Қашықтан қол жеткізу корпоративтік IT-инфрақұрылымның қалыпты бөлігіне айналды. RDP арқылы қызметкерлер 1С және ішкі жүйелермен жұмыс істейді, әкімшілер серверлерге қызмет көрсетеді, ал AnyDesk, Radmin және ұқсас бағдарламалар пайдаланушының жұмыс компьютеріне жылдам қосылуға мүмкіндік береді.
Мәселе қашықтан қол жеткізудің өзінде емес. Қауіп ұйым бірнеше қарапайым сұраққа нақты жауап бере алмаған кезде пайда болады: кім қосыла алады, қай жерден, қандай есептік жазбамен, қандай жүйелерге және қосылғаннан кейін жеткілікті журналдар сақтала ма.
Ашық RDP, тұрақты қол жеткізуі ұмыт қалған AnyDesk немесе жұмыстан кеткен қызметкердің ескі есептік жазбасы жылдар бойы жұмысқа кедергі келтірмеуі мүмкін. Алғашқы инцидентке дейін мұндай инфрақұрылым қалыпты жұмыс істеп тұрғандай көрінеді.
Үнемі қолжетімді әрбір қашықтан басқару арнасы компания инфрақұрылымына қосымша кіру нүктесіне айналады. Сондықтан оны VPN, пошта, әкімшілік панельдер және басқа сыртқы сервистер сияқты байыппен қарастыру қажет.
Компанияларда қашықтан қол жеткізудің қандай түрлері жиі кездеседі
Іс жүзінде бір ғана технология сирек пайдаланылады. Бір ұйымның ішінде RDP, VPN, AnyDesk және бір кездері бір реттік техникалық қолдау үшін орнатылған тағы бір бағдарлама қатар жұмыс істеуі мүмкін.
RDP
Remote Desktop Protocol Windows және Windows Server жүйелерінде қашықтан жұмыс істеу үшін пайдаланылады. Бұл Microsoft-тың штаттық механизмі және терминалдық жұмысқа, әкімшілендіруге және ішкі қолданбаларға қол жеткізуге қолайлы.
RDP-дің өзі «қауіпті бағдарлама» емес. Тәуекел оның қалай жарияланғанына және оны кім пайдалана алатынына байланысты.
Ең мәселелі нұсқа — TCP/3389 немесе басқа портқа ауыстырылған RDP-порт Интернеттен тікелей қолжетімді болған жағдай. Порт нөмірін өзгерту қарапайым автоматтандырылған әрекеттер санын азайтуы мүмкін, бірақ мұндай қол жеткізуді қауіпсіз архитектураға айналдырмайды.
AnyDesk
AnyDesk пайдаланушыларды қолдау және бір реттік қосылулар үшін ыңғайлы. Бірақ тұрақты қол жеткізу режимі бөлек бақылауды қажет етеді.
Егер unattended access үнемі қосулы болса, компьютерде штаттық RDP-ден тәуелсіз жұмыс істей алатын тағы бір қашықтан кіру арнасы бар деген сөз.
Әкімші қай құрылғыларда AnyDesk орнатылғанын, сол жерде тұрақты қол жеткізу қажет пе, құпиясөзді кім білетінін немесе қандай аккаунт байланыстырылғанын және бағдарламаның қазір шынымен пайдаланылып жатқанын білуі тиіс.
Radmin және Radmin VPN
Мұнда екі бөлек компонентті ажырату маңызды.
Radmin VPN құрылғылар арасында виртуалды желі жасайды. Сол желі арқылы RDP, желілік ресурстар немесе басқа ішкі сервистерді пайдалануға болады.
Radmin Server компьютерді қашықтан басқару мүмкіндігін тікелей береді.
Виртуалды желіні пайдалану көбіне RDP-ді Интернетке тікелей жариялаудан жақсырақ, бірақ компьютерлердің бір VPN-желіде болуы қауіпсіздік мәселесін өздігінен шешпейді. Желі қатысушыларын, Windows есептік жазбаларын, пайдаланушы құқықтарын және қолжетімді сервистерді бақылау қажет.
Неліктен Интернеттен тікелей RDP — нашар схема
RDP тікелей жарияланған кезде қашықтағы жұмыс үстелі қызметі сыртқы түйіндерге қолжетімді болады. Демек, қосымша қорғаныс деңгейінен өтпей-ақ оны анықтап, қосылуға әрекет жасауға болады.
Күрделі құпиясөздер қолданылғанның өзінде қосымша тәуекелдер қалады: конфигурация қателері, ескі есептік жазбалар, артық құқықтар және журналдарды жеткіліксіз бақылау.
Неғұрлым дұрыс архитектура RDP сыртқы пайдаланушы кездесетін бірінші нүкте болмайтындай құрылуы тиіс.
Алдымен бақыланатын қорғалған арна арқылы қосылу орындалады, содан кейін ғана ішкі RDP немесе қажетті басқа сервис қолжетімді болады.
VPN RDP-дің өзін қорғау қажеттілігін жоймайды
Кейде VPN енгізілгеннен кейін мәселе толығымен шешілді деген жалған сенім пайда болады. Бірақ VPN схеманың тек бір деңгейіне жауап береді.
Егер адам VPN-ге қосылғаннан кейін кез келген есептік жазбаны пайдалана алса, қажет емес серверлерді көрсе немесе барлық жұмыс станцияларына еркін қосыла алса, мәселе жай ғана виртуалды желінің ішіне ауысады.
Сондықтан қауіпсіз схема VPN-ге кіруді ғана емес, пайдаланушының одан кейінгі әрекеттерін де шектеуі тиіс.
VPN-ге қосылғаннан кейін пайдаланушы тек өз жұмысына қажетті желілік маршруттарға, жүйелерге және сервистерге қол жеткізуі тиіс. Виртуалды желіге сәтті қосылудың өзі бүкіл инфрақұрылымға толық қол жеткізуді білдірмеуі керек.
Қашықтан жұмыс істеу үшін жеке есептік жазбалар қажет
Ең қолайсыз схемалардың бірі — бірнеше қызметкер немесе әкімші бір ортақ есептік жазбаны пайдаланған жағдай.
Мысалы, бес адам серверге бір логинмен қосылады. Windows журналында осы есептік жазбаның әрекеті көрінеді, бірақ нақты қай адамның әрекет жасағанын анықтау әлдеқайда қиын болады.
Қалыпты бақылау үшін әр пайдаланушы өзінің жеке есептік жазбасымен жұмыс істеуі тиіс.
Бұл әкімшілік қол жеткізу үшін ерекше маңызды. Күнделікті пайдаланушы есептік жазбасы мен әкімшілік есептік жазба мүмкіндігінше әртүрлі міндеттерге қолданылуы керек.
Мұндай тәсіл нақты адамның қол жеткізуін тез өшіруге, оның кірулерін тексеруге және журналдардағы әрекеттердің кімге тиесілі екенін түсінуге көмектеседі.
Әкімшілік құқықтар RDP-мен бірге автоматты түрде берілмеуі тиіс
Қашықтан қосылуға рұқсат беру пайдаланушыға әкімші құқықтары қажет дегенді білдірмейді.
Егер қызметкер 1С-ті іске қосып, құжаттармен жұмыс істесе немесе корпоративтік қолданбаны RDP арқылы пайдаланса, оған көбіне әкімшілік өкілеттіктер қажет емес.
Әкімші құқықтарымен тұрақты жұмыс істеу пайдаланушы қатесінің немесе зиянды файлды іске қосудың салдарын күшейтеді.
Сондықтан қашықтан қол жеткізуді тексерген кезде жергілікті және домендік әкімшілік топтардың құрамын бөлек қарау қажет.
MFA сыртқы қол жеткізу үшін әсіресе маңызды
Құпиясөз қорғаныстың маңызды элементі болып қала береді, бірақ сырттан қашықтан кіруді тек бір құпиясөзге негіздеу дұрыс емес.
Қосымша факторды VPN, RD Gateway, корпоративтік сәйкестендіру жүйесі немесе басқа қол жеткізу шлюзі деңгейінде іске асыруға болады.
MFA-ның мәні мұнда өте түсінікті: пайдаланушының құпиясөзі бұзылған күннің өзінде сыртқы қорғаныс деңгейінен өту үшін бір ғана құпиясөз жеткіліксіз болады.
Көпфакторлы аутентификация есептік жазбаны қорғауды айтарлықтай күшейтеді, бірақ құқықтарды шектеуді, жүйені жаңартуды, VPN қатысушыларын бақылауды және журнал жүргізуді алмастырмайды. Қорғаныс бірнеше тәуелсіз деңгейден тұруы тиіс.
AnyDesk және басқа бағдарламаларды бөлек кіру нүктелері ретінде есепке алу керек
Қашықтан қол жеткізуді түгендеу кезінде тек Windows RDP-мен шектелуге болмайды.
Компьютерлерде бірнеше ай немесе жыл бұрын орнатылған AnyDesk, TeamViewer, Radmin Server және басқа қашықтан басқару құралдары қалуы мүмкін.
Типтік жағдай: ұйым ескі RDP-ді жауып немесе VPN енгізген, бірақ маңызды компьютерлердің бірінде тұрақты қол жеткізуі бар қашықтан басқару бағдарламасы әлі де жұмыс істеп тұр.
Сондықтан рұқсат етілген қашықтан қосылу құралдарының тізімі IT-қызметке белгілі болуы тиіс.
Егер бағдарлама бұдан былай қолданылмаса, оны «керек болып қалар» деп қалдырғаннан гөрі жою немесе тұрақты қол жеткізуді өшіру қауіпсізірек.
Қызметкердің жұмыстан шығуына және мердігердің ауысуына ерекше назар аудару керек
Қашықтан қол жеткізуді жаңа қызметкерді қосу процесіне ғана емес, жұмыстан шығару рәсіміне де енгізу қажет.
Адамда VPN, AnyDesk, басқару панелі немесе басқа сервистерге бөлек қол жеткізу болған болса, жұмысты тоқтатқан кезде тек Windows есептік жазбасын өшіру жеткіліксіз.
Бұл сыртқы жүйелік әкімшілер мен мердігерлерге де қатысты.
Қызмет көрсетуші компания ауысқаннан кейін барлық қашықтан қол жеткізу тәсілдерін тексеріп, ескі реквизиттердің енді жұмыс істемейтініне көз жеткізген дұрыс.
Журналдарда не сақталуы тиіс
Журналсыз қашықтан қол жеткізу инцидентті тергеуді едәуір қиындатады.
Windows Server үшін негізгі Security журналын ғана емес, Remote Desktop Services профильдік журналдарын да бақылаған дұрыс.
Олар қосылулар, сеанстар және RDP жұмысы туралы көбірек мәліметті қалпына келтіруге мүмкіндік береді.
Бірақ журналдың бар болуы тарихтың шынымен сақталғанын білдірмейді. Егер оның максималды көлемі тым аз болса, ұйым мәселені байқағанға дейін қажетті оқиғалар қайта жазылып кетуі мүмкін.
Бастапқы бағалау үшін біздің Windows Security журналының тарих тереңдігін есептеу калькуляторын пайдалануға болады.
Аудит кезінде нақты сақтау тереңдігі маңызды: бүгін бірнеше апта немесе ай бұрын болған кірулер мен әрекеттерді қалпына келтіруге бола ма. Журнал көлемі мен нақты сақталатын уақыт аралығы — екі түрлі көрсеткіш.
IP-мекенжай пайдалы, бірақ оның өзі жеткіліксіз
Қашықтан қосылу журналдарындағы IP-мекенжай сеанстың қай жерден орнатылғанын түсінуге көмектеседі. Бұл әсіресе қосылуды нақты уақытпен және есептік жазбамен салыстыру қажет болғанда маңызды техникалық ақпарат.
Бірақ бір IP-мекенжай адамды әрдайым бірмәнді анықтай бермейді.
Бірнеше қызметкер ұйымның бір сыртқы мекенжайы арқылы шығуы мүмкін, пайдаланушының мекенжайы өзгеруі мүмкін, ал VPN қолданылғанда журнал ішкі VPN-мекенжайды көрсетуі мүмкін.
Сондықтан тергеу кезінде бірнеше белгіні қатар салыстырған дұрыс: есептік жазба, IP-мекенжай, кіру уақыты, қосылу түрі және сол сеанстың басқа оқиғалары.
Қашықтан қол жеткізуді уақыт пен міндет бойынша шектеусіз қалдырмаңыз
Тұрақты қызметкерлер үшін қашықтан жұмыс істеу күнделікті процесс болуы мүмкін. Бірақ мердігерге, уақытша әкімшіге немесе бір реттік қызмет көрсетуге тұрақты қол жеткізу көбіне қажет емес.
Жақсы тәжірибе — қол жеткізуді міндет орындалатын уақытқа ғана беру және жұмыс аяқталғаннан кейін өшіру.
Бұл уақытша берілетін әкімшілік құқықтарға да қатысты.
Тұрақты жұмыс істейтін кіру нүктелері неғұрлым аз болса, инфрақұрылымды бақылау соғұрлым оңай.
Қауіпсіз қашықтан қол жеткізудің базалық схемасы
Шағын және орта компания үшін практикалық схема мынадай болуы мүмкін.
- RDP-ді Интернетке тікелей жарияламау. VPN, RD Gateway немесе басқа бақыланатын шлюзді пайдалану.
- Әр адамға жеке есептік жазба. Бірнеше қызметкерге бір ортақ логин қолданбау.
- Әкімшілік құқықтарды шектеу. RDP-ге қол жеткізу мен әкімші құқықтары — екі бөлек рұқсат.
- Сыртқы қол жеткізу деңгейінде MFA пайдалану. Әсіресе әкімшілер мен критикалық жүйелер үшін.
- AnyDesk, Radmin және басқа құралдарды түгендеу. Белгісіз немесе қажет емес қашықтан басқару агенттерін қалдырмау.
- Журналдарды бақылау. Security және RDP журналдары жеткілікті тарихты сақтауы тиіс.
- Ескі қол жеткізулерді жою. Қызметкердің жұмыстан шығуы немесе мердігердің ауысуы барлық қашықтан кіру арналарын тексеруді автоматты түрде бастауы керек.
Дәл қазір нені тексеруге болады
Қашықтан қосылудың барлық бағдарламалары мен тәсілдерінің толық тізімі бар
RDP Интернетке тікелей жарияланбаған
Сырттан қосылу үшін VPN, RD Gateway немесе басқа бақыланатын шлюз пайдаланылады
Әр қызметкер мен әкімшінің жеке есептік жазбасы бар
Қарапайым пайдаланушылар әкімшілік құқықтармен тұрақты жұмыс істемейді
Сыртқы қол жеткізу деңгейінде MFA пайдаланылады
AnyDesk, Radmin және басқа бағдарламалар тек шынымен қажет құрылғыларда орнатылған
Тұрақты unattended access тек негізделген қажеттілік болғанда қолданылады
Бұрынғы қызметкерлер мен ескі мердігерлердің қол жеткізуі өшірілген
Security және RDP журналдары қосылған және жеткілікті көлемге ие
Қашықтан кірудің есептік жазбасын, уақытын және көзін анықтауға болады
Windows Server-ді қалай жылдам тексеруге болады
Егер қашықтан қол жеткізу Windows Server үшін пайдаланылса, оны әкімшілік құқықтармен, журналдармен, қорғаныспен және резервтік көшірумен бірге тексерген дұрыс.
Бастапқы өзіндік тексеру үшін «Windows Server қауіпсіздігін тексеру» құралын пайдалануға болады.
Ол негізгі тәуекел нүктелерін ретімен тексеруге көмектеседі: RDP, VPN, әкімшілер, журналдар, NTFS құқықтары, қорғаныс және backup.
Ал жұмыс компьютерлері ше
Қарапайым жұмыс станцияларын қашықтан басқару да бақылауды қажет етеді.
Егер пайдаланушының компьютерінде AnyDesk немесе басқа қашықтан басқару құралы тұрақты жұмыс істесе, жергілікті әкімшілік құқықтарды, Windows күйін, антивирусты, браузерді, MFA-ны және жұмыс деректерінің сақталуын да есепке алу маңызды.
Ол үшін сайтта бөлек жұмыс орнының қауіпсіздігін тексеру құралы бар.
Негізгі қағида
Қауіпсіз қашықтан қол жеткізу — RDP, AnyDesk немесе Radmin арасынан біреуін таңдау емес.
Егер ұйым қол жеткізу архитектурасын түсініп, оны бақылайтын болса, осы құралдардың кез келгенін қалыпты түрде пайдалануға болады.
Қашықтан қосылу құралдары біртіндеп жиналған жағдай әлдеқайда қауіпті: бір әкімші RDP ашқан, екіншісі VPN қосқан, мердігер AnyDesk орнатқан, ал бірнеше жылдан кейін нақты қандай кіру тәсілдері әлі жұмыс істейтінін ешкім нақты айта алмайды.
Сондықтан жаңа қорғаныс өнімін сатып алудан емес, қарапайым түгендеуден бастаған дұрыс: қазір кім, қайда және қандай тәсілмен қосыла алады.
Егер сервердің нақты конфигурациясын, RDP, VPN, әкімшілік есептік жазбалар мен оқиғалар журналдарын тексеру қажет болса, WEB-LABS IT-инфрақұрылымға техникалық тексеру жүргізеді және қашықтан қол жеткізуді түсінікті әрі бақыланатын схемаға келтіруге көмектеседі.
Киберқауіпсіздік дұрыс әрекеттерден басталады.
WEB-LABS проводит обучение сотрудников основам кибербезопасности на рабочем месте: безопасной работе с электронной почтой, паролями, файлами, интернет-ресурсами и корпоративными системами.
После прохождения курса сотрудники проходят итоговое тестирование и получают персональный сертификат WEB-LABS.