adesk桌面云安全最佳实践

adesk桌面云安全最佳实践

一、桌面云相关的安全定义

        桌面云安全是通过一系列技术手段和管理流程，来保障桌面云的软件、硬件及承载的虚拟机正常运行，保护桌面云上数据的不因突发的或恶意的原因而受到更改、泄漏甚至破坏。最大程度保护企业避免因为数据丢失或泄漏问题而遭受巨大的损失。

   依据桌面云的构成特性，桌面云的安全大体可以分为网络安全、平台安全、系统安全和终端安全四个方面。深信服桌面云通过持续创新，支持多样化的安全策略，从各方面为桌面云上的数据提供安全保护。

二、网络安全

       桌面云集群根据功能不同，划分为管理网、存储网络、虚拟机业务网以及客户端接入网四种网络，按照实施的最佳实践，服务器应2光6电，存储使用万兆光口，链路聚合的同时对端做交换机堆叠来保障链路和设备的冗余。

    针对客户的不同需求，可以通过逻辑隔离和物理隔离的方式来保证网络安全。

    1. 逻辑隔离适用于安全性要求一般，只需保证不同业务虚拟机网络不互通但允许复用相同物理链路的场景。通过VMP创建多个不同VPN的虚拟交换机桥接到一个物理网口，复用一台交换机，用VLAN来实现不同业务的的网络隔离。

              2. 桌面云可以起trunk,然后上联是三层路由器或者防火墙，通过防火墙的不同的安全域和路由器的ACL也可以实现三层的网络隔离。

              物理隔离适用于安全要求极高的场景，一般情况通过部署两组的VMP来满足物理隔离，一套用于外网，另一套用于内网使用。

三、平台安全

        1.桌面云的VMP平台安全防护包括三权分立、登录防爆破、主机故障域、平台备份和恢复等功能来保证VMP平台的安全和高可用性。

    2. 桌面云VDC平台安全防护包括防爆破登录、管理员分权、超时注销、平台备份和恢复等功能来实现VDC平台的安全和可用。

    3. 桌面云的存储平台使用存储多副本，有二副本和三副本机制，默认使用双副本，不同的副本运行在不同的主机上，副本复制模块机制来保证副本之间的数据同步；双副本时，实际使用的存储容量为所有服务器可用容量的一半，桌面云支持坏掉一块磁盘或一台主机，业务正常运行。

    4. 桌面云定义存储中的热备盘来当磁盘故障时候，自动替换坏掉的磁盘，并同步原有磁盘上的数据，避免数据单副本运行。在虚拟存储自动使用热备盘替换故障磁盘后，页面上依然会显示原来的故障磁盘损坏，此时用户可以通过更换磁盘，将新替换的硬盘作为热备盘使用。虚拟存储创建时候会创建热备盘，建议和数据盘一致，建议每台主机上创建一块热备盘。

   

四、系统安全

        系统安全包括虚拟机安全、桌面使用安全及数据安全。

   4.1、虚拟机安全和桌面安全

(1)应用管控

      桌面云通过依赖应用规则库来识别PC使用的应用程序，支持对加域或者不加域的win7/win10操作系统进行桌面软件的管控，从应用层面来保证安全。

     (2)系统杀毒和加固

      桌面云虚拟机建议安装轻量的EDR杀毒软件进行杀毒操作，以及通过收缩端口、定期修改密码、定期轻补丁修复等来保证虚拟机系统的安全。

     (3)屏幕审计

      桌面云具备PC防截屏，开启后，将禁止利用本地截图攻击进行截图，同时支持第三方的录屏审计，方便管理员清楚用户的具体使用操作行为是否合规。

     (4)分布式防火墙

      桌面云自动分布式防火墙，可用对虚拟机的网络进行限制，通过创建基于用户、虚拟机、组的ACL策略来限制访问，满足了特殊场景下的策略配置需求。

     (5)控制台防泄密

      桌面云的PC在开机后，在控制台中将不能获取该虚拟机的画面，防止泄密。

   4.2、数据安全

     (1) 个人磁盘加密

       对个人数据采取加密手段，将数据以密文的形式存放在服务器上，避免敏感数据被非法窃取，保障用户个人隐私安全。

     (2) 外设管控

      深信服提供对USB设备的管控，支持只读、只写和禁止使用3种模式，根据使用，对其它的设备同样支持管控。

      针对PC本地桌面和云桌面场景，深信服提供了PC设备访问控制功能，对于PC本地磁盘和光驱，支持读写、只读、禁止映射三种模式。

     (3) 屏幕水印

      开启屏幕水印功能，可以自定义的水印内容、大小、用户信息，当拍照时候，这些水印将被记录下来，后续数据泄露可以根据水印去溯源追踪。

     (4) 行为管理和策略审计

                网络外发的审计功能，可以通过VDC配置AC单点登录，云桌面内部署AC审计准入插件，通过AC上配置相关策略以满足对应需求。

五、终端安全

       5.1 接入安全

      终端具备防暴力破解、多因素认证、硬件特征码绑定、终端准入、条件策略、虚拟门户等功能来保证终端的安全。

      深信服提供本地认证、第三方结合认证、短信认证、Ukey认证、硬件特征码、动态口令等多种认证方式的随需组合，来满足不同级别的接入安全需求。

      桌面云可以根据使用的计算机信息生成唯一的硬件特征码进行绑定，限制接入客户端，保障只能通过公司的可信终端登录。

      针对用户接入的多场景下，不同的接入场景下，匹配不i同的条件策略或认证方式，提高桌面云使用的安全性。

    5.2 终端管控

      深信服提供对客户机权限限制、瘦终端防病毒、超时注销、关机一体化等来保证终端使用过程中的安全性。

      桌面云可以对客户机使用过程中进行限制修改的权限，ARM架构的可以设置禁止显示本地桌面和在本地安装应用；X86瘦终端默认禁止安装软件。

      瘦终端默认仅开放与VDC、VMP连接通信端口，从而防止针对瘦终端的网络层面的恶意入侵。针对USB存储设备（U盘、USB光驱等），瘦终端从操作系统驱动层做了限制，使其在瘦终端本地操作系统无法使用，从而防止通过外置存储引入病毒。