Jesper Hanno Hansen Logica

Transkript

1 Jesper Hanno Hansen Logica

2 Agenda Hvad er IAG? Hvordan med ISA 2006? Hvorfor skal man overveje IAG? Hvad kan IAG? Hvor skal IAG placeres? Hvordan fungere IAG så? Hvilke Applikationer er supporteret Næste version af IAG Links

3 Hvad er IAG? En Hardware boks, idag... Advanceret SSL VPN Leveres sammen med ISA 2006 IAG kan ikke beskytte sig selv, opretter selv regler i ISA Serveren Sikre ekstern adgang til interne services Sikre adgang imellem interne Netværk Sikre adgang imellem klienter og Servere! Næste version hedder UAG Software og Hardware

4 Hvad er IAG? Web proxy Support for alle Web Applikationer Oversætter web applikationen, således at applikationen kan afvikles fra en web borwser uden klient komponenter Port/Socket Forwarder Support for ikke web applikationer (f.eks Native Outlook, Citrix, Telnet mv.) IAG kender til ca. 60 mest benyttede applikationer Mulighed for en Java Applet / ActiveX control til SSL tunneling Network Connector IPsec-ligende adgang, til at sikre adgang fra managed/trusted klienter Support af alle applikationer/protokoler Kræver virtual adapter på klienten

5 Hvordan med ISA 2006 Brug ISA Server hvis: Site to Site VPN imellem lokationer Sikker Internet adgang (IAG er envejs) Publisering af Exchange/Sharepoint, hvis Pre- Authentication er ok sikkerhed, samt der ikke er krav til klienten Full netværks forbindelse ønskes, via VPN IAG og ISA Server sammen er bedst IAG benytter Standard Edition af ISA Server 2006 Load balancing via Hardware Load balancer

6 ISA vs IAG Application Support ISA IAG Authorization ISA IAG Access Policy ISA IAG User Experience ISA IAG OWA, SharePoint, and basic Web Applications Any app: web/client-server, MS/3 rd party Based on user identity Based on user and device configuration, with ability to restrict usage from unmanaged devices & clean data from them Authorization determines what apps a user can go to Ability to define what apps, as well as what functionality within the app is available to each user/device type User is proxied to application based on links User is presented with a portal and links to resources available during their session

7 Hvorfor skal man overveje IAG? Overvej IAG, hvis Sikker adgang til interne resourcer ønskes Browser baseret adgang til alle Applikationer(Klientløs) Adgang fra en ikke managed klient Kendskab til om klienten opfylder visse krav, inden adgang gives F.eks Outlook Web Access 2 Factor bruger godkendelse kræves Enkel brugeroplevelse Over 75% af alle angreb sker på applikations niveau

8 Hvad kan IAG? Authentication Hvem er du? Strong Authentication Er du dén du siger du er? Authorization Hvad har du adgang til? Transport Security Hvem lytter? Endpoint Security Hvorfra og hvilken device/os? Session Security I hvor lang tid? Application Security Bør du gøre det? Information Safeguard Bør disse data ligge her?

9 Hvor skal IAG placeres? IAG bør placeres med et netkort på det interne netværk, og et net imod internettet. Kan placeres bag en anden Firewall Husk ISA 2006 er en del af IAG Kan placeres imellem interne netværk til intern publisering, hvis Serverne skal sikres imod klienterne! Flere og flere overvejer en løsning med Vilde klienter og sikre Servere... Der er 2 netkort, så de skal på hver sit Subnet Meldes ind i Domæne hvis KCD (Kerberos constrained Delegation) Adgang til Filer

10 Check af klienten Indbygget check af de fleste Antivirus skannere, spyware samt personlige Firewall Nemt at udvide således at IAG supportere andre typer software (Scripts) Mulighed for at teste på stort set alle attributter på en klient (Registry, Filer, CPU ID, Filer eller HASH af filer) Karantæne funktion af klienten Rapportering af klienternes tilstand

11 Login til IAG

12 SSO (Single Sign On) Transparent Web authentication via HTTP 401 Request Statisk Web formular Dynamic browser-sensitive Web form Integration med Password skift Example: Citrix Nfuse authentication handled out-ofthe-box

13 IAG Portal

14 Outlook via IAG Application icon on the portal page SSL wrapper activity The client/server application running

15 Outlook Web Access Regler kan defineres f. eks således til Webmail (Microsoft OWA eller Lotus inotes) End-Point Status User Functionality Attachment Wiper Running Anti-Virus Up To Date Send s Send with Attachment Read s Read Attachment

16 SharePoint integration 100% klientløs adgang til fuld SharePoint oplevelse uden brug af tunneling Inteligent kontrol af adgang/funktionalitet til Sharepoint Shared Services og Portal Server Support for flere forskellige Sharepoint Sites

17 IAG Logoff Sletter cache Maskinen her intet aftryk fra brugerens brug, via Attachment wiper

18 Applikations Wizards Built-in Services File Access Whale Portal Certified Endpoint Web Applications Generic Web Application Lotus inotes Domino Webmail 4.6/5.0/6.0 Microsoft Outlook Web Access 5.5/2000/2003 Microsoft SharePoint Portal IBM WebSphere Portal for Multiplatforms Client/Server and Legacy Generic Client Application (Single or Multi- Server) Generic HTTP Proxy Enabled App Generic SOCKS Enabled Client Applications Enhanced HAT Citrix Program Neighborhood FTP (Passive) Microsoft Terminals Services (XP and 2000) Native Notes Outlook Outlook Express PCCOM iseries Access for Windows Local Drive Mapping Sign Secure Telnet Browser Embedded Applications Generic Browser Embedded Application (Single or Multi-Server) AppGate MindTerm SSH Client Citrix NFUSE FR2 & FR3 Direct Citrix NFUSE FR2 & FR3 Secure Gateway Citrix Presentation Server Web Interface Citrix Secure Access Manager (SAM) Domino inotes DOLS (Single or Multi- Server) IBM Host On Demand NetManage Rumba Lotus Sametime Native Lotus Sametime Plugin Terminal Services Web (Single or Multi - Server) Examples of other Applications used by Whale customers SAP Portal mysap Interwoven (imanage) Plumtree HR Lawson PeopleSoft Documentum eroom Footprints

19 Endpoint Check» e-gap Components - Certified end-point - SSL VPN client - Attachment Wiper present and running» Personal firewall, Anti-virus - Presence - Operation - Version - Update - Compliance» Network domain» System - Browser - Novell Netware Client - Windows User (username, administrator?, etc.) - Operating System - OS components (SP version, TS, etc)» Various registry key checks» Endpoint products/tools supported : - Checkpoint VPN-1 Secure Client - Computer Associates etrust - Copernic Desktop Search - Google Desktop Search - ISS BlackICE - McAfee Personal Firewall McAfee Desktop Firewall McAfee VirusScan Enterprise 4.x, McAfee VirusScan 6+ - Microsoft Windows XP SP2 built-in Firewall - Sophos AntiVirus Sygate PFW Symantec Desktop Firewall Symantec Norton AV Symantec Norton AV Corporate Symantec Norton Personal Firewall Trend Micro OfficeScan Trend Micro PC Cillin - VCOM SystemSuite - ZoneAlarm 3.0+

20 UAG" vs. IAG 2007 Application Intelligence and Publishing End Point Security SSL Tunneling Information Leakage Prevention Robust Authentication Support (KCD, ADFS, OTP) IAG 2007 UAG" Product Certification (Common Criteria, ICSA) NAP Integration Terminal Services Integration Array Management Enhanced Management and Monitoring (MOM Pack) Enhanced Mobile Solutions New and Customizable User Portal Wizard Driven Configuration New New New New New New New New

21 Afslutning Overvej IAG Hvis der ønskes meget høj sikkerhed fra klienterne til applikationerne Hvis der er et krav om 2 factor authentication til alle applikationer Hvis der ønskes forskellig type adgang ud fra klientenes tilstand Der er krav om meget høj applikations kontrol/sikkerhed

22 Links IAG Website ISA Server ForeFront Downloads er/trialdownloads.aspx