Описание решения
Задача
Системы централизованного управления доступом принципиально отличаются от решений для централизованного управления другими процессами в сфере защиты информации.
Например, для обеспечения безопасности периметра можно приобрести оборудование и ПО одного разработчика и, соответственно, использовать единую консоль управления и мониторинга. Для выявления утечек или для защиты от кибератак и вирусов также предлагаются централизованные решения.
Однако элементы управления доступом, в отличие от других средств защиты информации, изначально существуют в любой ИТ-инфраструктуре в виде подсистем авторизации для каждого отдельно взятого сервиса, приложения, веб-приложения и ОС. Эти подсистемы реализуют процедуры идентификации, аутентификации и разграничения доступа независимо друг от друга, а также обладают собственными консолями управления и журналами событий.
Из-за такой разрозненности процессов, связанных с управлением учетными записями и их мониторингом, сформировать единый подход к управлению доступом весьма непросто. Эта задача осложняется и тем, что каждый сервис или система может использовать собственную нотацию имен и фиксировать только отдельные события информационной безопасности. Это серьезно затрудняет расследование инцидентов, связанных с доступом, особенно если организация не использует решений класса Security Information and Event Management (SIEM).
Как следствие, в таких условиях отсутствуют единые политики управления аутентификаторами, в том числе паролями. Соответственно, для доступа к сервисам с отдельными подсистемами авторизации пользователям приходится оперировать несколькими аутентификаторами.
Централизовать управление доступом и учетными записями можно с помощью продукта класса Identity Governance & Administartion (IGA). Однако подобные системы крайне сложно внедрять, при этом далеко не все из них включают в себя модули управления аутентификацией и поддерживают различные сценарии усиленной аутентификации. Основная функция подобных продуктов – управление жизненным циклом учетных записей и их полномочиями при работе с целевыми системами, устройствами, сервисами, приложениями и веб-приложениями.
Сложности при администрировании и эксплуатации разрозненных систем аутентификации способны привести к потерям финансов и времени, не говоря уже о том, что организация может столкнуться с угрозами для информационной безопасности. Чтобы решить эту проблему максимально эффективно, можно использовать специализированный продукт класса Access Management для управления доступом и его защиты.
Решение
Чтобы построить централизованную систему управления доступом и его защиты, в первую очередь необходимо интегрировать управляющую платформу решения Access Management со всеми целевыми ресурсами.
К решениям этого класса относится продукт Компании Индид – Indeed Access Manager (Indeed AM). Платформа Indeed AM поддерживает интеграцию со следующими типами ресурсов:
- рабочие места под управлением ОС Microsoft Windows;
- серверы приложений (Microsoft Windows Remote Desktop Server или Citrix XenServer);
- виртуальные рабочие столы (VDI);
- VPN-шлюзы для удаленного доступа;
- публичные и корпоративные веб-сервисы;
- корпоративные локальные приложения на рабочих станциях и др.
Интеграция позволяет реализовать единые сценарии усиленной аутентификации, в частности следующие:
- биометрическая аутентификация;
- аутентификация с использованием аппаратных устройств;
- аутентификация с помощью генераторов одноразовых паролей;
- push-аутентификация.
В части централизованного управления доступом платформа Indeed AM поддерживает следующие основные решения::
- единый журнал событий доступа с персонификацией каждого подключения, который позволяет снизить трудозатраты на расследование соответствующих инцидентов;
- единые политики управления аутентификацией и доступом к целевым системам, минимизирующие трудозатраты на управление аутентификацией в разных сервисах компании;
- единые наборы аутентификаторов, которые можно настраивать индивидуально для каждой группы пользователей, обеспечивая им доступ ко всем корпоративным ресурсам как в удаленном, так и в локальном режиме.
Помимо этого, Indeed AM поддерживает режим замещения, который позволяет исключить передачу учетных данных между пользователями.
Технические характеристики
Поддержка интеграции с каталогом пользователей
- Active Directory
- Многодоменная инфраструктура
Поддерживаемые целевые системы
- Рабочие места с ОС Microsoft Windows.
- Рабочие места с ОС Linux/Unix
- Microsoft Remote Desktop Server
- Microsoft Internet Information Services
- Веб-приложения
- VPN-серверы
- Серверы приложений
- Виртуальные рабочие столы (VDI)
Поддерживаемые механизмы интеграции с целевыми приложениями
- RADIUS
- ADFS
- SAML
- OpenID Connect
- OAuth 2.0
- Kerberos
- Enterprise Single Sign-On
Поддерживаемые технологии аутентификации
- Биометрия: отпечатки пальцев, рисунок вен ладони, геометрия лица (двухмерное и трехмерное изображение)
- Аппаратные устройства: бесконтактные карты, USB-токены, iButton, RFID-карты, карты с биометрическим считывателем
- Одноразовые пароли: приложения TOTP/HOTP, брелоки OTP, доставка одноразовых паролей с помощью СМС, Telegram, электронной почты
- Прочие способы: push-аутентификация (Indeed Key, Telegram-бот), сетевые и виртуальные смарт-карты (посредством Indeed Certificate Manager), аутентификация по геолокации (через СКУД «Бастион», «Орион» от «Болида», TSS от «Компании Семь печатей»)
Поддерживаемые типы операций управления доступом
- Операции с аутентификаторами (присвоение и отзыв, блокировка и разблокировка)
- Операции с целевыми системами (применение способов аутентификации, управление паролями, сквозная аутентификация)
- Дополнительные операции (включение режима замещения сотрудников, применение политик на основе групп Active Directory, индивидуальные политики для каждой целевой системы, сервиса или приложения)
- Ведение единого журнала событий аутентификации с их персонификацией (привязкой к пользователям из службы каталога)
Поддержка интеграции с техническими средствами
- Средства управления полномочиями и учетными записями: Solar inRights, 1IDM на базе 1С, Ankey IDM от компании «Газинформсервис», Microsoft FIM, IBM Tivoli Identity Manager
- Средства мониторинга и управления инфраструктурой открытых ключей: Indeed Certificate Manager, SafeNet Authentication Manager
- Средства защиты от несанкционированного доступа и Endpoint Security Suite: система Secret Net Studio от компании «Код Безопасности»
- Средства контроля действий привилегированных пользователей: Digital Vault от CyberArk, Indeed Privileged Access Manager
- Средства мониторинга и корреляции событий информационной безопасности: решения класса SIEM (syslog)
- Средства контроля и управления физическим доступом: «Бастион», «Орион» от «Болида», TSS от «Компании Семь печатей»
