Уязвимости Citrix NetScaler: почему одной защиты шлюза уже недостаточно
Уязвимости Citrix NetScaler: почему одной защиты шлюза уже недостаточно Недавняя публикация в SecPost о критических уязвимостях в Citrix NetScaler вновь показывает, насколько опасной точкой российской инфраструктуры может стать шлюз, открытый в интернет. На наш взгляд, здесь важно обратить внимание не только на конкретные уязвимости, но и на саму архитектуру удаленного доступа. Уязвимости такого ПО, как NetScaler, относятся к наиболее опасным, особенно когда оперативно получить обновления безопасности невозможно. Это буквально открытые из интернета ворота в инфраструктуру VDI. Во-первых, шлюзы нельзя спрятать внутри корпоративной сети, они всегда на периметре, то есть доступны отовсюду. Во-вторых, компрометация доступа в VDI — это получение доступа в «святая святых»: виртуальные рабочие места в обязательном порядке используются там, где данные слишком чувствительны, чтобы оставлять любые следы на рабочих станциях, в особенности удаленных. И такие риски требуют решительных действий. Отключить уязвимый шлюз — значит остановить бизнес-процессы, что для крупных корпораций неприемлемо. С другой стороны, нельзя просто взять и включить все конечные устройства в контролируемую зону. Это глобальная переделка информационного ландшафта, которую невозможно сделать достаточно быстро и без огромных вложений. Что же делать? Ответ лежит на поверхности. Вектор атаки на шлюз, открытый в интернет, заключается в подключении чужого устройства. Значит, надо обеспечить подключение только доверенных устройств. А это — главный постулат Zero Trust Architecture. Причем на последней миле, от конечного устройства до точки входа в информационную систему, это можно сделать без глобальных перемен. Средства защиты на основе ZTA просто заблокируют сетевой доступ еще до подключения злоумышленника с недоверенного устройства. Аутентификация устройства, усиленная или строгая криптографическая, станет первым замком, отсекающим хакера еще до получения сетевого доступа. И этот контур защиты не зависит от того, насколько быстро была обнаружена и закрыта уязвимость непосредственно в шлюзе. В решениях Getmobit такой подход реализуется на уровне управляемых конечных устройств и контроля доступа к корпоративной среде. То есть защита строится не только вокруг VDI-шлюза, но и до него — на участке от конечного устройства до точки входа в информационную систему. Это не временная защита на случай очередной уязвимости. Это повод начать внедрять ZTA везде, где удаленный пользователь получает доступ к критической инфраструктуре. Практика показывает, что реактивная безопасность больше не работает. Защищать инфраструктуру нужно на всех ее участках. Тогда даже вновь обнаруженные уязвимости — а в наше время обнаружение уязвимости действительно всего лишь вопрос времени — не станут точкой отказа и причиной постоянной головной боли служб кибербезопасности. Хотите знать больше про ZTA и как защищать VDI-инфраструктуру? Оставайтесь с нами и приглашайте коллег. Мы продолжим развивать экспертизу и делиться инсайтами по этой теме. #GETMOBIT #ZTA #zerotrust #безопасность #VDI