Что нам могут предложить тонкие клиенты в отличие от классических рабочих станций? Остановимся подробно на каждом аспекте информационной безопасности и рассмотрим в деталях преимущества тонких клиентов.

Тонкие клиенты - потомки древних терминалов, основной задачей которых была связь с мейнфреймом. Связь эта ограничивалась пересылкой в обе стороны набора управляющих команд и отображением результата на локальном дисплее.
Современные тонкие клиенты могут предоставлять конечному пользователю доступ как к классическим терминальным службам, когда пользователь работает внутри своего сеанса на удаленном сервере, так и к полноценной виртуализированной ОС. Такая технология называется Virtual Desktop Infrastructure, и она особенно востребована в больших компаниях.
Типичный тонкий клиент в среднем ценовом сегменте построен на наборе микросхем AMD Geode или ViA Eden, оборудован портами VGA/DVI, USB, сетевым адаптером и разъемами для микрофона и наушников. Как опция доступно VESA-крепление для установки на заднюю стенку монитора. В качестве ОС выступает Windows СЕ, которая поддерживает подключение к серверу по протоколу RDP (Microsoft) и ICA (Citrix).
Тонкие клиенты при правильном использовании позволяют значительно снизить общую стоимость владения и, что немаловажно, повысить информационную безопасность за счет более централизованного контроля над всей инфраструктурой. Именно этот вопрос и будtn рассмотрен в данной статье.

Доступность
Централизованное хранение данных и выполнение всего программного обеспечения на удаленном сервере вкупе с отсутствием на клиентах операционной системы и приложений в привычном смысле позволяют исключить следующие факторы, влияющие на доступность:

1) Сбои локального аппаратного обеспечения
В случае обычной рабочей станции выход компонентов ПК из строя зачастую может привести к фатальным последствиям. Отказавший жесткий диск может безвозвратно унести с собой необходимую информацию. Даже при настроенной схеме резервного копирования откат возможен на дискретные промежутки времени, и восстановить данные «за два часа назад» практически невозможно. Прибавьте сюда время на разворачивание операционной системы, установку приложений и настройку окружения, и результат вас не порадует.
Серверные жесткие диски, как правило, более надежны и объединены в RAID-массивы для обеспечения повышенной отказоустойчивости. Более того, данные могут храниться на специализированных сетевых хранилищах с еще более развитой системой защиты от сбоев и поддержкой сжатия и дедупликации для уменьшения объема, занимаемого данными.
Еще более опасны ошибки в работе оперативной памяти, т.к. в отличие от модулей, устанавливаемых на серверах, десктопные версии не имеют поддержки проверки четности (ЕСС). которая позволяет выявлять и исправлять ошибки на лету. Забегая вперед, скажем, что такие ошибки могут пройти совершенно незамеченными и в итоге нарушить целостность данных.

2) Изъятие/кража
К сожалению, никто от этого не застрахован. В случае изъятия или кражи рабочей станции теряется вся информация, хранившаяся на ней и попавшая в «окно» между процедурами резервного копирования (если таковое вообще проводилось). Более того, организация нового рабочего места сопряжена с трудностями, о которых говорилось выше. В случае использования терминала новое рабочее место может быть организовано достаточно быстро и, что самое главное, прозрачно для сотрудников.

3) Сбои электропитания
В отличие от рабочих станций нет никакой необходимости защищать терминалы от сбоев по питанию. При отключении электричества все программы, запущенные в сеансе пользователя, продолжат работу как ни в чем не бывало. После того как подача электроэнергии будет восстановлена, пользователи смогут продолжить работу с того момента, на котором они ее оставили. Защитить же один или несколько серверов от проблем в электросети гораздо проще, чем десятки или даже сотни рабочих станций.

4) Вредоносное ПО
Поскольку подавляющее количество вредоносного программного обеспечения, существующего на сегодняшний день, ориентировано на выполнение в среде Windows, использование тонких клиентов с альтернативной операционной системой значительно снижает риск заражения зловредным ПО. Особняком стоят терминалы, базирующиеся на встраиваемых версиях настольных операционной системы Microsoft, таких, например, как Windows ХР Embedded. Однако и они могут быть защищены от несанкционированного изменения с помощью технологии EWF (Enhanced Write Filter).
Таким образом, снижается до минимума время простоя, вызванное этими причинами. Не говоря уж об отсутствии необходимости закупать антивирусное программное обеспечение, как это было бы необходимо в случае рабочих станций. Достаточно одного серверного антивируса.

Целостность
Централизованная архитектура также имеет неоспоримые преимущества, когда речь заходит о целостности данных. С ее помощью можно исключить или снизить влияние таких факторов, как:

1) Локальное хранение данных
Благодаря тому, что никакие данные не хранятся локально, значительно снижается вероятность внесения в них каких-либо изменений лицами, не имеющими таких полномочий. Это могут быть как другие сотрудники, так и посторонние люди, оказавшиеся рядом.
При наличии физического доступа к компьютеру всегда есть вероятность того, что к данным на его жестком диске может быть получен доступ в обход внедренных схем идентификации и аутентификации. Достаточно любого загрузочного дистрибутива операционной системы (Windows/*nix), чтобы прочитать файлы и внести в них изменения.

2) Локальная обработка информации
Поскольку на тонких клиентах не выполняется прикладное программное обеспечение и отсутствует окружение в виде привычной операционной системы, то нет и возможности повлиять на результат обработки данных. Сбои в работе оперативной памяти, о которых я уже говорил, не имеют возможности повлиять на результат работы программ. Вредоносное ПО не может прочитать/изменить файлы или данные в памяти других процессов, не может перехватить и изменить НТТР(S)-трафик и т.п.

Конфиденциальность
Сама архитектура тонкого клиента в связке с централизованным хранением данных и выполнением программного обеспечения позволяет значительно уменьшить количество векторов атак, направленных на нарушение конфиденциальности. Использование терминальных решений уже подразумевает внедрение схем идентификации и аутентификации. Таким образом, мы исключаем следующие риски:

1) Перехват трафика
У большинства рабочих станций генерируемый ими трафик проходит по сети в не зашифрованном виде. Теоретически это может быть исправлено с помощью таких технологий, как IPsec, однако их внедрение требует значительных трудозатрат.
Тонкие же клиенты стандартно поддерживают проверку подлинности на сетевом уровне (Network Level Authentication) и SSL/TLS-шифрование с длиной ключа до 128 бит. Это позволяет защититься от перехвата трафика и атак типа МitМ (man-in-the-middle).

2) Перехват вводимых данных
Поскольку вредоносное ПО не имеет возможности выполняться на терминале, то можно полностью исключить возможность программного перехвата нажатий клавиш и вводимых в различные поля данных. Таким образом, исключаются атаки типа MitB (man-in-the-box).

3) Несанкционированный доступ
Несмотря на то что борьба с инсайдерами выходит далеко за рамки программно-технических мер, и в этом случае тонкие клиенты могут повысить безопасность. Так, например, блокировка доступа к внешним носителям является штатной функцией большинства терминалов и доступна во встроенном конфигураторе. Также этот запрет может быть продублирован на уровне сервера, например, отключением проброса устройств.
Для полноценных рабочих станций такие ограничения ввести сложнее, т.к. они требуют либо закупки дополнительных программных комплексов, выполняющих такие функции (например, DeviceLock), либо тонкой настройки операционной системы и групповых политик. А отсутствие локально хранимых данных не дает возможности создать их копию в обход внедренных систем защиты.

Заключение

Тонкие клиенты как часть централизованной архитектуры позволяют значительно снизить возникающие риски и повысить информационную безопасность. Достигается это за счет хранения данных и запуска программного обеспечения на удаленных серверах. Это, в свою очередь, позволяет централизованно управлять разграничением доступа, шифрованием, резервным копированием пользовательских данных, антивирусной защитой и многим другим.
Благодаря своей надежности за счет отсутствия движущихся частей, возможности быстрой замены и невысокой стоимости терминальные решения могут с успехом заменить обычные рабочие станции. Особенно эффективны они в том случае, если до этого персональные компьютеры использовались для работы с документацией, обработки электронной почты, работы в Интернете и других задач, не требующих больших вычислительных мощностей.
Однако тонкие клиенты плохо подходят для задач, связанных с обработкой видео или аудио, работы в специализированных CAD-системах и любых других приложениях, которым требуется много ресурсов. Это ограничивает сферу их применения. Терминалы являются оптимальным решением, если ими оборудуют то, что раньше называлось «АРМ» (автоматизированное рабочее место).