Безопасные вычисления с тонкими клиентами.
Недостаточная защита сетей от угроз из Internet ставит перед администраторами ИТ серьезные задачи. Их решение может облегчить внедрение инфраструктуры вычислений на базе серверов (Server Based Computing, SBC).
В этом случае используемые в ка-честве конечных устройств тонкие клиенты удается защищать более эффективно, чем обычные персональные компьютеры, а обеспечением безопасности можно управлять централизованно.
В гетерогенных сетях, где используются разные конфигурации и модели серверов и настольных компьютеров, обеспечить безопасность достаточно сложно.Необходимость в постоянных обновлениях, «заплатах» и прочих улучшениях обходится слишком дорого, ведь их приходится инсталлировать на множество компьютеров — и все время в условиях цейтнота. А если добавить еще такие проблемы, как кража данных, отказы жестких дисков и ненадежные пользовательские пароли, то неудивительно, что предприятия начинают постепенно переходить к SBC и заменять толстые клиенты (персональные компьютеры) на тонкие. Понятие «безопасность» в средах с тонкими клиентами включает в себя самые разные аспекты: аппаратное и программное обеспечение, шифрование, удаленный доступ и аутентификацию, а также безопасность серверных ферм.
НАДЕЖНЫЕ ТОНКИЕ КЛИЕНТЫ
Тонкие клиенты злоумышленников не привлекают, поскольку при отсутствии подходящих сервер-ных приложений они бесполезны: приложения же и корпоративные данные хранятся в случае SBC исключительно на серверах, а сам тонкий клиент представляет собой всего лишь неинтеллектуальное устройство ввода. Кроме того, тонкие клиенты — компактные устройства без вентиляторов —
можно встраивать в стены или мебель и таким образом эффективно защищать от кражи. Они очень хорошо подходят для киосковых систем (киоск — общедоступное устройство ввода для непостоянных пользователей), а кроме того, не позволяют использовать локальные ресурсы и данные не по назначению.
Вероятность системного отказа при использовании тонких клиентов ниже, чем в случае персональных компьютеров. Прежде всего это объясняется отсутствием движущихся деталей, в частности вентиляторов, которые в традиционных персональных компьютерах выходят из строя довольно часто. Кроме того, физической надежности тонких клиентов способствует также отсутствие жестких дисков и оптических дисководов. Это позитивно отражается на среднем времени безотказной работы (Mean Time Between Failures, MTBF).
В случае определенных приложений, к примеру производственных компьютеров на каком-либо заводе, MTBF — т. е. готовность компьютерной системы — играет особенно важную роль. В этом отношении тонкие клиенты превосходят персональные компьютеры, поскольку при отказе неисправное устройство заменяется в течение нескольких минут. При использовании традиционного персонального компьютера производственный процесс в такой ситуации может надолго прерваться, что повлечет значительные затраты.
Еще одним аспектом безопасности является контроль портов на клиентах. Различные производители тонких клиентов предоставляют, как правило, и программное обеспечение для удаленного управления. С его помощью администратор может точно определить, какое оборудование можно подключать к тонкому клиенту.
В частности, он может настроить последний таким образом, что пользоваться подключенными к порту устройствами USB будет нельзя. Подобные решения для блокировки портов доступны и для персонального компьютера, однако для этого приходится приобретать лицензии и внедрять их отдельно.
В случае клиент-серверных приложений, к примеру при запросе к базе данных SQL, информация передается в незашифрованном или недостаточно зашифрованном виде. Таким образом, хакеры в состоянии перехватить данные и использовать их в собственных целях. В инфраструктурах на базе терминальных серверов, напротив, пользователи могут получать и отправлять данные без каких-либо опасений: соответствующие протоколы, в том числе протокол удаленного рабочего стола (Remote Desktop Protocol, RDP) разработки Microsoft или протокол независимой вычислительной архитектуры (Independent Computing Architecture, ICA) компании Citrix, передают пакеты данных от клиента на терминальный сервер и обратно в зашифрованном виде.
При использовании SBC все данные хранятся на сервере, а не локально на тонком клиенте, чем обеспечивается их высокая целостность. Важную информацию безопаснее и надежнее хранить централизованно, поскольку серверы, как правило, размещаются в закрытой комнате, где поддерживаются оптимальные климатические условия. Защищенность данных повышает регулярное резервное копирование, которое к тому же чаще осуществляется на серверах, чем на клиентах.
ОПЕРАЦИОННЫЕ СИСТЕМЫ СО СНИЖЕННЫМИ РИСКАМИ
Тонкие клиенты базируются на минимизированных операционных системах: на них устанавливается лишь то, что предприятию действительно необходимо. На компьютерах же под управлением Windows XP часто присутствуют службы, которые пользователю совершенно не нужны. Компьютеры с большим количеством неиспользуемых программ становятся, как следствие, более уязвимыми. На тонких же клиентах с Windows XPe (XP Embedded) работает лишь несколько служб. Стандартная инсталляция Windows XPe требует от 250 до 300 Мбайт свободного места, причем операционная система устанавливается во флэш-память. Дополнительную защиту предлагает функция расширенного фильтра записи (Enhanced Write Filter, EWF) в Windows XPe. Этот механизм защиты включен по умолчанию и предотвращает запись данных во флэш-память. Тем самым закрывается дорога вирусам и «червям».
Как правило, атаки направлены только против компьютеров под управлением Windows. Тонкие клиенты, использующие Linux, предлагают альтернативную клиентскую операционную систему — причем разбираться с деталями незнакомой ОС не придется.
К тому же тонкий клиент под управлением Linux позволяет получать привычный доступ к серверным приложениям Windows через браузер. Linux, в свою очередь, очень надежен по причине своей открытой концепции: сообщество разработчиков постоянно анализирует код и быстро устраняет недостатки в системе безопасности. Для клиентов Windows СЕ со стороны вирусов опасность также невелика, поскольку эта операционная система пока не привлекала внимание создателей вредоносных программ. Однако Windows СЕ очень ограничена в смысле расширения за счет индивидуальных решений, поскольку для специального аппаратных обеспечения часто отсутствуют драйверы СЕ, и их сначала надо написать.
Тонкие клиенты поставляются уже готовыми к работе: администратору не нужно их инсталлировать. Это исключает ошибки и снижает накладные расходы на установку «заплат». Преимущества такого аспекта инсталляций SBC, как «один для многих», очевидны: в отличие от сетей персональных компьютеров администратор ИТ должен защитить лишь сервер или серверную ферму, а не заниматься множеством отдельных рабочих станций (см. врезку «Безопасность со стороны сервера»). Кроме того, в средах SBC ставка делается на рационально дифференцированные права пользователей: при помощи правил администратор определяет, кто и к какому программному обеспечению имеет доступ. Этот метод исключения с точки зрения безопасности — еще один положительный момент по сравнению с привычной практикой, когда предусматривается возможность доступа ко всем инсталлированным на локальном компьютере программам.
Как и в сетях с толстыми клиентами, в средах SBC удаленный доступ к ресурсам на сервере часто осуществляется через Internet, т. е. через соединение по виртуальной частной сети (Virtual Private Network, VPN) IPSec или SSL. Тенденция развивается в направлении решений SSL, так как этот вариант VPN проще и быстрее реализуется (см. Рисунок 1).
В дополнение к многочисленным решениям SSL лидер на рынке решений SBC компания Citrix предлагает со своим продуктом Citrix Access Gateway устройство SSL, которое интегрируется в Citrix Access Suite для более детального дифференцирования прав доступа. Кроме того, соединения SSL могут быть использованы для доступа к хостовым средам, к примеру IBM iSeries с эмуляцией терминала 5250.
Менеджеры ИТ часто рассматривают смарт-карты исключительно как карты памяти, на которых хранятся лишь имя пользователя и пароль для двухфакторной аутентификации. На самом деле обеспечиваемая смарт-картами безопасность этим не ограничивается: приложения с поддержкой смарт-карт ориентированы, к примеру, на мобильного пользователя, работающего на разных компьютерах, как это нередко случается в больницах или в производственной сфере. Для того чтобы посторонние лица не могли получить доступ к данным пользователя, когда он переходит к другому тонкому клиенту, необходимо выйти из системы. Для этого отдел ИТ назначает смарт-картам несколько заданий: так, при помощи смарт-карты пользователь должен не только получать доступ к серверу и прекращать сеанс связи с ним, но и применять ее для контроля доступа и учета времени. Таким образом, он вынужден постоянно иметь карту при себе — очень надежный подход.
Использование сертификатов в рамках архитектуры с открытым ключом (Public Key Infrastructure, PKI) может еще более повысить безопасность ИТ: в частности, вход на почтовый сервер с использованием сертификата обладает тем преимуществом, что электронные письма имеют официальную подпись и поэтому принимаются судом в качестве вещественных доказательств.
Мартин Нимер — менеджер по программным продуктам компании Neoware. С ним можно связаться по адресу: wg@lanline.awi.de.
Безопасность со стороны сервера
Производители тонких клиентов делают акцент на более высоком уровне безопасности своей продукции по сравнению с традиционными персональными компьютерами. Не стоит, однако, забывать, что отдел ИТ при переходе на серверные вычисления с тонкими клиентами по-прежнему должен поддерживать высокий — а в данном случае очень высокий — уровень безопасности на сервере. К необходимым мерам относится как регулярное создание физических копий данных, так и классические действия, касающиеся безопасности: к примеру, контроль физического доступа в вычислительные центры, защита доступа, управление «заплатами», предотвращение вторжений, а также внедрение концепции отказоустойчивости, разработка планов действий при аварии и восстановление после катастроф. Как бы то ни было, комбинация серверных вычислений и тонких клиентов обладает преимуществом в отношении безопасности, поскольку все меры ее обеспечения сконцентрированы в вычислительном центре. Тонкие же клиенты являются источниками риска в меньшей степени, а в идеале совсем не подвержены опасности.
? AWi Verlag