Systemy zapewniające dostęp zdalny i nagrywanie sesji gwarantują efektywną i bezpieczną współpracę z zewnętrznymi dostawcami. Dzięki takim systemom można w łatwy, a zarazem kontrolowany sposób umożliwić kontraktorom dostęp do wewnętrznych zasobów serwerowych i systemów informatycznych. Wśród typów platform do jakich najczęściej łączą się zewnętrzni dostawcy znajdują się systemy Windows Serwer, Linux, Unix, urządzenia sieciowe, interfejsy administracyjne http/https i wszelkiego rodzaju systemy OT. Nieodzowną bolączką związaną z obsługą takich dostępów jest zapewnienie bezpieczeństwa i możliwości wykonania audytu.
- Systemy umożliwiające dostęp zdalny, powinny gwarantować mechanizmy redukujące ryzyko wystąpienia incydentu bezpieczeństwa. Mechanizmy te to m.in. nagrywanie sesji, ochrona haseł, logowanie aktywności.
- Istotnym elementem podnoszącym bezpieczeństwo dostępu zdalnego jest możliwość kontroli prac wykonywanych przez kontraktorów w czasie rzeczywistym oraz współpraca w obrębie jednej sesji.
- Elementy zapewniające bezpieczeństwo, nie mogą ograniczać funkcjonalności narzędzi i szybkości działania.
- Uniwersalność rozwiązania i obsługa szerokiego zakresu protokołów komunikacyjnych (RDP, SSH, telnet, http/https, VNC) pozwala zredukować koszty i uszczelnia procesy dostępowe.
Bezpieczeństwo dostępu zdalnego
W dobie coraz większej liczby systemów wykorzystywanych przez organizacje, ich utrzymanie często przekazane zostaje do podmiotów zewnętrznych. Większość zadań serwisowych oraz wsparcie realizowane jest przez niezależnych podwykonawców. Jest to wygodny i szybki sposób zapewnienia właściwej obsługi technicznej systemów IT. Niestety, jeśli dostęp taki jest realizowany w sposób niewłaściwy, niesie za sobą zwiększenie ryzyka wystąpienia incydentów bezpieczeństwa. Incydenty takie mogą wynikać z różnych przyczyn. Może być to kwestia błędów w oprogramowaniu, jego niepoprawnej konfiguracji co może zostać wykorzystane do nieautoryzowanego dostępu do maszyn, ale również mogą się zdarzyć umyślne działania osób trzecich, zmierzające do wykorzystania zdalnego dostępu w niewłaściwy i niebezpieczny sposób lub po prostu wynikające z nierozwagi użytkowników. Dlatego kluczowym zadaniem jest zbudowanie systemu zdalnego dostępu i rejestracji sesji gdzie zaadresowane są wszystkie aspekty wpływające na jego bezpieczeństwo. Zarówno kwestie architektury, uprawnień oraz późniejszego audytu.
Architektura zapewniająca minimalizację płaszczyzny potencjalnego ataku np. poprzez wykorzystanie najmniejszej liczby portów komunikacyjnych, zabezpieczenie dostępu do sieci wyizolowanych, zapewnienie szyfrowania komunikacji w trakcie sesji. Sam system powinien zapewnić zabezpieczenie dostępu do niego np. poprzez zastosowanie wieloskładnikowego uwierzytelnienia (2FA/MFA) oraz implementacji restrykcji sieciowych dla interfejsu administracyjnego. Nie bez znaczenia jest też możliwość dostarczenia systemu w sposób dostosowany do potrzeb jego użytkownika gdzie np. ze względów formalnych niektóre podmioty z definicji wykluczają usługi chmurowe i wymagają aby całość systemu działała w infrastrukturze zamawiającego.
Bezpieczeństwo poświadczeń uprzywilejowanych jest jednym z kluczowych zagadnień w obszarze IT i nie jest tylko związane z dostępem zdalnym. Zewnętrzni dostawcy częstą muszą wykonywać zadania, które wymagają uprawnień administratora. Jawne wydawanie poświadczeń uprzywilejowanych generuje znaczący wzrost ryzyka. W takim przypadku najlepszym rozwiązaniem jest odseparowanie podwykonawców od znajomości hasła konta uprzywilejowanego i automatyczne wstrzyknięcie poświadczeń tego konta przez system podczas logowania do zdalnego zasobu.
Drugim istotnym krokiem jest rezygnacja z wykorzystania kont uprzywilejowanych w ogóle. Zamiast tego zaleca się stosowanie konta standardowych (o niskich uprawnieniach), w przypadku których selektywnie podnosi się uprawnienia dla precyzyjnie zdefiniowanych zadań wykonywanych przez podwykonawców. Służą do tego systemy typu PEDM/EPM (link). Precyzyjnie regulowane uprawnienia pozwalają tworzyć role niezbędne do zapewnienia bezpieczeństwa działania procesów organizacyjnych. Za pomocą ustalenia szczegółowych uprawnień, kontraktorzy mogą łączyć się wyłącznie do zdefiniowanych zasobów, a w tracie sesji są im udostępnione wyłącznie narzędzia zaakceptowane przez dział bezpieczeństwa np. zabrania się im kopiowania plików czy synchronizacji schowka.
Audyt i rejestracja sesji
Nagrywanie sesji przeprowadzanych przez zewnętrznych dostawców jest jednym z kluczowych funkcji jaką powinien charakteryzować się system dostępu zdalnego. Szczegółowe logi z sesji i nagrania pozwalają na późniejszy audyt i uzyskanie informacji o sposobie wykonywanych prac. Funkcje te stają się szczególnie istotne w przypadku poszukiwania przyczyny niepoprawnego działania systemu wynikające z jego niepoprawnej wcześniejszej konfiguracji. Oprócz zalet związanych z rozliczalnością prac, nagrania takie mogą posłużyć do budowy bazy wiedzy i szkoleń administratorów. Co ciekawe wielu użytkowników takich systemów zauważa także poprawę w jakości wykonywanych prac, która wynika z tego, że serwisanci i administratorzy wiedząc, że sesje są rejestrowane i tym samym kroki konfiguracyjne są bardziej przemyślane i mniej ryzykowne.
- Nagrywanie sesji zdalnych powinno być centralnie zarządzane, to znaczy że rozpoczęcie rejestracji sesji musi odbywać się w sposób niezależny od podwykonawcy, a same nagrania powinny być składowane w środowisku klienta.
- Rejestracja logów z sesji jest istotna szczególnie wtedy gdy konieczny jest wgląd w dane statystyczne związane z rozliczalnością pracy zewnętrznego dostawcy np. ilość sesji i ich czas trwania w zadanym okresie lub konieczne jest zdobycie informacji jakie pliki kontraktor kopiował na maszyny, do których się łączył.
- Współpraca z kontraktorem w czasie rzeczywistym oraz komunikacja poprzez czat, jest bardzo cenną funkcją w przypadku gdy występuje potrzeba kooperacji podczas rozwiązywania problemów lub prowadzenia prac serwisowych. Całość komunikacji z wykorzystaniem czatu powinna być również rejestrowana i dostępna w logach związanych z przeprowadzoną sesją, tak by można było przeanalizować jej treść.
- Powiadomienia i możliwość wprowadzenia procesu akceptacji wniosków dostępowych zapewnia dodatkowy krok w procesie nawiązywania sesji do zasobów przez zewnętrzny podmiot. Dzięki takiej funkcji wewnętrzni administratorzy lub dział bezpieczeństwa są zawsze świadomi kiedy i z jakiego powodu wykonywane są połączenia do krytycznych zasobów. Taka konfiguracja narzędzia pozwala na wymuszenie ręcznej akceptacji dostępu, zanim podwykonawca będzie mógł nawiązać sesję zdalną.
