adesk桌面云安全最佳实践
  

新手182831 2958

{{ttag.title}}
一、桌面云相关的安全定义
        桌面云安全是通过一系列技术手段和管理流程,来保障桌面云的软件、硬件及承载的虚拟机正常运行,保护桌面云上数据的不因突发的或恶意的原因而受到更改、泄漏甚至破坏。最大程度保护企业避免因为数据丢失或泄漏问题而遭受巨大的损失。
   依据桌面云的构成特性,桌面云的安全大体可以分为网络安全、平台安全、系统安全和终端安全四个方面。深信服桌面云通过持续创新,支持多样化的安全策略,从各方面为桌面云上的数据提供安全保护。

二、网络安全
       桌面云集群根据功能不同,划分为管理网、存储网络、虚拟机业务网以及客户端接入网四种网络,按照实施的最佳实践,服务器应2光6电,存储使用万兆光口,链路聚合的同时对端做交换机堆叠来保障链路和设备的冗余。
    针对客户的不同需求,可以通过逻辑隔离和物理隔离的方式来保证网络安全。
    1. 逻辑隔离适用于安全性要求一般,只需保证不同业务虚拟机网络不互通但允许复用相同物理链路的场景。通过VMP创建多个不同VPN的虚拟交换机桥接到一个物理网口,复用一台交换机,用VLAN来实现不同业务的的网络隔离。

              2. 桌面云可以起trunk,然后上联是三层路由器或者防火墙,通过防火墙的不同的安全域和路由器的ACL也可以实现三层的网络隔离。

              物理隔离适用于安全要求极高的场景,一般情况通过部署两组的VMP来满足物理隔离,一套用于外网,另一套用于内网使用。


三、平台安全
        1.桌面云的VMP平台安全防护包括三权分立、登录防爆破、主机故障域、平台备份和恢复等功能来保证VMP平台的安全和高可用性。
    2. 桌面云VDC平台安全防护包括防爆破登录、管理员分权、超时注销、平台备份和恢复等功能来实现VDC平台的安全和可用。
    3. 桌面云的存储平台使用存储多副本,有二副本和三副本机制,默认使用双副本,不同的副本运行在不同的主机上,副本复制模块机制来保证副本之间的数据同步;双副本时,实际使用的存储容量为所有服务器可用容量的一半,桌面云支持坏掉一块磁盘或一台主机,业务正常运行。
    4. 桌面云定义存储中的热备盘来当磁盘故障时候,自动替换坏掉的磁盘,并同步原有磁盘上的数据,避免数据单副本运行。在虚拟存储自动使用热备盘替换故障磁盘后,页面上依然会显示原来的故障磁盘损坏,此时用户可以通过更换磁盘,将新替换的硬盘作为热备盘使用。虚拟存储创建时候会创建热备盘,建议和数据盘一致,建议每台主机上创建一块热备盘。
   

四、系统安全
        系统安全包括虚拟机安全、桌面使用安全及数据安全。

   4.1、虚拟机安全和桌面安全
(1)应用管控
      桌面云通过依赖应用规则库来识别PC使用的应用程序,支持对加域或者不加域的win7/win10操作系统进行桌面软件的管控,从应用层面来保证安全。

     (2)系统杀毒和加固
      桌面云虚拟机建议安装轻量的EDR杀毒软件进行杀毒操作,以及通过收缩端口、定期修改密码、定期轻补丁修复等来保证虚拟机系统的安全。

     (3)屏幕审计
      桌面云具备PC防截屏,开启后,将禁止利用本地截图攻击进行截图,同时支持第三方的录屏审计,方便管理员清楚用户的具体使用操作行为是否合规。

     (4)分布式防火墙
      桌面云自动分布式防火墙,可用对虚拟机的网络进行限制,通过创建基于用户、虚拟机、组的ACL策略来限制访问,满足了特殊场景下的策略配置需求。

     (5)控制台防泄密
      桌面云的PC在开机后,在控制台中将不能获取该虚拟机的画面,防止泄密。
   4.2、数据安全
     (1) 个人磁盘加密
       对个人数据采取加密手段,将数据以密文的形式存放在服务器上,避免敏感数据被非法窃取,保障用户个人隐私安全。


     (2) 外设管控
      深信服提供对USB设备的管控,支持只读、只写和禁止使用3种模式,根据使用,对其它的设备同样支持管控。
      针对PC本地桌面和云桌面场景,深信服提供了PC设备访问控制功能,对于PC本地磁盘和光驱,支持读写、只读、禁止映射三种模式。

     (3) 屏幕水印
      开启屏幕水印功能,可以自定义的水印内容、大小、用户信息,当拍照时候,这些水印将被记录下来,后续数据泄露可以根据水印去溯源追踪。

     (4) 行为管理和策略审计

                网络外发的审计功能,可以通过VDC配置AC单点登录,云桌面内部署AC审计准入插件,通过AC上配置相关策略以满足对应需求。
五、终端安全
       5.1 接入安全
      终端具备防暴力破解、多因素认证、硬件特征码绑定、终端准入、条件策略、虚拟门户等功能来保证终端的安全。
      深信服提供本地认证、第三方结合认证、短信认证、Ukey认证、硬件特征码、动态口令等多种认证方式的随需组合,来满足不同级别的接入安全需求。
      桌面云可以根据使用的计算机信息生成唯一的硬件特征码进行绑定,限制接入客户端,保障只能通过公司的可信终端登录。

      针对用户接入的多场景下,不同的接入场景下,匹配不i同的条件策略或认证方式,提高桌面云使用的安全性。



    5.2 终端管控
      深信服提供对客户机权限限制、瘦终端防病毒、超时注销、关机一体化等来保证终端使用过程中的安全性。

      桌面云可以对客户机使用过程中进行限制修改的权限,ARM架构的可以设置禁止显示本地桌面和在本地安装应用;X86瘦终端默认禁止安装软件。

      瘦终端默认仅开放与VDCVMP连接通信端口,从而防止针对瘦终端的网络层面的恶意入侵。针对USB存储设备(U盘、USB光驱等),瘦终端从操作系统驱动层做了限制,使其在瘦终端本地操作系统无法使用,从而防止通过外置存储引入病毒。

打赏鼓励作者,期待更多好文!

打赏
17人已打赏

孤独剑 发表于 2024-2-7 15:29
  
写的很全的一个技术交流文字
嘀嘀柠柠 发表于 2024-2-20 14:58
  
每天坚持打卡学习签到!!
jan 发表于 2024-2-21 16:49
  
写的很全的一个技术交流文字
原鹏程 发表于 2024-2-23 22:01
  
感谢楼主分享,努力学习中!!!!!
科思哲 发表于 2024-2-26 08:57
  
感谢楼主分享,努力学习中!!!
何茂源 发表于 2024-2-27 11:42
  
感谢分享,有助于工资和学习!
新手141720 发表于 2024-2-28 09:10
  
每天坚持打卡学习签到!!
新手872394 发表于 2024-2-28 10:10
  
每天坚持打卡学习签到!!
何东升 发表于 2024-3-1 10:36
  
感谢分享,有助于工资和学习!
发表新帖
热门标签
全部标签>
技术盲盒
西北区每日一问
【 社区to talk】
每日一问
干货满满
技术笔记
功能体验
产品连连看
标准化排查
GIF动图学习
信服课堂视频
新版本体验
技术咨询
2023技术争霸赛专题
每周精选
安装部署配置
秒懂零信任
自助服务平台操作指引
答题自测
社区帮助指南
通用技术
VPN 对接
授权
排障笔记本
玩转零信任
技术晨报
2024年技术争霸赛
POC测试案例
畅聊IT
专家问答
每日一记
资源访问
地址转换
信服圈儿
故障笔记
高手请过招
社区新周刊
全能先锋系列
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
运维工具
云计算知识
用户认证
原创分享
解决方案
sangfor周刊
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
设备维护
虚拟机
存储
迁移
加速技术
产品预警公告
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
北京区每日一练
场景专题
排障那些事
升级&主动服务
高频问题集锦

本版版主

468
228
32

发帖

粉丝

关注

7
10
24

发帖

粉丝

关注

5
6
7

发帖

粉丝

关注

31
33
45

发帖

粉丝

关注

本版达人

新手89785...

本周建议达人

YangZhe...

本周分享达人

runner

本周提问达人