απομακρυσμένους χρήστες από ευαίσθητα συστήματα.
- Κεντροποιήστε τα αρχεία καταγραφής και δοκιμάστε την ανάκτηση από αντίγραφα ασφαλείας.
Αυτή η ακολουθία ασχολείται με κοινούς δρόμους προς το περιβάλλον πριν προχωρήσει σε πιο λεπτομερείς βελτιώσεις.
Δοκιμάστε και βελτιώστε τους ελέγχους
Νέοι έλεγχοι θα πρέπει να δοκιμάζονται με αντιπροσωπευτικούς χρήστες, συσκευές, τοποθεσίες και εφαρμογές. Συνδέσεις υψηλής καθυστέρησης, απαιτήσεις προσβασιμότητας και σενάρια έκτακτης πρόσβασης μπορούν να αποκαλύψουν προβλήματα που θα παραλείψει μια εργαστηριακή δοκιμή.
Ο οργανισμός μπορεί στη συνέχεια να παρακολουθεί ένα μικρό σύνολο χρήσιμων δεικτών, όπως η κάλυψη πολλαπλής αυθεντικοποίησης, η συμμόρφωση με τις ενημερώσεις, η δημόσια έκθεση, οι αριθμοί προνομιακών λογαριασμών, ο χρόνος διερεύνησης ειδοποιήσεων και η επιτυχία αποκατάστασης αντιγράφων ασφαλείας.
Αυτές οι μετρήσεις θα πρέπει να δείχνουν αν ο κίνδυνος μειώνεται, όχι απλώς αν η ομάδα ασφαλείας εκτελεί περισσότερες εργασίες.
Πώς υποστηρίζει η TSplus Advanced Security την προστασία της απομακρυσμένης πρόσβασης;
TSplus Προηγμένη Ασφάλεια προσθέτει ένα εστιασμένο επίπεδο προστασίας σε περιβάλλοντα Windows Server και απομακρυσμένων επιτραπέζιων υπολογιστών. Μπορεί να συμπληρώσει τους ελέγχους ταυτότητας, την προστασία τερματικών και τα αντίγραφα ασφαλείας βοηθώντας τους διαχειριστές να αντιμετωπίσουν κοινές απειλές απομακρυσμένης πρόσβασης μέσω μιας κεντρικής διεπαφής.
Οι κύριες δυνατότητές του περιλαμβάνουν:
- Προστασία από επιθέσεις brute-force και αποκλεισμός κακόβουλων διευθύνσεων IP
- Γεωγραφικοί περιορισμοί και έλεγχοι αξιόπιστης συσκευής
- Πολιτικές ασφαλούς συνεδρίας για διαφορετικούς χρήστες και ομάδες
- Ransomware protection
- Κεντρικοί ασφαλιστικοί συμβάντες και ειδοποιήσεις
Αυτές οι δυνατότητες μπορούν να βοηθήσουν τους διαχειριστές να μειώσουν την έκθεση, να εφαρμόσουν συνεπείς περιορισμούς πρόσβασης και να εντοπίσουν ύποπτη συμπεριφορά νωρίτερα. Είναι ιδιαίτερα σχετικές όπου οι διακομιστές Windows και οι υπηρεσίες απομακρυσμένης επιφάνειας εργασίας υποστηρίζουν κατανεμημένους υπαλλήλους ή εξωτερικούς χρήστες.
TSplus Προηγμένη Ασφάλεια παραμένει ένα μέρος μιας ευρύτερης αρχιτεκτονικής. Οι οργανισμοί εξακολουθούν να χρειάζονται πολυπαραγοντική αυθεντικοποίηση, έγκαιρη επιδιόρθωση, δικαιώματα ελάχιστης πρόσβασης, προστασία τερματικών, τμηματοποίηση και δοκιμασμένη αποκατάσταση.
Συμπέρασμα
Η ασφάλεια της απομακρυσμένης εργασίας βασίζεται σε αρκετούς ελέγχους που συνεργάζονται. Ισχυρή ταυτοποίηση, διαχειριζόμενα τερματικά, περιορισμένη πρόσβαση, μειωμένη έκθεση, χρήσιμη παρακολούθηση και δοκιμασμένη ανάκτηση προστατεύουν διάφορα μέρη του ίδιου περιβάλλοντος. Η πιο βιώσιμη στρατηγική διατηρεί επίσης την εγκεκριμένη απομακρυσμένη πρόσβαση καθαρή και πρακτική για τους υπαλλήλους, τους διαχειριστές και τους εξωτερικούς χρήστες.
)
)
)
