Безопасный просмотр в браузере: два подхода

Согласно исследованию «The Ghost in the Browser», проведенному компанией Google, каждый день выявляется от 10 до 30 тыс. новых вредоносных веб-сайтов. И в рамках компании достаточно одному сотруднику зайти на такой сайт, чтобы подвергнуть риску всю организацию.

Обычный пользователь, скорее всего, не откроет сайт, который заведомо ему покажется небезопасным. И все же даже если вы посещаете исключительно легальные сайты, нет полной уверенности, что они безопасны. Злоумышленники могут взломать практически любой сайт, имплементировать в него специальный код и тем самым подвергнуть опасности системы пользователей при его посещении.

Поэтому если у вас не реализованы специальные политики и не используется соответствующие решения, предполагающие безопасный просмотр сайтов, вредоносное ПО может быть установлено в любой момент во всем его многообразии. Включая и ранее неизвестные угрозы «нулевого дня», которые могут не детектироваться большинством решений для защиты от вредоносных программ.

Безопасный просмотр

Существует несколько подходов, реализующих защиту в рассматриваемом контексте, причем это касается и обычных пользователей, и корпоративных. Традиционный вариант основан на использовании антивирусного ПО и файерволлов, для обнаружения и блокировки угроз. Есть и множество других шагов, которые можно предпринять для защиты обычных браузеров — тут и установка плагинов для отключения скриптов, и настройка параметров конфиденциальности. Однако всего этого может быть недостаточно: слишком часто что-то непредвиденное может проскользнуть сквозь эти препоны. Для полной уверенности в том, что вы можете безопасно выходить в сеть, необходим совершенно иной более активный подход.

Попробуем сопоставить два подхода — виртуализацию браузера и его удаленную изоляцию.

Что такое виртуальный браузер?

При виртуализации браузера приложение работает в виртуальной среде, отделенной от локальной ОС, таким образом обеспечивается буфер между операцией просмотра и конечной точкой. Как следствие, любой вредонос, с которым сталкиваются во время сеанса просмотра, будет заражать только виртуальную среду, в которой фактически работает браузер.

Виртуальные браузеры могут быть в разных реализаций. На базовом уровне он может работать на стороне клиента, в «песочнице» или на виртуальной машине для конкретного браузера, которая физически расположена на конечной точке. В качестве альтернативы среда просмотра может находиться на удаленном компьютере, например на назначенном сервере в демилитаризованной зоне организации или даже в облаке. Такой тип виртуального браузера обычно включает в себя настройку выделенной среды RDS (Remote Desktop Services, службы удаленных рабочих столов) или VDI (инфраструктуры виртуальных рабочих столов) для просмотра веб-страниц. Стоит учитывать, что реализация такой среды включает в себя сложную инфраструктуру RDS/VDI, а также может потребовать приобретения клиентских лицензий Microsoft RDS.

Удаленная изоляция браузера

Удаленная изоляция браузера (Remote Browser Isolation, RBI) начинается с той же базовой концепции виртуального браузера, но продвигается на шаг дальше. Как заложено в самом названии, изоляция удаленного браузера выполняет действия пользователя по просмотру в удаленном месте, изолированном от локальной сети. Но вместо использования полной реализации RDS или виртуального рабочего стола, с RBI удаленный виртуальный браузер запускается в специальном легковесном контейнере Linux, при этом для каждой вкладки браузера выделяется отдельный ресурс. Когда пользователь впервые запускает сессию просмотра, будь то нажатие на ссылку или ввод URL в браузере, один из контейнеров из пула выделяется для этой сессии. Весь активный веб-контент визуализируется в изображения и звук внутри контейнера и передается в режиме реального времени на устройство пользователя для полностью прозрачного и интерактивного просмотра веб-страниц. Поскольку на пользовательском устройстве не запускается веб-код, ваша сеть и конечные точки защищены от любых вредоносных программ или других угроз, которые могут скрываться в исходном коде. Когда пользователь закрывает или скрывает вкладку, соответствующий контейнер выбрасывается вместе с вредоносными программами, которые в противном случае могли бы нарушить безопасность организации.

Виртуальный браузер VS Удаленный изолированный браузер

При том, что оба решения обеспечивают столь необходимый уровень защиты от угроз, исходящих от браузеров, RBI предлагает множество преимуществ с точки зрения общих расходов, пользовательского опыта и, самое главное, безопасности.

Стоит обратить внимание, что многие удаленные виртуальные браузеры работают на технологиях RDS/VDI, это означает, что требования к оборудованию и настройка сервера/клиента нетривиальны, а также может потребоваться приобретение Microsoft CAL (Client Access Licenses). Помимо этого, подобным же образом, требования к аппаратной совместимости некоторых решений виртуализации клиентской стороны могут вызвать необходимость обновления ПК и решение может не поддерживать другие ОС кроме Windows. Подход RBI, использующий контейнерную архитектуру на базе Linux, напротив потребует значительно меньшей серверной инфраструктуры по сравнению с решениями на базе виртуализации. Как следствие, такая реализация позволит минимизировать затраты в долгосрочной перспективе и кроме того она более гибкая в плане масштабирования.

С точки зрения пользовательского опыта, виртуальным браузерам требуется время на запуск — на инициирование сессии RDP может уйти несколько секунд, при этом контейнерные удаленные браузеры, используемые для решений RBI, запускаются мгновенно. Более того, в связи с ресурсоемкими требованиями типичного решения виртуального браузера, как правило, используются отдельные браузеры или отдельные вкладки для просмотра. В удаленных браузерах можно использовать один и тот же браузер или одну и ту же вкладку, при этом трафик для просмотра будет безупречно маршрутизироваться в соответствии с определениями прокси-серверов организации.

Легкие контейнеры, используемые для просмотра в реализации RBI, позволяют запускать новую изолированную среду просмотра для каждой вкладки и сеанса просмотра, и отбрасывать ее, когда вкладка или сеанс больше не используются. Это лимитрирует распространение вредоносного ПО (например, XSS) и его стойкость. Ericom Shield, в частности, предлагает дополнительный уровень безопасности, обеспечивая встроенную дезинфекцию любых загруженных файлов для защиты от скрытых вредоносных программ, которые могут быть встроены внутрь.

Независимо от того, какой подход вы выберете — виртуализацию браузера или удаленную его изоляцию, настоятельно рекомендуется перейти на безопасную технологию просмотра веб-страниц с правильной реализацией. Увы, полагаться на традиционные решения для защиты от разнообразных угроз, такие как брандмауэры, антивирусное программное обеспечение и защищенные веб-шлюзы, больше не приходится.

"Публикация подготовлена при активном содействии ROI4CIO"

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365