遠(yuǎn)程控制如何安全通過護網(wǎng)攻防？用私有化部署可解

現(xiàn)在企業(yè)的很多業(yè)務(wù)場景下，遠(yuǎn)程控制已經(jīng)成為了剛需工具之一。但另一方面，遠(yuǎn)程控制軟件在很多安全合規(guī)敏感的業(yè)務(wù)場景下又是被“重點關(guān)照”的對象，尤其在護網(wǎng)攻防期間，一旦遠(yuǎn)程控制類軟件因固定端口、特征進程名稱等被紅隊掃描工具識別掃出，一頓通報整改的壓力少不了，比如下面圖中的例子：

但是，遠(yuǎn)程控制軟件也不能直接禁用，一來是影響運維效率，二來是很多企業(yè)已經(jīng)將遠(yuǎn)程控制深度融合到業(yè)務(wù)中，比如售后技術(shù)支持等部門，直接禁用可能會導(dǎo)致核心業(yè)務(wù)的停滯。

面對這種情況，企業(yè)應(yīng)該如何處理遠(yuǎn)程需求？如何搭建遠(yuǎn)控方案？面對業(yè)務(wù)剛需與安全合規(guī)的兩難，我們可以調(diào)整部署思路，通過向日葵SDK+私有化部署的嵌入式方案實現(xiàn)遠(yuǎn)程控制能力與合規(guī)要求的統(tǒng)一。

對于企業(yè)來說，傳統(tǒng)遠(yuǎn)程控制方案的合規(guī)困境主要有下面兩個方面：

● 個人版軟件游離于企業(yè)管控體系之外，弱密碼風(fēng)險極高。

● 標(biāo)準(zhǔn)SaaS企業(yè)版雖具備基礎(chǔ)安全管理能力，但標(biāo)準(zhǔn)化進程名和固定端口，極易被掃描工具特征庫識別。

面對上述困境，貝銳向日葵私有化部署或者SDK方案其實都是很好的解題思路。

向日葵私有化部署模式下，遠(yuǎn)控系統(tǒng)的整體運行形態(tài)更接近于企業(yè)自研遠(yuǎn)控應(yīng)用，既具備原生向日葵的遠(yuǎn)程控制能力，又能滿足安全部門對“遠(yuǎn)控進程、特征端口”的識別規(guī)避要求，避免被識別為已知遠(yuǎn)控工具。

具體來說，通過向日葵的私有化部署模式，企業(yè)可將向日葵遠(yuǎn)控系統(tǒng)部署至自有服務(wù)器，完全掌握所有數(shù)據(jù)鏈路與訪問策略，并且向日葵私有化部署時還具備以下能力：

• 客戶端定制化能力：支持對向日葵客戶端軟件的名稱、圖標(biāo)、進程名稱等關(guān)鍵標(biāo)識進行自定義。這意味著，在操作系統(tǒng)層面，向日葵遠(yuǎn)控客戶端將不再暴露出其通用特征，無法被以“進程特征”的方式進行識別。
  

• 通信端口可配置：向日葵私有化方案允許企業(yè)根據(jù)內(nèi)網(wǎng)策略自定義遠(yuǎn)控通信所使用的端口。所設(shè)端口與官方公開版使用端口不重合，從而規(guī)避了被安全設(shè)備基于端口號識別的風(fēng)險。

另一方面，對于希望將遠(yuǎn)程控制能力深度融合進自有業(yè)務(wù)系統(tǒng)的企業(yè)來說，向日葵私有化部署的SDK集成方案可以提供更為靈活的方式。

同時，私有化部署的SDK方案天然具備更高的“抗識別”能力，尤其適用于對終端設(shè)備策略限制嚴(yán)格、或安全域分級復(fù)雜的場景，包括以下這些優(yōu)勢：

• SDK形式以API/組件包的方式嵌入原有系統(tǒng)，無需獨立安裝遠(yuǎn)控客戶端，遠(yuǎn)控鏈路被完全封裝在業(yè)務(wù)邏輯之中，完全不會在系統(tǒng)中暴露出明顯的遠(yuǎn)控軟件特征。
  

• 由于直接將遠(yuǎn)控能力進行集成，因此沒有遠(yuǎn)程控制相關(guān)的獨立進程或服務(wù)存在，傳統(tǒng)掃描工具（如EDR、端口掃描器、進程監(jiān)控工具）幾乎無法以“遠(yuǎn)控軟件”的維度對其進行識別。

上述兩種方案思路，我們都可以搭建一個和自身核心業(yè)務(wù)更加融合，不易被掃出的遠(yuǎn)程控制業(yè)務(wù)方案。

此外，貝銳向日葵全部的業(yè)務(wù)數(shù)據(jù)、通信數(shù)據(jù)都經(jīng)過RSA+AES算法混合加密，同時也支持支持國密SSL采用SM2+SM4的國密算法。且密鑰僅對單次會話有效，而且畫面、控制、認(rèn)證等數(shù)據(jù)分離傳輸，不會被集中攻陷。

對于被控端登入信息，向日葵采用本地存儲策略：密文只保存在被控本地，云端既不傳輸，也不存儲客戶端的任何登入信息，這意味著即使服務(wù)器被攻陷，亦無法通過服務(wù)器上的數(shù)據(jù)獲得終端的控制權(quán)。

除了上述這些，之前在調(diào)研企業(yè)遠(yuǎn)程控制方案時，發(fā)現(xiàn)向日葵的歷史也很長了，已經(jīng)做了19年，差不多是國內(nèi)最早的自研遠(yuǎn)控方案，在遠(yuǎn)程連接這個領(lǐng)域積累了大量用戶，注冊用戶過億，企業(yè)客戶也有一百多萬，設(shè)備接入量更是達(dá)到了20億臺。這些數(shù)字雖然不能代表全部實力，但至少說明它在行業(yè)內(nèi)還是非常成熟、可靠的，在官網(wǎng)也能看到大量頭部企業(yè)的案例。

另外，還發(fā)現(xiàn)目前很多企業(yè)已經(jīng)在用向日葵SDK或者做了私有化部署，除了一些大廠也在用，也看到不少服務(wù)商，直接把向日葵的技術(shù)嵌入到了自己的業(yè)務(wù)系統(tǒng)里，用來做遠(yuǎn)程支持或者設(shè)備管理。

其實，作為一款專注遠(yuǎn)控多年的產(chǎn)品，向日葵在安全合規(guī)這塊做得還是挺到位的，尤其是在當(dāng)前政策和數(shù)據(jù)合規(guī)要求越來越嚴(yán)的背景下，確實是個值得考慮的選項。像信息系統(tǒng)安全等級保護三級認(rèn)證，這在國內(nèi)已經(jīng)算是比較高的安全標(biāo)準(zhǔn)了。

同時，也可以查到貝銳向日葵還通過了上海計算機軟件技術(shù)開發(fā)中心的安全滲透測試，被評為“低風(fēng)險系統(tǒng)”——這個評級在業(yè)內(nèi)算是比較硬的，尤其是在遠(yuǎn)控這種敏感應(yīng)用場景下。據(jù)說目前業(yè)內(nèi)能做到這一點的遠(yuǎn)控產(chǎn)品并不多。

總的來說，如果大家也在看企業(yè)遠(yuǎn)控方案，或者在思考怎么在合規(guī)前提下做遠(yuǎn)程支持，不妨考慮貝銳向日葵私有化+SDK方案。