V roku 2008 Richard Stallman, známy ako zakladateľ slobodného softvér, v rozhovore pre The Guardian povedal, že „jedným z dôvodov, prečo by sme nemali používať webové aplikácie na prácu s vlastnými počítačmi, je to, že nad nimi strácame kontrolu.“ Ak zhrnieme Stallmanove slová, možno tvrdiť, že používanie akejkoľvek vzdialenej služby obmedzuje slobodu používateľa.

Ivan Čižov
Vedúci oddelenia vývoja
prostriedky ochrany "Inline technológie",
Ph.D.

História prístupu k terminálu

Všetko to začalo produktom WinFrame, v tom čase mladej spoločnosti Citrix. Tento program nebol ničím iným ako Windows NT 3.51 s podporou viacerých používateľov. O niečo neskôr, v roku 1998, na základe WinFrame, Microsoft vyvinul prvý Windows NT 4.0 Terminal Server Edition, ktorý používateľom umožnil práca na diaľku. To znamená, že programy sa spúšťali na určitom serveri a používateľovi sa na pracovnej stanici vysielal iba obraz. Vzdialená práca používateľov bola založená na protokole RDP 4.0, ktorý sa neskôr rozšíril. To viedlo k tomu, že hackeri začali venovať osobitnú pozornosť hľadaniu zraniteľností v ňom, ktorých sa ukázalo byť dosť. AT určitý moment správcovia začali opúšťať používanie tohto protokolu v obave, že servery budú hacknuté. A iba schopnosť používať protokol TLS na jeho ochranu dala RDP druhý život.

protokol RDP

Aktuálna verzia protokolu RDP je 7.1. Opravuje veľa chýb, nedostatkov a zraniteľností mladších verzií. Medzi jeho hlavné vlastnosti patrí:

Obmedzenie slobody je významnou nevýhodou pre používateľa, ale výhodou pre vlastníka služby, pretože má možnosť vykonávať úplnú kontrolu nad konaním používateľa v systéme. To vedie k myšlienke, že terminálový prístup môže byť vynikajúcim nástrojom na vytvorenie systému na ochranu súkromných automatizovaných systémov.

• možnosť publikovať aplikácie pre používateľa;
• podpora overovania sieťovej vrstvy;
• zvýšenie produktivity;
• zníženie oneskorenia pri prehrávaní zvuku a videa.

Vďaka rozšírenej funkcionalite pre sledovanie akcií používateľov má protokol RDP „tretí vietor“ – schopnosť organizovať bezpečný terminálový prístup pre vzdialených používateľov k automatizovaným systémom so zníženými nákladmi na ochranné nástroje a ich ďalšiu údržbu.

Treba poznamenať, že spolu s RDP sa vyvinuli aj ďalšie protokoly prístupu k terminálu. Jedným z najstarších a pomerne populárnych protokolov je protokol ICA, ktorý je základom produktového radu Citrix. Jeho hlavnou nevýhodou je, že je majetkom Citrixu, takže je takmer nemožné vykonať nezávislú štúdiu protokolu na prítomnosť zraniteľností a nezdokumentovaných prvkov v ňom. A takéto štúdie sú potrebné napríklad vtedy, ak systém spracováva PD triedy K1. V tomto ohľade nie je vždy možné použiť tento protokol všade.

Z hľadiska informačnej bezpečnosti má technológia terminálového prístupu množstvo atraktívnych funkcií:

• terminály alebo tenkých klientov, z ktorých máte prístup k systémovým prostriedkom nemajú pevný disk;
• používať špecializovaný operačný systém, ktorého jednou z úloh je zorganizovať reláciu s terminálovým serverom, aby mohol používateľ pracovať;
• neobsahujú pohyblivé časti;
• sa vykonávajú v špecializovaných prípadoch s úplne pasívnym chladením.

Myšlienka terminálového prístupu vznikla už dávno, keď boli počítače pomalé a zaberali obrovské miestnosti. V roku 1970 jeden z tvorcov siete ARPANET – starý otec modernej internetovej siete – povedal, že raz bude každý človek na Zemi pripojený k sieti, z ktorej bude môcť prijímať nielen dáta, ktoré potrebuje, ale aj programy na ich spracovanie. Ešte skôr, v roku 1961, John McCarthy, zakladateľ funkčného programovania a umelej inteligencie, navrhol, že v budúcnosti by sa počítačový výkon a dokonca aplikácie mohli predávať rovnako ako v oblasti komunálne služby predaj elektriny alebo vody.

To znamená, že používateľ pracujúci na termináli nemôže nič zapisovať, pretože nemá pevný disk. Použitý OS je možné zredukovať na jedinú funkciu – vytvorenie relácie RDP, ktorá vám umožňuje výrazne obmedziť akcie pracovná stanica. Pripojenie k terminálu externé disky neumožní používateľovi zapisovať do nich informácie, pretože OS nemá funkciu na pripojenie takýchto zariadení na aplikačný server. Pevnosť terminálu komplikuje užívateľovi prístup do jeho vnútra. Operačný systém a softvér, ktorý terminál používa, nevyžadujú prakticky žiadne aktualizácie, takže ich možno opraviť, certifikovať a zabudnúť bez míňania peňazí na certifikáciu nových verzií a aktualizácií. Zakúpením takéhoto softvéru si môžete byť istí, že zmeny a aktualizácie nebudú potrebné dlho. Okrem toho uvedená pevnosť a určitá "statická" povaha terminálu umožňuje nepoužívať antivírusový softvér na ochranu terminálových staníc.

Použitie protokolu RDP umožňuje implementovať systém pozostávajúci z rôznych bezpečnostných slučiek. Zvážte napríklad nasledujúci problém: existuje množstvo pracovných staníc, ktoré spracovávajú dôverné informácie. Kvôli úradným povinnostiam používatelia okrem iného vyžadujú prístup na internet. Majiteľ systému zároveň nechce, aby používatelia súčasne pracovali v globálnej sieti a spracovávali dôverné údaje, a preto je potrebné odpojiť pracovné stanice od internetu a organizovať prístup na internet zo samostatných vyhradených pracovných staníc. Ako nám môže používanie RDP pomôcť vyriešiť tento problém?

Vezmime si dva aplikačné servery a nainštalujeme do jedného internetového prehliadača všetky programy, ktoré používatelia potrebujú na prácu na internete, a na druhý nainštalujeme programy na spracovanie dôverných informácií. Namiesto pracovných staníc používateľom nainštalujeme terminály (tenkých klientov). A predpokladajme, že operačný systém na termináli je Linux s podporou dvoch desktopov. A sú od seba úplne izolované a výmena informácií medzi nimi je nemožná. Založme reláciu RDP s prvým aplikačným serverom na prvom desktope a s druhým na druhom. Na tom istom termináli na jednej ploche teda používateľ sedí na internete a na druhej spracováva dôverné informácie. Majiteľ systému pokojne spí bez obáv z možného úniku dôverných dát.

Vyššie uvedené jasne dokazuje, že terminálový prístup je efektívnym riešením pre ľudí, ktorí myslia na bezpečnosť svojich informácií a nechcú míňať veľa peňazí na budovanie integrovaného bezpečnostného systému.

Typická architektúra systému ochrany prístupu k terminálu

• používať protokol SSLTTLS na ochranu údajov;
• povoliť autentifikáciu používateľa, napríklad prostredníctvom domény pomocou prihlasovacieho mena a hesla.

Tento prístup však často nie je opodstatnený. Platí to najmä pre systémy, v ktorých sa uplatňujú zvýšené požiadavky na informačnú bezpečnosť.

Zoberme si typickú bezpečnostnú architektúru systému vybudovaného na báze technológie terminálového prístupu (obr. 1).

Predpokladajme, že máme farmu terminálových aplikačných serverov a mnoho klientskych zariadení (terminálov), ktoré komunikujú prostredníctvom protokolu RDP a poskytujú možnosť používať aplikácie, ktoré používatelia potrebujú. Ako zabezpečiť, aby bol popísaný systém bezpečný?

Požiadavka na kontrolu prístupu

Systém musí implementovať mechanizmus na obmedzenie prístupu k zdrojom. Mala by byť založená na nastavení pravidiel prístupu na základe skupinových charakteristík používateľov, programov a objektov, ktoré spúšťajú. Typicky sa berú do úvahy nasledujúce oprávnenia: čítať, zapisovať, mazať a spúšťať.

Požiadavky na informačná bezpečnosť systémov
Všetky požiadavky možno rozdeliť do piatich veľké skupiny:
1) identifikácii a autentifikácii;
2) na riadenie prístupu;
3) do evidencie a účtovníctva;
4) zabezpečiť integritu;
5) na ochranu prenášaných a uchovávaných informácií.

Prostriedky, pre ktoré sa zvyčajne implementujú funkcie riadenia prístupu, zahŕňajú: súbory a adresáre umiestnené na lokálnom aj na serveri sieťové disky(vrátane zdieľaných zdrojov); vstavané a externé zariadenia; vstavané vstupno-výstupné porty; pobočky a zápisy do registra.

Kontrola prístupu by mala byť zakázaná, to znamená, že zdroje, ku ktorým nie je explicitne definovaný prístup, by mali byť pre používateľa nedostupné. Kontrola prístupu by sa mala vzťahovať na všetkých používateľov bez výnimky. Žiadny používateľ by nemal mať práva správcu a mal by mať prístup ku všetkým zdrojom obchádzajúc ochranný subsystém.

Požiadavky na identifikáciu
V typickom priemernom systéme sa pri prihlasovaní pomocou prihlasovacieho mena a hesla vyžaduje identifikácia a autentifikácia prístupových subjektov. Okrem toho by sa mala vykonať identifikácia terminálov, externých zariadení terminálov pomocou logických názvov. Vyžaduje sa identifikácia programov, adresárov, súborov, záznamov a polí záznamov podľa názvu.

Okrem toho sa v systémoch veľmi často vyskytuje problém s ovládaním pripojenia externých médií, ako sú napríklad USB flash disky. Používateľ môže v systéme používať iba overený flash disk. Žiadnu si nemôže priniesť z domu a použiť ju.

Systém musí poskytovať riadenie prístupu k aplikáciám. Používatelia majú prístup k tým, ktoré im boli výslovne pridelené bezpečnostným administrátorom, a nie sú dostupné pre tých, ktorí nie sú priradení na spustenie. V ideálnom prípade by ich používateľ nemal ani vidieť.

V prípade využitia RDP prístupu nastáva situácia, kedy na rovnakom serveri môžu bežať aplikácie rôznych užívateľov. V tejto súvislosti je potrebné zabezpečiť dôveryhodnú izoláciu aplikácií spustených pod jedným používateľom od aplikácií spustených pod iným na rovnakom aplikačnom serveri.

Musíte tiež zabrániť používateľovi v načítaní vlastného operačného systému na terminál.

Požiadavky na evidenciu a účtovníctvo

Požiadavky na ochranu prenášaných a uchovávaných informácií
V systéme ide o najjednoduchšiu, no zároveň najkomplexnejšiu požiadavku. Systémy zvyčajne vyžadujú šifrovanie všetkých údajov prenášaných cez nezabezpečené komunikačné kanály.

Registračný a účtovný systém zvyčajne podlieha:

• pripojenie používateľov k systému;
• spustenie aplikácie;
• prístup k objektom s riadeným prístupom;
• vytváranie objektov s chráneným prístupom;
• meniace sa právomoci prístupových subjektov.

Po vyčistení by mal prvý záznam v registračnom protokole automaticky zaznamenať skutočnosť čistenia s uvedením dátumu, času a informácií o osobe, ktorá túto operáciu vykonala. Táto požiadavka je určená na kontrolu správcu. Prácu administrátora v systéme môžete skontrolovať iba analýzou denníka udalostí, takže potrebujete nástroj, ktorý by bezohľadným správcom neumožnil zmeniť denník auditu vrátane jeho vymazania.

Požiadavky na integritu

1. bezúhonnosť softvérové ​​nástroje ochranu.
2. Nemennosťou softvérového prostredia.

Zároveň môže byť jeho integrita zabezpečená absenciou prekladateľov z jazykov na vysokej úrovni a ladením programov v systéme. Tento mechanizmus však nie je dostatočne účinný, keďže je možné prelomiť softvérové ​​prostredie napr. program tretej strany v OS, obchádzanie systému kontroly prístupu. Ukazuje sa, že integritu možno zabezpečiť len v spojení s ideálnym systémom kontroly prístupu. V niektorých prípadoch toto viazanie nie je žiaduce. A potom zvyčajne použite hardvér- softvérové ​​moduly Trusted Boot (APMBD). Vzhľadom k tomu, že systém je potrebné nainštalovať vlastné programy, musíte tento hardvér zakaždým prekonfigurovať alebo ovládať iba jadro OS. V prípade použitia terminálu namiesto pracovnej stanice môžete vo všeobecnosti tvrdo opraviť OS.

Architektúra ochranného systému

Zapisovanie výsledkov evidencie a účtovania v elektronickej podobe do registračného protokolu by malo byť dostupné len na čítanie a len pre bezpečnostného správcu. Registračný protokol môže zároveň len prezerať, kopírovať a úplne vymazať.

Ako stavať s týmito požiadavkami efektívny systém ochrana prístupu k terminálu? Prístup tu musí byť komplexný. Vzhľadom na skutočnosť, že terminálový prístup zahŕňa centralizáciu, výrazná centralizácia by sa mala vysledovať aj v architektúre systému ochrany.

Z toho vyplýva, že systém by mal mať jeden vstupný bod: nejakú službu, ktorá spravuje systém ochrany a vykonáva funkcie identifikácie používateľov a komponentov systému. Z požiadaviek na integritu terminálového OS vyplýva riešenie, v ktorom má veľmi malá veľkosť a uložené na dedikovanom serveri. Po pripojení terminálu a autentifikácii používateľa a terminálu v systéme sa naň OS prenesie cez komunikačný kanál, to znamená, že sa použije bootovanie zo siete. Tým sa skontroluje integrita operačného systému.

Požiadavky a architektúra terminálového prístupu naznačujú, že systém musí mať aspoň tieto komponenty:

• autentifikačná služba - jediný vstupný bod do systému - centralizačný bod;
• konzola správcu systému - správa ochranného systému;
• služba vyrovnávania záťaže – na vybudovanie systému ochrany na priemyselnej úrovni musia byť všetky bezpečnostné služby zoskupené;
• terminálová služba distribúcie OS - predajne aktuálna verzia terminálový OS;
• bezpečnostný modul - min požadovaný firmvér terminál na začatie interakcie so systémom;
• terminálový OS;
• komponent "Aplikačný server" - vykonáva najmä funkcie vymedzovania užívateľských prístupov do systému;
• Moduly na šifrovanie prevádzky IP – potrebné na zabezpečenie šifrovania údajov.

Zavedenie nástrojov na terminálový prístup v poslednej dobe vyvolalo značný záujem medzi hlavami mnohých spoločností, napokon, táto kategória produktov, ak sa správne aplikuje, môže poskytnúť výrazné zníženie nákladov na údržbu podnikového softvéru a nákladov na pravidelné aktualizácie hardvéru. V tomto článku si povieme, čo môže dať využitie tejto kategórie produktov malým firmám.

Čo je terminálový prístup

kedysi dávno, keď si ľudstvo ešte neuvedomovalo osobné počítače, typická architektúra každej podnikovej aplikácie bola taká, ktorá používala mainframe (alebo v prípade chudobnejšej firmy minipočítač) a množstvo neinteligentných externých koncových zariadení riadených tým istým mainframom (alebo minipočítačom). Tento prístup založený na úplnej centralizácii zdrojov, údajov a aplikácií mal určité výhody pre všetky svoje nedostatky a vysoké náklady na výpočtovú techniku ​​tých rokov, v prvom rade umožnil vyriešiť problémy, ktoré užívatelia prvých osobných počítačov o ktorom sa nikdy nesnívalo, a po druhé, vyznačovalo sa relatívnou (prirodzene, na tú dobu) jednoduchou obsluhou, pretože všetko výpočtové vybavenie bolo fyzicky umiestnené na jednom mieste a používatelia spoločne využívali spoločný procesor, pamäť, externé zariadenia, multitaskingový operačný systém a súbor aplikácií.

Moderné nástroje terminálového prístupu používané na osobných počítačoch, špecializovaných terminálových pracovných staniciach a vreckových zariadeniach sú založené na podobnom princípe centralizácie výpočtovej techniky a kolektivizácie zdrojov. V tomto prípade používateľ spustí klientsku časť nástroja na prístup k terminálu na pracovnej stanici a použije ju na prístup k počítaču vzdialeného servera, ktorý obsahuje zodpovedajúcu serverovú časť tohto nástroja. Po úspešnej autentifikácii serverová časť nástroja na prístup k terminálu vytvorí pre používateľa vlastnú reláciu, v ktorej používateľ manuálne alebo automaticky (v závislosti od nastavení relácie a prístupových práv) spúšťa potrebné aplikácie v adresnom priestore servera. Používateľské rozhranie takto spúšťaných aplikácií má používateľ pracovnej stanice k dispozícii v okne klientskej časti nástroja na prístup k terminálu a túto aplikáciu môže ovládať pomocou klávesnice a myši pracovnej stanice informácie o stlačených klávesoch a pohyb myši (a často aj obsah schránky) sa prenesie do relácie tohto používateľa na serveri a zmeny sa odošlú späť užívateľské rozhranie aplikácie. Keď používateľská relácia skončí, všetky aplikácie spustené v nej sa zatvoria.

Náklady na terminálový prístup a IT infraštruktúru

Výhody využitia terminálového prístupu sa prejavia pri väčšom počte pracovných staníc alebo pri zvýšených požiadavkách na bezpečnosť a centralizáciu dátového úložiska. Ak sa k aplikáciám pristupuje pomocou nástroja terminálového prístupu, potom sa na pracovných staniciach nainštaluje iba operačný systém a klientska časť tohto nástroja, zatiaľ čo samotné aplikácie, s ktorými používatelia pracujú, sú nainštalované na terminálovom serveri. V tomto prípade sú náklady na údržbu pracovných staníc výrazne nižšie, ako keď sú plne vybavené klientskymi časťami firemných aplikácií, kancelárske balíky, poštových klientov a ďalšie produkty používané v spoločnosti a požiadavky na hardvér takýchto pracovných staníc sú veľmi mierne. Okrem toho existujú špeciálne pracovné stanice pre Ovládanie Windows CE, navrhnutý na prácu v tomto režime. Je pravda, že požiadavky na hardvér terminálového servera môžu byť pomerne vysoké v závislosti od počtu súbežných používateľov. ale moderné vybavenie terminálový prístup je spravidla schopný pracovať so serverovými klastrami a vykonávať vyrovnávanie záťaže.

Zatiaľ čo úspory nákladov na získanie, inováciu a údržbu pracovných staníc možno vypočítať pomerne jednoducho, úspory spojené s dodatočným zabezpečením prístupu k podnikovým dátam nie sú okamžite viditeľné. Keďže aplikácie bežia na vzdialenom serveri, pracovná stanica koncového užívateľa nemá ani klientsku časť servera DBMS používanú vo firme, ani prístup k desktopovým DBMS súborom, čím sa výrazne znižuje riziko neoprávneného prístupu k firemným dátam okrem bežných znamená (to znamená, že pomocou podnikovej aplikácie) k nim nebudete mať prístup.

Poprední poskytovatelia terminálového prístupu

Microsoft

Súčasťou servera sú najjednoduchšie nástroje terminálového prístupu, nazývané terminálové služby Verzie systému Windows. Terminálové služby sú dostupné pre Windows NT Server 4.0, Terminal Server Edition (prvá verzia terminálového prístupu vytvorená pomocou Citrix), Windows 2000 Server, Windows 2000 Advanced Server, Windows 2000 Datacenter Server, Windows Server 2003 (všetky vydania).

Nástroje na správu prevádzkových parametrov terminálu Služby systému Windows pomerne jednoduché. Keď používate Windows Server 2003, Enterprise Edition, môžete vyrovnávať zaťaženie serverov; možné dynamické riadenie parametrov relácie; rozlíšenia obrazovky až 1600 x 1200 a režim True Color sú dostupné pre relácie klienta a klienti Windows Server 2003 Terminal Services majú prístup k svojim lokálnym zdrojom ( externých zariadení, disky atď.) z terminálovej relácie. To sú v skutočnosti všetky možnosti terminálových služieb Windows, ktoré sú dnes k dispozícii. Tieto služby však často používajú správcovia siete na vzdialenú správu serverov a softvérové ​​spoločnosti a oddelenia na prístup k aplikáciám nainštalovaným na iných počítačoch.

Licencovanie prístupu prostredníctvom terminálových služieb sa vykonáva nasledovne. Všetky zariadenia pristupujúce k terminálovým službám musia mať licenciu na zariadenie Windows Server 2003 Terminal Server Device License (CAL), ktorá udeľuje zariadeniu prístup k systému Windows Server 2003, alebo musí mať používateľ licenciu CAL na Windows Server 2003 Terminal Server User. Okrem toho existuje Licencia Windows Server 2003 Terminal Server External Connector License, ktorá umožňuje anonymné simultánne pripojenie k terminálovým službám cez internet a je určená pre poskytovateľov aplikácií.

Citrix

Citrix je dnes právom považovaný za lídra na trhu terminálového prístupu. Táto spoločnosť vyrába nástroje pre terminálový prístup pre Windows a UNIX; zároveň sa táto sada nástrojov líši od terminálových služieb Windows (licencovaných naraz od rovnakého Citrixu) vo veľmi širokom rozsahu možností konfigurácie relácie klienta a nástrojov na správu terminálových serverov a iných sieťových zdrojov zapojených do používania terminálového prístupu , ako aj vyčerpávajúci súbor súvisiacich nástrojov a technológií, ktoré sú navzájom integrované, napríklad nástroje na správu hesiel, bezpečný prístup, roaming terminálových pripojení pri presune klienta z jedného miesta na druhé. Napríklad pomocou nástrojov zahrnutých v Citrix Access Suite, ktorý beží nad Windows Terminal Services, môžete nastaviť veľmi širokú škálu parametrov relácie (veľkosť okna, rozlíšenie obrazovky, počet farieb, pravidlá pre prácu so zvukovými údajmi), až na vytváranie relácií, ktoré bežia v režime okna iba jednej konkrétnej aplikácie a končia na konci jej práce, vykonávať podrobné monitorovanie celého distribuovaného systému a analyzovať využitie zdrojov v používateľských reláciách, implementovať optimálnu správu tzv. -nazývané serverové farmy serverové klastre obsahujúce aplikácie rovnakého typu vyvážením ich zaťaženia.

Upozorňujeme, že pri používaní technológií Citrix (najmä architektúry ICA Independent Computing Architecture) sa cez sieť prenášajú iba informácie o vstupe z myši a klávesnice, ako aj o zmenách obrazu na obrazovke, čo obmedzuje šírku pásma potrebnú na reláciu. menej ako 20 kbps.

Citrix Access Suite podporuje prístup k terminálovým serverom z pracovných staníc DOS, Windows, Mac OS, UNIX, Linux, OS/2, Java z prehliadačov pomocou zásuvných modulov Netscape alebo ovládacích prvkov Active X pre internet Explorer, ako aj zo širokej škály mobilných zariadení.

Sprievodné produkty

Keď spoločnosti začínajú používať terminálový prístup, často čelia iným výzvam, ako je riadenie prístupu k aplikáciám, viacnásobné heslá používateľov, ochrana prenášaných údajov, poskytovanie prístupu, ktorý nezávisí od infraštruktúry a typu zariadenia, interakcia používateľov medzi sebou a efektívna údržba ich IT služby. Na tento účel môžu potrebovať nástroje na správu hesiel, organizáciu konferencií, vzdialené ovládanie pracovných staníc a ich rozhrania. Všetky tieto produkty sú dostupné ako súčasť balíka Citrix Access Suite, ktorého vydanie nám umožní hovoriť o plne integrovanom riešení, ktoré poskytuje jedinú infraštruktúru pre užívateľský prístup k aplikáciám.

Terminálový prístup pre malé podniky

Tradične sa verilo, že nástroje terminálového prístupu by sa mali implementovať vo veľkých podnikoch s veľkým počtom pracovných staníc rovnakého typu a správy o najznámejších projektoch na zavedenie takýchto nástrojov často zahŕňajú desiatky tisíc pracovných miest a obrovské rozpočty. V tejto kategórii sú však produkty, ktoré má zmysel implementovať v malých a stredných podnikoch.

Z noviniek v tejto oblasti si v prvom rade všímame zameraných tento segment trhový produkt Citrix Access Essentials. Tento produkt môže slúžiť spoločnostiam využívajúcim platformu Microsoft Windows s počtom koncových pracovných staníc nepresahujúcim 75 (vrátane prenosných a mobilné zariadenia), a spĺňa požiadavky malých spoločností, bude relatívne lacný na nákup a implementáciu vďaka lacným licenciám (menej ako 250 USD za sedadlo, ktoré už zahŕňa licenciu na používanie Windows Terminal Services Licencia na klientsky prístup Windows Terminal Server) a jednoduchosť nasadenia a správy.

Technické vlastnosti Citrix Access Essentials

Citrix Access Essentials je serverová aplikácia, ktorá beží na Windows Server 2003 a poskytuje prístup k aplikáciám nainštalovaným na tomto serveri cez webové rozhranie. Tento produkt vyžaduje jeden server s operačným systémom systém Microsoft Windows Server 2003 Standard alebo Enterprise Edition, sieťové pripojenie medzi zariadeniami používateľov a serverom a webový prehliadač na každom pripojenom zariadení.

Citrix Access Essentials podporuje dva prevádzkové režimy: prevádzku jedného servera (obrázok 1) a prevádzku pomocou hardvéru Citrix Access Gateway (obrázok 2). V prvom prípade môžu vzdialení používatelia pristupovať k terminálovému serveru cez firewall, v druhom prípade cez virtuálny server. privátna sieť Access Gateway VPN (v tomto prípade je terminálový server nainštalovaný v DMZ, čo poskytuje zvýšenú bezpečnosť prístupu k aplikáciám).

Na zabezpečenie prístupu na server podporuje Citrix Access Essentials niekoľko metód autentifikácie používateľov, vrátane použitia šifrovania.

Nasadenie servera Citrix Access Essentials je čo najjednoduchšie – na tento účel je súčasťou produktového balíka aj utilita Quick Start, ktorá predstavuje sprievodcu inštaláciou a konfiguráciou servera, registráciou licencií, generovaním distribučných súprav pre klientske časti a publikovaním. aplikácie na serveri. Klientske časti sú dostupné pre všetky verzie Windows, Windows CE, Pocket PC 2003, Mac OS X, Linux, Solaris a zariadenia, ktoré podporujú Javu.

Nástroje na správu servera, zmenu konfigurácie a správu používateľských prístupov, ktoré sú súčasťou Citrix Access Essentials, sú tiež čo najjednoduchšie: podľa môjho názoru by ich ovládanie nemalo spôsobiť žiadne ťažkosti špecialistom zapojeným do správy sietí malých spoločností ( Obr. 3). Umožňujú vykonávať takmer akúkoľvek operáciu, až po nastavenie vzhľad rozhranie klientskej časti tohto produktu (obr. 4). Okrem toho je produkt vybavený veľmi podrobnou dokumentáciou popisujúcou každý úkon správcu, od inštalácie servera až po optimalizáciu jeho výkonu, konfiguráciu nastavení zabezpečenia a prístup k externým zariadeniam.

Inými slovami, tento produkt je skutočne vytvorený s prihliadnutím na vlastnosti malých spoločností, vrátane obmedzených finančných prostriedkov na využívanie služieb vysokokvalifikovaných (a teda drahých) IT špecialistov.

Licencovanie

Citrix Access Essentials je licencovaný nasledovne. Produkt je dostupný ako pomenované licencie zakúpené pre každého používateľa, ktorý bude softvér používať. Tento produkt nepodporuje súbežné používanie ani licencovanie zariadení alebo serverov. Produkt je možné zakúpiť s predplatným alebo bez neho.

Pri používaní Citrix Access Essentials (ako pri akomkoľvek inom nástroji terminálového prístupu) musíte tiež dodržiavať pravidlá licencovania softvéru, ku ktorému sa bude pristupovať v terminálovom režime, moderné softvérové ​​licenčné zmluvy zvyčajne poskytujú určité pravidlá pre používanie produktov v tomto režime. Najmä pri práci v tomto režime sa často počet zakúpených licencií musí rovnať počtu pripojených pracovných staníc, a to aj napriek skutočnosti, že na serveri je nainštalovaná iba jedna kópia aplikácie.

Citrix Access Essentials a zníženie nákladov

Akým nákladom sa môžu malé a stredné podniky vyhnúť implementáciou Citrix Access Essentials? Štandardné výhody používania nástrojov terminálového prístupu, ako sú nižšie náklady na údržbu rovnakého typu pracovných staníc, ich Hardvér, v prípade malých podnikov sa na prvý pohľad nezdajú také zrejmé. Ale napokon, rozpočet takýchto podnikov je malý, takže schopnosť vyhnúť sa zbytočným nákladom na podporu, aj keď nie tak významným ako vo veľkých podnikoch, je pre malé podniky ešte dôležitejšia. A poskytnutie dodatočného zabezpečenia prístupu k podnikovým údajom pre malé podniky môže byť životne dôležité, ak dôjde k úniku údajov, následky pre malé podniky môžu byť oveľa vážnejšie ako pre veľké podniky.

Z nákladov, ktorým sa malé spoločnosti, ktoré implementovali Citrix Access Essentials, budú môcť vyhnúť, je v prvom rade potrebné alokovať náklady na transformáciu existujúcej IT infraštruktúry a zavádzanie nových riešení pri rozširovaní svojho podnikania, napríklad pri otváraní nových kancelárie a pobočky. V tomto prípade sa implementácia terminálového prístupu k podnikovým informačným systémom dostupným na centrále (ako sú systémy riadenia podniku, sklad, účtovníctvo alebo personálna evidencia) zvyčajne ukazuje ako oveľa jednoduchšia a lacnejšia ako nasadenie nezávislej infraštruktúry v pobočke. a organizovanie synchronizácie údajov s centrálou. Pomerne veľká časť moderných malých a stredných podnikov navyše zamestnáva takzvaných mobilných zamestnancov, pre ktorých je komunikácia s úradmi, bezpečnosť prístupu k podnikovým aplikáciám a dátam, ako aj kontrola týchto procesov veľmi náročná úloha. , ktorý tiež pomôže vyriešiť Citrix Access Essentials. Vzhľadom na potenciálne zníženie vyššie uvedených nákladov by sa IT lídri v malých spoločnostiach mali na tento produkt bližšie pozrieť, možno bude schopný vyriešiť problémy, ktorým niektoré z nich čelia.

Ďalšou bežnou možnosťou vzdialeného prístupu sú dve variácie takmer rovnakého režimu - diaľkové ovládanie a terminálový prístup. Pri tomto spôsobe sa vzdialený počítač v skutočnosti stáva virtuálnym terminálom hostiteľského počítača, ktorý môže alebo nemusí byť pripojený k sieti. Táto možnosť vám umožňuje spustiť ľubovoľnú aplikáciu na hostiteľskom počítači, ako aj pristupovať ku všetkým údajom na tomto hostiteľovi. Ak je hostiteľský počítač pripojený k sieti, jeho vzdialení používatelia sa stanú plnohodnotnými členmi siete, ktorí vystupujú ako používatelia hostiteľského počítača.

Vyššie už bolo povedané, že jediný rozdiel medzi diaľkovým ovládaním a terminálovým prístupom je ten, že počas diaľkového ovládania používateľ kontaktuje operačný systém, ktorý nie je navrhnutý na podporu multiterminálneho režimu (MS-DOS, Windows 3.1, Windows 95/98, Windows NT, OS / 2 Warp) a prístup k terminálu sa vykonáva operačné systémy, pre ktorý je hlavný multiterminálny režim (Unix, IBM, 1MB OS-400, VAX VMS).

Vzdialené ovládanie alebo terminálový prístup je potrebný, keď vzdialený používateľ pracuje s aplikáciami, ktoré nie sú optimalizované pre sieťové pripojenie, ako sú tradičné DBMS osobných počítačov, ako sú dBase, Paradox alebo Access. V opačnom prípade, keď je takáto aplikácia na jednom počítači a databázové súbory na inom, sieť generuje nadmernú prevádzku.

Centralizovaná schéma diaľkového ovládania vyžaduje inštaláciu špeciálneho softvérového produktu v lokálnej podnikovej sieti - server pre vzdialené ovládanie, napríklad server WinFrame od Citrix. Na klientskych vzdialených počítačoch je potrebné nainštalovať aj dodatočný softvér – klienta vzdialeného ovládania.

Protokoly používané programami na diaľkové ovládanie na komunikáciu informácií o aktualizáciách obrazovky, stlačeniach klávesov a pohyboch myši sú neštandardné – preto je potrebné nainštalovať server a klientske časti vzdialeného ovládania od rovnakého výrobcu. Napríklad používatelia softvérového klienta pre vzdialený prístup Norton pcAnywhere sa nebudú môcť pripojiť k hostiteľovi so systémom ReachOut, LapLink pre Windows, Carbon Copy, Remotely Možné alebo Close-Up.

Pri terminálovom prístupe je tiež žiaduce nainštalovať do centrálnej siete špeciálny produkt - terminálový server. Môžete to urobiť bez neho, ale potom pre každý počítač, ku ktorému sa chcete pripojiť v režime vzdialeného terminálu, musíte nainštalovať modem a prideliť samostatný telefónne číslo. Terminálový server prijíma požiadavky na komunikáciu so špecifickým počítačom a cez lokálnu sieť prenáša kódy a znaky, ktoré sa majú zobraziť na obrazovke užívateľského terminálu. Pre LAN komunikáciu s operačnými systémami s viacerými terminálmi používa terminálový server štandardné protokoly emulácie terminálu, ako napríklad telnet pre Unix, DEC LAT pre VAX VMS.

Mail

Mail je ďalší typ vzdialeného prístupu. Vytáčané poštové brány a poštoví klienti so vzdialeným prístupom môžu stačiť na uspokojenie potrieb mnohých bežných používateľov. Tieto poštové brány umožňujú vzdialeným používateľom alebo dokonca vzdialeným pobočkám vytáčať sa do poštového systému centrály, vymieňať si prichádzajúce a odchádzajúce správy a súbory a potom sa odpojiť.

Produkty navrhnuté na tento účel siahajú od klientskych programov pre jedného používateľa, ako je Lotus' cc:mail Mobile, až po plnohodnotné brány, ktoré uľahčujú výmenu pošty medzi vzdialenými servermi a podnikmi. lokálna sieť(napríklad Microsoft Exchange).

Poštové brány môžu byť užitočné, keď množstvo údajov, ktoré si vzdialení používatelia vymieňajú s centrálou, nie je príliš veľké. Pretože priemerný čas relácie užívateľskej brány je relatívne krátky, brána základnej siete nemusí podporovať veľký počet telefónnych liniek. Poštové pripojenie sa zvyčajne ľahko nastavuje a náklady na softvér brány sú zanedbateľné.

Brány fungujú v automatický režim bez ľudského zásahu. Ak jeden alebo dvaja zamestnanci pracujú vo vzdialenej kancelárii a nepotrebujú prístup k podnikovým údajom v reálnom čase, potom môže byť poštová brána dobré rozhodnutie. Niektoré aplikácie automaticky prijímajú požiadavky vo forme e-mailov Email a potom pošlite rovnaké odpovede. Takže napríklad funguje veľa DBMS.

Nielen pošta, ale aj ďalšie aplikácie napísané pre lokálnych počítačová sieť, môže mať špecifické softvérové ​​moduly určené na vzdialené pripojenia. Takéto programy medzi sebou nadväzujú spojenia pomocou neštandardných protokolov a často zvyšujú efektivitu spojenia pomocou špeciálnych trikov, ako je napríklad odovzdávanie iba aktualizácií medzi vzdialeným počítačom a hostiteľom. Príkladom tejto triedy produktov sú softvérové ​​systémy kolektívna práca.

Jeden z najpopulárnejších spôsobov interakcie sietí, aplikácií a počítačov je dnes vzdialený prístup. Existuje niekoľko typov tejto služby, medzi ktorými by som chcel vyzdvihnúť terminálový prístup. S týmto prístupom používateľ spúšťa na svojom počítači nainštalované programy klient-server (napríklad 1C). vzdialený počítač, a na svojom monitore vidí len výsledok ich vykonania. Tento spôsob organizácie práce spoločnosti umožňuje manažmentu kontrolovať a efektívne využívať čas zamestnancov, ako aj znižovať náklady na správu užívateľov, keďže všetky aplikácie sú spúšťané centrálne – na terminálovom serveri.

Prečo potrebujete terminálový prístup k serveru?

V terminálovom režime môžete udržiavať prevádzku všetkého softvéru spoločnosti. Najžiadanejšou funkciou terminálového prístupu je prístup k Windows aplikácie. Na počítačoch používateľov sa používa klientsky program, ktorého úlohou je pripojiť sa k terminálovému serveru. Pre používateľa práca v akejkoľvek aplikácii spustenej na diaľku na serveri vyzerá úplne rovnako, ako keby bol softvér nainštalovaný na jeho počítači.

Čo sa zmení v práci firmy po prechode na terminálový prístup?

• Správa všetkých licencií spoločnosti bude centralizovaná. Výsledkom je jednotné zobrazenie úloh a jednoduchšia inštalácia aktualizácií. Dokonca aj na obsluhu stoviek pracovných miest je potrebný iba jeden správca.
• Zamestnanci budú môcť pracovať z akéhokoľvek vzdialeného miesta (z domu, služobné cesty, dovolenky) s rovnakými aplikáciami a dátami ako v kancelárii.
• Práca aplikácií klient-server bude efektívnejšia a spoľahlivejšia. Napríklad úlohy 1C budú dokončené rýchlejšie. Je to spôsobené tým, že sa zlepšuje spojenie medzi serverovou a klientskou časťou programu, keďže sieťová prevádzka neopúšťa dátové centrum.
• Migrácia na tenkých klientov je možná. Spoločnosť už nemusí mať na svojich pracoviskách plnohodnotné osobné počítače, pre vzdialený terminálový prístup stačí tenkých klientov(malé bezdiskové zariadenia, ktoré sú oveľa jednoduchšie na údržbu ako PC).
• Úspora prenosu Prenos obrazu na diaľku je oveľa ekonomickejší z hľadiska šírky pásma a šírky pásma ako prenos medzi klientskymi stanicami a servermi.

Terminálový prístup k serveru má svoje výhody pre používateľa aj správcu systému. Používatelia ocenia stabilnejšie a rýchla práca s firemnými programami. Správcovia systému bude môcť rýchlo uzavrieť úlohy súvisiace s údržbou pracovísk (aktualizácia programov, nasadenie nových desktopov a pod.). Pripojenie k terminálu Prístup Windows Server obsahuje licencie na používanie terminálového servera a službu zálohovania dát.

Prechod na terminálový prístup teda výrazne zvyšuje efektivitu spoločnosti vďaka:

• prenos dát z lokálnych počítačov užívateľov do spoločného informačného priestoru terminálového servera;
• schopnosti práca na diaľku všetci používatelia v rovnakom formáte a objeme ako v kancelárii;
• zvýšiť efektivitu užívateľskej správy, čo výrazne znižuje prestoje pracovníkov.

6.1. Všeobecné informácie o technológii terminálového prístupu

Spočiatku sa objavil terminálový režim prevádzky a používal sa na sálových počítačoch. Používatelia pracovali s terminálmi, ktoré zabezpečovali komunikáciu s terminálovým serverom a zobrazovali informácie prijaté z hostiteľského počítača. Všetky výpočty boli vykonávané hlavným počítačom. Podstata terminálového prístupu dodnes neprešla žiadnymi ideologickými zmenami. V moderných schémach organizácie výpočtových procesov namiesto špeciálneho hardvérového komplexu, klientske programy, ktoré poskytujú interakciu so serverom a zobrazujú informácie prijaté z neho. Celú výpočtovú záťaž nesie aj server.

Technológia terminálového prístupu umožňuje prenos výpočtovej techniky

vysoké náklady z pracovných staníc na server, ktoré riešia množstvo problémov:

Všetko spracovanie údajov prebieha na serveri, nie je potrebné žiadne

Prenos súborov, iba zmenený obsah informačných okien sa prenáša zo servera na pracovné stanice textové editory alebo DBMS, ktorý zjednodušuje ochranu sieťovej prevádzky a umožňuje používať takmer akýkoľvek počítač s akýmkoľvek OS ako pracovné stanice, vrátane bezdiskových staníc;

Nie je potrebné poskytovať používateľom potenciálne nebezpečný sieťový prístup k dátovým súborom uloženým na serveri;

Magnetické a externé médiá, ktoré môžu obsahovať úplnú alebo čiastočnú kópiu chránených dátových súborov, sú umiestnené iba na serveri a môžu byť plne kontrolované správcom.

Predpokladá sa nasledujúca schéma využitia technológie terminálového prístupu. Na server je nainštalovaná služba terminálového prístupu, nasadené sú aplikácie potrebné pre prácu používateľov. Server

terminálový prístup nesmie vykonávať iné sieťové funkcie iné ako služby terminálového režimu, konkrétne zdieľané sieťové zdroje vrátane tlačiarní, sú vylúčené. Zoznam siete

služby bežiace na serveri a prístupné zo siete je obmedzené len na terminálovú službu a v prípade potreby na službu, ktorá zabezpečuje šifrovanie sieťovej prevádzky.

Terminálový klient je nainštalovaný na užívateľských pracovných staniciach a nakonfigurovaný na pripojenie k terminálovému serveru. Terminálový klient môže byť spustený buď z hlavného OS nainštalovaného na počítači používateľa, alebo z OS spusteného z externého média

(disketa alebo CD-ROM) alebo zavádzacie pomocou internetová karta odstránený-

Stiahnuť ▼.

V prvom prípade na prácu s chránenými údajmi používateľ z hlavného OS spustí klienta terminálového prístupu. Zároveň je možné do počítača nainštalovať prostriedky na ochranu informácií pred neoprávneným prístupom. výhodu túto metódu je možnosť organizovania dodatočná ochrana(šifrovanie) sieťovej prevádzky pomocou Protokol IPSec(v OS Windows XP) alebo špecializované zariadenia na bezpečnosť informácií.

V druhom prípade pre prácu s chránenými údajmi používateľ načíta počítač zo špeciálne pripraveného média (CD-ROM resp.

diskety), na ktorých je zapísaný operačný systém Linux s klientom terminálového servera. Je možné použiť bezdiskovú stanicu, ktorá sa nabootuje zo servera pomocou sieťový adaptér, ktorý umožňuje sťahovanie na diaľku. Negatívne-

Kľúčovou vlastnosťou tohto riešenia je nemožnosť použitia dodatočných prostriedkov na šifrovanie prevádzky. Dôvodom je to, že nie sú stiahnuté žiadne certifikované nástroje na bezpečnosť informácií

externé médiá alebo cez sieť.

Na spracovanie chránených údajov používateľ spustí program -

terminálový klient, registruje sa na terminálovom serveri pomocou

Stravujem sa v súkromí účtu. Funkciou nastavenia terminálového servera je nastavenie množstva obmedzení pre používateľov, z ktorých najdôležitejším je zákaz používania zdieľanej schránky. Vďaka tomuto zákazu je vyriešený problém neoprávneného kopírovania chránených dát na médiá pracovnej stanice. Užívateľ terminálu môže vybrať a skopírovať dátový súbor aj obsah informačného okna do schránky terminálu Windows. Operáciu prilepenia je však možné vykonať iba v okne terminálového servera. V okne pracovnej stanice bude zablokovaná možnosť vkladania zo schránky.

Kopírovanie všetkých chránených informácií alebo ich časti je teda možné vykonávať len na médiách, ktoré sú fyzicky prepojené

na server. To ukladá určité obmedzenia možnosti vývozu

že / import údajov, keďže sa vykonávajú aj exportné a importné operácie

sa prenášajú iba prostredníctvom médií nainštalovaných na serveri. Hlavnou výhodou je, že všetky médiá vrátane externých médií, ktoré môžu obsahovať úplnú alebo čiastočnú kópiu chránených údajov, sú umiestnené iba na serveri pod správou správcu. To zjednodušuje centralizovanú antivírusovú kontrolu a blokuje možnosť škodlivého softvéru.

Automaticky sa rieši aj problém tvorby technologického „smetí“ na pracoviskách. Pre každú reláciu terminálu na serveri

vytvorí sa dočasný adresár. Ak sú nastavené vhodné nastavenia,

potom na konci relácie bude tento adresár vymazaný. Teda technológia

chesky "odpad" zostáva iba na médiu terminálového servera.

Problém prenosu otvorenej sieťovej prevádzky je riešený predovšetkým tým, že v technológii terminálového prístupu sa celé spracovanie chránených dát vykonáva na serveri a na pracovné stanice sa prenáša iba upravený obsah informačných okien príslušných aplikácií. Okrem toho je možné šifrovať prevádzku pomocou terminálového servera. Terminálový server podporuje niekoľko úrovní zabezpečenia, z ktorých každá určuje smer šifrovanej prevádzky a dĺžku kľúča použitého pri šifrovaní.

Windows Server 2003 obsahuje Microsoft Terminal Services (MSTS). Poskytuje možnosť spravovať na diaľku

rirovat server alebo ho premeniť na aplikačný server (terminál

server). Okrem toho existuje pre túto službu doplnok, ktorý vyvinul

spoločnosťou Citrix, ktorá predstavuje množstvo pridané vlastnosti a zvyšuje počet podporovaných platforiem.

Treba poznamenať, že samotná implementácia MSTS nie je bez nedostatkov.

kov, ktoré môžu útočníci potenciálne použiť na ohrozenie bezpečnosti údajov. Keďže všetci užívatelia, ktorí sa pripájajú k serveru v terminálovom režime, sa v skutočnosti interaktívne prihlasujú, môžu sa do systému prihlásiť z konzoly servera. V dôsledku toho použitie terminálového servera kladie zvýšené požiadavky na správu a implementáciu potrebných bezpečnostných nastavení pre používaný softvér.

Bezpečnosť režimu terminálového prístupu je zabezpečená kombináciou nastavení OS Windows Server 2003, serverovej časti MSTS a protokolu terminálového prístupu - RDP. Každý z týchto komponentov implementuje

Existujú rôzne ochranné mechanizmy, no zároveň má každý komponent svoje vlastné zraniteľnosti, ktoré môžu útočníci zneužiť.

Hlavné skupiny zraniteľností v systéme Windows Server 2003, ktoré sa zdajú byť relevantné pre ochranu v terminálovom režime, sú:

Možnosť prístup k sieti na informácie spracovávané serverom;

Možnosť rozšírenia právomocí pri realizácii miestneho prístupu.