We zijn eraan gewend geraakt dat technologieën zeer snel veranderen, maar de uitbraak van de epidemie was zo verrassend dat zelfs de doorgaans flexibele IT-sector er niet adequaat op kon reageren. De geleidelijke toename van het aandeel mensen dat thuiswerkt, medewerkers met sick days, flexibele werktijden – dit alles is technologisch beheersbaar. Maar de situatie waarin het merendeel van een bedrijf thuiswerkt, werd voor IT-beheerders of externe IT-dienstverleners in wezen een „disruptieve“ gebeurtenis.
Bedrijfsnetwerken veranderden plotseling volledig van topografie, de gegevensstroom begon via onbeveiligde verbindingen en vanaf onbeveiligde apparaten te lopen, en veel gebruikers hadden plotseling geen toegang meer tot alle benodigde informatie die op het bedrijfsnetwerk was opgeslagen. Bovendien verloren IT-beheerders het overzicht over de computers van bedrijfsgebruikers en is het bij storingen of wanneer deze niet functioneren nu zeer moeilijk om andere dan externe toegang te verkrijgen.
Remote Assistance
Windows-computers bieden twee verschillende soorten externe verbindingen op basis van RDP (remote desktop protocol): remote desktop en remote assistance. Beide verbindingen lijken op elkaar en IT-beheerders gebruiken beide methoden om een externe verbinding tot stand te brengen, maar de reden voor het gebruik ervan en de beveiligingsvereisten verschillen. IT-beheerders gebruiken remote assistance vooral voor technische ondersteuning. De pc-gebruiker nodigt een technisch medewerker uit voor een externe verbinding, zodat deze de werking van de gebruikerscomputer kan controleren en aanpassingen kan uitvoeren of problemen kan oplossen. Zonder uitnodiging en aanvaarding daarvan kan de technicus niet inloggen op de externe machine.
Als de computerinstellingen dit toelaten, kan de externe gebruiker zijn computer delen met de technisch medewerker, die vervolgens toegang kan krijgen tot de bestanden, deze kan openen en met behulp van zijn toetsenbord en muis nieuwe gegevens kan invoeren. Deze functie is bijzonder nuttig, vooral wanneer de beheerder op afstand problemen moet oplossen die onder meer het controleren van registers of het scannen van de computer omvatten. Met remote assistance zien zowel de gebruiker als de beheerder hetzelfde scherm en werken zij samen in het proces.
Remote Desktop
Bij de standaard Windows-verbinding remote desktop wordt het scherm op de gebruikerscomputer daarentegen vergrendeld zodra de verbinding tot stand is gebracht. Dit betekent dat de beeldweergave alleen zichtbaar is op de extern verbonden computer. Remote desktop stelt de externe medewerker in staat volledige toegang tot de computer te krijgen, ongeacht vanaf welke locatie deze wordt benaderd.
Hoewel alles op de externe machine wordt weergegeven, worden alle rekenkundige taken door de bediende computer uitgevoerd. De externe medewerker stuurt invoer met behulp van zijn toetsenbord en muis en ontvangt daarvoor beeld- of geluidsuitvoer terug. Wanneer iemand bijvoorbeeld op deze manier op afstand verbinding maakt met een andere computer, kan hij bestanden op diens harde schijf opslaan. Als hij ze echter ook op de schijf van zijn eigen computer beschikbaar wil hebben, moet hij ze vóór het beëindigen van de verbinding overzetten.
In plaats van voor technische ondersteuning wordt de remote desktop-verbinding gebruikt om de productiviteit van medewerkers te verhogen, omdat deze het mogelijk maakt hun computer vanaf elke locatie te verbinden met een andere computer op de werkplek. Met bepaalde configuratie-instellingen kunnen zij ook via internet, volledig buiten het bedrijfsnetwerk, verbinding maken, bijvoorbeeld vanuit een thuiskantoor. Een typisch voorbeeld is toegang tot informatie die is opgeslagen op één specifieke computer op kantoor waartoe gebruikers geen fysieke toegang hebben. Externe toegang is dan de best beschikbare oplossing.
Beveiliging van externe verbindingen
Ongeacht of we verbinding maken met behulp van remote assistance of remote desktop, is beveiliging een belangrijke factor. Bij het tot stand brengen van een externe verbinding ontstaan talrijke potentiële kwetsbaarheden die beide verbonden computers en daarmee ook het gehele bedrijfsnetwerk kunnen bedreigen. De computer waarmee we extern verbinding maken, is slechts zo goed beveiligd als de verbinding zelf.
Beide genoemde typen externe verbindingen kunnen doelwit worden van een cyberaanval, maar verschillen in bepaalde opzichten. Bij remote assistance is er altijd iemand aan de andere kant van de verbinding. Bij technische ondersteuning wordt ervan uitgegaan dat deze de gebruiker niet blootstelt aan cyberrisico's, maar hem juist beter beschermt. De gebruiker moet eerst de externe medewerker uitnodigen om verbinding te maken en kan deze gedurende de gehele sessie monitoren.
Remote desktop heeft een dergelijke controle niet en wordt tegenwoordig vaak door medewerkers gebruikt op een manier die tot gevaarlijke situaties kan leiden. Daarom zien we bijvoorbeeld de laatste tijd een toenemende belangstelling van bedrijven voor VPN-oplossingen, waarmee de verbinding kan worden versleuteld en beveiligd. Houd er rekening mee dat als hackers het IP-adres verkrijgen van een computer die externe verbindingen kan maken, zij alleen nog de inloggegevens hoeven te bemachtigen. Daarom is het bovendien belangrijk om regels voor toegangsbeheer op te stellen, zodat zwakke gebruikerswachtwoorden de risico's op aanvallen niet vergroten.
Vereisten voor gespecialiseerde oplossingen
Voor het beheer van externe toegang bestaan gespecialiseerde oplossingen; populair bij aanbieders van beheerde diensten is bijvoorbeeld SolarWinds Take Control, en ook TeamViewer is bekend. Kwalitatieve oplossingen voor het beheer van externe toegang omvatten basis- en geavanceerde beveiligingsfunctionaliteiten:
● Het Elliptic Curve Diffie-Hellman-schema (ECDH), dat veilig delen tussen twee eindpunten mogelijk maakt
● De mogelijkheid om IP-adressen met toegang tot het betreffende hulpmiddel te definiëren
● Standaarden voor geavanceerde gegevensversleuteling (AES) 256, tijdens overdracht en daarbuiten
● Meerlaagse authenticatie
● Het tot stand brengen van veilige sessies
● Automatisch wissen van het klembord na beëindiging van de sessie
● Voorkoming van verbreking van de verbinding door de auto-sleep- en auto-lockmodus of inactiviteit
Beheer van externe toegang is een van de beveiligingsgebieden die als gevolg van het coronavirus snel aan belang hebben gewonnen. Het wordt tegenwoordig steeds vaker aangeboden door aanbieders van beheerde diensten, die hiermee inspelen op de behoeften van hun klanten om veilige externe verbindingen tot stand te brengen.
Štěpán Bínek
Het artikel verscheen in het tijdschrift IT Systems 7-8/2020
Auteur van het artikel: ZEBR.ai-redactie
