Cloud anti-virus

[Simpele1986]

Beste Tweakers,

Sinds kort zijn wij begonnen met het leveren van online werkplekken (RDP naar een Cloudserver met Server 2012R2 welke wij afnemen bij de leverancier).
Nu vroeg ik mij af (aangezien alle extra gebruikte resources geld kosten) welke Anti-Virus jullie aanbevelen voor de cloud.. Ik dacht zelf aan McAfee SaaS (McAfee Security for Business).

Alvast bedankt!!!

[johnkeates]

Denk je serieus dat het een goed idee is om dit soort services te leveren als je niet weet hoe je je security op orde moet brengen? Je gebruikt zeker ook nog RDP over clearnet... niet om je te plagen ofzo, maar hoe heb je andere services op orde? Gewoon een random Windows installatie, overal op next en default geklikt en hopen dat het werkt?

Los daar van: elk security product van een bekende fabrikant met VDI support gaat werken. Maakt weinig uit wat je neemt.

[ Voor 21% gewijzigd door johnkeates op 19-08-2015 14:16 ]

[Simpele1986]

johnkeates schreef op woensdag 19 augustus 2015 @ 14:10:
Denk je serieus dat het een goed idee is om dit soort services te leveren als je niet weet hoe je je security op orde moet brengen? Je gebruikt zeker ook nog RDP over clearnet... niet om je te plagen ofzo, maar hoe heb je andere services op orde? Gewoon een random Windows installatie, overal op next en default geklikt en hopen dat het werkt?

Los daar van: elk security product van een bekende fabrikant met VDI support gaat werken. Maakt weinig uit wat je neemt.

Cloud is iets nieuws voor me. Dus ik ben me overal in aan het verdiepen, dat heet niet dat ik een n00b ben op het gebied van security. Het is tenslotte nog geen productiefase, puur testfase waar de puntjes op de i gezet worden op dit gebied.

Een installatie van Windows Server 2012(R2), is zoals je zelf zegt (op Partitiebeheer/EULA/Key na) een kwestie van next next next finish... De configuratie ná de installatie is alles behalve basic..

Het enige dat ik vraag is voor welk product jullie zouden kiezen, daar alles wat er aan resources gebruikt worden, extra geld kost. Dat heet niet dat een product geen resources mag verbruiken, maar ik zoek gewoon een zo goed mogelijk product die niet al teveel resources wegvreet.

Tot slot wordt er geen gebruik gemaakt van RDP over clearnet, er staat een aparte VM ingesteld met pfSense, hiermee maakt het modem van de klant verbinding mee. Het modem van de klant kan alleen de VPN gebruiken, overig verkeer wordt geblokkeerd.

[johnkeates]

http://www.mcafee.com/us/...curity-suite-for-vdi.aspx moet je hebben

[Verwijderd]

johnkeates schreef op woensdag 19 augustus 2015 @ 15:00:
http://www.mcafee.com/us/...curity-suite-for-vdi.aspx moet je hebben

TS wil juist minder kosten door zo weinig mogelijk resources te gebruiken. Hiervoor moet hij een extra virtual appliance inrichten.

Ik krijg de indruk, dat de TS zelf geen toegang heeft tot het virtualisatieplatform maar Cloudservers bij bijv. Leaseweb (toevallig heeft Leaseweb ook een product met de naam Cloudserver) huurt en dus gewoon een x aantal VM's huurt daar. Ik vraag me dan af, of dit wel de juiste keuze zou zijn voor de TS. Een paar 2012 Terminal servers is overigens ook niet het eerste waar ik aan denk bij de term "VDI infrastructuur".

Verder is dit product vooral geoptimaliseerd voor gebruik in VMware ESX. Als mijn gok (Leaseweb Cloudservers) juist is, dan is het virtualisatieplatform Apache Cloudstack en heeft de TS geen toegang tot de hypervisor (KVM in dit geval).

[Tsurany]

VDI is het leveren van desktops via individuele VM's per gebruiker. Vaak weer gebaseerd op golden images en dergelijken maar wel echt aparte virtuele machines. Dan heb je weer heel andere eisen aan een virus scanner dan wanneer je via RDP diverse sessies van dezelfde virtuele machine aanbied.

[Simpele1986]

Verwijderd schreef op woensdag 19 augustus 2015 @ 15:15:
[...]

TS wil juist minder kosten door zo weinig mogelijk resources te gebruiken. Hiervoor moet hij een extra virtual appliance inrichten.

Ik krijg de indruk, dat de TS zelf geen toegang heeft tot het virtualisatieplatform maar Cloudservers bij bijv. Leaseweb (toevallig heeft Leaseweb ook een product met de naam Cloudserver) huurt en dus gewoon een x aantal VM's huurt daar. Ik vraag me dan af, of dit wel de juiste keuze zou zijn voor de TS. Een paar 2012 Terminal servers is overigens ook niet het eerste waar ik aan denk bij de term "VDI infrastructuur".

Verder is dit product vooral geoptimaliseerd voor gebruik in VMware ESX. Als mijn gok (Leaseweb Cloudservers) juist is, dan is het virtualisatieplatform Apache Cloudstack en heeft de TS geen toegang tot de hypervisor (KVM in dit geval).

We maken gebruik van Spango. Deze levert ons een VMWare ESX platyform waarbij we x-aantal resources inkopen (CPU, MEM, SSD, HDD)
Tevens kunnen we tegen een bedrag x-aantal VLAN's inrichten.
Het maakt dus niet uit hoeveel VM's we draaien, puur hoeveel resources we gebruiken.

Ik heb geen toegang tot de hypervisor zelf (wel toegang vCenter waar ik de VM's kan aanmaken e.d.)

[Simpele1986]

Tsurany schreef op woensdag 19 augustus 2015 @ 15:20:
VDI is het leveren van desktops via individuele VM's per gebruiker. Vaak weer gebaseerd op golden images en dergelijken maar wel echt aparte virtuele machines. Dan heb je weer heel andere eisen aan een virus scanner dan wanneer je via RDP diverse sessies van dezelfde virtuele machine aanbied.

We gebruiken op sessie gebaseerde bureaubladen..

[Verwijderd]

Simpele1986 schreef op woensdag 19 augustus 2015 @ 15:37:
[...]


We maken gebruik van Spango. Deze levert ons een VMWare ESX platyform waarbij we x-aantal resources inkopen (CPU, MEM, SSD, HDD)
Tevens kunnen we tegen een bedrag x-aantal VLAN's inrichten.
Het maakt dus niet uit hoeveel VM's we draaien, puur hoeveel resources we gebruiken.

Ik heb geen toegang tot de hypervisor zelf (wel toegang vCenter waar ik de VM's kan aanmaken e.d.)

Dan zou je het product technisch gezien waarschijnlijk wel kunnen gebruiken. Maar ik denk, dat je aan dit soort "VDI virusscanners" alleen voordeel hebt t.o.v. de wat conventionelere virusscanners als je een groot aantal (bijna) identieke machines hebt (bij voorkeur gebaseerd op 1 image, zoals je dat bij VDI meestal ziet).

[Meekoh]

Wat je kunt doen is System Center Endpoint Protection installeren. Kost je wel System center licenties, maar ze updaten hun definities gewoon via windows update. Je hebt dus niet perse een centrale management server hiervoor nodig, of de WSUS server die je wellicht al hebt.

[johnkeates]

Uiteindelijk heb je nodig:

- Isolatie
- Endpoint-type bescherming voor de VDI sessies
- Server-type bescherming voor de Windows hosts

Extra's zoals policy orchestration, Hypervisor bescherming en monitoring zijn leuke extra's, maar niet meer dan dat.

Een endpoint-only bescherming gaat niet werken, die gaat niet uit van een server OS. Alleen al de VSS verschillen tussen Client en Server edities van Windows gaat al problematisch zijn.

Server-only bescherming is dan weer niet geschikt voor gebruikers, al was het maar door gebrek aan rechten en het weglaten van veel zaken als browser/identity/mail/PUP bescherming.

Probleem is dat je met sessie-based (fake-)VDI heel hard aan je host-based isolatie moet denken om dat je anders een besmetting binnen een user meteen server-side te pakken hebt.

[MAX3400]

Ik mis allerlei inschattingen (die anderen ook al half benoemen) wat security is, hoe vanuit jouw bedrijf wordt bedacht waar security begint/eindigt, wat jouw CSO erover heeft gezegd en wat daarna pas de functionele & technische requirements zijn gebaseerd op zaken als disaster recovery, business continuity en noem maar op.

Simpele1986 schreef op woensdag 19 augustus 2015 @ 15:37:
[...]

Ik heb geen toegang tot de hypervisor zelf (wel toegang vCenter waar ik de VM's kan aanmaken e.d.)

Bekend verhaal; en "dus" ga jij ervanuit dat de hypervisor ook secure genoeg is en dat je alles kan doen? Er zijn verschillende ESX-hosters die jou net onvoldoende mogelijkheden geven via vCenter of een vCloud waardoor je onmogelijk zelf bepaalde handelingen kan & mag uitvoeren om een bepaald produkt te implementeren. Stel dat jij wil ondervangen dat UEFI (om maar een voorbeeld te noemen) moet worden gecontroleerd voordat een VM mag opstarten; dan zal jouw hoster dat moeten faciliteren omdat je dan op de hypervisor al zaken moet inrichten.

Verwijderd schreef op woensdag 19 augustus 2015 @ 15:57:
[...]

Dan zou je het product technisch gezien waarschijnlijk wel kunnen gebruiken. Maar ik denk, dat je aan dit soort "VDI virusscanners" alleen voordeel hebt t.o.v. de wat conventionelere virusscanners als je een groot aantal (bijna) identieke machines hebt (bij voorkeur gebaseerd op 1 image, zoals je dat bij VDI meestal ziet).

Ongeacht of het 1 image is of 1000 images; elke VDI krijgt bij het opspinnen zijn eigen GUID. Die kan vastliggen (handmatige VDI's uitrollen), random zijn (want provisioning zonder caching disks) of gekoppeld zijn aan bepaalde users (zeg even: Power Desktops).

Een bekend euvel is dat een virusscanner in het image bij het opstarten ten eerste de GUID kwijt is (of kan zijn) waardoor je centrale management de mist in gaat. Of dat een engine-update niet geinstalleerd kan worden zonder reboot (waardoor je dus na de reboot weer het image hebt met de oude engine) etc.

Sterker nog; zodra je van 1 image naar 1 nieuwe image gaat, heb je kans dat 100% van de GUIDs verandert op de omgeving en dat je in je centrale management console van de antivirus van 500 machines naar 1000 machines gaat. Waarvan 500 natuurlijk zich nooit meer updaten.

johnkeates schreef op woensdag 19 augustus 2015 @ 16:47:
Probleem is dat je met sessie-based (fake-)VDI heel hard aan je host-based isolatie moet denken om dat je anders een besmetting binnen een user meteen server-side te pakken hebt.

Ook een bekend verhaal. Gebruiker A op VDI 1 krijgt een ongescande mail binnen (of desnoods een USB-stick van een neefje). Gebruiker A heeft ook permissies in de network-drive Management. Gebruiker A kijkt/klikt niet goed; cryptoware lanceert; doei doei documenten van Management. VDI-hardenig staat bovenaan de lijst als je over security praat; de zwakste schakel is nog steeds een onoplettende gebruiker.

/edit: wie gaat de daadwerkelijke endpoints controleren? Oftewel, ga je ook de machines van elke klant (thinclient, fatclient, eigen PC's, BYOD) secure maken? Zo ja, hoe wordt erover gedacht om dit inzichtelijk & supported te maken met de minste impact voor mensen die ervoor kiezen om nog XP te draaien? Of Linux Mint willen draaien?


Ik vind het een mooi topic maar mis in het plaatje 90% aan info / processen / requirements en 10% inzet.

[ Voor 21% gewijzigd door MAX3400 op 19-08-2015 18:12 ]

[Simpele1986]

Ik weet niet zo goed waar ik moet beginnen met antwoorden, maar m'n oren klapperen een beetje van al deze info.

Graag willen we diverse klanten (klanten met max. 5 werkplekken) overzetten op 'onze' cloud.
Voor deze klanten loont het niet een eigen server te draaien, of ze vinden de 1e aanschaf vaak te duur, terwijl we echt niet veel rekenen (inkoop met kleine marge).

We hebben geen enkele PC meer draaien op Windows XP, alles draait Windows 7 Pro of hoger.

Klant heeft de keus om eventueel bestaande PC te vervangen voor een ThinClient.
Ook rekenen we een nieuw modem, hierop wordt de VPN geconfigureerd welke verbinding maakt met onze pfSense VM. Overig verkeer van- en naar het modem is uitgeschakeld.
De pfSense VM is alleen door ons externe IP te benaderen.

Klant krijgt de beschikking over 2 factor authentication middels een OTP C100 Token en/of Mobiele app (we maken gebruik van DUO-Security).

Op dit moment draaien er in totaal 3 VM's:
1x pfSense
1x Domain Controller (Server 2012R2)
1x Terminal Server (Server 2012R2)

Het is de bedoeling dat iedere klant zijn eigen Terminal Server VM krijgt. De DomainController wordt dus wél gedeeld door alle gebruikers, middels rechten en diverse policies e.d. kunnen ze niet bij elkaars data.

Exchange wordt geregeld door een Hosted Exchange welke we bij een andere partij afnemen. Dit kost de klant een paar euro per maand voor onbeperkte mail.

Ik lees nu diverse dingen waar ik nog niet (goed) aan gedacht heb, tenslotte heb ik mij nooit heel erg verdiept in het virtuele wereldje. Ik wil hier echt iets mee doen en certificering is niet uitgesloten.

Wat ik nu merk is dat het niet hebben of beperkt controle hebben over de hypervisor het grootste nadeel is.
Qua security dacht ik werkelijk dat een AV pakket zoals Symantec / McAfee afdoende was, en nog niet nagedacht over de gevolgen m.b.t je voorbeeld over Cryptoware.
Uiteraard worden er dagelijks backups gemaakt (zowel losse bestanden, als bare-metal). Deze backups worden lokaal op onze eigen servers opgeslagen, er wordt tevens elke week een snapshot gemaakt.

Ik zal dus nog moeten gaan uitzoeken hoe ik de users het beste kan isoleren, wellicht had ik uiteindelijk niet voor sessie-based moeten gaan, maar voor VDI.
Gelukkig is het nog allemaal in de testfase, en kan ik nog van alles veranderen om de security e.d. wel beter op orde te krijgen, moet er niet aan denken dat een deel van mn klanten plat liggen door iets als dit.

[MAX3400]

Simpele1986 schreef op woensdag 19 augustus 2015 @ 19:39:
Ik weet niet zo goed waar ik moet beginnen met antwoorden, maar m'n oren klapperen een beetje van al deze info.

Welkom bij de pro's We geven graag info als er voldoende aanleiding is. Ik vis even wat zaken uit je antwoord waar ik weer iets over te zeggen heb.

We hebben geen enkele PC meer draaien op Windows XP, alles draait Windows 7 Pro of hoger.

Windows 7 & hoger is nog steeds: 7, 8, 8.1, 10. Dat zijn 4 verschillende OS'en op verschillende patch-levels met daaraan verwant verschillende (of niet werkende) RDP-clients. Uit mijn hoofd heeft Microsoft alleen al afgelopen jaar 3 criticals uitgebracht die te maken hadden met RDP, certificates & schannel.

Het is de bedoeling dat iedere klant zijn eigen Terminal Server VM krijgt. De DomainController wordt dus wél gedeeld door alle gebruikers, middels rechten en diverse policies e.d. kunnen ze niet bij elkaars data.

Vast praatvoer voor een ander/nieuw topic in het correcte subforum maar een shared AD levert heel veel beheer op indien er iets fout gaat (authoritative restores), audit-wijs (klanten die eens in het jaar een audit krijgen) maar ook RBAC voor je beheerders, bijvoorbeeld.

Exchange wordt geregeld door een Hosted Exchange welke we bij een andere partij afnemen. Dit kost de klant een paar euro per maand voor onbeperkte mail.

Ook voor een ander topic maar wie gaat het daadwerkelijke beheer van de domains, MX-records, SPF-records etc. voor zijn rekening nemen?

Wat ik nu merk is dat het niet hebben of beperkt controle hebben over de hypervisor het grootste nadeel is.
Qua security dacht ik werkelijk dat een AV pakket zoals Symantec / McAfee afdoende was, en nog niet nagedacht over de gevolgen m.b.t je voorbeeld over Cryptoware.

Voor je hypervisor & netwerk: bel je hoster en ga aan tafel. Voor je eigen zaken (alles wat jij beheert/inricht): identificeer je endpoints, protocollen & file-types en ga dan eens rustig een weekend diep de sites van elke grote AV-toko afstruinen & afvinken.

Uiteraard worden er dagelijks backups gemaakt (zowel losse bestanden, als bare-metal). Deze backups worden lokaal op onze eigen servers opgeslagen, er wordt tevens elke week een snapshot gemaakt.

Neem aan dat je met bare-metal de system state van je VM's bedoeld? Of image-level backup via bijvoorbeeld EMC Avamar op de ESX-laag? Zie mijn vorige opmerking over AD: restores moet je kunnen uitvoeren voor klant A zonder dat B t/m Z er last van ondervindt.

Ik zal dus nog moeten gaan uitzoeken hoe ik de users het beste kan isoleren, wellicht had ik uiteindelijk niet voor sessie-based moeten gaan, maar voor VDI.

Weet ik niet. Nog simpeler kan je voor Remote Desktop Application Pools kiezen. Zit je wel met een stukje onderlinge communicatie (zoals DDE voor Office) maar kan je nog meer afschermen. Ook een extra framework zoals RES Workspace Manager of VMware Horizon kan extra zaken dichten voor je "zonder omkijken".

[Verwijderd]

MAX3400 schreef op woensdag 19 augustus 2015 @ 18:00:

[...]

Ongeacht of het 1 image is of 1000 images; elke VDI krijgt bij het opspinnen zijn eigen GUID. Die kan vastliggen (handmatige VDI's uitrollen), random zijn (want provisioning zonder caching disks) of gekoppeld zijn aan bepaalde users (zeg even: Power Desktops).

Een bekend euvel is dat een virusscanner in het image bij het opstarten ten eerste de GUID kwijt is (of kan zijn) waardoor je centrale management de mist in gaat. Of dat een engine-update niet geinstalleerd kan worden zonder reboot (waardoor je dus na de reboot weer het image hebt met de oude engine) etc.

Sterker nog; zodra je van 1 image naar 1 nieuwe image gaat, heb je kans dat 100% van de GUIDs verandert op de omgeving en dat je in je centrale management console van de antivirus van 500 machines naar 1000 machines gaat. Waarvan 500 natuurlijk zich nooit meer updaten.


[...]

Dat zijn uitdagingen die je (in kleinere vorm) al tegen gaat komen als je gebruik maakt van een simpel disk provisioning systeem als Citrix PVS. De meeste normale AV's zijn prima te customizen voor deze situatie. Wij draaien op onze XenApp session hosts bijvoorbeeld gewoon de "normale" Sophos AV.

Het grootste voordeel van die "speciale" VDI AV oplossingen, zit hem in het feit dat deze zich bewust zijn van het feit dat al die machines gebruikmaken van een "Trusted" image en dus in de basis identiek zijn. Dan hoef je file "C:\Windows\file.ext" dus in al die instances niet te scannen, tenzij hij gewijzigd is t.o.v. de image.

Met de rest van je opmerkingen ben ik het wel eens. Meerdere bedrijven huisvesten binnen 1 AD (en misschien ook nog wel op Terminal Servers die in hetzelfde LAN zitten als de overige systemen) is tricky. Ook je opmerking over het duidelijk afbakenen van de scope sta ik achter. Waar houdt de verantwoordelijkheid van de TS op en begint die van de klant zelf? En wat zijn de gevolgen hiervan m.b.t. security?

Misschien nog iets leuks om over na te denken voor de TS (nu we de discussie toch al wat breder hebben getrokken dan alleen AV): Waarom ga je met (IPSEC?) VPN's werken en de toegankelijkheid van je cloud platform beperken tot locaties met een door jullie ingericht "modem"? Is dat een kosten-overweging? Heb je overwogen om eens te kijken naar Access Gateway oplossingen zoals de Juniper MAG lijn? Veilig en het levert heel veel flexibiliteit.