首頁 > 信息安全 > 正文

淺談遠程辦公安全

2020-04-15 10:33:57  來源:FreeBuf

摘要:2020年的1月一場疫情的突然來襲,由于病毒傳播的特性,為了避免群體聚集,保障生命安全。遠程辦公就成為了一場如火如荼又勢在必行人人參與的工程。
關鍵詞: 安全 遠程辦公
  一、背景

  2020年的1月一場疫情的突然來襲,由于病毒傳播的特性,為了避免群體聚集,保障生命安全。遠程辦公就成為了一場如火如荼又勢在必行人人參與的工程。做為一個互聯網公司的安全人員,我僅從在線會議、即時通信、文檔協作、遠程運維等典型遠程辦公應用場景中存在的主要安全風險,從安全管理、安全運維等方面,給出了具體的安全控制措施建議,為遠程辦公安全防護提供參考。
 
  二、限制和范圍
 
  人員范圍:為普通員工和運維人員、在線運營人員開展安全遠程辦公提供指導。不適合需要硬件維修或人員接觸才能完成的工作。
 
  常見工作模式:
 
  系統后臺操作;
 
  遠程登錄服務器運維;
 
  文檔/代碼協作;
 
  多方參與的在線會議;
 
  即時通信工具。
 
  三、安全風險分析
 
  遠程辦公的最大特點及時接入系統和人員物理環境的不確定性。(第3部分大部分摘自《網絡安全標準實踐指南—遠程辦公安全防護》)
 
  供應商安全風險。目前,提供遠程辦公系統的供應商安全能力參差不齊,部分供應商在安全開發運維、數據保護、個人信息保護等方面能力較弱,難以滿足使用方開展安全遠程辦公的要求。這里主要指非自建項目,如OA、在線會議、即時通信、文檔協助的提供方。
 
  遠程辦公系統自身安全風險。在線會議、即時通信、文檔協作等辦公場景下系統安全功能不完備,系統自身的安全漏洞,不合適的安全配置等問題,將直接影響使用方和用戶的遠程辦公安全。
 
  數據安全風險。遠程辦公場景中,通過遠程辦公系統可訪問使用方的數據,由于數據訪問權限的不合理設置、遠程辦公系統自身的安全漏洞、用戶不當操作等,可能導致使用方數據泄漏。此外,由于遠程辦公系統基于云計算平臺部署,使用方可能失去對數據的直接管理和控制能力,存在數據被非授權訪問和使用的風險。
 
  設備風險。用于遠程辦公的設備,特別是用戶自有設備,在接入遠程辦公系統時,由于未安裝或及時更新安全防護軟件,未啟用適當的安全策略,被植入惡意軟件等原因,可能將權限濫用、數據泄露等風險引入使用方內部網絡。
 
  個人信息保護風險。遠程辦公系統的部分功能(例如,企業通信錄、健康情況匯總、活動軌跡填報等),可能收集、存儲用戶的個人信息(例如,姓名、電話、位置信息、***件號碼、生物特征識別數據等),存在被濫采、濫用和泄露的風險。
 
  網絡通信風險。用戶和遠程辦公系統通常利用公用網絡進行通信, 存在通信中斷,通信數據被篡改、被竊聽的風險。同時,遠程辦公系統可能遭受惡意攻擊,導致辦公活動難以進行。
 
  環境風險。遠程辦公通常在居家環境或公共場所進行。居家環境中,由于家用網絡設備安全防護能力和網絡通信保障能力較弱,存在網絡入侵和通信中斷風險。公共場所中,由于網絡環境和人員組成復雜,存在設備接入不安全網絡、數據被竊取、設備丟失或被盜等風險。
 
  業務連續性風險。遠程辦公增加了使用方關鍵業務、高風險業務的安全風險,遠程辦公系統可能由于負載能力、訪問控制措施、容災備份、應急能力等方面的不足導致業務連續性風險。
 
  人員風險。用戶可能由于安全意識缺失或未嚴格遵守使用方的管理要求,引入安全風險,例如,將設備、賬號與他人共享導致對使用方業務系統的惡意攻擊;采用弱口令造成身份仿冒等。
 
  四、安全控制措施
 
  采用零信任框架(英文簡稱:ZTA)可以更好的解決目前大部分企業所面臨的問題。但是ZTA實施的代價是需要一整套網站體系來進行支持。ZTA是一種端到端的網絡安全體系,包含身份、憑據、訪問管理、操作、終端、托管環境與關聯基礎設施。零信任是一種側重于數據保護的體系結構方法。企業如果沒有準備好完整實施ZTA之前可以先簡單的引入ZTA的一部分理念進行自己安全設計完善響應的安全措施。根據實際情況,我們將不再認可內網即是安全的這種錯誤的理念,結合傳統邊界防護和ZTA資源授權訪問的理念進行相應的控制措施。
 
  1. 遠程辦公需求分析和梳理
 
  不加限制的任意接入,會產生巨大的安全隱患,因此企業要對業務、數據、應用系統進行安全風險分析,明確可用于遠程辦公的業務、數據和業務系統,以及相關安全需求。哪些系統適合開放互聯網入口,哪些系統或工作需要接入企業內容才能操作,需要做詳細的梳理。當然這個過程中需要考慮行業的監管要求,特別是金融證券、銀行等監管是要求系統不能開放互聯網入口的。
 
  2. 遠程接入的方式選擇
 
  (1) 內網接入方案一
 
  通過VPN直接撥入內容,但是一旦連入內網則繞過了所有的內外網隔離,個人機上的桌管軟件就失效了。于是就有了下方的一個解決方案,簡單來說就是先撥上VPN,再上堡壘機訪問自己的工作PC進行內網辦公。VPN如果能夠引入雙因素認證將會更有保障(下方圖片由某堡壘機產商提供)
 
\
 
  這個方案優點是員工所有操作全監控全記錄。缺點是通過堡壘機后所有的訪問全都轉化為視頻流。幾兆的文本變成了視頻流量,即便有強大的視頻壓縮技術流量也會翻個5到10倍。人少帶寬大的企業使用的確不錯,需要大量人員同時接入辦公的公司出口流量就頂不住了,畢竟很少有公司會把公司出口做成互聯網機房那么大。還有經過多層跳轉內網系統的打開會有明顯的卡頓和操作不便。
 
  (2) 內網方案二
 
  使用SSO單點登錄方式,先做身份鑒證。公網系統可采用雙因子認證來確定用戶身份即“你擁有的東西”,以及“你知道的東西”??刹捎萌缍绦呕蛘Z音驗證碼,電子令牌,軟令牌驗證器等方式來實現??紤]到成本問題以及高可用來說freeOTP或Google身份驗證器都是不錯的選擇。
 
  通過SSO單點登錄方式,先做身份鑒證,再按照不同的用戶身份分別提供不同的訪問方式。
 
  將內網系統做區分類別:
 
  監控系統和管理后臺系統,提供互聯網訪問;
 
  存放敏感信息的CRM系統和合同管理系統的訪問,提供VPN登陸受控終端訪問;
 
  需要登錄PC桌面的開發操作或綁定硬件設備才能行進的操作,提供VPN登陸受控終端訪問;
 
  服務器及網絡設備通過VPN撥入,登錄堡壘機進行操作。
 
  堡壘機及VPN應具備完善的日志系統,以便后續回溯操作。在必要是設置命令屏蔽或雙重授權才能進行高權限命令執行。
 
  (3) 三方遠程辦公系統的選擇
 
  在選擇供應商時,不僅僅是遠程辦公系統,所有的辦公系統都應遵循以下原則。
 
  供應商的安全能力;
 
  供應商的應急響應能力;
 
  供應商的安全信譽;
 
  以及供應商對系統的安全承諾。
 
  在目前已知的在線會議系統和聊天簽到工具中,騰訊、華為、阿里等大廠商都有不錯的工具可供選擇,目前很多都是免費的,處于搶占市場的環節。
 
  (4) 運維管理
 
  應有專職的人員或部門負責安全事務,實時運維遠程辦公的相關系統。如果系統較多時應該區分底層運維和應用運維,不同系統或業務之間的運維也應做一定分離。
 
  制定操作流程以及巡檢制度,對響應的系統、設備和網絡進行定期檢查和測試。
 
  配置管理、變更管理、數據備份策略及測試都應形成常態制度進行操作執行。
 
  應急預案的編制和演練。
 
  三方廠商的接入管理,即供應商管理,在必要時允許三方人員接入系統,但保障其行為得到監控和必要的授權。
 
  員工操作規范,如接入設備的基礎安全維護,接入系統后的正常使用都應尊崇企業的管理制度。
 
  (5) 管理制度
 
  管理制度可以參考ISO27001和等級保護相關要求依照企業實際情況來進行制定。相關參考標準有GB/T 22239 《信息安全技術 網絡安全等級保護基本要求》、GB/T 31168 《信息安全技術云計算服務安全能力要求》、GB/T 35273《信息安全技術 個人信息安全規 范》的相關要求。
 
  個人操作的終端應遵循組織要求,安裝殺毒軟件,定期更新補丁等操作。
 
  其中最為重要的是定期開展遠程辦公安全教育和培訓,提升用戶安全意識。
 
  五、監控和改進
 
  完善的監控能夠幫助企業盡快發現存在的不足和漏洞。通過持續的監控和改進才能不斷完善安全防護。如果進行相應的監控,我們之后進行討論。

第三十屆CIO班招生
法國布雷斯特商學院碩士班招生
北達軟EXIN網絡空間與IT安全基礎認證培訓
北達軟EXIN DevOps Professional認證培訓
責編:jiaxy
好运南京麻将安卓版 湖北 选五遗漏数据查询 快乐10分开奖 体彩排列三试机号彩吧助手 河南彩票十一选五群 山西新11选5走势图表i 大智慧股票吧 体彩海南4十1玩法 家彩网排列三3d千禧开机号 极速赛车双面盘计划 棋牌游戏赚钱