Zvykli sme si na to, že technológie sa menia veľmi rýchlo, ale nástup epidémie bol natoľko prekvapivý, že ani inak flexibilné odvetvie IT na ňu nedokázalo adekvátne zareagovať. Postupné zvyšovanie podielu ľudí pracujúcich z domu, pracovníci v režime sick days, flexibilný pracovný čas – to všetko je technologicky zvládnuteľné. Ale situácia, keď sa na home office ocitne väčšina firmy, sa stala pre IT správcov či externých dodávateľov IT služieb v podstate „disruptívnou“ udalosťou.
Firemné siete zrazu úplne zmenili svoju topografiu, dátový tok začal prúdiť cez nezabezpečené pripojenia a z nezabezpečených zariadení a mnohí používatelia zrazu nemali prístup ku všetkým potrebným informáciám uloženým vo firemnej sieti. K tomu všetkému IT správcovia stratili ucelený prístup k firemným používateľským počítačom a v prípade ich porúch či nefunkčnosti je teraz veľmi ťažké získať iný než vzdialený prístup.
Remote Assistance
Počítače s Windows umožňujú dva odlišné druhy vzdialených spojení na báze RDP (remote desktop protocol) – remote desktop a remote assistance. Obe spojenia sú si podobné a IT administrátori využívajú na vytvorenie vzdialeného spojenia oba spôsoby, ale motivácia na ich využitie a bezpečnostné nároky sa líšia. IT správcovia využívajú remote assistance najmä v prípade technickej podpory. Používateľ PC pozve technického pracovníka na vzdialené pripojenie, aby mohol preveriť fungovanie používateľského počítača a vykonať úpravy, prípadne vyriešiť problémy. Bez pozvania a jeho prijatia sa technik nemôže prihlásiť do vzdialeného zariadenia.
Ak to nastavenie počítača dovoľuje, vzdialený používateľ umožní zdieľať svoj počítač s technickým pracovníkom, ktorý potom môže pristupovať k jeho súborom, otvárať ich a vkladať nové dáta pomocou svojej klávesnice a myši. Táto funkcia je mimoriadne užitočná najmä v prípadoch, keď administrátor musí na diaľku riešiť problémy, ktorých súčasťou je kontrola registrov alebo skenovanie počítača. Pri remote assistance vidia používateľ aj správca rovnakú obrazovku a sú spolupracujúcimi účastníkmi procesu.
Remote Desktop
Pri štandardnom pripojení remote desktop vo Windows sa naopak obrazovka používateľského počítača uzamkne hneď po nadviazaní spojenia. To znamená, že obrazový výstup je viditeľný iba na vzdialene pripojenom počítači. Remote desktop umožňuje vzdialenému pracovníkovi získať úplný prístup k počítaču bez ohľadu na to, z akej lokality sa k nemu pristupuje.
Hoci sa všetko zobrazuje na vzdialenom zariadení, všetky výpočtové úkony vykonáva ovládaný počítač. Vzdialený pracovník pomocou svojej klávesnice a myši odosiela vstupy a naspäť získava obrazový, prípadne zvukový výstup. Keď sa teda napríklad niekto týmto spôsobom na diaľku pripojí k inému počítaču, môže ukladať súbory na jeho pevný disk. Ak ich však chce mať k dispozícii aj na disku svojho počítača, musí ich presunúť pred ukončením spojenia.
Spojenie remote desktop sa využíva skôr než na technickú podporu na zvýšenie produktivity pracovníkov, pretože umožňuje odkiaľkoľvek prepojiť ich počítač s iným počítačom na pracovisku. S určitým konfiguračným nastavením sa môžu prepojiť aj prostredníctvom internetu úplne mimo firemnej siete, napríklad z domácej kancelárie. Typickým príkladom je prístup k informáciám uloženým na jednom konkrétnom počítači v kancelárii, ku ktorému používatelia nemajú fyzický prístup. Vzdialený prístup je tak najlepším dostupným riešením.
Bezpečnosť vzdialených pripojení
Bez ohľadu na to, či sa pripájame pomocou remote assistance alebo remote desktop, dôležitým faktorom je bezpečnosť. Pri vytváraní vzdialeného spojenia vzniká množstvo potenciálnych zraniteľností, ktoré môžu ohrozovať oba prepojené počítače a následne aj celú firemnú sieť. Počítač, ku ktorému sa vzdialene pripájame, je potom zabezpečený len tak dobre, ako samotné prepojenie.
Oba uvedené typy vzdialeného pripojenia sa môžu stať predmetom kybernetického útoku, v niečom sa však líšia. V prípade remote assistance je vždy niekto na druhej strane pripojenia. Pri technickej podpore sa predpokladá, že používateľa nebude vystavovať kybernetickým rizikám, ale naopak ho lepšie ochráni. Používateľ musí najprv pozvať vzdialeného pracovníka na pripojenie a počas celej relácie ho môže monitorovať.
Remote desktop takúto kontrolu nemá, dnes ho pracovníci často využívajú spôsobom, ktorý môže viesť k nebezpečným situáciám. Preto sa napríklad v poslednom čase stretávame so zvýšeným záujmom firiem o VPN riešenia, ktoré umožňujú zašifrovať prepojenie a zabezpečiť jeho bezpečnosť. Treba mať na pamäti, že ak hackeri získajú IP adresu počítača, ktorý môže vytvárať vzdialené pripojenia, potom už stačí nejakým spôsobom získať prihlasovacie údaje. Preto je navyše dôležité mať vytvorené pravidlá na správu prístupu, aby slabé používateľské heslá nezvyšovali riziká útoku.
Požiadavky na špecializované riešenia
Na správu vzdialeného prístupu existujú špecializované riešenia, obľúbený u poskytovateľov riadených služieb je napríklad SolarWinds Take Control, známy je aj TeamViewer. Kvalitné riešenia na správu vzdialeného prístupu obsahujú základné aj pokročilé bezpečnostné funkcie:
● Schéma Elliptic Curve Diffie-Hellman (ECDH) umožňujúca bezpečné zdieľanie medzi dvoma koncovými bodmi
● Schopnosť definovať IP adresy s prístupom k danému nástroju
● Štandardy pokročilého šifrovania dát (AES) 256 pri prenose aj mimo neho
● Viacvrstvová autentizácia
● Vytváranie bezpečných relácií
● Automatické vymazanie schránky po ukončení relácie
● Prevencia odpojenia z dôvodu režimu auto-sleep a auto-lock či neaktivity
Správa vzdialeného prístupu je jednou z bezpečnostných oblastí, ktorá v dôsledku koronavírusu rýchlo nadobudla na dôležitosti. Dnes ju čoraz častejšie ponúkajú poskytovatelia riadených služieb, ktorí tak reagujú na potreby svojich zákazníkov vytvárať bezpečné vzdialené prístupy.
Štěpán Bínek
Článok vyšiel v časopise IT Systems 7-8/2020
Autor článku: Redakcia ZEBR.ai
