Как безопасно настроить VPN для корпоративной сети

Для чего компании используют VPN

VPN создаёт защищённый канал между пользователем или удалённой площадкой и корпоративной инфраструктурой. Передаваемый через такой канал трафик шифруется, что снижает риск его перехвата при прохождении через внешние сети.

При этом сценарии использования VPN могут существенно различаться. От них зависят требования к настройке, аутентификации и доступным ресурсам.

• Удалённая работа. Сотрудники подключаются к корпоративным приложениям и внутренним ресурсам вне офиса.
• Администрирование. ИТ-специалисты получают удалённый доступ к серверам, сетевому оборудованию и другим компонентам инфраструктуры.
• Связь между филиалами. VPN используется для защищённого обмена трафиком между территориально распределёнными площадками.
• Доступ подрядчиков. Внешним специалистам временно предоставляется подключение к определённым системам.

Почему VPN может оставаться небезопасным

Ошибочно считать, что после включения VPN задача защиты удалённого соединения полностью решена. Уровень безопасности зависит от всей конфигурации: используемых технологий, учётных записей, правил доступа и состояния устройств.

Например, защищённый канал не предотвращает вход с украденными учётными данными. Если после подключения пользователь получает слишком широкие права, компрометация одной учётной записи может создать риск уже для внутренних ресурсов компании.

Какие ошибки встречаются при настройке VPN

Часть проблем появляется ещё при первоначальном внедрении, а часть — позднее, когда инфраструктура развивается, сотрудники меняют обязанности и появляются новые способы подключения.

• используются устаревшие или недостаточно защищённые технологии;
• для подключения достаточно только логина и пароля;
• пользователям предоставляется слишком широкий доступ после входа;
• сохраняются неиспользуемые учётные записи;
• подрядчикам оставляют постоянный доступ после завершения работ;
• подключения и действия пользователей контролируются недостаточно;
• конфигурация VPN долгое время не пересматривается.

Как должен работать защищённый VPN-доступ

Подключение лучше рассматривать как последовательность проверок. Недостаточно только создать зашифрованный туннель — необходимо определить пользователя и применить к нему предусмотренные правила безопасности.

Как выбрать защищённые протоколы

При организации VPN необходимо учитывать поддерживаемые протоколы и криптографические механизмы. Устаревшие варианты, которые больше не соответствуют требованиям безопасности, не следует сохранять только ради совместимости со старым оборудованием.

Конкретная конфигурация зависит от используемого оборудования, программного обеспечения, архитектуры сети и требований компании. Важно не только выбрать подходящую технологию, но и отключить ненужные варианты подключения.

При модернизации инфраструктуры стоит отдельно проверить оборудование и системы, из-за которых приходится поддерживать устаревшие настройки.

Зачем использовать многофакторную аутентификацию

Удалённый VPN-доступ доступен из внешней сети, поэтому учётные записи становятся привлекательной целью для атак. Если для входа используется только пароль, его компрометация может позволить злоумышленнику попытаться подключиться от имени сотрудника.

Многофакторная аутентификация добавляет дополнительный этап проверки. Одного похищенного пароля становится недостаточно для успешного входа.

В первую очередь усиленную аутентификацию стоит применять для административных подключений и доступа к критически важным ресурсам.

Как ограничивать права после подключения

Пользователь VPN не должен автоматически получать доступ ко всей корпоративной сети. Набор разрешённых ресурсов необходимо определять в соответствии с его рабочей ролью.

Например, сотруднику может требоваться только корпоративное приложение и файловый ресурс подразделения, а подрядчику — доступ к одному обслуживаемому серверу. Остальная инфраструктура для них должна оставаться недоступной.

Такой подход уменьшает область возможного воздействия в случае компрометации учётной записи.

Как контролировать устройства пользователей

Безопасность VPN зависит и от устройства, с которого выполняется подключение. Если рабочая станция скомпрометирована, защищённый канал сам по себе не устраняет угрозу.

Для удалённых подключений следует определить требования к устройствам и программному обеспечению. Для критичных ресурсов можно ограничивать доступ корпоративными или предварительно проверенными устройствами.

Требования должны соответствовать рискам конкретного сценария: обычная работа сотрудника и административное подключение к инфраструктуре требуют разного уровня контроля.

Как контролировать VPN-подключения

Информация о подключениях должна регистрироваться. Это позволяет видеть, кто и когда устанавливал соединение, а также выявлять необычные сценарии использования.

Поводом для дополнительной проверки могут стать многочисленные неудачные попытки входа, подключения в нетипичное время или другие отклонения от обычного поведения пользователя.

Журналы также помогают восстановить последовательность событий при расследовании инцидента.

Как организовать VPN между филиалами

Для постоянной связи между офисами могут использоваться защищённые соединения между сетевыми шлюзами. В этом случае необходимо определить, какой трафик разрешён между площадками и какие сегменты должны взаимодействовать друг с другом.

Наличие туннеля между филиалами не означает, что обе сети должны становиться полностью доступными друг другу. Правила межсетевого взаимодействия необходимо ограничивать реальными бизнес-задачами.

Когда нужно пересматривать настройки VPN

Конфигурация, которая соответствовала требованиям несколько лет назад, со временем может перестать быть оптимальной. Меняется состав сотрудников, появляются новые филиалы, сервисы и устройства, обновляются программные и аппаратные решения.

Поэтому настройки VPN следует периодически проверять: актуальны ли учётные записи, нужны ли пользователям выданные права, какие технологии используются и контролируются ли подключения.

С чего начать проверку VPN

Сначала необходимо определить все действующие VPN-подключения: удалённых сотрудников, администраторов, подрядчиков и соединения между площадками. Для каждого сценария нужно установить владельца, назначение и перечень доступных ресурсов.

Затем проверяются используемые технологии, способы аутентификации, правила доступа, активные учётные записи и ведение журналов. Неиспользуемые подключения и лишние разрешения следует удалить.

После устранения наиболее критичных проблем можно сформировать единые требования к новым VPN-подключениям и периодически проверять их соблюдение.