Gastbeitrag: Klaus Gheri über Advanced Remote Access für externe und mobile Mitarbeiter.

Foto: Barracuda Der Autor Klaus Gheri ist General Manager Network Security bei Barracuda Networks In der modernen Arbeitswelt ist Mobilität nicht mehr wegzudenken und so verlagert sich der Schwerpunkt mehr auf die Produktivität der Mitarbeiter als auf deren Standort. Diese arbeiten überall und zu jeder Zeit: im Café oder im Zug und momentan – häufig notgedrungen - von zu Hause – oft mit den privaten Laptops, Tablets und Smartphones. Dabei ist die Vielfalt der Geräteauswahl immens: Windows-PCs, MacBook-Laptops, Tablets, iPhones, Android-Smartphones und mehr. Was auf der einen Seite eine Trendentwicklung ist, hat dennoch so manches Unternehmen infolge der grassierenden Pandemie und den damit notwendigen Präventivmaßnahmen recht kalt erwischt.

Das mobile Arbeiten bringt neben den Vorteilen selbstverständlich auch Herausforderungen für Unternehmen mit. Allen voran – die Sicherheit der IT-Infrastruktur. Zudem ist es wichtig, den Zugriff der mobilen Mitarbeiter auf die Unternehmensressourcen zu steuern. Die Mitarbeiter benötigen eine schnelle, flexible, zuverlässige und eben eine rundum sichere Methode für den Zugriff auf interne Anwendungen, Informationen und Netzwerke des Unternehmens. Und vor allem sollte die gewählte Methode einfach sein. Auch Nicht-IT-Experten sollten sichere Verbindungen herstellen können. Eine einfache und benutzerfreundliche Schnittstelle, über die sich jeder zügig anmelden und verbinden kann, ist dafür unabdingbar.

Es gibt kein Patent-Rezept für den sicheren Remote-Zugriff

Auch BYOD stellt IT-Abteilungen vor Herausforderungen. Dabei steht die Unterstützung einer breiten Palette unterschiedlicher Geräte und Betriebssysteme an oberster Stelle. Zudem schränkt die berufliche Verwendung privater Geräte die Mitwirkung der IT-Abteilung ein, da die Mitarbeiter selbst über die Installation von Software und Anwendungen entscheiden – und auch darüber, von wem die Geräte tatsächlich genutzt werden. Geräte, die sich für den Zugriff auf vertrauliche Informationen mit dem Unternehmensnetzwerk verbinden, müssen vor Malware sicher sein.

Für die Bereitstellung eines sicheren Remote-Zugriffs auf Unternehmensdaten gibt es kein Patentrezept. Dennoch benötigen die mobilen und externen Mitarbeiter eine sichere Lösung, die für Verbindungen mit der speziellen Arbeitsumgebung im Unternehmen optimiert ist. Eine Cloud-basierte Firewall bietet mehrere Optionen, Mitarbeitern einen sicheren Netzwerkzugriff zu ermöglichen, die das zeitaufwendige Konfigurieren und Verwalten von Clients erspart.

Remote-Zugriff über Browser

Ein sicheres SSL-VPN-Portal sollte einen einfachen browserbasierten Remote-Zugriff ermöglichen. Auf diese Art können die Mitarbeiter Anwendungen, Netzwerkordner und Dateien genauso im Web-Browser aufrufen, als wären sie im Büro. Aus Sicherheitsgründen wird die gesamte Netzwerkkommunikation durch einen verschlüsselten und authentifizierten SSL-Tunnel an das SSL-VPN-Gateway der Firewall gesendet. Das Portal muss natürlich die gängigsten Geräte, darunter Apple iOS und Android unterstützen.

Die Unternehmens-IT sollte dafür sorgen, dass die Mitarbeiter einen schnellen, Java-unabhängigen Zugriff auf häufig verwendete Anwendungen des Firmennetzwerks erhalten, ganz gleich ob diese On-Premises oder in der Cloud gehostet werden. Möglich ist dies mittels einer benutzerfreundlichen Konnektivitäts-App für BYOD- und Mobilgeräte, die auf jeder Plattform dasselbe Erscheinungsbild hat und keine Anmeldung und Kontrolle privater Geräte erfordert. Einheitliche Schnittstellen für sämtliche Client-Typen erleichtern dabei dem IT-Helpdesk den Support. Solch eine App sollte sich nach der Installation und der Anmeldung mit Benutzerkennung und Passwort selbstständig konfigurieren.

Authentifizierung mit MFA

Foto: Barracuda Die Firewall sollte eine sichere Authentifizierung unterstützen Kritische Unternehmensdaten müssen mit einer sicheren Authentifizierungsmethode geschützt werden. Dabei sollte die Cloud-basierte Firewall alle mehr oder weniger gängigen externen Authentifizierungsservices unterstützen, einschließlich Microsofts Active Directory, LDAP, Radius, MSNT, RSAACE, SMS Passcode oder RSA-Token. Für zusätzliche Sicherheit können verschiedene Authentifizierungstypen miteinander kombiniert und als robuste Multi-Faktor-Authentifizierung implementiert werden. Time-Based-One-Time Passwörter (TOTP) ist hier ein Standard, der für den zweiten Faktor gelten sollte und damit viele gängige Varianten wie MS-Auth oder Google-Auth unterstützt.

 Network Access Client für zentrale Verwaltung

Network Access Clients, die in puncto Leistung und Funktionalität über herkömmliche IPsec-Clientsoftware hinausgehen, beinhalten beispielsweise eine schnelle Wiederherstellung von VPN-Tunneln, „Always-on“-VPN-Verbindungen für PCs, weniger Bandbreitenverbrauch durch integrierte Traffic-Komprimierung, redundanten VPN-Gateway-Support, selektives Routing des Netzwerkverkehrs durch den VPN-Tunnel und eine für jeden Standort optimale VPN-Gateway-Erkennung. Eine zentral verwaltete Netzwerkzugriffskontrolle (Network Access Control – NAC) sowie eine leistungsfähige erweiterte Personal Firewall gewährleisten die Integrität der Clients und die Einhaltung der Sicherheitsrichtlinien durch externe Mitarbeiter, die sich über ihre Desktop-PCs von zu Hause aus mit dem Unternehmensnetzwerk verbinden.

Ein zusätzlicher Aspekt, der für die Verwendung eines Klienten und nicht nur eines SSL-VPN spricht, ist die Notwendigkeit der Verwaltung von unternehmenseigenen Windows-Geräten. Hier ist regelmäßiger sicherer Netzwerkzugang zu einem Domain-Controller notwendig, um am Endgerät Richtlinien zu überprüfen bzw. Profileinstellungsanpassungen vornehmen zu können.

Sicherheitsrichtlinien zentral verwalten

Foto: Barracuda Beispiel einer sicheren Remote-Access-Architektur Sicherheitsrichtlinien sollten an einem zentralen Ort verwaltet werden. Im Idealfall übernimmt die Firewall die Richtlinien für die Zugriffskontrolle, sodass sämtliche Remote-Zugriffstypen, wie SSL-VPN, Network Access Clients oder herkömmliche IPsec-VPN-Verbindungen, von einer einheitlichen Sicherheitsebene aus verwaltbar sind.

Mobile Mitarbeiter benötigen mobilen und externen Zugriff auf das Unternehmensnetzwerk, ob es sich in der Cloud oder On-Premises befindet. Unternehmen benötigen eine sichere Methode für die Bereitstellung dieses Zugriffs, um die Produktivität, die Flexibilität und den Komfort zu erhöhen: Mithin eine Win-Win-Situation für flexible Unternehmen und ihre mobilen Mitarbeiter – vor allem auch in Krisenzeiten.