面臨變化多端、潛伏在網頁中的威脅,有別於現有的上網防護措施,改用在遠端瀏覽器隔離執行的方式,同時避免可能埋藏其中的惡意內容,直接影響到使用者的電腦,甚至是成為攻擊者進入到企業內部環境的滲透點。隨著容器技術的成熟,採用執行完即刪除的容器,提供遠端載入網頁,再傳送畫面到使用者電腦上的防護機制,也開始有廠商推出相關產品。

單純就廣義的遠端瀏覽器隔離機制(Remote Browser Isolation,RBI),做法其實相當多元。然而,目前新興的機制,則是透過容器的技術,做為實際載入網頁的環境,而且,使用者執行結束之後,系統便直接將這些容器刪除,避免可能留存在容器環境中的有害內容,橫向擴散波及企業其他的設施。

而對於用戶端的操作體驗,也是這種做法訴求的重點之一。主要的目的,就是盡可能不影響使用者原先的上網方式,其中,最為重要的便是讓用戶執行原本慣用的瀏覽器軟體,不需更換成管理者提供的專用瀏覽器,或是登錄到另外一個桌面環境上網。

因此,近期多家廠商推出以上述提到的動態容器,執行網頁內容的上網隔離措施,成為了受到關注的焦點。

目前提供這種能夠集中控管,採取執行完便刪除的容器,載入網頁內容的系統,相關的產品並不多,在臺灣能夠取得的解決方案,主要包含了由漢領國際代理的Ericom Shield、達友科技代理的Menlo Security Isolation Platform,以及Symantec買下Fireglass後,推出的Web Isolation等3款產品。

透過遠端瀏覽器執行保護端點電腦

在這種透過遠端載入網頁的做法中,實際網頁的程式碼下載、執行,以及頁面的渲染,都是在防護系統裡執行,再將畫面以HTML5的語法,傳送到端點電腦的瀏覽器分頁上,若是網頁中含有惡意內容,不致直接影響這些接收畫面的電腦。(圖片來源/Symantec)

操作體驗1:只要使用原來慣用的瀏覽器軟體,就能得到上網防護

上述的新興解決方案,都標榜使用者可執行原有的瀏覽器,網頁的存取、載入,都是由遠端容器環境中的瀏覽器處理,電腦上的瀏覽器便是透過HTML5標準的語法,接收來自遠端環境執行的所得到的畫面,因此,用戶端使用的網頁瀏覽器,只要支援上述的標準就能執行,但瀏覽器版本若是太舊,可能就無法採用這種防護系統。

不過,以現在市面上常見的瀏覽器而言,支援HTML5可說是行之有年,大部分的網站中,也廣泛應用這種標準的語法,或是其中涵蓋的CSS3樣式表等,因此,無論是使用者端還是網站的部分,HTML5都是相當成熟的標準,反過來說,若是執行不支援這種標準的舊版瀏覽器,上網可說是處處碰壁,根本無法正常瀏覽。若是企業採用了遠端瀏覽器隔離系統,來強化員工上網的安全,一般而言,不致產生用戶端的瀏覽器軟體相容性問題。

前端電腦只要設定代理伺服器

基本上,使用者若要取得RBI這種防護機制,基本上不需要安裝額外的軟體,上網前唯一要做的準備,就是設定由系統提供的代理伺服器(Proxy)。

而實際在企業中的做法,便可能透過像是群組管理原則(GPO)的方式,遠端派送代理伺服器的設定,要求使用者都要透過遠端瀏覽器隔離系統,並經由帳號與密碼的身分驗證之後,才能存取網際網路上的內容。但除此之外,無論是網頁上內容的呈現,還是畫面中的各種功能,基本上,都與一般上網沒有差異,以我們實際測試前述多家產品的經驗,幾乎沒有遇到網頁排版的內容變形,或是網頁無法使用的情況。

在套用這種防護機制做法上,除了利用代理伺服器之外,其中,Menlo安全隔離存取平臺上,便額外提供了不需修改網路設定的方法,使用者便能在無法修改電腦代理伺服器設定時,藉此得到同樣的上網防護。具體的做法,便是使用者要連線到系統指定的網頁,依據頁面上的內容,通過身分驗證後,輸入想要存取的網址,就能透過Menlo的平臺執行頁面載入,算是較為特別的做法。

無法相容早期版本瀏覽器軟體

基本上,除非使用者執行非常早期的瀏覽器版本,不然幾乎都能搭配遠端瀏覽器隔離系統,並受到保護。以微軟的IE瀏覽器來說,他們在2011年推出的第9版上,首度正式支援RBI系統中,所列為基本需求的HTML5標準,這款瀏覽器推出的時間,距離現在已經長達了7年之久。這段期間,無論是各主流瀏覽器HTML5的支援程度,還是網站中應用相關語法,都已經行之有年,換言之,執行不支援這種標準的舊款瀏覽器,機會可說是越來越少。

附帶一提,就企業實務上的應用來說,對於仍要延用舊版瀏覽器的情況,由於開發廠商多半已經不再提供相關的漏洞修補,這些瀏覽器軟體可能潛藏著高度風險,因此,企業勢必限制這種軟體可存取的範圍,甚至將它們隔離在特定的區域,以避免這些瀏覽器遭受外部攻擊所帶來的風險。

雖然,遠端瀏覽器隔離系統必須使用HTML5語法,無法直接向下相容這些尚未支援上述標準的瀏覽器,然而就實際的運用上,多數員工不會使用前述的舊版軟體上網,所以,3家提供這種系統的廠商都表示,根據他們的經驗,用戶對於這種相容性的需求,其實並不高。

操作體驗2:可正常瀏覽大部分網頁,高畫質影音串流也能順暢執行

雖然,這種型態的防護系統,著重在提供了上網隔離機制,增加使用者電腦的安全性。因此,推出相關產品的廠商,並不像桌面虛擬化和遠端桌面服務業者,訴求能夠減少頻寬,或是可執行需要大量圖像運算的工作。但是,若是占用了大量的頻寬與系統資源,也會影響端點使用者執行順暢與否,算是相當重要的關鍵因素。

更節省頻寬與端點系統資源

基本上,上網流暢度的疑慮,我們不只經由實際測試,也與廠商確認,無論是Menlo安全隔離平臺,還是Symantec Web Isolation,提供前述產品的2家廠商都表示,使用者需要的網路頻寬,並不會因此大幅增加。達友科技進一步指出,根據他們的資料,透過Menlo平臺上網,電腦端所需的頻寬,介於原來的50%至110%之間。換言之,套用這種機制後,基本上不會消耗更多網路頻寬。

而在我們的實際測試中,也反映出這樣的現象。在播放YouTube影片時,在端點電腦網路連線品質不太好的情況下,我們直接連線到網際網路時,只能播放720P解析度影片,但透過Menlo平臺,同一部影片卻能流暢以1080P播放(該平臺是Menlo建置在日本AWS平臺的RBI服務,所以擁有較大的頻寬)。

由於網頁內容的讀取,都由這種平臺處理完成,電腦端的瀏覽器只負責接收渲染完成的畫面,因此在導入這種防護機制後,理論上,使用者端瀏覽器消耗的資源,也會較直接存取網際網路來得少。而我們實際的測試中,也印證了這樣的情形。以64位元的Firefox 61.02瀏覽器存取Google搜尋首頁時,透過工作管理員,比較記憶體的使用量,結果測試下來,經由Menlo存取時,大約少了5MB至10MB。

可存取電腦端瀏覽器上的書籤

由於企業使用RBI系統後,使用者還是執行自己電腦上的瀏覽器,因此,對於需要使用瀏覽器中的書籤功能,藉此快速存取特定網站,仍能正常運作。

再者,若是使用者利用了瀏覽器儲存網站的帳號和密碼,由於這些設定都在電腦端,理論上仍能使用,對於採用自動登入的網站來說,這樣的防護並不會影響,不過,若是每次開啟瀏覽器後,需要手動輸入登入資料的情況,後續透過RBI存取這種頁面時,很可能只出現了使用者的帳號名稱,而不見得會一併填入已儲存密碼,對於相當仰賴瀏覽器密碼儲存功能的用戶,就會產生影響。

不過,密碼暫存的措施上,RBI系統也提供了彈性,像是Ericom Shield就在管制政策裡,可針對特定網站或是網域,開放或是禁止使用電腦上的Cookie,避免使用者同時在瀏覽器上,以同一組帳號在不同的分頁中,存取多項網站服務時,例如要執行Gmail、Google Docs、YouTube網頁,便能在其中一個分頁驗證完成後,以同樣的身分,在另外2個分頁存取不同服務。

假如使用者在多臺裝置之間,利用了瀏覽器內建的設定同步功能,同樣會因為實際由遠端瀏覽器對外連線,而無法正確連結、執行。

瀏覽器操作方式仍有部分差異

其中,我們這次接觸到的3款上網中,部分產品仍設法改良,企圖維持原有的操作性,例如Menlo藉由名為Adaptive Clientless Rendering的獨家轉譯技術,它仍然能夠維持電腦上,瀏覽器原始右鍵功能,因此,使用者便不需要重新適應遭到更換的選單,也比較不會覺得操作的流程受到影響。

尤其,這類防護系統中,遭到置換的右鍵選項,也往往改以英文顯示,因此,使用者很容易察覺這樣的變化。至於Symantec Web Isolation,雖會以內建在系統的選單,替代瀏覽器原有功能,不過,對於會提供自定選單的網頁,像是Google Docs、Gmail等,這套系統便會以網頁的右鍵選單為主,不會更換。

不過,這種防護系統應用到企業內部時,誠如前言所述,由於以遠端瀏覽器實際執行網頁載入,再將呈現內容以畫面傳送給使用者電腦的做法,網頁內容的讀取都是遠端瀏覽器執行,因此,對於使用者電腦上的瀏覽器軟體操作,還是會造成一定程度的影響。

其中,最大的限制,就是對於需要利用外掛程式(Plug-ins)存取的網站,由於RBI系統容器裡的網頁瀏覽器並不支援,因此無法存取需安裝像是Java、ActiveX,或是Silverlight等外掛軟體的網站,同時,若所要連接的網站應用程式,需運用工商憑證和自然人憑證,也無法透過這種防護措施上網。

儘管,隨著各家的瀏覽器不再支援這些外掛軟體,這種以隔離瀏覽的防護措施,RBI廠商順理成章沒有納入支援。但實際在企業環境中,這些軟體可能仍舊在特定的應用系統上運作,因此實務上,無論是只能使用前述舊版IE瀏覽器執行,還是需要外掛軟體的網站,廠商都是傾向建議在這類系統的主控臺中,設定為例外的方式,略過遠端瀏覽器隔離上網的防護機制。

在瀏覽器的版本與外掛軟體之外,對於RBI終端使用者最為顯著的變化,應該是套用這種防護系統後,電腦上瀏覽器的右鍵選單,便可能遭到系統替換,只剩下基本的常用功能,像是上一頁、下一頁,重新讀取網頁等項目,而非本機瀏覽器上原來的功能。而且,這樣的變化,也可能會影響到使用者已經安裝的瀏覽器擴充套件(Extensions),導致無法100%符合使用者原有習慣。

提供檔案的下載前預覽機制

對於使用者會存放到電腦中的文件或是壓縮檔案,部分RBI系統也提供了線上預覽的機制,可確認是否為需要下載的資料。以圖中為例,使用者需先在左上圖中的Menlo驗證網頁上,輸入密碼,才能開啟右圖的電信單據PDF文件,線上預覽這份文件的內容。

 

針對使用者下載到企業內部的檔案,RBI提供各式檢測機制

結合檔案無害化的處理措施

針對下載檔案的檢測,Ericom Shield內建Votiro的檔案消毒與重組機制,並能管制各種類型資料的檢查的設定。而在較新的版本中,這款軟體多了Vendor選項,企業可改用Check Point的解決方案。

採取4層檢測機制

對於檢查使用者下載的檔案內容,Menlo隔離上網系統總共提供了4種關卡,從初步的檔案雜湊值比對、防毒引擎掃描,到使用雲端沙箱,若是企業已經部署了Palo Alto WildFire沙箱,這套系統也可將檔案交給內部沙箱設備,再次觸發。

支援與多種檢測系統搭配

在Symantec Web Isolation裡,對於使用者下載檔案的檢測機制,包含了自家的防護功能外,能夠搭配的惡意軟體偵測系統選項,也是3款產品中最多,且同時涵蓋了防毒引擎、沙箱、內容無害化等類型,並可接收Google Safe Browsing的威脅情資。

 相關報導   用瀏覽器隔離建立上網新防線


Advertisement

更多 iThome相關內容