防疫不停工： UCloud 远程办公接入安全指南

[wxxshu]

这段时间，坐在家里，打开笔记本，登上 VPN，开启云服务，加入多方语音会话等，已成为很多人新的工作流程。受疫情影响，为减少早晚通勤、集中办公带来的传播风险，全国几亿人开启了远程办公模式。全员远程办公来的太快，大部分企业甚至还没有完全准备好就被动开始了。这个看似比较简单的场景，却隐藏了太多的安全风险。

远程办公场景下的风险

在远程办公场景下，很多人会选择使用自己的私人电脑或者是家中的老电脑、手机、pad 等移动设备，通过 VPN 或远程桌面等方式连接到企业内网，还会涉及文件传输、下载及远程登陆等操作。由于很多个人设备版本老旧、安全防护基础薄弱，存在病毒木马攻击、数据泄露等风险，一旦被有心人利用，将会对企业造成严重的损害。

举个热乎的例子：

今天早上，某科技公司发布故障通告，称某核心运维人员通过个人 VPN 登入公司内网跳板机，因个人精神、生活等原因对企业线上生产环境进行恶意破坏。该行为导致企业 SaaS 业务数据出现故障，大面积服务集群无法响应，生产环境及数据遭受严重破坏，业务系统宕机 36 小时。

除了此类内部员工权限不规范导致的问题外，还有很多是由于员工个人安全意识不强所导致的安全事件。在疫情期间全员远程办公的模式下，以上这些问题更是会放大数倍。

图：远程办公风险点示意

如上图所示，我们总结了几个发生概率较高的风险点：

终端设备

员工的个人设备缺乏完善的安全保护，由于疏于网络安全防控的意识，极有可能被植入木马，黑客通过远控的模式进入内网并进行数据的爬取，或者在线上进行高危操作。

家用路由器

很多人可能只意识到了公共 WIFI 的安全隐患，殊不知家用路由器也已成为黑客攻击的重灾区。黑客可利用路由器进行 DNS 的劫持、数据报文的拦截分析，明文信息也可被黑客获取到。同时，黑客通过 DNS 劫持，可以将用户的操作引导到恶意钓鱼网站上，并进行信息的窃取。

内网权限不规范

如果内网权限设置不当，一个普通的恶意用户就可以造成不可挽回的损失。当一个恶意用户通过种种方式侵入了内网，如果权限控制不当，他甚至可以获取到公司内网的所有数据，并进行肆意破坏。

此外，黑客有可能通过社会工程、钓鱼网站等方式窃取公司机密。2016 年 3 月，UCloud 某员工收到了一个网名为 Benjurry.ji 的微信询问，要求拉取公司所有员工的身份信息。经过该员工反复确认后，发现这是一个冒充公司创始人的微信号。此外，员工邮箱、手机也都是可能的数据泄漏点。

说了这么多，如果来避免上述问题呢？

为了建立绿色的远程办公通道，使员工安全便捷地访问公司内网资源，使用 VPN 技术是最合适的选择。

VPN 技术简介

什么是 VPN 技术？

VPN 即虚拟专用网络，在公用网络上建立专用网络进行加密通讯。异地员工如需接入公司内网，可通过当地互联网连接 VPN 服务器，然后进入企业内网。在此过程中，所有通讯数据都进行了加密处理，就如同专门架设了专用网络一样，但实际上 VPN 使用的是互联网上的公用链路，因此 VPN 称为虚拟专用网络，其本质上就是利用加密技术在公网上封装出一个数据通讯隧道。

当前存在许多不同的 VPN 技术，如果按照业务用途可以将 VPN 分为“站点到站点 VPN”和“端到站点 VPN”两类。

“站点到站点 VPN”常用于两个公司之间的网络互通，典型的场景是总部和分支之间，比如 IPSec VPN、SSL VPN、L2TP VPN 等。“端到站点 VPN”常用于远程办公人员和公司网络互通，比如 PPTP VPN、L2TP VPN、SSL VPN 等。

方便快捷搭建远程办公环境

为了解决远程办公的问题，很多企业都会接入 VPN，实现用户随时随地远程访问。对于企业而言要么花费昂贵的费用采购商业软硬件，要么使用开源免费软件一步步自己搭建并调试，在疫情这种紧急情况下两种方式都很难满足业务对交付时间的紧迫需求。

UCloud 提供了丰富的网络和安全产品，可以方便快捷的搭建一套安全远程办公环境。我们用一个典型的例子来查看：

图：远程办公接入安全互联示意

如上图，要搭建一个安全的远程办公环境，需要以下几个步骤：

1、终端用户如何安全访问内网？

首先需要用 VPN 来进行登录。

UCloud 提供 VPC 和路由表产品可快速搭建一套 SSL VPN，结合自定义路由表，即可实现一套OpenVPN的搭建。其中，我们还提供 SSL 证书产品，该证书可以对 OpenVPN 的服务器进行认证，避免出现网络劫持，导致数据泄露。

图：UCloud 控制台 USSL 证书操作示意

2、如何实现 VPN 网关的保护？

UCloud 支持 DDoS 攻击防护等云安全产品，SSL VPN 网关可以避免被 DDoS 攻击，保证远程办公环境的稳定，此处暂不做赘述。

3、如何实现内网的权限控制和安全？

UCloud 的堡垒机产品和数据库审计产品，可以很好的满足数据库操作、运维操作的审计和权限控制。

堡垒机产品可为用户提供集中运维管理解决方案：运维人员通过堡垒机远程访问云主机（ UHost ）和混合云服务器，实现对访问账号集中管理，并做精细的权限规划和运维审计，提升企业内部风控水平。

图：UCloud 堡垒机产品示意

数据库审计产品可对数据库日志进行审查，从而跟踪各种对数据库操作的行为。此外，也可以通过精细的权限规划，实现对数据库操作行为的控制。

图：UCloud 数据库审计产品示意

此外，UCloud 的 VPC 提供了 VPC 的默认隔离、VPC 联通、ACL 等功能，可以通过适当的规划，实现服务器之间的联通和隔离，通过 VPC、子网、ACL 的划分和设定，实现更好的安全域控制。

4、如何实现云和 IDC 的快捷互联？

UCloud 提供 IPSec VPN 网关产品具备可容灾的高可用 VPN 服务功能，配合用户在 UCloud 的 VPC、用户的本地网关及公网服务三者共同使用。用户可选用多种加密及认证算法，保证隧道的安全可靠。用户可使用自己的边缘防火墙，与公有云建立隧道，安全上云。

图：UCloud 控制台 IPSec VPN 操作示意

此外，UCloud 还提供了软硬件结合的上云解决方案。 智能接入网关是基于智能硬件的一站式上云方案，客户通过购买 UCloud 提供的专用硬件设备，简单配置后，通过 Internet 实现就近接入、加密上云。同时结合 UCloud 提供的 VPC 自定义路由能力，依托 UCloud 骨干网，实现一点接入、多点互通。

这样用户的 IDC 也可以与云上建立安全连接，利用 SSL VPN 接入、堡垒机、数据库审计实现运维和权限控制，VPC 实现安全隔离，利用云的防护能力保证远程办公的安全。

结语

疫情让我们清醒的认识到，时代的齿轮是如何巨大的影响每个人的工作和生活。云计算作为未来世界中的水和电，也必将承担更多的作用，为企业解决各类黑天鹅事件带来的问题，为企业业务的正常运营保驾护航。

今晚 19：00，UCan 线上公开课《开工背后：远程办公下的企业信息安全》，教你如何在开放的网络环境下，抵御恶意攻击、保障信息安全。