)
)
Uvod
Remote i hibridni rad su pomaknuli poslovni pristup izvan korporativne mreže. Zaposlenici se sada povezuju iz svojih domova, s lokacija kupaca i javnih mreža putem upravljanih ili osobnih uređaja. IT timovi moraju osigurati ovo šire okruženje bez otežavanja odobrenog pristupa do te mjere da zaposlenici pribjegavaju nesigurnim prečacima ili nepodržanim alatima.
Što je sigurnost radne snage na daljinu?
Sigurnost udaljenih radnika je kombinacija politika, procesa i tehničkih kontrola koje se koriste za zaštitu ljudi koji pristupaju organizacijskim resursima izvan mreže ureda koja se centralno upravlja.
Te ljudi mogu biti zaposlenici, izvođači, administratori, pružatelji upravljanih usluga ili druge ovlaštene treće strane. Mogu se povezati iz kućnog ureda jednog dana, a s mjesta kupca sljedećeg, ponekad koristeći računalno opremu tvrtke, a ponekad koristeći osobni uređaj.
Osiguravanje te aktivnosti uključuje mnogo više od enkripcije mrežne veze. U praksi, IT timovi štite cijeli lanac pristupa:
Korisnička identitet → krajnji uređaj → mrežna veza → platforma za daljinski pristup → aplikacija → podaci
Zašto sigurnost udaljenog radnog mjesta zahtijeva slojeve
Slabost u bilo kojoj fazi može oslabiti kontrole oko nje. Višefaktorska autentifikacija može smanjiti rizik od krađe lozinki, ali ne može ukloniti zloćudni softver s neispravnog računala. Enkripcija može zaštititi promet od presretanja, ali ne može spriječiti prekomjerno privilegiran račun da otvara datoteke koje korisnik ne treba.
Sigurnost udaljenih radnika najbolje funkcionira kao slojeviti sustav. Zaštita identiteta, upravljanje krajnjim točkama, kontrolirani pristup, ograničena dopuštenja, praćenje i oporavak trebaju se međusobno podržavati.
Što pokriva sigurnost udaljenog radnog mjesta?
Opseg sigurnosti udaljenog radnog mjesta širi je od prijenosnog računala koje zaposlenik koristi ili od pristupne točke koja prihvaća vezu. Obuhvaća svaki komponent koji je uključen u pristup, korištenje i upravljanje poslovnim resursom.
Sustavi, Aplikacije i Podaci
Udaljeni korisnici možda će trebati pristup:
- Interni poslovni alati
- Windows radne površine i poslužitelji
- Datotečne mape i baze podataka
- Oblaci i platforme softvera kao usluge
- Email i alati za suradnju
- Razvojna i proizvodna okruženja
- Administratorska sučelja
- Infrastruktura za sigurnosne kopije i oporavak
Ovi resursi ne nose istu razinu rizika. Otvaranje općeg portala tvrtke vrlo je različito od upravljanja produkcijskim poslužiteljem ili preuzimanja podataka o kupcima. Sigurnost udaljenog radnog mjesta trebala bi odražavati te razlike umjesto da se primjenjuje jedna politika na svaki sustav.
Uređaji i udaljene sesije
Uređaji koji se koriste za rad na daljinu također su dio sigurnosne granice. Računala koja upravlja tvrtka mogu slijediti središnje nametnute politike za zakrpe, enkripciju i zaštitu krajnjih točaka. Osobni uređaji su teže kontrolirati, pa mogu zahtijevati pristup putem preglednika, izolaciju aplikacija ili strože ograničenja.
Udaljena sesija također treba pažnju. Pristup međuspremniku, prijenos datoteka, mapiranje lokalnih diskova, preusmjeravanje pisača i USB veze mogu podržati legitimni rad. U isto vrijeme, svaka funkcija može pružiti put za curenje podataka ili prijenos zlonamjernog softvera. IT timovi trebaju odlučiti koje funkcije svaka korisnička grupa stvarno zahtijeva.
Operativni procesi
Sigurnost na daljinu također ovisi o rutinskoj administraciji. Upravljanje računima, pregledi dozvola, isključenje izvođača, upravljanje zakrpama i testiranje sigurnosnih kopija izravno utječu na sigurnost okruženja.
Zaboravljeni račun izvođača ili nepodržani pristupnik može oslabiti inače dobro dizajniranu arhitekturu. Stoga sigurnost radne snage na daljinu mora uključivati procese koji održavaju tehničke kontrole točnima tijekom vremena.
Zašto rad na daljinu mijenja sigurnosni model?
Tradicionalna sigurnost poduzeća pretpostavljala je da korisnici rade u prostorijama tvrtke, koriste uređaje koje upravlja organizacija i povezuju se putem zaštićenih unutarnjih mreža. Vatrozidi i druge kontrole perimetra odvajali su pouzdane resurse od javnog interneta.
Rad na daljinu čini tu granicu manje jasnom. Zaposlenik se može povezati putem potrošačkog usmjerivača koji IT ne može pregledati, dok kontraktor može koristiti osobno računalo bez centralizirane zaštite krajnjih točaka. Administratori također mogu trebati pristupiti kritičnim sustavima s mreža koje dijele nepoznati korisnici.
Usluge daljinskog pristupa i poslovne aplikacije također mogu biti dostupne s interneta. To napadačima pruža više mogućnosti za skeniranje usluga, testiranje vjerodajnica i ciljanje neispravne infrastrukture.
Timovi za sigurnost stoga trebaju više konteksta prije nego što dopuste pristup. Identitet, snaga autentifikacije, status uređaja, lokacija, uloga korisnika, vrijeme povezivanja i zatraženi resurs su svi važni. Povezivanje se ne bi trebalo smatrati pouzdanim samo zato što je korisnik unio ispravnu lozinku ili došao s poznate mreže.
Koji su glavni sigurnosni rizici za udaljene radnike?
Rad na daljinu povećava izloženost nekoliko poznatih prijetnji. Ovi rizici rijetko ostaju izolirani, zbog čega jedan kompromitiran lozinka ili krajnja točka može brzo dovesti do šireg pristupa.
Kompromitirane vjerodajnice i napadi na autentifikaciju
Phishing, ponovna upotreba lozinki, infostealer zloćudni softver i punjenje vjerodajnica mogu napadačima dati valjane korisničke nazive i lozinke. Kada se autentificira, napadač može otvoriti aplikacije, uspostaviti udaljenu sesiju ili tražiti veće privilegije.
Internetom dostupne usluge prijave također privlače napadi brute-force i prskanja lozinkama Usluge protokola daljinskog radnog površine, web portali, gateway-e virtualnih privatnih mreža i administrativna sučelja su uobičajeni ciljevi.
Višefaktorska autentifikacija, upravitelji lozinki, ograničavanje brzine i otkrivanje abnormalnih prijava otežavaju dovršavanje ovih napada. Cilj nije samo zaštititi lozinku, već i prepoznati kada se valjane vjerodajnice koriste na neobičan način.
Izložene usluge udaljenog radnog stola
Protokol daljinskog radnog površine je standardni način pristupa Windows sustavima, ali izlaganje RDP hosta izravno javnom internetu stvara izbjegive rizike. Napadači mogu pronaći dostupne sustave, testirati vjerodajnice i ciljati slabosti u okolnoj infrastrukturi.
Povezivanje s udaljenim radnim površinama obično bi trebalo prolaziti kroz siguran pristupnik, posrednika ili sloj objavljivanja aplikacija. To drži domaćine sesija podalje od izravne izloženosti internetu i daje administratorima središnje mjesto za provedbu autentifikacije, politika pristupa i evidentiranja.
Upravljani uređaji i zlonamjerni softver
Politike donošenja vlastitih uređaja pružaju zaposlenicima fleksibilnost, ali smanjuju kontrolu organizacije nad konfiguracijom krajnjih točaka. Osobni uređaj može imati nedostatak trenutnih ažuriranja, enkripcije cijelog diska, detekcije krajnjih točaka ili sigurnosnih postavki preglednika.
Udaljeni krajnji uređaji također mogu biti kompromitirani putem zlonamjernih privitaka, lažnih ažuriranja, nesigurnih ekstenzija ili neovlaštenog softvera. Kada zlonamjerni softver dosegne uređaj ili sesiju, može ciljati vjerodajnice, dijeljene mape, mapirane diskove i povezane poslužitelje.
Organizacije trebaju odlučiti koje resurse neuređeni uređaji mogu pristupiti. Osjetljivi administrativni i proizvodni sustavi trebaju ostati nedostupni kada uređaj ne može ispuniti definirane sigurnosne zahtjeve.
Prekomjerne privilegije i lateralni pokret
Daljinski pristup često je širi nego što bi trebao biti. Izvođači mogu zadržati dozvole nakon završetka projekta; standardni korisnici mogu zadržati lokalna administratorska prava, a timovi podrške mogu se oslanjati na zajedničke privilegirane račune.
Ako je jedan račun kompromitiran, prekomjerne privilegije daju napadaču više sustava za istraživanje i više podataka do kojih može doći. Pristup bi trebao odražavati stvarnu ulogu korisnika.
Osoba koja treba jednu objavljenu aplikaciju ne bi trebala automatski dobiti potpuni radni stol ili široku mrežnu povezanost. Segmentacija bi također trebala spriječiti da kompromitirana sesija dosegne sustave sigurnosne kopije, kontrolere domena ili nepovezane proizvodne resurse.
Sjenovita IT i curenje podataka
Zaposlenici ponekad usvajaju nesigurne alate jer je odobreni proces previše spor ili restriktivan. Mogu koristiti osobnu e-poštu, usluge pohrane za potrošače ili nesankcioniranu aplikaciju za daljinski pristup.
Blokiranje ovih alata samo je dio odgovora. IT timovi također trebaju razumjeti zašto ih zaposlenici koriste. Pouzdana preglednička portal ili usluga objavljivanja aplikacija može učinkovitije riješiti problem radnog toka od druge politike upozorenja.
Dopušteni pristup međuspremniku, postavke mapiranja pogona i prijenosa datoteka mogu stvoriti slične brige. Ove značajke mogu olakšati rad, ali također mogu premjestiti osjetljive podatke izvan upravljanih sustava.
Izloženost sesije i ograničena vidljivost
Autentifikacija je samo početak udaljene sesije. Korisnik može ostaviti uređaj otključanim, zadržati aktivnim token preglednika ili zaboraviti prekinuti vezu s osjetljivim sustavom.
Izdvojeni vremenski prekidi, automatsko zaključavanje i ponovna autentifikacija mogu smanjiti ovu izloženost. Restriktivnije politike mogu biti prikladne za administratore, izvođače i korisnike koji obrađuju osjetljive informacije.
IT timovi također moraju moći vidjeti što se događa. Udaljena aktivnost često je rasprostranjena na platformama identiteta, krajnjim točkama, pristupnim točkama, aplikacijama i poslužiteljima. Kada su zapisi fragmentirani, sumnjivi događaji su teže povezati, a incidenti zahtijevaju više vremena za istraživanje.
Koje su sedam slojeva zaštite radne snage na daljinu?
Nijedan pojedinačni proizvod ne može osigurati distribuiranu radnu snagu samostalno. Učinkovita zaštita dolazi iz nekoliko slojeva koji smanjuju šanse za kompromitaciju, ograničavaju njen utjecaj i podržavaju oporavak.
Ojačajte identitet i autentifikaciju
Identitet je jedna od glavnih sigurnosnih granica u udaljenom okruženju. Višefaktorska autentifikacija trebala bi zaštititi udaljene radne površine, VPN veze, cloud aplikacije, administratorske račune i druge osjetljive operacije.
Gdje je to moguće, organizacije bi trebale usvojiti metode otporne na phishing. Autentifikacija temeljena na aplikacijama općenito je poželjnija od oslanjanja samo na SMS kodove, iako će izbor ovisiti o sustavima koji su već na snazi.
Osnovna linija zvučnog identiteta uključuje:
- Jedinstveni račun za svakog korisnika
- Odvojite standardne i privilegirane identitete administratora
- Definirani datumi isteka za pristup izvođača
- Automatizirano deaktiviranje neaktivnih računa
- Redovite provjere dozvola i članstva u grupama
Praćenje autentifikacije dodaje još jedan sloj. Ponovljeni neuspjesi, neočekivane registracije uređaja ili pristup s neobičnih lokacija mogu otkriti napad čak i kada se koristi ispravna lozinka.
Primijeni pristup s najmanjim privilegijama
Daljinski korisnici trebaju primati samo sustave i aplikacije potrebne za njihov rad. Široki pristup mreži može biti jednostavan za konfigurirati, ali čini kompromitirani račun daleko korisnijim za napadača.
Kontrola pristupa temeljena na ulozi pomaže uskladiti dozvole s radnim odgovornostima. Administracija i odobravanje s vremenskim ograničenjem mogu dodatno smanjiti broj trajno privilegiranih računa.
Windows okruženja također daju administratorima izbor između isporuke kompletnog radnog okruženja i objavljivanja specifične aplikacije. Kada korisnicima trebaju samo jedan ili dva poslovna alata, objavljivanje aplikacija može smanjiti nepotrebnu izloženost dok zadržava poznato iskustvo.
Najmanja privilegija trebala bi ostati praktična. Dozvole koje su previše restriktivne stvaraju probleme s podrškom i mogu potaknuti zaobilaženje. Cilj je osigurati dovoljno pristupa za ulogu, ali ne više od toga.
Ojačajte i upravljajte krajnjim točkama
Svaki udaljeni uređaj je potencijalna ulazna točka, stoga uređaji kojima upravlja tvrtka trebaju dosljednu sigurnosnu osnovu. Kao minimum, ovo bi trebalo pokriti:
- Automatizirana ažuriranja operativnog sustava i aplikacija
- Zaštita od otkrivanja krajnjih točaka i anti-malware zaštita
- Šifriranje cijelog diska i pravila vatrozida temeljenog na hostu
- Zaključavanje ekrana i ograničena prava lokalnog administratora
- Kontrole preglednika, ekstenzija i aplikacija
- Inventar uređaja i centralizirana telemetrija
Računalo koje je prestalo izvještavati, propustilo važne nadogradnje ili onemogućilo svoj sigurnosni agent ne bi smjelo nastaviti primati isti pristup kao usklađeni uređaj.
Osobni uređaji zahtijevaju drugačiji pristup. Upravljanje mobilnim uređajima, pristup putem preglednika, aplikacijski kontejneri i objavljene aplikacije mogu smanjiti količinu poslovnih podataka pohranjenih lokalno bez potrebe da IT upravlja svakim aspektom uređaja.
Osigurajte put do daljinskog pristupa
Udaljene veze trebaju trenutnu enkripciju, jaku autentifikaciju i strogo definirana pravila pristupa. Session hosts and management interfaces should not be exposed to the public internet without a clear operational reason.
Gateway ili posrednik može centralizirati pristup udaljenim radnim površinama i aplikacijama. Pruža administratorima jedno mjesto za nametanje dozvola, praćenje veza i održavanje unutarnjih domaćina sesija daleko od izravne izloženosti.
Javne komponente i dalje trebaju pažljivo održavanje. Neiskorištene portove treba zatvoriti, nepodržane protokole onemogućiti, a pristupne točke brzo zakrpiti. Zadani računi i zastarjele usluge trebaju se ukloniti umjesto da ostanu na mjestu radi praktičnosti.
Geografska i IP-bazirana ograničenja mogu smanjiti neželjeni promet, ali bi trebala dopunjavati autentifikaciju umjesto da je zamjenjuju. Napadači mogu usmjeriti aktivnost kroz proksije, cloud usluge ili kompromitirane sustave u dopuštenim regijama.
Segmentni sustavi i zaštita podataka
Uspješna udaljena prijava ne bi trebala otvoriti cijelu internu mrežu. Segmentacija bi trebala odvojiti obične udaljene korisnike od administratora, izvođača, proizvodnih sustava, infrastrukture za sigurnosne kopije i drugih osjetljivih okruženja.
Pravila između tih područja trebala bi odražavati stvarne poslovne zahtjeve. Korisnik koji treba financijsku aplikaciju ne bi trebao automatski dobiti mrežnu vidljivost u razvojne poslužitelje ili upravljačke sučelje.
Aplikacije također trebaju autorizaciju temeljenu na ulogama, vremenska ograničenja sesija, revizijske zapise i ograničenja na izvoz podataka. Enkripcija štiti informacije u prijenosu i u mirovanju, ali dozvole i dalje određuju tko ih može koristiti.
Postavke udaljene sesije trebale bi se razlikovati ovisno o ulozi. Dijeljenje međuspremnika ili pristup lokalnom disku može biti potrebno za jedan tim, a neprimjereno za drugi. Jedna permisivna politika za svakog korisnika lakša je za upravljanje, ali rijetko odražava stvarni rizik.
Zakrpite i nadgledajte cijeli stog
Zakrpavanje krajnjih točaka je važno, ali daljinski pristup se oslanja na širi tehnološki skup. Prolazi, posrednici, domaćini daljinskih radnih površina, VPN infrastruktura, vatrozidi, usluge identiteta, web portali, preglednici i sigurnosni agenti svi zahtijevaju ažuriranja.
Ranji ranjivosti povezane s internetom i autentifikacijom zaslužuju prioritet jer ih napadači mogu ciljati bez prethodnog ulaska u unutarnju mrežu. Nepodržani proizvodi trebaju se nadograditi, izolirati ili zamijeniti.
Praćenje bi se trebalo usredotočiti na događaje koji pomažu administratorima da djeluju:
- Ponovljeni neuspjesi autentifikacije
- Novi administratorski računi ili promjene privilegija
- Pristup izvan uobičajenih radnih sati
- Onemogućene usluge krajnje točke ili sigurnosti
- Neobične promjene datoteka ili prijenosi podataka
- Povezivanje s nepoznatim uređajima ili lokacijama
Kvaliteta upozorenja također je važna. Administratori trebaju račun, izvorni uređaj, IP adresu, vrijeme, lokaciju i zatraženi resurs, a ne samo poruku koja kaže da se prijava čini sumnjivom.
Pripremite se za oporavak i obučite korisnike
Preventivne mjere smanjuju rizik, ali ne mogu jamčiti da se incident nikada neće dogoditi. Sigurnosne kopije trebaju koristiti odvojene administratorske vjerodajnice i ostati izolirane od standardnih korisničkih računa. Također bi trebali biti šifrirani, praćeni i redovito testirani.
Testiranje oporavka mora ići dalje od vraćanja uzoraka datoteka. IT timovi trebaju potvrditi da mogu obnoviti usluge identiteta, infrastrukturu za daljinski pristup i kritične serverske aplikacije unutar ciljeva oporavka organizacije.
Zaposlenici također imaju praktičnu ulogu u sigurnosti. Moraju prepoznati pokušaje phishinga, zaštititi uređaje za autentifikaciju, prijaviti neočekivane poruke i znati kako kontaktirati IT putem provjerenog kanala.
Obuka najbolje funkcionira kada je kratka i povezana s alatima koje ljudi koriste svaki dan. Zaposlenici su skloniji pridržavanju sigurnosne politike kada je odobreni daljinski pristup jasan, pouzdan i razmjerno jednostavan za korištenje.
Kako izgraditi strategiju sigurnosti za radnu snagu na daljinu?
Program sigurnosti udaljene radne snage trebao bi se razvijati u kontroliranoj sekvenci. Dodavanje nepovezanih proizvoda bez prethodnog razumijevanja korisnika, sustava i rizika često stvara veću složenost bez pružanja dosljedne zaštite.
Inventarizacija okruženja
Započnite identificiranjem tko se povezuje na daljinu, koje uređaje koriste i koje resurse trebaju. Uključite zaposlenike, administratore, izvođače, pružatelje usluga i druge treće strane.
Inventar bi trebao također bilježiti javno dostupne usluge, privilegirane račune, osjetljive pohrane podataka i nepodržane sustave. Nepoznate imovine i zaboravljeni računi ne mogu se pouzdano upravljati.
Klasificirajte pristup prema riziku
Nezahtijeva svaka udaljena veza istu zaštitu. Administrativni pristup produkcijskom poslužitelju ima drugačiji utjecaj od pristupa općem internom portalu.
Klasifikacija rizika trebala bi uzeti u obzir privilegije korisnika, vlasništvo nad uređajem, osjetljivost podataka, izloženost internetu i poslovnu važnost resursa. Ovi faktori pomažu u određivanju koje veze zahtijevaju jaču autentifikaciju, upravljane uređaje ili detaljnije praćenje.
Definirajte provedivu politiku
The politika daljinskog pristupa trebalo bi objasniti koji su odobreni načini povezivanja, koje standarde uređaji moraju ispunjavati i kada je potrebna višefaktorska autentifikacija. Također bi trebalo obuhvatiti osobne uređaje, rukovanje podacima, evidentiranje, isključivanje izvođača i odobravanje iznimaka.
Politika je pouzdanija kada je tehnologija provodi. Napisana pravila mogu reći korisnicima da ne pristupaju proizvodnim sustavima s osobnih uređaja, ali kontrola pristupa koja blokira vezu pruža jaču zaštitu.
Prvo se pozabavite najvišim rizicima
Početna implementacija može slijediti usredotočenu sekvencu:
- Uklonite nepotrebne usluge koje su dostupne putem interneta.
- Zaštitite daljinski pristup višefaktorskom autentifikacijom.
- Zakrpite izložene ulaze i poslužitelje.
- Eliminirajte zajedničke, neaktivne i prekomjerno privilegirane račune.
- Implementirajte zaštitu krajnjih točaka i kontrole usklađenosti uređaja.
- Segmentirajte udaljene korisnike od osjetljivih sustava.
- Centralizirajte zapise i testirajte oporavak sigurnosnih kopija.
Ova sekvenca se bavi uobičajenim putanjama u okruženju prije nego što se pređe na detaljnija poboljšanja.
Testirajte i poboljšajte kontrole
Nove kontrole trebaju se testirati s reprezentativnim korisnicima, uređajima, lokacijama i aplikacijama. Veze s visokom latencijom, zahtjevi za pristupačnošću i scenariji hitnog pristupa mogu otkriti probleme koje laboratorijski test neće primijetiti.
Organizacija tada može pratiti mali skup korisnih pokazatelja, kao što su pokrivenost višefaktorske autentifikacije, usklađenost s zakrpama, javna izloženost, brojevi privilegiranih računa, vrijeme istraživanja upozorenja i uspješnost obnove sigurnosnih kopija.
Ove mjere trebale bi pokazati smanjuje li se rizik, a ne samo to da li sigurnosni tim obavlja više zadataka.
Kako TSplus Advanced Security podržava zaštitu Remote Access-a?
TSplus Napredna sigurnost dodaje fokusirani sloj zaštite za Windows Server i okruženja udaljenog radnog stola. Može dopuniti kontrole identiteta, zaštitu krajnjih točaka i sigurnosne kopije pomažući administratorima da se nose s uobičajenim prijetnjama udaljenom pristupu putem centraliziranog sučelja.
Njegove glavne mogućnosti uključuju:
- Zaštita od brute-force napada i blokiranje zlonamjernih IP adresa
- Geografska ograničenja i kontrole pouzdanih uređaja
- Politike sigurnih sesija za različite korisnike i grupe
- Ransomware protection
- Centralizirani sigurnosni događaji i upozorenja
Ove mogućnosti mogu pomoći administratorima da smanje izloženost, primijene dosljedna ograničenja pristupa i ranije identificiraju sumnjivo ponašanje. Posebno su relevantne tamo gdje Windows poslužitelji i usluge udaljenog radnog stola podržavaju distribuirane zaposlenike ili vanjske korisnike.
TSplus Napredna sigurnost ostaje jedan dio šire arhitekture. Organizacije i dalje trebaju višefaktorsku autentifikaciju, pravovremeno zakrivanje, dozvole s najmanjim privilegijama, zaštitu krajnjih točaka, segmentaciju i testiranu obnovu.
Zaključak
Sigurnost udaljenih radnika oslanja se na nekoliko kontrola koje rade zajedno. Snažna identifikacija, upravljani krajnji uređaji, ograničen pristup, smanjena izloženost, korisno praćenje i testirana obnova štite različite dijelove istog okruženja. Najodrživija strategija također održava odobreni udaljeni pristup jasnim i praktičnim za zaposlenike, administratore i vanjske korisnike.
)
)
)
