以往,對於員工上網安全,通常企業採用的是過濾機制,像是建置上網安全閘道,藉由攔截有問題的網站,達到保護的效果。然而,隨著網路環境的變化,即使是正常的站臺,也難保遭到有心人士植入惡意軟體,藉此在使用者的電腦植入後門程式,進行攻擊、竊取資料,或是利用電腦來挖礦等情形。因此,若是能在已有的上網防護機制之餘,進一步將員工的電腦與外部網路實體隔離,一旦發生攻擊的情況,這些電腦不致直接受到影響。

論及將使用者電腦與外部網路、應用程式隔離,一般而言,大多數人會先想到的方法,是虛擬化平臺廠商已經推動多年的桌面虛擬化(VDI)。不過,若是導入,企業也勢必要大幅更動網路架構,整體運作的流程也要隨之調整。

現在出現了一種新的作法,希望透過遠端瀏覽器,將使用者電腦與外部網路隔離,而這種型態的網頁安全存取系統,一般稱做遠端瀏覽器隔離(Remote Browser Isolation),許多人直接簡稱做Browser Isolation,或是Web Isolation。相較於上述解決方案瀏覽,瀏覽器隔離的應用訴求,就是以無須大幅改變企業網路架構的前提下,提供更為安全的網頁瀏覽環境,且員工幾乎能以原有的方法上網,對於生產力的衝擊較為有限。

雖是針對企業上網提供防護,但其適用的對象,主要還是網頁瀏覽器,而非廣泛涵蓋所有的連網應用程式。但隨著企業的應用程式網頁化日益普及,員工的工作流程大部分都要透過瀏覽器,這種保護措施便顯得更加舉足輕重。

而在實際販售的套裝產品中,我們今年看到有一些解決方案被引進臺灣,像是由漢領國際代理、以遠端存取聞名的Ericom,他們在2017年第2季,推出了Ericom Shield,跨足資安防護的領域。

以遠端容器執行網頁存取

在Ericom Shield運作流程中,先由瀏覽器容器集合區(Remote Browser Pool)執行網頁內容的讀取(1),若是遇到下載檔案,則經過消毒與重組程序(2),才傳送到使用者電腦。至於管理、調度與組態設定等,則是由圖中的Ericom Shield管理核心模組(即下圖的Shield Core)負責。(圖片來源/Ericom)

兼具管制使用者存取網頁的政策

我們這次測試的版本是18.04.1(Build 312.3),主要改進的項目,包含強化網頁的瀏覽,能夠更加流暢,並且針對網頁內串流(Streaming)影音,在政策提供了相關的控管項目,管理者可管制使用者能否存取網頁上這種類型的內容。

企業能夠從政策中管理的功能,還有檔案的上傳與下載,以及網頁內容的複製、列印、使用者暫存資料Cookie,與指定網頁可閒置最長的時限等。

其中,對於網頁瀏覽過程中,常見的檔案下載與上傳行為,Ericom Shield特別納入內容的消毒與重建(Content Disarm and Reconstruction,CDR),能清除檔案中的惡意指令及巨集程式。

基本上, Ericom Shield能夠保護的範圍,涵蓋了PC和行動裝置,我們實際透過公司的W-Fi網路,將Android手機連線到代理商提供的測試環境後,同樣能夠正常執行網頁瀏覽。

雖然,採用隔離型式的安全瀏覽,能夠避免端點電腦的瀏覽器,成為攻擊者尋找弱點下手的目標,進而從電腦滲透公司的內部。然而,這不代表企業就能完全倚賴這種機制,防堵使用者網頁瀏覽的過程中,可能會出現的威脅,例如,使用者遇到詐騙郵件、釣魚網站時,此類防護措施無法防範身分驗證資訊遭到側錄,或是其他資料外洩的情況,因此,仍需要搭配其他上網和端點的保護機制協同防禦。

在遠端瀏覽器存取的核心功能之外,也提供可額外選用的模組

管理核心Shield Core與瀏覽器容器集合區Browser Farm(即上圖Remote Browser Pool),兩者是Ericom Shield主要的核心元件。而對於想要額外使用IE模式,以及取得檔案內容消毒與重建的進階管理功能,企業要另外建置對應的模組。(圖片來源/Ericom)

以Linux容器載入網頁,再將內容傳送到用戶端電腦

企業想要架設Ericom Shield,必須在實體或虛擬平臺裡,準備Ubuntu Server伺服器,以供安裝軟體。建置這套產品的最低建議系統需求,至少需要4個處理器核心、16GB記憶體,以及64GB儲存空間,整體來說,Ericom Shield比較適用於中大型規模的企業。而這套產品不只能部署在企業網路,也支援架設在雲端空間裡,提供相關服務。

在上述主要的核心功能之外,若要針對下載的檔案,更進一步使用專屬管理平臺,監控內容的消毒與重建(CDR)結果,或是針對特定網頁,提供IE模式遠端桌面伺服器,這些模組,企業要額外架設所屬的Windows Server伺服器。

基本上,當使用者上網時,他們在電腦的瀏覽器開啟網頁時,實際的讀取與載入過程,其實都在Ericom Shield伺服器執行的Linux容器(Container)執行,之後,Ericom Shield再將網頁載入的畫面,傳送到使用者電腦的瀏覽器上。

這樣做的目的,就是為了所有網頁指令都在遠端的容器裡處理,即使是網站中遭到植入惡意指令,影響範圍僅是容器本身,執行網頁內容的容器,在使用者將電腦上的瀏覽器關閉後,便會自動銷毀,並釋放其占用的硬體資源。

而相較於同類型的產品,原廠強調Ericom Shield的分頁瀏覽執行,更加細緻,使用者瀏覽器的每一個分頁內容,都由獨立的遠端Linux容器處理,藉此避免不同網頁之間的橫向感染。

不過,使用者在電腦上瀏覽器所有的分頁,由個別容器分工的代價,就是硬體資源的總需求可能會較高,因此,在Ericom Shield的管理後臺中,首頁就提供瀏覽器容器集合區(原廠稱為Browser Farm,或Remote Browser Pool)運作狀態的相關資訊,包含了目前正在運作的容器數量,以及已經預先載入,能夠隨時提供給使用者連線執行的容器等。

依據代理商指出,在Ericom Shield的預設值中,會分配15%系統資源,用來事先準備好已經可用的容器,供使用者連線。再者,這套系統也採用了機器學習的技術,動態監控使用者的數量,以及系統資源運用的情形,藉此將資源調度的最佳化。經由這些的資源控管機制,我們實際透過測試環境的Ericom Shield瀏覽網頁時,整體過程算是相當順暢,即使同時開啟多個瀏覽器分頁,也沒有產生載入延遲的情況。

而我們在管理介面裡,也能看到瀏覽器分頁執行的時間限制項目,例如對於單一分頁,能夠持續執行的最長時效,以及系統偵測到背景網頁閒置一段時間後,Ericom Shield便會自動將容器資源回收,待使用者再次瀏覽時,才重新讀取網頁的內容。因此,對於同時在多個分頁之間切換、瀏覽的使用者來說,屆時,就可能會頻繁遇到網頁重新載入的情況,我們實際測試時也是如此,使用者體驗會受到影響。

將有害網頁內容隔離在使用者電腦之外存取

Ericom Shield提供的遠端瀏覽器隔離措施,主要經由建置於DMZ區或雲端的設施,替代電腦上的瀏覽器執行網頁存取,再將內容的畫面,以HTML5傳送給使用者,因此,網頁中若是含有惡意軟體,不致立即影響用戶端。(圖片來源/Ericom)

支援PC與行動裝置常見的瀏覽器

使用者想要透過Ericom Shield安全上網,首先,每一臺個人端電腦上,需設定好代理伺服器的位址,匯入專用的憑證。之後開啟網頁瀏覽器的時候,必須輸入帳號與密碼,進行再次身分驗證後,才能開始瀏覽網頁。雖然無須安裝代理程式,但在使用之前,端點電腦還是需要一些前置設定才行。

由於實際上的運作流程中,都是經由Ericom Shield容器讀取網頁內容,再將樣貌以HTML5傳送後,到電腦瀏覽器呈現。因此,用戶在電腦上只要執行支援HTML5的瀏覽器,就能使用,而且無論是個人電腦還是行動裝置,都可受到保護。

根據原廠的系統需求,目前電腦與行動裝置上常見的瀏覽器,包含IE、Chrome、Firefox、Safari等,Ericom Shield都支援,不過,IE在版本上有所限制,必須要第10版以上才行。另外,這套產品的系統需求上,雖然沒有列出Windows 10預設的瀏覽器Edge,但我們實際使用這款軟體時,仍能與Ericom Shield搭配瀏覽網頁。

對於網頁瀏覽經常使用的功能,還有檔案的上傳、下載,以及網頁的列印等,在搭配Ericom Shield的環境中,使用者所看到的操作介面,與直接從電腦瀏覽器上網完全相同,其中,檔案上傳或是下載的對話框,使用者瀏覽的是電腦本機目錄,而列印也是與電腦已經連結的印表機執行。但有所不同的是,由於管理者可針對特定的網域或網頁,停用檔案傳輸與列印,若是用戶端電腦於這些網站中,執行上述的功能,畫面上就會出現管理者已禁止使用的訊息。

不過,在瀏覽器的操作上,我們還是感受到許多不同之處。例如,瀏覽器的右鍵選單,僅保留了有限的頁面及超連結處理功能。我們也用具備觸控螢幕的Surface Pro平板筆電,與EricomShield搭配運用,結果發現,無法在螢幕上觸碰操作,代理商表示會再向原廠反映。

由於實際網頁的載入,就是Linux容器內的Chrome瀏覽器執行,因此若是網頁中採用了像是Java、Flash,或是Silverlight等元件,就必須仰賴容器中的瀏覽器支援。根據我們實際測試,上述常見的瀏覽器外掛元件,只有Flash能夠正常執行,對於仍需要使用Java或是Silverlight的網頁,企業就要採取其他變通措施,像是在Ericom Shield的管理平臺中,我們可設置為排除的對象,轉而交由電腦上的瀏覽器直接存取,但這樣的做法,也形同停用了這種保護措施。

我們也發現,在搭配Ericom Shield之後,Chrome與Firefox等瀏覽器本身的設定同步功能,也無法正常執行。對於想要藉此在多臺裝置上,維持書籤一致的用戶而言,也會增加使用上的不便。

另外,為了測試行動裝置能否使用Ericom Shield,我們也經由Wi-Fi無線網路,將Android手機與這套防護措施連接,而瀏覽網頁的過程,與電腦上同樣順暢。不過,值得注意的是,包含iOS平臺在內,礙於這些行動裝置本身的作業系統功能限制,必須透過Wi-Fi網路上網,使用者才能設定代理伺服器,取得這套網頁安全存取系統的保護,若是連接3G或4G電信網路時,便無法使用。

網頁內容呈現相近,右鍵選單僅保留基本功能

上圖是由電腦瀏覽器直接上網,下圖則透過Ericom Shield執行,兩者網頁內容的呈現,沒有太大的差異。但像是右鍵選單的功能項目,就有所不同。搭配Ericom Shield連線時,選單只剩下基本功能,也改為以英文顯示,不像上圖Firefox原始選單,提供檢視網頁原始碼等項目。

對於檔案的上傳及下載,內建檔案內容消毒與重建功能

使用者的上網行為中,常常經由網站上傳與下載文件、圖片等各式檔案,對於這樣的情況,Ericom Shield特別內建了檔案內容的消毒與重建(CDR)機制,能先行過濾其中具有威脅的內容,加以清除後重新組合成可用的檔案,再傳送到電腦。

這項功能模組,其實是來自於專門提供CDR方案的Votiro,而能夠保護的檔案型態,主要是Office文件、PDF檔案、圖片、CAD檔案,以及壓縮檔案等,此外,還能延伸檢查到電子郵件的附件,上網辦公常見的資料型態,大多都在防護的範圍裡。從管理介面中,我們可以看到上述類型檔案的檢測設定,管理者可選擇強制執行或是直接放行的政策。

同時,我們也能針對帶有潛在疑慮的檔案,要求Ericom Shield採取自動封鎖的功能,像是副檔名與實際檔案類型不符,或是攻擊者常會運用的腳本、OLE嵌入物件等,均可指定因應措施。

舉例來說,我們實際在測試的端點電腦上,從網路先後下載了XLS、XLSX等格式的試算表檔案,此時,瀏覽器右側便會出現彈出式對話框,顯示Ericom Shield已經在檢查,等到確定已經去除潛在的攻擊內容後,才顯示下載對話視窗,讓使用者下載。值得留意的是,這2至3年來,我國政府大力推動的開放文件格式(OpenDocument Format,ODF),雖然我們測試時,同樣會出現執行掃描的訊息,但實際上沒有支援。

不過,這樣的機制,仍有端點平臺之別,例如,我們實際在Android行動裝置上下載檔案時,CDR並沒有執行,算是比較可惜之處。

而且,在管理介面的報表功能中,提供的資訊並不多,我們只能檢視檔案清洗的執行情況,像是經過了無害化處理的下載檔案,或是依據政策直接放行、封鎖的檔案。對於Ericom Shield執行的細節,這裡無從得知,企業必須額外加購Votiro的主控臺,才能進一步檢視其中來源的資料。

 

 

提供圖形化報表呈現企業上網情形

針對企業上網,管理者能經由Ericom Shield主控臺的報表功能,檢視與快速分析所有用戶的上網行為,包含瀏覽的網頁與電腦端瀏覽器等資訊,藉此能掌握這套系統運作的情況。

遠端存取與安全防護開始有了交集

在Ericom Shield提供的保護功能中,我們看到使用者的安全瀏覽層次再次提升,藉由瀏覽器隔離的做法,能大幅降低端點電腦因為瀏覽網頁,而遭到入侵的機會。以往,網頁安全瀏覽防護與VDI虛擬化兩者,都是各自發展,彼此沒有交及,而像Ericom Shield這種以遠端瀏覽器提供的網頁安全瀏覽,打破了這樣的情況。

雖然,現在Ericom Shield的管制政策上,並不像防火牆或網頁安全閘道,擁有豐富的網址分類庫、威脅情資、沙箱等過濾機制。然而,從已經具備了CDR與基本的黑白名單來看,我們認為,這種遠端瀏覽器隔離防護措施,發展的方向上,將藉由涵蓋更多元的防護,提供更完善的網頁安全瀏覽。

能依據網域名稱配置執行政策

在Ericom Shield的政策中,管理者可針對特定網域,指定使用者能否執行檔案傳輸,或是允許複製內容、列印,以及網頁存取Cookie等,並且能進一步設定政策是否擴及適用於子網域。

可細部調整CDR執行的方式

Ericom Shield納入了Votiro的檔案內容消毒與重建技術(CDR),管理者能指定掃描的檔案大小上限,以及對於8種類型檔案的處理方式,這裡也支援使用Votiro備援伺服器。


Advertisement

更多 iThome相關內容