👧🏼 🏊 🖼️ रिमोट एक्सेस को कैसे व्यवस्थित करें और हैकर्स से पीड़ित न हों 👨🏾‍🔬 🤞🏼 🧚🏾

जब कंपनी प्रबंधन को तत्काल सभी कर्मचारियों को दूरस्थ रूप से एक्सेस करने की आवश्यकता होती है, तो सुरक्षा मुद्दे अक्सर पृष्ठभूमि में आ जाते हैं। नतीजतन, हमलावरों को गतिविधि के लिए एक उत्कृष्ट क्षेत्र मिलता है।

तो क्या जरूरत है और क्या नहीं किया जा सकता है जब कॉर्पोरेट संसाधनों के लिए सुरक्षित दूरस्थ पहुँच का आयोजन किया जाए? हम कट के तहत इस बारे में विस्तार से बात करेंगे।

सुरक्षित संसाधन प्रकाशन

वेब एप्लिकेशन फ़ायरवॉल (आम लोगों में - WAF) के माध्यम से वेब संसाधन प्रकाशित करें। त्वरित तैनाती और बुनियादी सुरक्षा के लिए, मानक OWASP टॉप 10 सुरक्षा प्रोफाइल का उपयोग करना पर्याप्त है । सबसे पहले, आपको झूठी सकारात्मक घटनाओं को पकड़ने के मामले में बहुत सारे पागल को कसना होगा। यदि अभी आपके पास WAF नहीं है - निराशा न करें! यदि आप WAF के किसी प्रकार के परीक्षण संस्करण का परीक्षण कर रहे हैं, तो इस समस्या को हल करने के लिए इसका उपयोग करने का प्रयास करें, या ओपन-सोर्स समाधान Nginx + ModSecurity स्थापित करें।

यदि WAF का उपयोग नहीं किया जा सकता है, तो जल्दी से (जब भी संभव हो) एप्लिकेशन को HTTPS में स्थानांतरित करें, कंपनी द्वारा स्थापित पासवर्ड नीति के अनुपालन के लिए प्रकाशित आवेदन के लिए सभी पासवर्ड (उपयोगकर्ता, व्यवस्थापक) की जांच करें। ऑपरेटिंग सिस्टम और ताजगी के लिए सीएमएस, साथ ही सभी आवश्यक पैच की उपस्थिति को जांचना न भूलें, एक शब्द में - भविष्य की सार्वजनिक सेवा के सभी क्षेत्रों को पवित्र करें। काली लिनक्स का विस्तार करें और कमजोरियों को स्कैन करने के लिए उपयोगिताओं के अंतर्निहित सेट का उपयोग करें, अगर इसके लिए कोई समय नहीं है, तो सार्वजनिक भेद्यता स्कैनर (पता लगाएँ, इम्यूनिएब, आदि) में से एक का उपयोग करें।

क्या नहीं करते? इंटरनेट पर HTTP पर अपने अद्भुत स्व-निर्मित बट को प्रदर्शित न करें, जिसमें हजारों कमजोरियां हो सकती हैं। आपको सर्वर या नेटवर्क उपकरण तक एसएसएच एक्सेस सेट करने की आवश्यकता नहीं है, अगर आप ब्रूटफोर्स को आप पर डालना नहीं चाहते हैं, और आपको सीधे आरडीपी को लक्ष्य स्टेशनों (हेलो, एस्टेमाईडिट) पर प्रकाशित करने की आवश्यकता नहीं है। यदि आपको किसी विशिष्ट एप्लिकेशन के बारे में संदेह है, जिसे आपको एक्सेस प्रदान करने की आवश्यकता है, तो इसे वीपीएन के पीछे रखें।

वीपीएन

हमने संसाधनों के प्रकाशन का अनुमान लगा लिया है, चलो उन सेवाओं की ओर बढ़ते हैं जिनकी पहुँच हम प्रकाशित नहीं कर सकते। ऐसा करने के लिए, हमें एक वीपीएन को व्यवस्थित करने की आवश्यकता है।

वीपीएन का आयोजन करते समय क्या विचार किया जाना चाहिए?

सबसे पहले, मूल्यांकन करें कि क्या आप कार्यस्थल में वीपीएन क्लाइंट सॉफ़्टवेयर को जल्दी से तैनात कर सकते हैं, या क्लाइंटलेस दृष्टिकोण का बेहतर उपयोग कर सकते हैं। क्या आपके पास वीपीएन गेटवे या फ़ायरवॉल है जिसमें रिमोट एक्सेस को व्यवस्थित करने की क्षमता है?

यदि, उदाहरण के लिए, आपके नेटवर्क पर किसी भी बंडल (NGFW / NGTP / NGTX) के साथ एक Fortinet या Check Point फ़ायरवॉल है, तो बधाई हो, IPsec VPN कार्यक्षमता समर्थन बॉक्स से बाहर है और आपको अतिरिक्त कुछ भी खरीदने या स्थापित करने की आवश्यकता नहीं है। वह सब कुछ है जो ग्राहकों को कार्यस्थलों पर रखने और फ़ायरवॉल को कॉन्फ़िगर करने के लिए है।

यदि अभी आपके पास वीपीएन गेटवे या फ़ायरवॉल नहीं है, तो ओपन-सोर्स समाधान (ओपनवीपीएन, सॉफ्टएयर वीपीएन, आदि) की ओर देखें, जो किसी भी सर्वर पर जल्दी से तैनात हो सकते हैं, सौभाग्य से, चरण-दर-चरण गाइड में खूब इंटरनेट है।

इसके अलावा, यह वांछनीय है कि आपका वीपीएन गेटवे केंद्रीय खाता प्रबंधन के लिए AD / RADIUS के साथ एकीकृत हो। इसके अलावा, पासवर्ड नीति की जांच करना और ब्रूट फोर्स के खिलाफ सुरक्षा को कॉन्फ़िगर करना न भूलें।

यदि आप उपयोगकर्ताओं के कार्यस्थानों में दूरस्थ पहुँच क्लाइंट को स्थापित करने के मार्ग का अनुसरण करने का निर्णय लेते हैं, तो आपको यह तय करने की आवश्यकता होगी कि कौन सी वीपीएन मोड का उपयोग करें: फुल टनल या स्प्लिट टनल। यदि उपयोगकर्ताओं के किसी विशेष समूह के लिए गोपनीय या अत्यधिक महत्वपूर्ण जानकारी के साथ काम करना शामिल है, तो मैं पूर्ण सुरंग मोड का उपयोग करने की सलाह दूंगा। इस प्रकार, सभी ट्रैफ़िक को सुरंग में संचालित किया जाएगा, उपयोगकर्ताओं के लिए इंटरनेट एक्सेस को प्रॉक्सी के माध्यम से व्यवस्थित किया जा सकता है, यदि वांछित है, तो ट्रैफ़िक को डीएलपी के माध्यम से भी सुना जा सकता है। अन्य मामलों में, आप अपने आप को सामान्य स्प्लिट टनल मोड में सीमित कर सकते हैं, जिसमें ट्रैफिक को केवल कंपनी के आंतरिक नेटवर्क में टनल में संचालित किया जाता है।

सफल उपयोगकर्ता प्रमाणीकरण के बाद, आपको प्राधिकरण पर निर्णय लेना चाहिए: उपयोगकर्ताओं को कहां पहुंचना है, कैसे और कहां करना है। कई विकल्प हैं।

. IP- VPN- ( – ). , L4 , ( !), IP- . NGFW , - AD ( ), . VPN- RADIUS - .
. NGFW , . (, MS RDS) , , . (, FSSO TS). IP- , , NGFW.

– ?

चलो कार्यस्थल सुरक्षा पर चलते हैं।

दूरस्थ उपयोगकर्ताओं के कार्यस्थानों की सुरक्षा का मूल्यांकन करें: क्या आप उन्हें सभी आवश्यक सुरक्षा सुविधाओं (एंटीवायरस, होस्ट-आधारित IPS / सैंडबॉक्स, आदि) के साथ स्थापित सोने की छवि के साथ वर्कस्टेशन देते हैं, या वे अज्ञात सॉफ़्टवेयर के साथ अपने घर के लैपटॉप से बैठते हैं? यदि इस प्रश्न का उत्तर घरेलू उपकरण है, तो बेहतर होगा, रिमोट एक्सेस देने के बाद, आईडीएस / आईपीएस के साथ एनजीएफडब्ल्यू को ट्रैफिक चलाने के लिए, और आदर्श रूप से नेटवर्क सैंडबॉक्स के लिए भी।

अच्छे विकल्पों में से एक वीडीआई को काम के लिए एक विशिष्ट एप्लिकेशन (ब्राउज़र, ईमेल क्लाइंट, आदि) पर प्रकाशित करना भी है। यह केवल उपयोग किए गए विशिष्ट अनुप्रयोगों तक पहुंच की अनुमति देगा।

यदि आपकी कंपनी हटाने योग्य मीडिया के कनेक्शन की अनुमति नहीं देती है, तो रिमोट एक्सेस के मामले में, आपको इस बारे में नहीं भूलना चाहिए, ताजा जारी कॉर्पोरेट लैपटॉप के लिए इस संभावना को सीमित करना।

हमेशा की तरह, सुनिश्चित करें कि असुरक्षित प्रोटोकॉल और सेवाएं अक्षम हैं, यह डिस्क एन्क्रिप्शन चालू करने के लिए उपयोगी होगा (क्या होगा यदि आपका उपयोगकर्ता सहकर्मी के काम में जाता है और उसका कॉर्पोरेट लैपटॉप चोरी हो गया है?), विशेषाधिकार प्राप्त अधिकारों (यदि लैपटॉप कॉर्पोरेट है) का चयन करना न भूलें।

प्रमाणीकरण

रिमोट एक्सेस (AD / RADIUS) के साथ केंद्रीकृत खाता प्रबंधन का उपयोग करें, और उन परिदृश्यों पर विचार करना भी याद रखें जिनमें आपका पहचान स्टोर अनुपलब्ध होगा (उदाहरण के लिए, अतिरिक्त स्थानीय खाते बनाएँ)।

क्लाइंट प्रमाणपत्र का उपयोग करना अच्छा है, स्व-हस्ताक्षरित प्रमाण पत्र भी Microsoft CA पर जारी किए जा सकते हैं।

मान लें कि अप्रत्याशित परिस्थितियों के कारण, आपके दूरस्थ उपयोगकर्ता अभी भी क्रेडेंशियल्स चुरा रहे हैं। दो-कारक प्रमाणीकरण इस संकट से निपटने में मदद करेगा (मोबाइल उपकरणों, एसएमएस पर ओटीपी पुश)। लेकिन मैं कॉर्पोरेट ईमेल के माध्यम से दो-कारक प्रमाणीकरण की सिफारिश नहीं करूंगा (अक्सर रिमोट एक्सेस के साथ प्रमाणीकरण के लिए समान खातों को ईमेल में उपयोग किया जाता है, और इसलिए, आपका दूसरा कारक बाहर खींचना आसान होगा)। यदि आपको दो-कारक प्रमाणीकरण को जल्दी से व्यवस्थित करने की आवश्यकता है, तो आप सार्वजनिक सेवाओं की दिशा में देख सकते हैं - उदाहरण के लिए, Google प्रमाणक।

शोषण

इस बात पर विचार करें कि आपका आईटी विभाग कैसे दूरस्थ कार्य केंद्रों को संचालित करेगा और उपयोगकर्ताओं को रोजमर्रा की समस्याओं को हल करने में मदद करेगा। स्पष्ट रूप से, दूरस्थ सहायक कर्मचारियों को उपयोगकर्ता कार्यस्थानों के लिए दूरस्थ पहुँच की आवश्यकता होगी।

यह सलाह दी जाती है कि सुनहरी छवि से वर्कस्टेशन "फैल" जाए, और आपको इस तथ्य के कारण कर्मचारियों के होम कंप्यूटर को पुनर्स्थापित करने का प्रयास करने की आवश्यकता नहीं है कि उन्होंने कुछ गलत स्थापित किया है, या क्या अच्छा है, उन्होंने कुछ रैनसमवेयर पकड़ा। पूर्व-ज्ञात क्षमताओं और स्थापित सॉफ़्टवेयर की संरचना के साथ कॉर्पोरेट लैपटॉप को बाहर करना बेहतर है, ताकि कर्मचारियों के घर पीसी के साथ सिरदर्द न हो, क्योंकि वे बच्चों द्वारा उपयोग किए जा सकते हैं, सिस्टम उन्हें बेतहाशा धीमा कर सकता है या आवश्यक सुरक्षात्मक उपकरण नहीं हो सकता है।

दूरस्थ कार्य पर स्विच करने से पहले उपयोगकर्ताओं को याद दिलाना उपयोगी होगा कि कंपनी की सुरक्षा नीति है: आप कभी नहीं जानते कि एक साधारण उपयोगकर्ता घर पर दोपहर के भोजन के समय कैसे आराम करना चाहता है।

चेकलिस्ट: सुनिश्चित करें कि आप दूरस्थ पहुँच को सुरक्षित बनाने के लिए कुछ भी नहीं भूल गए हैं

आवश्यक वेब संसाधनों को सुरक्षित और समझदारी से प्रकाशित करें (WAF का उपयोग करें, पासवर्ड की जांच करें, ओएस, सीएमएस की ताजगी की जांच करें)।
कमजोरियों के लिए स्कैन करें (अपने स्वयं के सुरक्षा स्कैनर या सार्वजनिक स्कैनर का उपयोग करके)।
वीपीएन के माध्यम से आंतरिक संसाधनों तक पहुंच प्रदान करें (आरडीपी / एसएसएच या उन अनुप्रयोगों को उजागर न करें जिनके साथ नेटवर्क के भीतर डेटा विनिमय संरक्षित नहीं है)।
VDI (Citrix, VMware) के माध्यम से विशिष्ट एप्लिकेशन प्रकाशित करें।
दो-कारक प्रमाणीकरण सेट करें (मोबाइल उपकरणों, एसएमएस पर ओटीपी पुश)।
( NGFW ID FW ).
(, , , , ).

रिमोट एक्सेस को कैसे व्यवस्थित करें और हैकर्स से पीड़ित न हों

सुरक्षित संसाधन प्रकाशन

वीपीएन

– ?

प्रमाणीकरण

शोषण

चेकलिस्ट: सुनिश्चित करें कि आप दूरस्थ पहुँच को सुरक्षित बनाने के लिए कुछ भी नहीं भूल गए हैं

More articles: