Nuotolinis darbas Lietuvos įmonėse tapo norma, o kartu su juo – ir VPN. Buhalterė jungiasi prie apskaitos serverio iš namų, projektų vadovas – prie failų serverio iš kliento biuro, tiekėjas – prie sandėlio sistemos, kad atnaujintų programą. Visi per tą patį VPN, dažnai su tuo pačiu slaptažodžiu, kurį kažkas nustatė prieš ketverius metus.
Kartu girdite, kad VPN „pasenęs“ ir visi pereina prie Zero Trust. Realybė paprastesnė: VPN tebėra tinkamas sprendimas daugeliui įmonių, jei jis sutvarkytas teisingai, bet turi ribas, kurias augant įmonei verta žinoti.
Šiame straipsnyje paaiškinsime, kaip iš tiesų veikia įmonės VPN, kodėl be antro autentifikavimo veiksnio jis yra pavojingesnis nei jo nebuvimas, kur baigiasi jo galimybės, ką reiškia Zero Trust be žargono ir kaip nuspręsti, kuris modelis tinka jums dabar.
Kaip veikia įmonės VPN ir ką jis iš tiesų daro
VPN (angl. virtual private network) sukuria šifruotą tunelį tarp darbuotojo kompiuterio ir įmonės tinklo. Prisijungęs darbuotojas tampa tarsi sėdintis biure: mato serverius, spausdintuvus, bendrus aplankus, vidines programas. Tai sprendžia dvi problemas. Pirma, duomenys kelyje yra šifruoti, todėl viešas viešbučio Wi-Fi nebekelia grėsmės. Antra, vidinių sistemų nereikia atverti internetui – jos pasiekiamos tik per tunelį.
Bet svarbu suprasti, ko VPN nedaro. Jis tikrina, kas jungiasi, tik prisijungimo momentu. Jis netikrina, ar kompiuteris, iš kurio jungiamasi, yra saugus. Ir prisijungęs darbuotojas dažniausiai gauna prieigą prie viso tinklo, o ne tik prie tų sistemų, kurių jam reikia. Buhalterė, kuriai reikia apskaitos serverio, mato ir failų serverį, ir sandėlio sistemą, ir visus kitus kompiuterius biure.
Kodėl VPN be 2FA yra atviros durys
Tai dažniausia problema, kurią randame perimdami VPN priežiūrą. VPN apsaugotas tik vartotojo vardu ir slaptažodžiu. Slaptažodis dažnai toks pat kaip el. pašto. El. pašto slaptažodis prieš metus nutekėjo per kažkurį išorinį portalą, kuriame darbuotojas registravosi darbo adresu.
Rezultatas: užpuolikas, turintis nutekėjusį slaptažodį, prisijungia prie VPN iš bet kurios pasaulio vietos ir atsiduria jūsų tinklo viduje su tomis pačiomis teisėmis kaip darbuotojas. Būtent taip prasideda didžioji dalis išpirkos reikalaujančių atakų, su kuriomis susiduria Lietuvos įmonės – ne per sudėtingą įsilaužimą, o per VPN su žinomu slaptažodžiu.
Antras autentifikavimo veiksnys (2FA) šią sąlygą pašalina: be patvirtinimo telefone ar aparatinio rakto slaptažodis nieko nevertas. Tai nėra papildoma rekomendacija, o minimali sąlyga, be kurios VPN neturėtų būti įjungtas. Mūsų prižiūrimuose VPN sprendimuose 2FA yra privalomas nuo pirmos dienos, o Rivile Cloud klientams VPN su 2FA įskaičiuotas į paslaugą.
Kartu su 2FA turi eiti dar du dalykai: atskiros paskyros kiekvienam žmogui (ne „bendra buhalterijos VPN paskyra“) ir prieigos atjungimas tą pačią dieną, kai darbuotojas ar tiekėjas išeina.
Kur baigiasi VPN galimybės
Net ir teisingai sutvarkytas VPN turi ribas, kurios tampa matomos augant įmonei.
Plokščias tinklas. Prisijungęs darbuotojas mato viską. Jei jo kompiuteris užkrėstas, kenkėjiška programa per tunelį mato tą patį. Tinklo segmentavimas tai sumažina, bet reikalauja nuolatinės priežiūros.
Nepatikrintas įrenginys. VPN įsileidžia darbuotojo asmeninį kompiuterį su neatnaujinta sistema ir be antivirusinės programos lygiai taip pat, kaip įmonės prižiūrimą nešiojamą kompiuterį.
Debesijos sistemos. Vis daugiau įmonės programų veikia ne biuro serveryje, o debesyje: Microsoft 365, CRM, apskaita. VPN joms nereikalingas, bet jos vis tiek lieka pasiekiamos tik su slaptažodžiu, jei niekas nesutvarkė prieigos politikos.
Tiekėjai ir partneriai. Kiekvienam išorės tiekėjui sukuriama VPN paskyra, kuri suteikia prieigą prie viso tinklo dėl vienos sistemos. Po metų tokių paskyrų dešimt ir niekas nežino, kurios dar reikalingos.
Jei atpažįstate bent dvi iš šių situacijų, VPN nebėra pagrindinis saugumo sprendimas, o tik viena jo dalis.
Zero Trust paprastais žodžiais
Zero Trust nėra produktas, kurį galima nusipirkti. Tai principas: niekuo nepasitikėti vien dėl to, kad jis yra tinklo viduje. Kiekviena prieiga prie kiekvienos sistemos tikrinama atskirai pagal tris klausimus:
- Kas jungiasi? Vartotojas patvirtintas slaptažodžiu ir 2FA, o jo paskyra aktyvi.
- Iš kokio įrenginio? Įrenginys žinomas, atnaujintas, su veikiančia apsauga ir šifruotu disku.
- Prie ko? Darbuotojas gauna prieigą tik prie tos sistemos, kurios jam reikia, o ne prie viso tinklo.
Praktikoje tai reiškia, kad buhalterė jungiasi tiesiai prie apskaitos sistemos, o ne prie tinklo. Sistema patikrina jos tapatybę, jos kompiuterio būklę ir įleidžia tik į apskaitą. Jei kompiuteris neatitinka reikalavimų, prieiga neleidžiama, nepriklausomai nuo to, kur ji sėdi – biure ar namuose.
Microsoft aplinkoje didelė dalis šio principo jau yra: Entra ID sąlyginė prieiga tikrina vartotoją ir įrenginį kiekvieno prisijungimo metu prie Microsoft 365 ir kitų prijungtų programų. Senoms vidinėms sistemoms, kurios veikia tik biuro serveryje, naudojami programų šliuzai, kurie atveria vieną programą, o ne visą tinklą.
Zero Trust nėra priešingybė VPN. Daugelyje įmonių jie veikia kartu: Zero Trust prieiga prie debesijos ir pagrindinių programų, o VPN – prie likusių vidinių sistemų, bet jau su 2FA, įrenginio patikra ir segmentuotu tinklu.
Kada VPN užtenka, o kada laikas pereiti
VPN su 2FA pakanka, kai įmonė turi iki kelių dešimčių darbuotojų, vieną ar kelis vidinius serverius, visi darbuotojai naudoja įmonės prižiūrimus kompiuterius, o išorės tiekėjų prieigos yra retos ir kontroliuojamos. Tokiu atveju svarbiausia ne keisti technologiją, o prižiūrėti esamą: atnaujinti VPN įrangą, peržiūrėti paskyras, stebėti prisijungimus.
Apie perėjimą prie Zero Trust modelio verta galvoti, kai:
- Darbuotojų ir įrenginių daugėja, o dalis jų asmeniniai.
- Pagrindinės sistemos jau debesyje, o VPN naudojamas tik keliems senesniems serveriams.
- Turite daug išorės tiekėjų, kuriems reikia prieigos prie vienos konkrečios sistemos.
- Jums taikomi TIS2 ar DORA reikalavimai, kurie tiesiogiai kalba apie prieigos kontrolę, mažiausių teisių principą ir įrenginių valdymą.
- Įvyko ar vos neįvyko incidentas, kurio metu kažkas prisijungė prie VPN su svetimais duomenimis.
Perėjimas nėra vienas projektas. Dažniausiai jis vyksta etapais: pirma 2FA ir paskyrų tvarka, tada sąlyginė prieiga prie Microsoft 365, tada įrenginių valdymas, galiausiai programų šliuzai vietoje plataus VPN. Kiekvienas etapas duoda naudos atskirai.
Kaip MDP CLOUD prižiūri VPN
VPN yra ne vienkartinis diegimas, o sistema, kuri sensta. Mūsų VPN tinklo priežiūra apima tai, kas dažniausiai lieka nepadaryta: VPN įrangos ir programinės įrangos atnaujinimus, nes būtent VPN šliuzų pažeidžiamumai yra vieni dažniausiai išnaudojamų; paskyrų peržiūrą kas mėnesį ir išėjusių darbuotojų bei tiekėjų atjungimą; 2FA visiems be išimties; prisijungimų stebėseną, kuri praneša apie prisijungimus neįprastu laiku ar iš neįprastų vietų; tinklo segmentavimą, kad VPN vartotojas matytų tik tai, ko jam reikia. Kai įmonė pasiruošusi, tą patį VPN palaipsniui papildome sąlygine prieiga ir įrenginių valdymu – be sustabdyto darbo ir be visko iš naujo.
Nuo ko pradėti
- Patikrinkite, ar jūsų VPN turi 2FA. Jei ne, tai pirmas ir svarbiausias žingsnis, kurį galima padaryti per kelias dienas.
- Išsitraukite VPN paskyrų sąrašą ir atjunkite visas, kurių savininkų nebegalite įvardyti. Bendras paskyras pakeiskite asmeninėmis.
- Patikrinkite VPN įrangos programinės įrangos versiją ir ar gamintojas ją dar palaiko. Nepalaikoma VPN įranga yra atviros durys net su 2FA.
- Surašykite, prie kurių sistemų darbuotojai iš tiesų jungiasi per VPN. Dažniausiai paaiškėja, kad pusė jų jau debesyje ir VPN joms nereikalingas.
- Jei nėra kam to prižiūrėti nuolat, VPN tinklo priežiūra arba platesnė IT priežiūra įmonėms šiuos darbus perima kaip kasdienę rutiną.
VPN nėra pasenęs. Pasenęs yra VPN be 2FA, be priežiūros ir su paskyromis, kurių niekas neperžiūri. Nuo to ir verta pradėti.
