A biztonságos home office alapjai

A koronavírus helyzet miatt egyre többen térnek át home office munkarendre. Legyen szó nagyvállalatokról vagy kkv-król, mindkét esetben fontos a munkatársak és az ügyfelek egészsége, s jelen pillanatban – ahol az adott munkakörnél megoldható – az otthonról végzett munka tűnik a legjobb megoldásnak ennek elősegítéséhez. Mindez rendjén is van, azonban az elmúlt egy-két hétben meglehetősen vegyes kép alakult ki nálunk is a cégek felkészültségét illetően. A home office ugyanis nem csak az általános hardveres és szoftveres háttér megteremtése végett adja fel a leckét az IT vezetésnek, hanem biztonsági szempontból is. Éppen ezért arra gondoltunk, röviden összefoglaljuk, milyen lehetőségek vannak arra, hogy az otthonról dolgozó munkatársak ne veszélyeztessék a céges adatbiztonságot.

Vegyes felkészültségi szintek

Mielőtt belevágnánk, adunk némi helyzetképet. Akadnak például enterprise szinten lévő cégek, melyeknél eleve megvolt a szükséges hardverpark, így ők megúszhatták emergency licencek vásárlásával, amelyek installálásával viszonylag zökkenőmentesen a megnövekedett igényekhez igazíthatták IT struktúrájukat. Ha a rendszerben eleve volt tartalék, akkor a skálázhatóság kihasználásával ezek a cégek rugalmasan tudtak idomulni a koronavírus okozta hirtelen változásokhoz is. Az előző cikkünket a távmunkáról itt olvashatod el.
De sajnos azt kell mondjuk, a cégek jó része – s ezek között kisebb és nagyobb méretűek egyaránt akadnak – abszolút nem volt felkészülve arra, hogy nagyobb mértékben álljanak át otthoni munkavégzésre. Rosszabb esetben ezeknél a vállalatoknál most megy a kapkodás. Jobb esetben szakértői segítséget kérnek, hogy megtalálják a lehető leggyorsabban bevezethető, megbízható megoldást. Csak érdekesség képpen jegyezzük meg, hogy van olyan ügyfelünk, aki még az önként vállalt megelőző karanténból is képes kimozdulni, hogy minél gyorsabban tető alá hozzunk egy ellenőrzési, átállási tervet a távoli munkavégzésre. Ha egy cég szenzitív adatokkal dolgozik, ott nincs idő halogatásra.
Az adatok biztonsága létfontosságú, ennek ellenére sok cégnél most derül ki, hogy eddig erre vajmi kevés figyelmet fordítottak. Igaz, sokuknál ez kényszerhelyzet is, hiszen korábban egyáltalán nem volt náluk példa az otthoni távmunkára. Mindenesetre az biztos, hogy jelenleg még sokan csak az előkészítésnél tartanak. Az elkövetkező hetek számukra a felkészülésről, átállásról szólnak majd.

Home office a saját számítógépről?

Döbbenetes, de sokszor tapasztaljuk, hogy a home office a cégek egy részének azt jelenti: az otthonról dolgozó kollégák a saját otthoni gépükről, ne adj’ isten a gyerek notebookjáról érik el a céges munkaállomást, szervert. Ez azonban nem különösebben jó gyakorlat, hiszen ezeken a gépeken általában még megfelelő szintű vírusvédelem sincs. Az otthoni vírusvédelmi szoftverek és tűzfalak nem igazán alkalmasak vállalati szintű veszélyek kivédésére.
Egy jól átgondolt home office esetében tehát a cég adja a gépeket is a munkatársaknak, amelyekre előre telepítik a megfelelő színvonalú vírusvédelmi, tűzfal és további védelmi megoldásokat, melyek gondoskodnak a távoli kapcsolat biztonságossá tételéről. Ezek telepítése ráadásul megoldható group policy alapján, így minden szükséges szoftver a számítógépre kerülhet, pár lépésben.
Ha ezt nem lépjük meg, a felhasználók saját, otthoni számítógépeiről pillanatok alatt kerülhetnek kártékony kódok a céges rendszerbe, nem beszélve arról, hogy már az elmúlt hetekben is megnövekedett a távmunkát bevezető cégek elleni támadások száma, amelyek könnyebben találnak utat egy szimpla otthoni gépen keresztül a céges infrastruktúra felé, mintha jól védett klienseket használnának a munkatársak, s azokkal megfelelően felvértezett céges rendszerhez kapcsolódnának.

A megfelelő tűzfal kiválasztása

Rengeteg tűzfal megoldás létezik, de a megfelelő kiválasztását segítheti, ha tisztában vagyunk pár fontos kritériummal, amelyeknek egy hatékony tűzfalnak meg kell felelnie.
Egy jó minőségű tűzfal például több szinten is képes ellenőrizni a kliens megbízhatóságát. Például csak akkor enged be a céges VPN-re, ha – a cég irányelveit követve – mondjuk Microsoftos környezet van rajta (például Windows 10), abból is a legutóbbi frissítésekkel ellátott példány.
Emellett legyen telepítve egy fejlett végpont védelmi megoldás a kliensen, természetesen a legfrissebb szoftver verzióval, adatbázissal, s az elmúlt 24 órában legalább egyszer történt teljes kliensoldali rendszerellenőrzés is. Ha mindezen szempontok teljesülnek, a kliens beléphet a központi rendszerbe.
Azonban még ezeken felül is érdemes további megfelelőségi kapukat felállítani. Ilyen lehet például az RSA SecurID, amely a felhasználónév és jelszó pároshoz ad egy extra védelmi szintet. A belépéshez rendelkeznie kell a felhasználónak a megfelelő tokennel, s csak az erről leolvasható, 60 másodpercenként megújuló kód beírása után tud egyáltalán belépni, hiába ismeri a név+jelszó kombót.

Végül harmadik faktorként használhatnak valamilyen certificate megoldást is, amelynek meglétét szintén képes ellenőrizni a tűzfal, s csak ennek birtokában engedi belépni a felhasználót. Ezzel viszonylag egyszerűen lehet garantálni, hogy nem a saját, otthoni gépéről igyekszik bejutni, kockáztatva ezzel egy adatbiztonsági incidenst.
Sajnos nem az a jellemző, hogy mindenki e három faktor biztosításával kezdene neki a távmunkának, de már most is akadnak olyan cégek, amelyek ezeket kérik tőlünk. Számukra fontos, hogy a bizalmas adatok ne kerüljenek illetéktelen kezekben a kialakult kényszerhelyzetben sem. Ráadásul ezzel hosszú távon is biztosítható a távmunka, s később sem kell kapkodni, ha újabb hasonló helyzet áll elő, vagy esetleg időközben ráéreznek a cégnél a home office ízére.

Promóciók a gyors kiépítéshez

A fenti megoldások kiépítése persze időbe telik és pénzbe kerül, így a megfelelő megoldás keresése, a finanszírozás átgondolása túlságosan elhúzhatja a döntéshozói folyamatokat. Szerencsére akadnak nagyszerű promóciók is, amelyek közül mi is ajánlunk néhányat ügyfeleinknek, hiszen ezekkel gyorsan és költséghatékonyan lehet kiépíteni a megfelelő biztonsági infrastruktúrát.
A Palo Alto az aktuális promóciójával speciálisan a kialakult helyzetben igyekszik támogatni az új és a már meglévő ügyfeleit egyaránt. Ennek keretein belül limitált számú fizikai tűzfal áll rendelkezésre NFR (Not for resale) változatban. Ezek nem értékesíthetők a piacon, vagyis ha egy ügyfél megkapja, s később esetleg a megvásárlása mellett dönt, nem az adott NFR példányt hagyják ott nála, hanem egy teljesen újat adnak. Ezeken az eszközökön van egy 30 vagy 60 napos (igénytől függ) eval licence, így ezen időszak alatt képes frissíteni a támadási content adatbázist. Ezen felül a GlobalProtect szolgáltatást is 90 napig ingyenes biztosítja a gyártó.

Emellett elérhető a Palo Alto virtual appliance megoldás, melynek lényege a virtualitás, hiszen így nem kell logisztikailag is megoldani az eszközök szállítását, ami gyorsabb beüzemelést jelent. Az ügyfél részéről egy virtuális környezet szükséges hozzá. Ehhez is van 30 vagy 60 napos eval licenc, illetve a GlobalProtect ebben az esetben is 90 napig jár.
Ezekkel a megoldásokkal akár azok a cégek is élhetnek (gyakorlatilag mérettől függetlenül), amelyeknél nem igazán skálázható az IT rendszer. Segítségükkel ők is több hónapra beüzemelhetik a biztonságos VPN hozzáférést és a támadások megakadályozásához szükséges tűzfalat.

RSA SecureID megoldások díjmentesen

Ha már szóba került korábban, fontos kiemelnünk, hogy az RSA hat hónapig ingyen adja a kétfaktoros autentikáció bizonyos alap szolgáltatásait azoknak az új, potenciális ügyfeleknek, akik még nem rendelkeznek hasonló szolgáltatással.
Ebben az esetben is szükség van ügyfél oldalról egy virtuális gépre. Lényegében ezen keresztül, illetve a munkavállalók telefonján lévő kliens alkalmazásokkal valósul meg a multifaktoros autentikáció (MFA).
Mivel a pusztán felhasználónévre és jelszóra építő beléptetések egyre nagyobb mértékben vannak kitéve támadásoknak (a támadások közel 80%-a erre irányul), ráadásul nagy az esély, hogy a belépéshez szükséges két adat illetéktelen kezekbe kerüljön, így az RSA MFA bevezetése szinte mindenkinek ajánlott, nem csak azoknak, akik érzékeny, bizalmas adatokkal dolgoznak. Egy ilyen rendszer kiépítése egyébként meglepően gyorsan megvalósulhat.
Az RSA e terület nagy öregje, gyakorlatilag a token alapú megoldások legjelentősebb gyártója. Ha a multifaktoros autentikáció szóba kerül, az RSA szinte biztos, hogy ott van a figyelemre méltó ajánlatok között.

Összegzésül

Mindent egybevetve a fenti megoldások ma már kihagyhatatlanok, ha a távoli munkavégzés kiépítése a célunk. A jelenlegi, COVID-19 koronavírus okozta helyzetben egyre több munkavállalónak kell majd otthonról dolgoznia. Ezekhez a körülményekhez pedig – sajnos – még a cégeknél is gyorsabban alkalmazkodtak a kiberbűnözők, akik komolyan ráálltak a home office rendszerek sebezhetőségeit kihasználó támadásokra. Emellett egyre nagyobb veszélyt jelentenek a ransomware támadások és az adathalász próbálkozások, melyek száma az elmúlt hetekben megnőtt.
Nem csak a bizalmas, szenzitív adatokkal dolgozó vállalatok, hanem minden, az otthoni munkavégzést támogatni kívánó cég esetén kiemelt fontosságú tehát a megfelelő biztonsági megoldások használata. Elég kihívást jelent egészség és gazdaság szempontjából a való világ vírustámadása, nem érdemes ezt tovább tetézni virtuális kártevőkkel, adatbiztonsági incidensekkel.

Érdekel a téma? Kövesd a LinkedIn oldalunkat.