Tập san đặc biệt của NIST 800-46: Làm việc từ xa doanh nghiệp

Tài liệu Đặc biệt của NIST 800-46 cung cấp cho các cơ quan liên bang và tổ chức thương mại các khuyến nghị kỹ thuật để bảo vệ công nghệ làm việc từ xa, kiến trúc truy cập từ xa và hệ sinh thái Bring-Your-Own-Device (BYOD).

Được xuất bản bởi Viện Tiêu chuẩn và Công nghệ Quốc gia, hướng dẫn này thiết lập các yêu cầu bảo mật cơ bản để thiết kế, triển khai và duy trì các công nghệ truy cập từ xa trong khi bảo vệ mạng nội bộ của doanh nghiệp khỏi các mối đe dọa bắt nguồn từ các điểm cuối không quản lý bên ngoài.

Tổng quan & Mục đích của NIST SP 800-46

Có tên chính thức Hướng dẫn về Bảo mật làm việc từ xa, Truy cập từ xa và Bring Your Own Device (BYOD) của Doanh nghiệp, NIST SP 800-46 Phiên bản 2 đóng vai trò như một tiêu chuẩn kỹ thuật cốt lõi để giảm thiểu rủi ro của kết nối mạng ngoài trụ sở.

Tài liệu đề cập đến một sự thay đổi kiến trúc cơ bản: nhân viên làm việc từ xa không còn truy cập các tài nguyên tập trung chỉ qua các laptop riêng của doanh nghiệp qua các kết nối điểm-đến-điểm đơn giản.

Các triển khai hiện đại liên quan đến phần cứng khách hàng đa dạng, điện thoại thông minh do nhân viên sở hữu, nền tảng lưu trữ đám mây và truy cập trực tiếp vào ứng dụng web.

Mục đích chính của ấn phẩm là hỗ trợ các quản trị viên hệ thống, kỹ sư an ninh và nhân viên tuân thủ trong việc lập kế hoạch và triển khai các kiểm soát kỹ thuật trên bốn lĩnh vực chính:

• Phát triển chính sách bảo mật làm việc từ xa tập trung của doanh nghiệp.
• Tăng cường bảo mật cho các máy chủ truy cập từ xa và định vị chúng một cách an toàn trong kiến trúc mạng.
• Thực thi các kiểm soát bảo mật điểm cuối trên các thiết bị khách hàng thuộc sở hữu của doanh nghiệp và BYOD.
• Bảo vệ dữ liệu trong quá trình truyền và dữ liệu lưu trữ khỏi bị chặn, trộm cắp thông tin xác thực và phơi nhiễm trái phép.

SP 800-46 được phân loại là hướng dẫn Tài liệu Đặc biệt thay vì quy định liên bang bắt buộc riêng biệt.

Tuy nhiên, đối với các cơ quan liên bang và nhà thầu chịu sự điều chỉnh của FISMA (Đạo luật Cải tiến An ninh Thông tin Liên bang), các kiểm soát kỹ thuật chi tiết trong SP 800-46 trực tiếp xác nhận các mức tối thiểu bắt buộc được xác định trong NIST SP 800-53 (cụ thể là gia đình AC-17 Truy cập từ xa).

Đối với các doanh nghiệp thương mại đánh giá các lỗ hổng truy cập từ xa, tài liệu cung cấp một bản thiết kế đáng tin cậy để cấu trúc các lớp phòng thủ trước khi lưu lượng không quản lý xâm nhập vào các phân đoạn mạng được bảo vệ.

NIST tiếp tục cập nhật hướng dẫn truy cập từ xa thông qua các bản dự thảo lặp đi lặp lại (bao gồm các ý tưởng ban đầu của SP 800-46 Phiên bản 3 và tích hợp Zero Trust trong SP 800-207).

Ngay cả khi kiến trúc phát triển, các nguyên tắc quản lý rủi ro cơ bản được đề cập trong Phiên bản 2 vẫn là tiêu chuẩn cơ sở cho kết nối từ xa an toàn.

Nguyên tắc Bảo mật cốt lõi cho Làm việc từ xa Doanh nghiệp

NIST SP 800-46 xác định rằng các tổ chức phải giả định rằng môi trường bên ngoài và thiết bị khách hàng vốn dĩ là thù địch.

Các mạng trung gian - chẳng hạn như Wi-Fi gia đình, điểm truy cập công cộng và nhà cung cấp dịch vụ internet của bên thứ ba - không thể tin cậy để cung cấp tính bảo mật, tính toàn vẹn hoặc xác thực lẫn nhau. Để giảm thiểu các điều kiện này, ấn phẩm đề cập đến năm nguyên tắc bảo mật nền tảng:

• Xây dựng Chính sách Bảo mật Làm việc từ xa Toàn diện: Các tổ chức phải xác định rõ các quy tắc xác định phương thức truy cập từ xa được phép, các cấp độ thiết bị khách hàng (thuộc sở hữu doanh nghiệp, nhà thầu hoặc cá nhân), nhóm người dùng được phép, và các phân loại dữ liệu cụ thể được phép trên các điểm cuối từ xa.
• Thực hiện Nguyên tắc Ít quyền tối thiểu: Người dùng từ xa nên chỉ được truy cập vào các phân mạng, dịch vụ ứng dụng và kho dữ liệu tối thiểu cần thiết để thực hiện các chức năng được giao. Việc truy cập lớp 3 toàn bộ vào mạng nội bộ phải được hạn chế thông qua các kiểm soát truy cập trung gian.
• Thực thi Cứng hóa Điểm cuối bắt buộc: Tất cả các thiết bị khách hàng kết nối vào tài nguyên nội bộ phải đáp ứng các tiêu chuẩn điểm cuối đã xác định. Đối với thiết bị do doanh nghiệp quản lý, điều này yêu cầu các bản dựng hệ điều hành tiêu chuẩn, phát hiện và phản hồi điểm cuối (EDR) hoạt động, tường lửa dựa trên máy chủ cục bộ, quản lý vá lỗi tự động và mã hóa toàn đĩa (FDE) để bảo vệ dữ liệu khi nghỉ, mất hoặc bị trộm phần cứng.
• Yêu cầu Xác thực Đa yếu tố Mạnh mẽ (MFA): Mật khẩu đơn thuần không đủ cho các phiên truy cập từ xa. Các cơ chế xác thực phải tận dụng các giao thức đa yếu tố - kết hợp token phần cứng, thẻ thông minh, khóa mã hóa hoặc xác thực ngoài băng tần - trước khi cấp phép truy cập qua cổng.
• Mã hóa Tất cả Dữ liệu Trong Quá trình Truyền: Các liên lạc từ xa vượt qua hạ tầng công cộng phải sử dụng mã hóa xác thực FIPS hợp lệ (chẳng hạn như IPsec hoặc TLS) để duy trì tính bảo mật và phòng chống các cuộc kiểm tra trung gian (MitM) hoặc chiếm quyền phiên.

Việc áp dụng các nguyên tắc này tạo ra một rào cản vận hành giữa các biên giới từ xa không đáng tin cậy và hạ tầng doanh nghiệp cốt lõi, hỗ trợ cấu trúc kiểm soát truy cập doanh nghiệp bảo vệ tại mọi điểm truy cập.

Bảo vệ Kiến trúc Truy cập Từ xa

Mục 2.2 của NIST SP 800-46 phân loại các giải pháp truy cập từ xa thành bốn kiến trúc kỹ thuật riêng biệt. Mỗi phương pháp đưa ra các đánh đổi cụ thể về khả năng hiển thị mạng, độ phức tạp triển khai và rủi ro điểm cuối.

1. Đường hầm (Kiến trúc VPN)

Kênh tunneling truy cập từ xa bao bọc các gói mạng trong các giao thức bảo mật (thường là VPN dựa trên IPsec hoặc TLS), thiết lập một kết nối ảo điểm-đến-điểm giữa thiết bị khách hàng và cổng doanh nghiệp.

Trong khi tunneling cung cấp quyền truy cập liền mạch ở cấp mạng cho các điểm cuối được quản lý, nó mang lại rủi ro nghiêm trọng nếu một thiết bị không được quản lý hoặc nhiễm bệnh kết nối qua tunnel, có thể làm lộ các mạng con nội bộ cho sự di chuyển của phần mềm độc hại theo chiều ngang.

NIST khuyến nghị đặt các cổng VPN trung gian bên trong một khu vực phi quân sự (DMZ) riêng biệt, sử dụng tường lửa kiểm tra gói trạng thái và phân đoạn nội bộ để kiểm tra và hạn chế lưu lượng tunnel trước khi đến các mạng con nội bộ.

2. Cổng Ứng dụng

Các cổng ứng dụng sử dụng reverse proxy và máy chủ web bảo mật (HTTPS/TLS) để phơi bày các ứng dụng doanh nghiệp dựa trên web cụ thể cho khách hàng từ xa mà không cấp quyền truy cập mạng rộng hơn. Người dùng tương tác với các ứng dụng thông qua trình duyệt web tiêu chuẩn, loại bỏ nhu cầu cài đặt phần mềm khách hàng.

Kiến trúc này giảm đáng kể bề mặt tấn công ở cấp mạng vì điểm cuối không bao giờ thiết lập kết nối lớp 3 với mạng nội bộ. Tuy nhiên, các cổng ứng dụng đòi hỏi phải cứng hóa máy chủ nghiêm ngặt, kiểm soát thời gian hết hạn phiên mạnh mẽ và các biện pháp phòng vệ bộ nhớ cache trình duyệt để ngăn dữ liệu nhạy cảm còn sót lại trên các thiết bị chia sẻ hoặc cá nhân.

3. Truy cập Máy tính Từ xa (VDI / Máy tính để bàn được lưu trữ)

Kiến trúc máy tính từ xa - bao gồm Hạ tầng Máy tính để bàn Ảo (VDI) và Dịch vụ Terminal - thực thi tất cả các ứng dụng và xử lý dữ liệu trực tiếp trên các máy chủ trung tâm trong trung tâm dữ liệu của doanh nghiệp. Thiết bị khách từ xa chỉ gửi tín hiệu đầu vào (phím, sự kiện chuột) và nhận các khung hiển thị đã được xử lý qua một giao thức bảo mật.

VDI mang lại lợi ích lớn về phòng ngừa mất dữ liệu vì các tệp thô và cơ sở dữ liệu nhạy cảm không bao giờ lưu trữ trên điểm cuối từ xa.

NIST nhấn mạnh VDI là kiến trúc lý tưởng cho các tình huống có rủi ro cao hơn, chẳng hạn như truy cập của nhà thầu bên thứ ba hoặc phần cứng khách không được quản lý, miễn là chia sẻ clipboard cục bộ, chuyển hướng tệp và ánh xạ ổ đĩa bị vô hiệu hóa nghiêm ngặt.

4. Truy cập Ứng dụng Trực tiếp

Truy cập ứng dụng trực tiếp cho phép một ứng dụng khách chuyên dụng trên máy chủ từ xa giao tiếp trực tiếp với máy chủ ứng dụng doanh nghiệp qua internet mà không cần tunnel VPN trung gian hoặc proxy trình duyệt. Ví dụ bao gồm các khách hàng email kết nối qua các giao thức bảo mật hoặc khách hàng cơ sở dữ liệu đồng bộ đám mây.

Trong khi hoạt động hợp lý, phương pháp này yêu cầu mỗi máy chủ ứng dụng phải được phơi bày trực tiếp ra mạng bên ngoài. Do đó, NIST yêu cầu các máy chủ ứng dụng phải cứng hóa hệ điều hành, theo dõi vá lỗi liên tục và xác thực mật mã lẫn nhau để chống lại các nỗ lực khai thác trực tiếp.

Trong khi tunneling mạng kỹ thuật số mã hóa quá trình truyền dữ liệu hợp lý qua các điểm cuối từ xa, các khu vực biên giới vật lý và hạ tầng quan trọng cần các biện pháp bảo vệ phần cứng bổ sung, chẳng hạn như khóa an toàn đặc biệt của tunnel, để kiểm soát và cô lập các cơ sở nhạy cảm.

So sánh các Giải pháp Truy cập Từ xa

Phương pháp kiến trúc mà tổ chức triển khai ảnh hưởng trực tiếp đến rủi ro rò rỉ dữ liệu và xác định mức độ kiểm soát điểm cuối cần thiết. Bảng sau so sánh bốn giải pháp chính được định nghĩa trong NIST SP 800-46 Phiên bản 2:

Lựa chọn kiến trúc liên quan đến mối quan hệ nghịch đảo giữa độ tin cậy của điểm cuối và cách ly phía máy chủ: khi kiểm soát điểm cuối thấp (như với BYOD), các tổ chức phải triển khai kiến trúc trình bày hoặc reverse-proxy (VDI hoặc Cổng Ứng dụng) thay vì tunnel mạng lớp 3.

Chính sách An ninh BYOD và Các Biện pháp Kỹ thuật

NIST SP 800-46 Phiên bản 2 đặt trọng tâm đáng kể vào các rủi ro của Việc Mang Thiết bị của Chính bạn (BYOD). Các laptop cá nhân, máy tính bảng và điện thoại thông minh do nhân viên hoặc nhà thầu vận hành giới thiệu các vector đe dọa không được quản lý, bao gồm việc sử dụng cá nhân và doanh nghiệp pha trộn, mức độ vá lỗi chưa xác minh, ứng dụng cài đặt trái phép và truy cập chung trong gia đình.

Hạn chế Kỹ thuật của Phần cứng Không được Quản lý

Một doanh nghiệp không thể thực thi cùng mức độ hiển thị hoặc quyền quản trị đối với thiết bị cá nhân như đối với phần cứng do công ty phát hành. Việc bắt buộc cài đặt lại hệ điều hành, giám sát liên tục xâm phạm và xóa từ xa toàn bộ thiết bị gây ra những thách thức pháp lý, vận hành và quyền riêng tư nghiêm trọng khi áp dụng cho thiết bị do nhân viên sở hữu.

Containerization và Quản lý Thiết bị Di động (MDM)

Để thiết lập giới hạn kiểm soát mà không làm ảnh hưởng đến quyền riêng tư cá nhân, NIST đề xuất sử dụng công nghệ containerization và Quản lý Thiết bị Di động (MDM) hoặc Quản lý Ứng dụng Di động (MAM). Các biện pháp kiểm soát này đạt được các bảo vệ sau:

• Cô lập Mã hóa: Các ứng dụng doanh nghiệp và dữ liệu doanh nghiệp nằm trong một sandbox được mã hóa, cách ly khỏi các ứng dụng và tệp cá nhân.
• Xóa từ xa có chọn lọc: Nếu thiết bị BYOD bị mất, bị đánh cắp hoặc nhân viên nghỉ việc, quản trị viên có thể kích hoạt xóa có chọn lọc sandbox doanh nghiệp mà không làm thay đổi phương tiện, tài liệu hoặc cấu hình hệ điều hành cá nhân.
• Ngăn chặn Rò rỉ Dữ liệu: Chính sách hạn chế các thao tác sao chép dán dữ liệu, chụp màn hình cục bộ và xuất tài liệu từ container doanh nghiệp vào bộ nhớ cá nhân không được quản lý.

Duy trì ranh giới kỹ thuật rõ ràng giữa môi trường cá nhân và các ứng dụng doanh nghiệp hỗ trợ việc tuân thủ thiết bị rộng hơn, phù hợp với tiêu chuẩn an ninh khóa thông minh toàn cầu cho IoT doanh nghiệp và phần cứng biên giới của các cơ sở kết nối.

Cách phù hợp An ninh Tổ chức với NIST CSF

Việc thực hiện các khuyến nghị của NIST SP 800-46 trực tiếp hỗ trợ các chức năng cốt lõi của Khung An ninh mạng NIST (CSF 2.0 / 1.1). Thay vì hoạt động như một hướng dẫn kỹ thuật riêng biệt, SP 800-46 cung cấp các phương pháp thực thi chiến thuật đáp ứng các kết quả của khung rộng hơn.

1. Nhận diện (ID)

SP 800-46 yêu cầu duy trì một danh mục chính xác tất cả các tài sản làm việc từ xa, các máy chủ truy cập từ xa được phép và các điểm cuối BYOD đã đăng ký. Phân loại các điểm cuối theo loại sở hữu và vai trò vận hành phù hợp trực tiếp với các danh mục Quản lý Tài sản (ID.AM) và Đánh giá Rủi ro (ID.RA) của CSF.

2. Bảo vệ (PR)

Cốt lõi của SP 800-46 phù hợp với các chức năng Bảo vệ của CSF, đặc biệt là Quản lý Danh tính, Xác thực và Kiểm soát Truy cập (PR.AC) và Bảo mật Dữ liệu (PR.DS).

Thực thi xác thực đa yếu tố trên các cổng từ xa, cô lập các mạng không đáng tin cậy qua DMZ, hạn chế chia tách đường truyền và mã hóa dữ liệu khi nghỉ và khi truyền tải đáp ứng các kiểm soát trực tiếp phù hợp với yêu cầu nền tảng của NIST SP 800-53 (như AC-17 cho truy cập từ xa và SC-8 cho bảo mật truyền tải).

Các tổ chức thường mở rộng các kiểm soát danh tính và truy cập này từ hạ tầng CNTT hợp lý sang các cơ sở vật chất vật lý bằng cách khóa kiểm soát truy cập điện tử để thống nhất quản trị truy cập trên các biên giới kỹ thuật số và vật lý.

3. Phát hiện (DE)

Theo SP 800-46, tất cả các máy chủ truy cập từ xa, bộ tập trung VPN và proxy ứng dụng phải tạo ra các nhật ký kiểm tra an ninh tập trung.

Ghi nhật ký các lần cố gắng kết nối từ xa, thời gian phiên, địa chỉ IP nguồn và các thất bại xác thực đáp ứng các chức năng Phát hiện Anomalies và Sự kiện (DE.AE) và Giám sát An ninh Liên tục (DE.CM), giúp nhóm vận hành an ninh xác định các cố gắng tấn công brute-force và các mẫu truy cập bất thường trong thời gian thực.

4. Phản hồi (RS) & Khôi phục (RC)

Chính sách làm việc từ xa rõ ràng phải bao gồm các quy trình ứng phó sự cố cho các điểm cuối từ xa bị xâm phạm. Khi phát hiện hoạt động bất thường, các kiểm soát tự động hoặc thủ công phải cho phép chấm dứt phiên ngay lập tức, thu hồi chứng chỉ xác thực và cô lập thiết bị nghi ngờ, trực tiếp đáp ứng các mục tiêu Phản hồi Giảm thiểu của CSF (RS.MI).

Các bước tiếp theo để chuẩn bị tuân thủ doanh nghiệp

Đạt được sự phù hợp với NIST SP 800-46 đòi hỏi phải dịch các khuyến nghị kỹ thuật thành một đánh giá có cấu trúc về hạ tầng mạng hiện có và chính sách quản trị. Các tổ chức chuẩn bị cho các cuộc kiểm tra tuân thủ hoặc muốn củng cố hoạt động từ xa nên theo một quy trình chuẩn bị có hệ thống:

1. Xem xét và Cập nhật Chính sách Làm việc từ xa: Đánh giá lại các tài liệu hiện có để đảm bảo các định nghĩa rõ ràng về phương thức truy cập từ xa được phép, các cấp độ thiết bị, việc sử dụng BYOD chấp nhận được và các tiêu chuẩn bảo mật điểm cuối bắt buộc.
2. Kiểm tra Kiến trúc Cổng từ xa: Xác minh rằng tất cả các bộ tập trung VPN, cổng máy tính để bàn từ xa và cổng ứng dụng nằm trong các DMZ được phân đoạn đúng cách, với các quy tắc tường lửa vào ra hạn chế lưu lượng truy cập đến các đích nội bộ cần thiết.
3. Thực thi Xác thực đa yếu tố trên tất cả các cổng: Loại bỏ các điểm truy cập legacy xác thực đơn yếu tố và thực thi MFA chống lừa đảo trên tất cả các dịch vụ truy cập từ xa mà không ngoại lệ.
4. Đánh giá Rủi ro BYOD: Đánh giá xem các thiết bị cá nhân hiện có truy cập tài sản nội bộ qua VPN lớp 3 hay không. Nếu có, chuyển các điểm cuối này sang các phiên VDI cô lập hoặc cổng ứng dụng chứa trong container để giảm thiểu rủi ro rò rỉ dữ liệu.
5. Đối chiếu với các công cụ đánh giá có cấu trúc: Thực hiện phân tích khoảng cách chính thức bằng cách sử dụng công cụ đánh giá tuân thủ doanh nghiệp hoặc đánh giá kỹ thuật của bên thứ ba để xác định sự lệch cấu hình, các thuật toán mã hóa lỗi thời và các điểm truy cập từ xa không được giám sát trước khi tiến hành các cuộc kiểm tra tuân thủ quy định.

Bằng cách giải quyết có hệ thống việc bố trí cổng, tính toàn vẹn của điểm cuối và việc thực thi xác thực, các nhóm CNTT doanh nghiệp có thể thiết lập một môi trường làm việc từ xa bền vững đáp ứng các hướng dẫn của NIST và bảo vệ hạ tầng quan trọng khỏi các mối đe dọa bên ngoài.