Контроль безопасности может быть реализован на ПК не хуже, чем на «тонком клиенте». При этом не придётся жертвовать функционалом, который имеется только на полноценном компьютере.

Группа, отвечающая за безопасность вычислительных ресурсов корпорации Intel (Intel IT), постоянно анализирует модели информационных ресурсов, чтобы определить, как они должны развиваться в соответствии с постоянно изменяющимися способами компьютерных атак. Последние хакерские атаки на ряд важнейших ресурсов послужили дополнительным стимулом к тщательному анализу информационной безопасности. В частности, рассматривался вопрос: как использование «тонких клиентов» может защитить от подобных атак.

Оригинальная англоязычная версия статьи находится по адресу
http://download.intel.com/it/pdf/Evaluatin...nt_Security.pdf

Краткий обзор

Мы выявили пять признаков, которые обычно считаются преимуществами «тонких клиентов» с точки зрения безопасности: предотвращение физической потери данных, отсутствие административных привилегий, невозможность инсталляции приложений, компактность и «неубиваемость» клиентского устройства, способность легко откатиться к рабочему состоянию.

Выяснилось, что хотя все эти элементы и способствовали безопасности, они не смогли бы помешать тем видам кибератак, которые проводятся в последнее время.

Кроме того, мы также отметили, что эти элементы безопасности не являются уникальными особенностями «тонких клиентов»: эквивалентная защита может быть реализована на обычных компьютерах без потери функционала, которым приходится жертвовать, переходя на архитектуру с использованием «тонких клиентов». Если необходимые меры безопасности не были соблюдены, то не имеет значения: «тонкие клиенты» или компьютеры использовались в системе. Именно ошибки в построении системы безопасности, а не архитектура системы чаще всего является причинами сбоев.

Мы увидели и другие ограничения, свойственные системам с «тонкими клиентами»: отсутствие поддержки мобильных компьютеров, интерактивных ресурсоемких графических приложений, мультимедиа (в частности, видео). «Тонкие клиенты» также требуют значительных дополнительных серверных ресурсов и пропускной способности сети. Некоторые модели «тонких клиентов» могут также увеличить риск остановки бизнес-процессов, если происходит отключение центральных сетевых ресурсов, без которых «тонкий клиент» не может работать в принципе.

Исходя из этого анализа, мы поняли, что «тонкие клиенты» могут быть использованы исключительно в виде нишевого, ограниченного решения. Следует учесть, что клиентский парк корпорации Intel на 80% состоит из мобильных устройств, и большинству пользователей Intel требуются функциональные возможности и гибкость работы мобильных ПК, которые должны уметь работать и без доступа к сети. Мобильные корпоративные компьютеры также позиционируются в качестве устройств, позволяющих использовать все новинки технологий, тенденций и моделей предоставления услуг.

ИСТОРИЯ

Intel IT поддерживает очень большую корпоративную среду: около 83 500 сотрудников в 61 стране мира. Все эти сотрудники обеспечивают корпорации Intel инновационную деятельность, что позволяет компании развиваться и продолжать создавать конкурентоспособные продукты и решения. В свою очередь чтобы способствовать эффективной работе сотрудников, Intel IT обеспечивает около 80% персонала мобильными корпоративными компьютерами.


Картина кибер-угроз быстро меняется с тенденцией в сторону атак «нулевого дня», которые нацелены на ранее неизвестные уязвимости и осуществляются массированно в течение нескольких часов, пока ещё не найдено противоядие. Недавние нападения на широко известные сайты использовали ранее неизвестные уязвимости в общесистемном клиентском программном обеспечении, чаще всего веб-браузеров.

Группа безопасности Intel IT осуществляет непрерывный мониторинг и постоянно анализирует, насколько хорошо защищена от них корпоративная сеть. Последние хакерские атаки на несколько известных сайтов заставили нас пересмотреть меры безопасности, предлагаемые для сети с «тонкими клиентами». Мы также решили исследовать вопрос уязвимости сетей с «тонкими клиентами», чтобы помочь защититься от подобных нападений в будущем.

По результатам анализа особенностей работы «тонких клиентов», был поставлен вопрос: могут ли подобные меры защиты быть применёны к ПК? Мы рассматривали результаты с точки зрения общей стратегии Intel IT в области клиентских устройств, учитывая потребности корпоративных пользователей и новые тенденции информационно-коммуникационных технологий.

АНАЛИЗ БЕЗОПАСНОСТИ КЛИЕНТСКИХ УСТРОЙСТВ

Были проанализированы средства контроля безопасности, которые обычно ассоциируются с «тонкими клиентами», и их роль в защите от возникающих угроз. Мы оценили, смогут ли они предотвратить или смягчить ущерб от атак «нулевого дня», подобных тем которым подверглись в последнее время известные сайты. Затем мы рассмотрели, могут ли подобные методы быть применёны к ПК
.

Методы защиты, которые обычно ассоциируются с «тонкими клиентами»

Мы определили пять основных признаков, которые обычно воспринимаются как преимущества безопасности «тонких клиентов»:
  • Физическое предотвращение потери данных. Применение «тонких клиентов» гарантирует, что данные будут храниться исключительно на серверах ЦОДа, что снижает риск их физических утечек. Кроме того, «тонкие клиенты» часто не имеют портов USB и тем более слотов под карты памяти медиаустройств (SD/MMC/MS/XD/CF), что не позволяет персоналу скопировать данные на внешний носитель.
  • Отсутствие у пользователей администраторских прав не позволяет им изменить системные файлы или параметры настройки.
  • Запрет на инсталляцию приложений пользователем. Пользователи не имеют прав на установку дополнительных приложения, через которые злоумышленники могли бы совершать атаки на клиентскую машину или заражать систему вредоносными программами.
  • Стабильность клиента. Все «тонкие клиенты» находятся в исходном состоянии, имея зашитую в них базовую конфигурацию. Обновления устанавливаются только на сервер, и все клиенты немедленно начинают использовать единый обновлённый образ системы с приложениями.
  • Возможность вернуться к исходному рабочему состоянию. Даже в случае возникновения каких-то проблем, «тонкого клиента» достаточно перезагрузить, чтобы он получил с сервера стабильный образ системы предыдущих версий одного файла виртуального контейнера.

Факторы, снижающие безопасность

Мы определили, что, несмотря на повышение безопасности системы, эти средства управления не обеспечили бы полную защиту в недавних «нулевых» нападениях.



Рис. 1. «Тонкие клиенты» предотвращают утечку данных на рабочих местах;
однако они не блокируют сетевой доступ.

  • Централизованное хранение данных. Традиционно, кража данных требовала использование внешнего носителя или мобильного устройства, на которое можно было бы скопировать данные, физически хранившиеся на системе. Однако сегодняшнее воровство обычно совершается по сети, как показано на рисунке 1. Ограничения, вносимые «тонкими клиентами», не делают ничего, чтобы предотвратить это. У всех «тонких клиентов» есть доступ к локальной сети, и у большинства есть подключения к интернету. Злоумышленники могут использовать эти соединения, чтобы с помощью «тонкого клиента» передать данные с сервера через брандмауэр.
  • Непривилегированные пользователи. Удаление административных прав пользователей может уменьшить воздействие вирусов и усложнить распространение вредоносного кода по сети. Однако на практике обычно имеет место компрометация в то время, пока чрезвычайные ограничения ещё не введены. Нападавшие могут воспользоваться оставшимися правами юзеров получать доступ к другим системам и данным, к которым у пользователя есть доступ. Кроме того, удаление административных прав пользователей не имеет никакого защитного эффекта, если эксплуатируемое приложение исполняется как процесс системы, а не как пользовательский процесс.
  • Запрет на инсталляцию приложений пользователем. Эти ограничения иногда могут помочь, однако чаще всего они не препятствуют установке второстепенных приложений, через которые может быть проведена атака. Например, с недавнего времени злоумышленники используют эксплойты, которые встраиваются в необходимые для работы приложения, такие, как веб-браузеры. Кроме того, значительно труднее ограничить доступ пользователей на вредоносные веб-сайты или запретить им запуск нежелательных веб-служб, чем предотвратить самовольную установку программного обеспечения на корпоративные ПК.
  • Целостность клиента. Использование регулярных, оперативно устанавливаемых обновлений (патчей) разумеется, легче организовать с одного образа, хранящегося на сервере, что и происходит в случае использования «тонких клиентов». Однако это не предотвращает нападения, потому что нападения «нулевого дня» используют ранее неизвестную уязвимость. Соответственно, патч, закрывающий эту уязвимость ещё не будет установлен и на сервере.
  • Возможность откатиться к исходному рабочему состоянию. Откат системы с использованием образа клиентской системы, хранимого на сервере, не помог бы при недавних нападениях. Компрометация была инициирована с доступных клиенту веб-служб и аккаунтов, и откат системы к исходному состоянию, разумеется, не ликвидирует этот доступ. Поэтому перезагрузка клиента после атак, для которых ещё не создана защита, точно так же поставит клиента под угрозу.

Контроль безопасности на ПК

Мы пришли к выводу, что возможно обеспечить безопасность ПК не хуже, чем у «тонкого клиента», не урезая при этом функциональные возможности. Разумеется, мы не переносим систему безопасности на ПК целиком, а приспосабливаем отдельные элементы к новым условиям.

Для предотвращения физической кражи данных, Intel использует полное шифрование диска и корпоративных инструментов управления правами. Эти методы могут быть дополнены глобальной политикой домена или физическими изменениями в системе для блокировки, шифрования, или ограничения использования USB-флешек и других внешних устройств хранения данных. Кроме того, перенаправление папок может быть использовано для хранения данных в центре обработки данных, либо исключительно, либо как зеркало данных на стороне клиента. Последний подход поддерживает мобильность вычислительных систем, позволяя клиенту работать в автономном режиме.

Возможность наличия или отсутствия административных прав у пользователя не является уникальной особенностью «тонкого клиента». Эти инструменты доступны и для того, чтобы при необходимости лишить административных полномочий мобильных пользователей корпоративных ноутбуков. Однако при необходимости отдельным пользователем можно предоставить административные права. Существуют специализированные программы, позволяющие управлять пользовательскими правами и запретить, например, установку определённых программ, или выполнение иных действий, если каждое такое действие не разрешено системным администратором. Intel использует различные методы для ограничения административного доступа и назначения прав пользователей.

Централизованное управление общей операционной системой или образом приложения также не является уникальной особенностью «тонкого клиента». Например, возможно централизованно управлять операционными системами и приложениями, которые будут совместно использоваться десктопами. Кроме того, ожидается появление виртуальных клиентов, которые загружены на компьютеры пользователей, но управляются централизованно. Несколько компаний предлагают технологии, позволяющие производить откат клиентского программного обеспечения. В корпорации Intel принят стандарт, включающий централизованно управляемую систему, хранящую образы приложений. Эти образы обновляются на клиентских машинах всякий раз, когда необходимо сделать откат.

Intel IT в настоящее время имеет возможность быстро развернуть патчи для поддержания целостности клиента. Наиболее трудоёмкой операцией этого процесса является тестирование и аттестация нового патча до его развёртывания на всём парке клиентских машин. Разумеется, время, необходимое для проверки и санкционирования патча не зависит от того, что является пользовательской машиной: «тонкий клиент» или ноутбук. В случае с компьютерами, патчи могут раздаваться не сразу всем клиентам, а по группам, что должно смягчить проблему программного обеспечения, если таковая вдруг появится. С «тонкими клиентами» такой манёвр невозможен, что представляет дополнительную опасность.

Проблемы безопасности «тонкого клиента»

Есть также специфические проблемы безопасности, связанные с использованием «тонкого клиента». Централизация приложений и данных создаёт единую точку отказа: сеть «тонких клиентов» обеспечивает множество точек входа к серверам, хранящим разделённые данные и приложения, и это связано с риском, что один сбой в центре может затронуть всю инфраструктуру. Некоторые модели «тонких клиентов» могут увеличить риск нарушения бизнес-процессов, если отключение электричества происходит в пределах центральных ресурсов сети, от которых зависит «тонкий клиент».

Централизация всех данных, включая персональные данные, вызывает как новые проблемы нарушения частной жизни, так и нарушения законодательства, регламентирующего защиту персональных данных. У системы с «тонкими клиентами» могут также быть непреднамеренные последствия утечки данных; например, мы выяснили, что пользователи «тонких клиентов» с большей вероятностью распечатают бумажные копии информации, которая может быть доступна неправомочным сторонам. Причина в том, что пользователю ноутбука не нужны бумажные копии: он всё это может держать на своём локальном диске в зашифрованном виде.

Чтобы грамотно отреагировать на нарушения безопасности, соответствующим специалистам необходимо знать, какие системы были скомпрометированы, и когда впервые это случилось. Также необходимо иметь доказательства для аргументации дальнейших действий. Откат «тонких клиентов» системы к исходному рабочему состоянию, когда на него с сервера повторно заливается копия образа системы, уничтожает все следы инцидента и не даёт возможности для его анализа и устранения причин.

Окончание следует...

Источник: IT Galaxy