Kā konfigurēt uzņēmuma VPN drošai piekļuvei

Attālināts darbs, filiāles un ārpakalpojumu partneri nozīmē, ka uzņēmuma sistēmām regulāri piekļūst ārpus biroja tīkla. Jautājums nav tikai, kā konfigurēt uzņēmuma VPN, bet kā nodrošināt, lai šī piekļuve nepalielinātu datu noplūdes, izspiedējvīrusu un dīkstāves risku. Nepārdomāti izveidots VPN var būt ērts īsceļš darbiniekam un vienlaikus nepamanīts ieejas punkts uzbrucējam.

Uzņēmuma VPN ir jāuztver kā kontrolēta piekļuves sistēma, nevis vienkārši savienojums ar iekšējo tīklu. Pareiza konfigurācija apvieno lietotāju identitātes pārbaudi, ierīču drošību, skaidri noteiktas piekļuves tiesības, žurnālus un regulāru pārvaldību. Mazam vai vidējam uzņēmumam tas ļauj izmantot uzņēmuma resursus elastīgi, nezaudējot kontroli pār kritiskajiem datiem.

Sāciet ar piekļuves scenārijiem, nevis VPN risinājumu

Pirms izvēlēties ugunsmūri, licences vai klienta lietotni, jāatbild uz vienkāršu biznesa jautājumu: kam un kādēļ vajadzīga attālināta piekļuve? Grāmatvedim var būt nepieciešama piekļuve finanšu sistēmai, pārdošanas komandai - dokumentu krātuvei, bet IT administratoram - serveru pārvaldības videi. Šie nav vienādi riska līmeņi, tāpēc tiem nevajadzētu saņemt vienādas tiesības.

Praktiski uzņēmumā parasti ir divi VPN izmantošanas modeļi. Attālās piekļuves VPN savieno konkrētu lietotāju un viņa ierīci ar uzņēmuma resursiem. Vietņu savienojuma VPN savieno, piemēram, Rīgas biroju ar noliktavu, filiāli vai mākoņvidē izvietotu infrastruktūru. Daudzās organizācijās nepieciešami abi, taču tie jāprojektē un jāpārvalda atsevišķi.

Svarīgi ir izveidot resursu karti: kuri serveri, lietojumprogrammas, failu krātuves un administrēšanas rīki ir pieejami attālināti, kādi dati tajos glabājas un kam tie patiesi vajadzīgi. Ja šis darbs tiek izlaists, VPN bieži kļūst par pilnas piekļuves tuneli visam biroja tīklam. Tas ir ērti sākumā, bet dārgi incidenta brīdī.

Kā konfigurēt uzņēmuma VPN ar pareizu arhitektūru

Tehnoloģijas izvēlei jābalstās uz esošo vidi un darbības prasībām. VPN var nodrošināt nākamās paaudzes ugunsmūris, specializēts attālās piekļuves risinājums vai identitātē balstīta piekļuves platforma. Nav universāli labākā varianta. Uzņēmumam ar lokāliem failu serveriem un ražošanas sistēmām bieži nepieciešams cits risinājums nekā organizācijai, kas lielākoties izmanto mākoņpakalpojumus.

Parasti izvēle jāvērtē pēc četrām dimensijām: drošības, pārvaldības, veiktspējas un izmaksām. Bezmaksas vai patērētāju segmenta VPN produkts var būt piemērots individuālai interneta datplūsmas aizsardzībai, taču tas parasti nenodrošina centralizētu lietotāju pārvaldību, audita žurnālus, piekļuves politikas un integrāciju ar uzņēmuma identitātes sistēmu. Uzņēmuma vidē šīs funkcijas ir pamatprasība.

Arhitektūrā jāievēro mazāko nepieciešamo privilēģiju princips. Lietotājam jāredz tikai tie tīkli un pakalpojumi, kas vajadzīgi viņa darbam. Piemēram, pārdošanas nodaļai nav pamata sasniegt serveru administrēšanas segmentu, savukārt ārējam grāmatvedības partnerim nevajadzētu saņemt piekļuvi visai failu struktūrai.

Tīkla segmentācija šeit ir būtiska. VPN lietotāji jānovirza atsevišķā segmentā, no kura ugunsmūra noteikumi atļauj piekļuvi tikai apstiprinātiem resursiem. Šāda pieeja ierobežo kaitējumu, ja tiek kompromitēts lietotāja konts vai ierīce. Tā arī vienkāršo auditu, jo ir skaidrs, no kurienes un uz ko attālinātie lietotāji pieslēdzas.

Identitāte ir svarīgāka par paroli

Ar lietotājvārdu un paroli vien nepietiek. Pikšķerēšanas uzbrukumi, atkārtoti izmantotas paroles un noplūduši akreditācijas dati joprojām ir biežs sākumpunkts drošības incidentiem. VPN piekļuvei jāievieš daudzfaktoru autentifikācija jeb MFA. Tas var būt autentifikatora lietotnes apstiprinājums, aparatūras drošības atslēga vai cits uzņēmuma politikai atbilstošs faktors.

Vislabāk VPN sasaistīt ar centralizētu identitātes pārvaldību. Tad, darbiniekam mainot amatu vai pārtraucot darba attiecības, piekļuves tiesības tiek mainītas vienā kontrolētā procesā. Pretējā gadījumā uzņēmumā uzkrājas veci VPN konti, lokāli izveidotas paroles un grūti pārskatāmas atļaujas.

Priviliģētiem lietotājiem - sistēmu administratoriem, ārpakalpojumu speciālistiem un vadības personālam ar piekļuvi sensitīviem datiem - jāpiemēro stingrāki noteikumi. Tie var ietvert piekļuvi tikai no pārvaldītām ierīcēm, ierobežotu pieslēgšanās laiku, atsevišķus administrēšanas kontus un papildus apstiprinājumu īpaši jutīgām darbībām.

Ierīces drošība nosaka piekļuves kvalitāti

VPN šifrē datplūsmu starp ierīci un uzņēmuma vidi, taču tas nepadara inficētu vai novecojušu datoru drošu. Ja darbinieka klēpjdatorā ir ļaunatūra, VPN savienojums var tai pavērt ceļu uz iekšējiem resursiem. Tāpēc VPN politika jāsaista ar ierīču pārvaldību.

Piekļuvi vēlams atļaut tikai ierīcēm, kurās ir aktivizēta diska šifrēšana, aktuāli operētājsistēmas un drošības atjauninājumi, pārvaldīts pretļaundabīgās programmatūras risinājums un ekrāna bloķēšana. Personīgās ierīces var būt pieļaujamas noteiktos amatos, tomēr tad jāizvērtē, vai drošāk nav izmantot attālinātu darbvirsmu, virtuālu darba vidi vai tikai pārlūkprogrammas piekļuvi konkrētam pakalpojumam.

Jāizlemj arī par dalīto tunelēšanu. Ja tā ir ieslēgta, tikai satiksme uz uzņēmuma resursiem iet caur VPN, bet pārējais internets izmanto lietotāja lokālo pieslēgumu. Tas samazina slodzi uz centrālo interneta savienojumu un uzlabo videokonferenču kvalitāti, taču prasa uzticamu ierīču aizsardzību. Ja dalītā tunelēšana ir izslēgta, visa datplūsma iet caur uzņēmuma drošības kontroli, bet nepieciešama lielāka jauda un joslas platums. Pareizā izvēle ir atkarīga no riska, darba slodzes un uzņēmuma resursiem.

Ieviešanas secība, kas samazina kļūdu risku

VPN ieviešanu nevajadzētu sākt ar visu darbinieku pieslēgšanu vienā dienā. Vispirms izveido pilotgrupu ar dažādiem lietošanas scenārijiem: biroja darbinieku, vadītāju, IT administratoru un, ja nepieciešams, ārēju partneri. Pilots atklāj problēmas ar lietojumprogrammu piekļuvi, DNS, veiktspēju un lietotāju atbalstu, pirms tās skar visu uzņēmumu.

Pirms plašākas palaišanas pārbaudiet šādus kontrolpunktus:

• katrai lietotāju grupai ir definētas un dokumentētas piekļuves tiesības;
• MFA ir obligāta, un koplietoti VPN konti nav atļauti;
• ugunsmūra noteikumi bloķē piekļuvi visam, kas nav nepārprotami nepieciešams;
• žurnāli reģistrē pieslēgšanās mēģinājumus, lietotāju, ierīci, avota valsti vai IP adresi un piekļūtos resursus;
• ir skaidrs process piekļuves atsaukšanai, pazaudētas ierīces incidentam un aizdomīgai pieslēgšanās aktivitātei.

Konfigurācija jāfiksē dokumentācijā. Tajā jāiekļauj tīkla shēma, VPN adrešu diapazoni, izmantotās autentifikācijas metodes, sertifikātu termiņi, atbildīgās personas un atjaunošanas procedūra. Dokumentācija nav birokrātisks pielikums - tā ir darbības nepārtrauktības prasība. Ja galvenais administrators nav pieejams vai jāatjauno infrastruktūra pēc incidenta, uzņēmumam nevar būt jāpaļaujas uz atmiņu un atsevišķiem pierakstiem.

Uzraudzība un pārbaudes pēc palaišanas

VPN nav projekts, ko pabeidz konfigurēšanas dienā. Lietotāji mainās, ierīces tiek nomainītas, pakalpojumi pārvietojas uz mākoņvidi, bet uzbrucēju metodes attīstās. Piekļuves tiesības regulāri jāpārskata - vismaz reizi ceturksnī sensitīvām sistēmām un pēc katras būtiskas personāla vai infrastruktūras izmaiņas.

Jāuzrauga neveiksmīgi pieslēgšanās mēģinājumi, neierastas pieslēgšanās vietas, vienlaicīgas sesijas, ilgstoši aktīvi konti un administratīvās piekļuves. Ne katrs brīdinājums ir incidents, taču žurnāls, kuru neviens nepārskata, nenodrošina kontroli. Mazākiem uzņēmumiem šo uzdevumu bieži ir lietderīgi iekļaut pārvaldītā IT pakalpojumā, kur ir skaidra atbildība par uzraudzību un reaģēšanu.

Būtiska ir arī rezerves piekļuve. Ja MFA pakalpojums, interneta savienojums vai galvenais ugunsmūris nav pieejams, kritiskām komandām jāzina, kā turpināt darbu kontrolētā veidā. Tas nenozīmē radīt nedrošu “avārijas kontu”, bet gan pārbaudīt atjaunošanas scenārijus un iekļaut tos uzņēmuma darbības nepārtrauktības plānā.

KSK IT praksē VPN tiek vērtēts kopā ar identitātes pārvaldību, tīkla segmentāciju, rezerves kopijām un incidentu reaģēšanu. Šāda pieeja palīdz izvairīties no situācijas, kur viens tehnisks risinājums tiek uzskatīts par pilnīgu drošības stratēģiju.

Drošs VPN nav redzams ikdienas darbā - darbinieks pieslēdzas, piekļūst vajadzīgajam resursam un turpina darbu. Taču aiz šīs vienkāršās pieredzes jābūt skaidrai atbildībai, pārbaudāmām politikām un spējai ātri rīkoties, kad apstākļi mainās.