)
)
Εισαγωγή
Η απομακρυσμένη και υβριδική εργασία προσφέρει στους υπαλλήλους μεγαλύτερη ευελιξία, αλλά επεκτείνει επίσης την πρόσβαση πέρα από το διαχειριζόμενο δίκτυο γραφείου. Οι χρήστες μπορεί να συνδεθούν μέσω οικιακών δρομολογητών, δημόσιου Wi-Fi ή προσωπικών συσκευών. Οι ομάδες IT χρειάζονται επομένως έναν ασφαλή χώρο εργασίας που να ελέγχει την πρόσβαση, να προστατεύει τα συστήματα και τα δεδομένα, και να παραμένει αρκετά απλός για την καθημερινή εργασία.
Τι είναι ένας ασφαλής χώρος εργασίας για απομακρυσμένη εργασία;
Ένας ασφαλής χώρος εργασίας για απομακρυσμένη εργασία είναι ένα ελεγχόμενο ψηφιακό περιβάλλον όπου οι υπάλληλοι, οι εργολάβοι και οι διαχειριστές μπορούν να έχουν πρόσβαση στους πόρους της εταιρείας εκτός γραφείου. Ανάλογα με τον ρόλο τους, οι χρήστες μπορεί να χρειάζονται έναν πλήρη επιτραπέζιο υπολογιστή Windows, μια συγκεκριμένη επιχειρηματική εφαρμογή, μια υπηρεσία cloud ή ένα διοικητικό εργαλείο.
Αυτές οι συνδέσεις μπορεί να προέρχονται από φορητούς υπολογιστές της εταιρείας, προσωπικές συσκευές, τοποθεσίες πελατών ή οικιακά δίκτυα. Δεδομένου ότι ο οργανισμός δεν ελέγχει κάθε τοποθεσία, η ασφάλεια δεν μπορεί πλέον να εξαρτάται αποκλειστικά από την παραδοσιακή περιφέρεια του γραφείου. Αντίθετα, η προστασία πρέπει να ακολουθεί τον χρήστη και τη συνεδρία όπου κι αν ξεκινά η σύνδεση.
Ένας χώρος εργασίας είναι περισσότερος από μια απομακρυσμένη σύνδεση
Η κρυπτογράφηση είναι ένα σημαντικό μέρος της απομακρυσμένης πρόσβασης, αλλά μια κρυπτογραφημένη σύνδεση δεν είναι αυτόματα ασφαλής. Εάν ένας επιτιθέμενος έχει κλέψει έγκυρα διαπιστευτήρια, το τερματικό είναι μολυσμένο ή ο χρήστης έχει υπερβολικά δικαιώματα, αυτή η προστατευμένη σύνδεση μπορεί να καταχραστεί.
Ένας ασφαλής απομακρυσμένος χώρος εργασίας συνδυάζει ελέγχους ταυτότητας, προστασία συσκευών, περιορισμούς πρόσβασης, ασφάλεια διακομιστών, άδειες εφαρμογών και παρακολούθηση. Αυτά τα μέτρα λειτουργούν καλύτερα ως συνδεδεμένα επίπεδα παρά ως ξεχωριστά έργα ασφάλειας.
Η αλυσίδα ασφαλείας απομακρυσμένης πρόσβασης
Βοηθάει να σκεφτόμαστε την απομακρυσμένη πρόσβαση ως μια συνδεδεμένη αλυσίδα:
Ταυτότητα χρήστη → Συσκευή τερματικού → Σύνδεση δικτύου → Πλατφόρμα απομακρυσμένης πρόσβασης → Εφαρμογή → Επιχειρηματικά δεδομένα
Επειδή Η ασφάλεια του Remote Desktop εξαρτάται από την κατάσταση του endpoint, την έκθεση στο δίκτυο και τον έλεγχο λογαριασμού. , μια αδυναμία σε οποιοδήποτε σημείο μπορεί να επηρεάσει ολόκληρη τη συνεδρία. Η πολυπαραγοντική αυθεντικοποίηση μπορεί να σταματήσει έναν επιτιθέμενο που χρησιμοποιεί έναν κλεμμένο κωδικό πρόσβασης, για παράδειγμα, αλλά δεν μπορεί να προστατεύσει έναν μη ενημερωμένο διακομιστή εφαρμογών ή έναν λογαριασμό με περιττά δικαιώματα διαχείρισης. Ένας ασφαλής χώρος εργασίας, επομένως, χρειάζεται να προστατεύει κάθε στάδιο ενώ διατηρεί την πρόσβαση κατάλληλη για τον ρόλο κάθε χρήστη.
Γιατί έχει σημασία η ασφαλής απομακρυσμένη εργασία;
Η απομακρυσμένη και υβριδική εργασία διασπείρει χρήστες, συσκευές και διαδρομές πρόσβασης σε τοποθεσίες που οι οργανισμοί δεν μπορούν πάντα να διαχειρίζονται άμεσα, μια πρόκληση που καλύπτεται από Κατευθυντήριες γραμμές NIST για την τηλεργασία, την απομακρυσμένη πρόσβαση και την ασφάλεια BYOD Οι υπάλληλοι μπορεί να συνδεθούν μέσω οικιακών δρομολογητών, δημόσιων Wi-Fi, κινητών δικτύων ή προσωπικών υπολογιστών ενώ εργάζονται με ευαίσθητες εφαρμογές και δεδομένα.
Ως αποτέλεσμα, οι ομάδες IT χρειάζονται μια σαφή εικόνα του ποιος συνδέεται, ποια συσκευή χρησιμοποιούν, τι προσπαθούν να προσεγγίσουν και αν η σύνδεση ταιριάζει με τη αναμενόμενη συμπεριφορά.
Η απομακρυσμένη εργασία αφαιρεί την παραδοσιακή περίμετρο
Σε ένα συμβατικό γραφείο, οι έλεγχοι δικτύου δημιούργησαν ένα σαφές όριο γύρω από τους χρήστες και τα συστήματα. Η απομακρυσμένη εργασία αλλάζει αυτό το μοντέλο, καθώς οι νόμιμες συνδέσεις τώρα ξεκινούν έξω από το εσωτερικό δίκτυο.
Οι επιτιθέμενοι μπορούν να στοχεύσουν εκτεθειμένες υπηρεσίες Πρωτοκόλλου Απομακρυσμένης Επιφάνειας Εργασίας, αδύναμα προστατευμένες πύλες, επαναχρησιμοποιημένους κωδικούς πρόσβασης, μη ενημερωμένες συσκευές εικονικού ιδιωτικού δικτύου και παραβιασμένα σημεία. Μόλις συνδεθούν με έγκυρα διαπιστευτήρια, η δραστηριότητά τους μπορεί αρχικά να φαίνεται παρόμοια με αυτήν ενός εξουσιοδοτημένου χρήστη. Γι' αυτόν τον λόγο, η ταυτότητα, το πλαίσιο της συσκευής και η συμπεριφορά της συνεδρίας παίζουν τώρα τόσο σημαντικό ρόλο στην ασφάλεια της απομακρυσμένης εργασίας.
Οι έλεγχοι ασφαλείας πρέπει να διατηρούν τη χρηστικότητα
Τα μέτρα ασφαλείας που καθιστούν τη φυσιολογική εργασία πολύ δύσκολη μπορεί να δημιουργήσουν τα δικά τους προβλήματα. Όταν ο εγκεκριμένος χώρος εργασίας είναι αργός, συγκεχυμένος ή αναξιόπιστος, οι χρήστες μπορεί να αποθηκεύουν κωδικούς πρόσβασης με ανασφαλή τρόπο, να μεταφέρουν αρχεία μέσω προσωπικών υπηρεσιών ή να υιοθετούν μη εγκεκριμένες εφαρμογές.
Ένας καλά σχεδιασμένος ασφαλής χώρος εργασίας μειώνει τον κίνδυνο χωρίς να προσθέτει περιττή τριβή. Οι υπάλληλοι θα πρέπει να βλέπουν μόνο τις εφαρμογές που χρειάζονται, να τις προσεγγίζουν μέσω ενός συνεπούς μονοπατιού πρόσβασης και να ολοκληρώνουν την αυθεντικοποίηση χωρίς περιττή πολυπλοκότητα. Ταυτόχρονα, οι κεντρικές πολιτικές και τα αρχεία καταγραφής θα πρέπει να διευκολύνουν αυτή την εμπειρία για τις ομάδες IT.
Οι Βασικές Επίπεδες Ασφαλείας ενός Απομακρυσμένου Χώρου Εργασίας
Καμία μεμονωμένη τεχνολογία δεν μπορεί να προστατεύσει την απομακρυσμένη εργασία από μόνη της. Ένας ανθεκτικός χώρος εργασίας χρησιμοποιεί αρκετά αμυντικά επίπεδα ώστε η αποτυχία ενός ελέγχου να μην εκθέτει άμεσα εφαρμογές ή δεδομένα.
Ταυτότητα και αυθεντικοποίηση
Οι έλεγχοι ταυτότητας καθορίζουν αν κάποιος θα πρέπει να επιτρέπεται να ξεκινήσει μια απομακρυσμένη συνεδρία. Οι κωδικοί πρόσβασης εξακολουθούν να παίζουν ρόλο στα περισσότερα συστήματα αυθεντικοποίησης, αλλά δεν είναι αρκετοί για να προστατεύσουν από την απάτη μέσω phishing, την επαναχρησιμοποίηση κωδικών πρόσβασης και την υπερφόρτωση διαπιστευτηρίων.
Οι απομακρυσμένοι χρήστες και οι διαχειριστές θα πρέπει να χρησιμοποιούν πολυπαραγοντική αυθεντικοποίηση όπου είναι δυνατόν. Οι πολιτικές κλειδώματος λογαριασμών, οι περιορισμοί ρυθμού σύνδεσης και οι ειδοποιήσεις για επαναλαμβανόμενες αποτυχίες προσθέτουν ένα ακόμη επίπεδο προστασίας. Οι οργανισμοί θα πρέπει επίσης να αφαιρούν άμεσα ανενεργούς λογαριασμούς και να διατηρούν τις τυπικές ταυτότητες χρηστών ξεχωριστές από τους προνομιακούς διαχειριστικούς λογαριασμούς.
Εμπιστοσύνη σημείου τέλους
Η συσκευή είναι η συσκευή από την οποία ξεκινά η απομακρυσμένη σύνδεση. Ακόμα και όταν ο χρήστης είναι νόμιμος, ένας παραβιασμένος υπολογιστής μπορεί να εκθέσει διαπιστευτήρια, να εισάγει κακόβουλο λογισμικό ή να επιτρέψει σε ευαίσθητα αρχεία να φύγουν από τον οργανισμό.
Οι διαχειριζόμενες συσκευές θα πρέπει να λαμβάνουν ενημερώσεις λειτουργικού συστήματος, ανίχνευση και απόκριση σημείων, προστασία από κακόβουλο λογισμικό, πολιτικές τείχους προστασίας και κρυπτογράφηση δίσκων. Οι ομάδες IT πρέπει επίσης να αποφασίσουν εάν οι χρήστες μπορούν να αποθηκεύουν δεδομένα τοπικά, να ανακατευθύνουν τα πρόχειρα ή να συνδέουν τοπικούς δίσκους σε μια απομακρυσμένη συνεδρία.
Οι πολιτικές Bring Your Own Device θα πρέπει να καθορίζουν τις ελάχιστες απαιτήσεις ασφαλείας για τον προσωπικό εξοπλισμό. Όταν ο οργανισμός δεν μπορεί να εμπιστευτεί πλήρως ένα endpoint, η πρόσβαση σε εφαρμογές μέσω προγράμματος περιήγησης ή μια περιορισμένη απομακρυσμένη συνεδρία μπορεί να βοηθήσει στη μείωση της έκθεσης τοπικών δεδομένων.
Ελεγχόμενη απομακρυσμένη πρόσβαση
Η στρώση πρόσβασης καθορίζει πώς οι χρήστες φτάνουν σε εσωτερικές εφαρμογές και επιφάνειες εργασίας. Όποτε είναι δυνατόν, οι ομάδες IT θα πρέπει να αποφεύγουν την άμεση έκθεση των διακομιστών εφαρμογών backend στο διαδίκτυο. Ένας ασφαλής πύλη, αντίστροφος διακομιστής μεσολάβησης ή διαδικτυακή πύλη μπορεί να παρέχει ένα ελεγχόμενο σημείο εισόδου αντί αυτού.
Η δημοσίευση εφαρμογών μπορεί να μειώσει ακόμη περισσότερο την έκθεση. Ένας υπάλληλος του τμήματος οικονομικών που χρειάζεται μόνο μια εφαρμογή λογιστικής μπορεί να μην χρειάζεται πρόσβαση σε έναν πλήρη υπολογιστή ή στο ευρύτερο εσωτερικό δίκτυο.
Οτιδήποτε ασφαλές μοντέλο απομακρυσμένης πρόσβασης η οργάνωση επιλέγει, θα πρέπει να παρέχει κρυπτογραφημένες επικοινωνίες, λεπτομερείς αναθέσεις χρηστών και κεντρικό έλεγχο συνεδριών. Οι εικονικές ιδιωτικές συνδέσεις παραμένουν χρήσιμες όταν οι χρήστες χρειάζονται πραγματικά συνδεσιμότητα σε επίπεδο δικτύου, αλλά δεν είναι πάντα η καλύτερη προεπιλογή για κάθε απομακρυσμένο εργαζόμενο.
Ασφάλεια εφαρμογών και συνεδριών
Η ασφάλεια δεν τελειώνει μόλις συνδεθεί ένας χρήστης. Οι απομακρυσμένες συνεδρίες θα πρέπει να συνεχίζουν να περιορίζουν την πρόσβαση στις εφαρμογές, τα αρχεία, τους εκτυπωτές και τις διοικητικές λειτουργίες που απαιτούνται για την εργασία του χρήστη.
Ο έλεγχος πρόσβασης βάσει ρόλων και η ελάχιστη προνομία βοηθούν στη μείωση της ζημιάς που μπορεί να προκαλέσει ένας παραβιασμένος λογαριασμός. Οι χρονικοί περιορισμοί συνεδρίας, οι περιορισμοί ωρών εργασίας και οι πολιτικές ανακατεύθυνσης συσκευών μπορούν επίσης να περιορίσουν την ακατάλληλη ή μη παρακολουθούμενη πρόσβαση.
Οι προνομιακές συνεδρίες απαιτούν ακόμη πιο αυστηρούς ελέγχους. Οι διαχειριστές θα πρέπει να χρησιμοποιούν ξεχωριστούς λογαριασμούς, εγκεκριμένες συσκευές και επιπλέον παρακολούθηση όταν εργάζονται με ευαίσθητα συστήματα.
Προστασία δεδομένων
Ένας ασφαλής χώρος εργασίας θα πρέπει να αποτρέπει την περιττή μετακίνηση επιχειρηματικών δεδομένων σε απομακρυσμένα σημεία. Η κεντρική παράδοση εφαρμογών ή επιφάνειας εργασίας μπορεί να βοηθήσει διατηρώντας τα αρχεία και την επεξεργασία σε διακομιστές που ελέγχονται από τον οργανισμό, ενώ στέλνει μόνο τη διεπαφή συνεδρίας στον χρήστη.
Οι ευαίσθητες πληροφορίες θα πρέπει να παραμένουν κρυπτογραφημένες τόσο κατά τη μεταφορά όσο και κατά την αποθήκευση. Τα συστήματα αντιγράφων ασφαλείας θα πρέπει επίσης να διατηρούν προστατευμένα αντίγραφα ανάκτησης που δεν μπορεί να τροποποιήσει ένας παραβιασμένος λογαριασμός παραγωγής.
Για ρυθμιζόμενα ή εμπιστευτικά δεδομένα, οι οργανισμοί μπορεί επίσης να χρειάζονται έλεγχο πρόσβασης σε αρχεία, πολιτικές διατήρησης και ελέγχους πρόληψης απώλειας δεδομένων.
Παρακολούθηση και αντίδραση
Η αυθεντικοποίηση και η δραστηριότητα συνεδρίας θα πρέπει να δημιουργούν αρχεία καταγραφής που οι διαχειριστές μπορούν να εξετάσουν και να συσχετίσουν. Χρήσιμα γεγονότα περιλαμβάνουν επιτυχείς και αποτυχημένες συνδέσεις, αποκλεισμένες συνδέσεις, νέες τοποθεσίες προέλευσης, αλλαγές δικαιωμάτων, πρόσβαση σε αρχεία και αλλαγές στη διαμόρφωση ασφαλείας.
Οι ειδοποιήσεις είναι πιο χρήσιμες όταν υποδεικνύουν συμπεριφορές που απαιτούν δράση. Επαναλαμβανόμενες αποτυχίες σύνδεσης, ένας προνομιούχος λογαριασμός που συνδέεται από μια νέα τοποθεσία ή μια πηγή που προσπαθεί να προσεγγίσει αρκετούς διακομιστές είναι όλα παραδείγματα.
Η παρακολούθηση βοηθά μόνο όταν ο οργανισμός γνωρίζει πώς να αντιδράσει. Οι ομάδες IT χρειάζονται σαφείς διαδικασίες για την απενεργοποίηση ενός λογαριασμού, την απομόνωση ενός υπολογιστή, την τερματισμό μιας συνεδρίας και τη διατήρηση αποδεικτικών στοιχείων όταν εμφανίζεται ύποπτη δραστηριότητα.
Ποιες είναι οι κοινές απειλές για τους απομακρυσμένους χώρους εργασίας;
Οι επιθέσεις σε απομακρυσμένα γραφεία συχνά συνδυάζουν αρκετές συνηθισμένες αδυναμίες αντί να βασίζονται σε μία εξελιγμένη εκμετάλλευση. Η εξέταση της πιθανής διαδρομής επίθεσης βοηθά τις ομάδες IT να αποφασίσουν ποιοι έλεγχοι αξίζουν τη μεγαλύτερη προσοχή.
Κλοπή διαπιστευτηρίων και phishing
Η απάτη μέσω phishing παραμένει ένας από τους πιο κοινούς τρόπους για να αποκτήσουν διαπιστευτήρια απομακρυσμένης πρόσβασης. Οι επιτιθέμενοι μπορεί να αντιγράψουν τις σελίδες σύνδεσης του Microsoft 365, τις πύλες υποστήριξης ή τις προτροπές πολλαπλής αυθεντικοποίησης για να παραπλανήσουν τους χρήστες να εγκρίνουν την πρόσβαση.
Η πολυπαραγοντική αυθεντικοποίηση καθιστά έναν κλεμμένο κωδικό πρόσβασης λιγότερο χρήσιμο, αλλά η ευαισθητοποίηση των χρηστών εξακολουθεί να έχει σημασία. Οι προνομιούχοι και οι λογαριασμοί υψηλού κινδύνου μπορεί επίσης να απαιτούν ισχυρότερες μεθόδους αυθεντικοποίησης ανθεκτικές σε phishing.
Εκτεθειμένες απομακρυσμένες υπηρεσίες
Οι υπηρεσίες απομακρυσμένης πρόσβασης που είναι εκτεθειμένες στο διαδίκτυο ελέγχονται συνεχώς για αδύναμα διαπιστευτήρια, γνωστές ευπάθειες και σφάλματα διαμόρφωσης. Η άμεση έκθεση της θύρας 3389 του Πρωτοκόλλου Απομακρυσμένης Επιφάνειας Εργασίας δημιουργεί περιττό κίνδυνο όταν είναι διαθέσιμη μια μέθοδος πρόσβασης μέσω πύλης ή μεσολαβητή.
Όταν η δημόσια έκθεση δεν μπορεί να αποφευχθεί, οι ομάδες IT θα πρέπει να περιορίσουν τις διευθύνσεις προέλευσης όπου είναι πρακτικό, να εφαρμόσουν γρήγορα ενημερώσεις ασφαλείας, να επιβάλουν την Αυθεντικοποίηση Επιπέδου Δικτύου και να παρακολουθούν τις αποτυχημένες προσπάθειες σύνδεσης.
Κακόβουλο λογισμικό και δραστηριότητα μετά την είσοδο
Ένας επιτιθέμενος που αποκτά πρόσβαση μέσω ενός απομακρυσμένου λογαριασμού μπορεί να χρησιμοποιήσει νόμιμα εργαλεία συστήματος για να εξερευνήσει το περιβάλλον, να κλιμακώσει τα δικαιώματα και να αναπτύξει ransomware. Η πρόληψη της αρχικής σύνδεσης είναι σημαντική, αλλά ένα βιβλίο παιχνιδιών ransomware για περιβάλλοντα RDS πρέπει επίσης να περιορίσει το τι μπορεί να φτάσει μια αυθεντικοποιημένη συνεδρία.
Η δικτύωση, οι περιορισμένες άδειες, τα προστατευμένα αντίγραφα ασφαλείας και η παρακολούθηση συμπεριφοράς μπορούν να μειώσουν τον αντίκτυπο μιας επιτυχούς παραβίασης.
Ανεξέλεγκτες συσκευές και σκιά IT
Οι προσωπικές συσκευές και οι μη εξουσιοδοτημένες υπηρεσίες cloud μπορούν να μεταφέρουν δεδομένα της εταιρείας πέρα από τον οργανωτικό έλεγχο. Οι υπάλληλοι συχνά καταφεύγουν σε αυτά τα εργαλεία επειδή ο εγκεκριμένος χώρος εργασίας δεν υποστηρίζει μια πρακτική ανάγκη.
Αντί να βασίζονται μόνο στην απαγόρευση, οι ομάδες IT θα πρέπει να ασχοληθούν με τη ροή εργασίας πίσω από τη συμπεριφορά. Ένα αξιόπιστο διαδικτυακό portal, μια εγκεκριμένη μέθοδος μεταφοράς αρχείων ή μια υπηρεσία δημοσίευσης εφαρμογών μπορεί να κάνει την σκιά IT λιγότερο ελκυστική.
Πώς να δημιουργήσετε έναν ασφαλή απομακρυσμένο χώρο εργασίας;
Ένας ασφαλής χώρος εργασίας λειτουργεί καλύτερα όταν εισάγεται ως ένα δομημένο πρόγραμμα παρά ως μια συλλογή άσχετων προϊόντων. Η παρακάτω ακολουθία βοηθά τις ομάδες IT να αντιμετωπίσουν πρώτα τους πιο σημαντικούς κινδύνους.
Χαρτογραφήστε χρήστες, συσκευές και πόρους
Αρχίστε με την αναγνώριση όλων όσων χρειάζονται απομακρυσμένη πρόσβαση. Οι υπάλληλοι, οι εργολάβοι, οι διαχειριστές, οι πάροχοι διαχειριζόμενων υπηρεσιών και άλλα τρίτα μέρη θα πρέπει να θεωρούνται ως ξεχωριστές ομάδες, διότι οι απαιτήσεις και οι κίνδυνοί τους είναι διαφορετικοί.
Για κάθε ομάδα, καταγράψτε τις εφαρμογές, τα δεδομένα, τους χρόνους σύνδεσης και τους τύπους τερματικών που απαιτούν. Αυτές οι πληροφορίες παρέχουν τη βάση για τις πολιτικές πρόσβασης.
Μείωση της περιττής έκθεσης
Ακολουθώντας Κατευθύνσεις CISA για την ασφάλιση λογισμικού απομακρυσμένης πρόσβασης , αναθεωρήστε κάθε υπηρεσία απομακρυσμένης πρόσβασης που είναι προσβάσιμη από το διαδίκτυο και αφαιρέστε οτιδήποτε δεν είναι πλέον απαραίτητο. Όταν είναι δυνατόν, τοποθετήστε μια ασφαλή πύλη, αντίστροφο διακομιστή μεσολάβησης ή διαδικτυακή πύλη μπροστά από τους διακομιστές εφαρμογών αντί να τους δημοσιεύετε απευθείας.
Η δημοσίευση μεμονωμένων εφαρμογών αντί για πλήρεις επιφάνειες εργασίας ή δίκτυα μπορεί να μειώσει περαιτέρω την έκθεση. Μια μικρότερη επιφάνεια πρόσβασης είναι συνήθως πιο εύκολη στην προστασία και την παρακολούθηση.
Ενίσχυση της αυθεντικοποίησης
Απαιτήστε πολυπαραγοντική αυθεντικοποίηση για απομακρυσμένους χρήστες και διαχειριστές. Οι προνομιούχοι λογαριασμοί θα πρέπει να έχουν πιο αυστηρές προϋποθέσεις, όπως ξεχωριστά διαπιστευτήρια και πρόσβαση από εγκεκριμένες συσκευές.
Η προστασία κατά των επαναλαμβανόμενων προσπαθειών σύνδεσης θα πρέπει επίσης να είναι ενεργοποιημένη και παρακολουθούμενη. Οι πολιτικές κωδικών πρόσβασης θα πρέπει να ενθαρρύνουν τη χρήση μακρών, μοναδικών διαπιστευτηρίων χωρίς να βασίζονται σε προβλέψιμα χρονοδιαγράμματα περιστροφής.
Εφαρμόστε πρόσβαση με τις λιγότερες δυνατότητες
Αναθέστε εφαρμογές και αρχεία μέσω ομάδων που βασίζονται σε χρήστες ή ρόλους. Κάθε άτομο θα πρέπει να λαμβάνει μόνο την πρόσβαση που χρειάζεται για τις τρέχουσες ευθύνες του.
Οι άδειες θα πρέπει να αναθεωρούνται τακτικά και να αφαιρούνται όταν οι υπάλληλοι αλλάζουν ρόλους ή οι εργολάβοι ολοκληρώνουν τη δουλειά τους. Οι διαχειριστικοί λογαριασμοί θα πρέπει επίσης να παραμένουν ξεχωριστοί από τους λογαριασμούς που χρησιμοποιούνται για την καθημερινή πρόσβαση στις εφαρμογές.
Προστασία σημείων και διακομιστών
Διατηρήστε τα λειτουργικά συστήματα τερματικών, τους περιηγητές, τις επιχειρηματικές εφαρμογές και το λογισμικό απομακρυσμένης πρόσβασης ενημερωμένα. Οι διαχειριζόμενες συσκευές θα πρέπει επίσης να χρησιμοποιούν προστασία τερματικού, πολιτικές τείχους προστασίας και κρυπτογράφηση δίσκου.
Οι διακομιστές απομακρυσμένων συνεδριών και οι διακομιστές εφαρμογών χρειάζονται την ίδια προσοχή. Οι ομάδες IT θα πρέπει να τους ενημερώνουν τακτικά, να αφαιρούν τις μη χρησιμοποιούμενες υπηρεσίες και να τους προστατεύουν από επιθέσεις brute-force, δραστηριότητα ransomware και μη εξουσιοδοτημένες αλλαγές ρυθμίσεων.
Παρακολουθήστε τη συνολική διαδρομή πρόσβασης
Συλλέξτε γεγονότα από συστήματα ταυτότητας, πύλες απομακρυσμένης πρόσβασης, διακομιστές Windows, εργαλεία τερματικών και επιχειρηματικές εφαρμογές. Η συγκέντρωση αυτών των καταγραφών διευκολύνει την παρακολούθηση μιας ακολουθίας δραστηριότητας αντί για μια συλλογή απομονωμένων ειδοποιήσεων.
Οι κατώτατες τιμές απόκρισης θα πρέπει να καλύπτουν επαναλαμβανόμενες αποτυχίες, ασυνήθιστες τοποθεσίες, προνομιακές συνδέσεις και πρόσβαση εκτός των εγκεκριμένων ωρών. Οι πολιτικές θα πρέπει επίσης να αναθεωρούνται μετά από περιστατικά, αλλαγές υποδομής και αλλαγές στο εργατικό δυναμικό.
Δοκιμή διαδικασιών αποκατάστασης
Οι εφεδρικές αντιγράφες πρέπει να παραμένουν διαθέσιμες ακόμη και όταν οι διακομιστές παραγωγής ή τα διαπιστευτήρια έχουν παραβιαστεί. Η διαχείριση των εφεδρικών αντιγράφων θα πρέπει να προστατεύεται ξεχωριστά, και οι διαδικασίες αποκατάστασης θα πρέπει να δοκιμάζονται σε τακτική βάση.
Οι ασκήσεις περιστατικών θα πρέπει να επιβεβαιώνουν ότι η ομάδα μπορεί να ανακαλέσει την πρόσβαση, να απομονώσει τα συστήματα, να αποκαταστήσει τις υπηρεσίες και να επικοινωνήσει με τους χρήστες. Μέχρι να έχουν δοκιμαστεί αυτές οι διαδικασίες, το σχέδιο αποκατάστασης παραμένει μια υπόθεση.
Πώς Μπορείτε Να Επιλέξετε Ασφαλείς Τεχνολογίες Χώρου Εργασίας;
Ένας ασφαλής απομακρυσμένος χώρος εργασίας συνήθως συνδυάζει πολλές τεχνολογίες, με κάθε μία να αντιμετωπίζει ένα διαφορετικό μέρος της διαδικασίας πρόσβασης.
| Τεχνολογία | Κύριος σκοπός | Κατάλληλο για |
|---|---|---|
| Υπηρεσίες Απομακρυσμένης Επιφάνειας Εργασίας | Κεντρικοί υπολογιστές και συνεδρίες Windows | Οργανισμοί που παρέχουν πλήρεις χώρους εργασίας Windows |
| Δημοσίευση εφαρμογών | Παράδοση επιλεγμένων εφαρμογών | Χρήστες που δεν απαιτούν πλήρη επιφάνεια εργασίας |
| Πύλη ασφαλούς πρόσβασης | Προγραμματισμένη πρόσβαση χωρίς άμεση έκθεση διακομιστή | Περιβάλλοντα απομακρυσμένης πρόσβασης που είναι εκτεθειμένα στο διαδίκτυο |
| πύλη ιστού HTML5 | Πρόσβαση μέσω προγράμματος περιήγησης χωρίς αφιερωμένο πελάτη | Αναδόχοι, κινητοί χρήστες και μικτά τερματικά |
| Εικονικό ιδιωτικό δίκτυο | Κρυπτογραφημένη συνδεσιμότητα σε επίπεδο δικτύου | Χρήστες που απαιτούν πρόσβαση σε πολλές εσωτερικές υπηρεσίες |
| Πολυπαραγοντική αυθεντικοποίηση | Επιπλέον επαλήθευση ταυτότητας | Όλοι οι απομακρυσμένοι χρήστες, ειδικά οι διαχειριστές |
| Endpoint protection | Ανίχνευση κακόβουλου λογισμικού και προστασία συσκευών | Διαχειριζόμενοι φορητοί υπολογιστές, επιτραπέζιοι υπολογιστές και διακομιστές |
| Παρακολούθηση ασφαλείας | Ανίχνευση, διερεύνηση και αντίδραση | Όλα τα περιβάλλοντα απομακρυσμένης πρόσβασης παραγωγής |
Η σωστή αρχιτεκτονική εξαρτάται από το τι χρειάζεται πραγματικά κάθε χρήστης για να φτάσει. Στις περισσότερες περιπτώσεις, οι ομάδες IT θα πρέπει να επιλέξουν τη στενότερη μέθοδο πρόσβασης που εξακολουθεί να υποστηρίζει την απαιτούμενη εργασία.
Πώς να αξιολογήσετε μια ασφαλή λύση χώρου εργασίας;
Η επιλογή προϊόντος θα πρέπει να ξεκινά με το μοντέλο πρόσβασης της οργάνωσης και όχι με μια μακρά λίστα χαρακτηριστικών. Πρώτα, οι ομάδες IT πρέπει να αποφασίσουν αν οι χρήστες χρειάζονται πλήρη πρόσβαση στο δίκτυο, ολοκληρωμένα επιτραπέζια ή μόνο επιλεγμένες εφαρμογές. Η παροχή ευρείας πρόσβασης σε όλους μπορεί να δημιουργήσει περιττή πολυπλοκότητα και κίνδυνο όταν ένα πιο περιορισμένο μοντέλο θα υποστήριζε την ίδια εργασία.
Η αξιολόγηση θα πρέπει να επικεντρώνεται σε πέντε τομείς:
- Έλεγχοι ταυτότητας και πρόσβασης, συμπεριλαμβανομένης της πολυπαραγοντικής αυθεντικοποίησης, των δικαιωμάτων βάσει ρόλου και της ενσωμάτωσης με τις υπάρχουσες υπηρεσίες ταυτότητας
- Επιλογές παράδοσης για εφαρμογές και επιτραπέζιους υπολογιστές, υποστηριζόμενες από ασφαλή πύλη ή δυνατότητες αντίστροφης προξενίας
- Ασφάλεια συνεδρίας, συμπεριλαμβανομένων των πολιτικών ανακατεύθυνσης συσκευών, περιορισμών δραστηριότητας και ελέγχων διαχειριστή
- Παρακολούθηση και προστασία μέσω καταγραφής, ειδοποιήσεων, αναφορών, ασφάλειας διακομιστή και άμυνας κατά του ransomware
- Λειτουργική καταλληλότητα, συμπεριλαμβανομένης της προσπάθειας ανάπτυξης, της επιδιόρθωσης, της συμβατότητας με τα Windows, της κλιμάκωσης και του συνολικού κόστους
Μια απόδειξη της έννοιας θα πρέπει να χρησιμοποιεί πραγματικούς χρήστες, εφαρμογές, συσκευές και συνθήκες δικτύου. Θα πρέπει επίσης να δείχνει πώς οι διαχειριστές μπορούν να ανακαλέσουν την πρόσβαση, να ερευνήσουν ύποπτη δραστηριότητα, να εφαρμόσουν ενημερώσεις και να αποκαταστήσουν την υπηρεσία μετά από αποτυχία διακομιστή ή περιστατικό ασφαλείας.
Πώς υποστηρίζει το TSplus ένα ασφαλές απομακρυσμένο χώρο εργασίας;
TSplus Προηγμένη Ασφάλεια ενισχύει τους διακομιστές Windows που υποστηρίζουν την απομακρυσμένη εργασία. Προσθέτει εξειδικευμένη προστασία κατά των απειλών που επηρεάζουν τις συνεδρίες Πρωτοκόλλου Απομακρυσμένης Επιφάνειας Εργασίας, τους διακομιστές εφαρμογών και άλλα περιβάλλοντα Windows που είναι εκτεθειμένα στο διαδίκτυο. Οι διαχειριστές μπορούν να διαχειρίζονται αυτούς τους ελέγχους κεντρικά για να μειώσουν την έκθεση χωρίς να καθιστούν την νόμιμη απομακρυσμένη πρόσβαση περιττά περίπλοκη.
Οι κύριες δυνατότητες ασφαλείας του περιλαμβάνουν:
- Η προστασία από επιθέσεις brute force παρακολουθεί τις αποτυχημένες προσπάθειες σύνδεσης και αποκλείει τις διευθύνσεις IP που υπερβαίνουν τις καθορισμένες παραμέτρους.
- Η Γεωγραφική Προστασία περιορίζει τις εισερχόμενες συνδέσεις σύμφωνα με τη χώρα προέλευσης τους.
- Η προστασία από ransomware ανιχνεύει ύποπτη δραστηριότητα αρχείων και μπορεί να μπλοκάρει τις επηρεαζόμενες διαδικασίες πριν εξαπλωθεί μια επίθεση.
- Οι ασφαλείς συνεδρίες και οι άδειες περιορίζουν την πρόσβαση και τις ενέργειες που μπορούν να εκτελούν οι χρήστες κατά τη διάρκεια των συνεδριών Windows.
- Οι Ώρες Εργασίας περιορίζουν τις απομακρυσμένες συνδέσεις σε εγκεκριμένα προγράμματα.
- Οι αξιόπιστες συσκευές συνδέουν την πρόσβαση με εξουσιοδοτημένα σημεία.
- Τα εργαλεία διαχείρισης τείχους προστασίας και IP βοηθούν τους διαχειριστές να επιτρέπουν, να αποκλείουν και να αναθεωρούν τις πηγές δικτύου.
- Τα γεγονότα ασφαλείας, οι ειδοποιήσεις και οι αναφορές παρέχουν ορατότητα σε ύποπτες δραστηριότητες και ενέργειες πολιτικής.
TSplus Προηγμένη Ασφάλεια θα πρέπει να λειτουργεί ως μέρος μιας στρατηγικής ασφάλειας πολλαπλών επιπέδων που περιλαμβάνει επίσης πολυπαραγοντική αυθεντικοποίηση, προστασία τερματικών, διαχείριση ενημερώσεων, προστατευμένα αντίγραφα ασφαλείας και διοίκηση με ελάχιστα δικαιώματα. Μαζί, αυτοί οι έλεγχοι βοηθούν τις ομάδες IT να προστατεύουν τους απομακρυσμένους χώρους εργασίας από επιθέσεις brute-force, ransomware και μη εξουσιοδοτημένη πρόσβαση χωρίς να βασίζονται σε ένα μόνο αμυντικό μέτρο.
Συμπέρασμα
Ένας ασφαλής χώρος εργασίας για απομακρυσμένη εργασία δεν ορίζεται από ένα συγκεκριμένο προϊόν ή μέθοδο σύνδεσης. Είναι ένα πολυεπίπεδο περιβάλλον που προστατεύει την ταυτότητα του χρήστη, τις συσκευές άκρου, τις συνδέσεις δικτύου, τις απομακρυσμένες συνεδρίες, τις εφαρμογές και τα επιχειρηματικά δεδομένα ως μία συνεχόμενη αλυσίδα πρόσβασης.
Οι ομάδες IT θα πρέπει να μειώσουν την περιττή έκθεση, να επιβάλουν ισχυρή αυθεντικοποίηση και να εφαρμόσουν πρόσβαση με ελάχιστα δικαιώματα πριν προσθέσουν προστασία τερματικού, σκληραγώγηση διακομιστή και κεντρική παρακολούθηση. Σε συνδυασμό με δοκιμασμένες διαδικασίες δημιουργίας αντιγράφων ασφαλείας και αποκατάστασης, αυτά τα μέτρα δημιουργούν έναν ανθεκτικό χώρο εργασίας που υποστηρίζει την απομακρυσμένη παραγωγικότητα ενώ περιορίζει την επίδραση των παραβιασμένων λογαριασμών, συσκευών ή συνεδριών.
)
)
)
