DriveLock in Terminalserver Umgebungen

Transkript

1 DriveLock in Terminalserver Umgebungen Technischer Artikel CenterTools Software GmbH 2011

2 Copyright Die in diesen Unterlagen enthaltenen Angaben und Daten, einschließlich URLs und anderen Verweisen auf Internetwebsites, können ohne vorherige Ankündigung geändert werden. Die in den Beispielen verwendeten Firmen, Organisationen, Produkte, Personen und Ereignisse sind frei erfunden. Jede Ähnlichkeit mit bestehenden Firmen, Organisationen, Produkten, Personen oder Ereignissen ist rein zufällig. Die Verantwortung für die Beachtung aller geltenden Urheberrechte liegt allein beim Benutzer. Unabhängig von der Anwendbarkeit der entsprechenden Urheberrechtsgesetze darf ohne ausdrückliche schriftliche Erlaubnis der CenterTools Software GmbH kein Teil dieser Unterlagen für irgendwelche Zwecke vervielfältigt oder übertragen werden, unabhängig davon, auf welche Art und Weise oder mit welchen Mitteln, elektronisch oder mechanisch, dies geschieht. Es ist möglich, dass CenterTools Software GmbH Rechte an Patenten bzw. angemeldeten Patenten, an Marken, Urheberrechten oder sonstigem geistigen Eigentum besitzt, die sich auf den fachlichen Inhalt dieses Dokuments beziehen. Das Bereitstellen dieses Dokuments gibt Ihnen jedoch keinen Anspruch auf diese Patente, Marken, Urheberrechte oder auf sonstiges geistiges Eigentum, es sei denn, dies wird ausdrücklich in den schriftlichen Lizenzverträgen von CenterTools Software GmbH eingeräumt CenterTools Software GmbH. Alle Rechte vorbehalten. Weitere in diesem Dokument aufgeführte tatsächliche Produkt- und Firmennamen können geschützte Marken ihrer jeweiligen Inhaber sein. 2

3 Inhalt 1 DRIVELOCK FUNKTIONEN BEDROHUNGEN IN TERMINALSERVER-UMGEBUNGEN LAUFWERKSZUORDNUNGEN ANWENDUNGEN STANDARD LÖSUNGEN VS. DRIVELOCK

4 1 DriveLock Funktionen Eine der neuen Funktionen von CenterTools DriveLock erweitert die bewährte Endgeräte-Absicherung bei Terminalserver Umgebungen um einen Dateifilter und Möglichkeiten zur Überwachung von Dateioperationen. Die DriveLock Thin Client License bietet DriveLock Schutz auf Windows Terminal Server oder Citrix XenApp (Presentation Server / Desktop Server) Umgebungen. DriveLock Funktionen: erhöht die Sicherheit von Terminalserver-Umgebungen durch folgende Terminalserver Laufwerkskontrolle DriveLock ergänzt die Thin-Client Funktionalität um die Kontrolle von Wechseldatenträger innerhalb Client-Sitzungen. Die Laufwerkskontrolle innerhalb einer Terminal Server Client- Sitzung erlaubt Ihnen eine sichere und flexible Verwendung von Laufwerken, inklusive der lokalen und Wechseldatenträger-Laufwerke von Client Computern und Thin-Clients. Anwendungsblocker Mit DriveLock können Sie kontrollieren, welche Applikationen auf einem Client PC oder innerhalb einer Terminalserver-Sitzung gestartet werden können. D.h. Sie haben die komplette Kontrolle über alle laufenden Anwendungen in Ihrem Netzwerk. Das ist ein revolutionärer Weg, Computer gegen Angriffe wie Zero-Day Angriffe, wogegen bisher kein effektiver Schutz verfügbar ist, abzusichern. 4

5 2 Bedrohungen in DriveLock in Terminalserver Umgebungen Terminalserver-Umgebungen Eine typische Terminalserver-Umgebung besteht aus einer Infrastruktur verschiedener Computer. FAT-Client Systeme (wie Desktop oder Notebook-Computer) werden typischerweise von Mitarbeitern benutzt, um Applikationen zu verwenden, die nicht direkt auf ihren PCs laufen oder für den Fernzugriff auf Applikationen. Thin-Clients (wie z.b. Wyse Terminals) werden typischerweise dazu verwendet, um Benutzern eine komplette Arbeitsumgebung zur Verfügung zu stellen, welche zentral verwaltet und administriert werden kann. Terminalserver Fat-Clients Thin-Clients Beide, Thin-Clients und FAT-Clients, greifen auf den Terminalserver zu, haben aber verschiedene Absicherungsmechanismen, um sich vor Sicherheitsbedrohungen zu schützen. Während auf einem FAT-Client DriveLock ausgeführt werden kann, um ihn gegen verschiedene Gefahren zu schützen, gibt es für Thin-Clients kein vergleichbares Produkt, was auf diesem laufen kann. Da auf den Thin-Clients typischerweise keine Drittanbieter-Software ausgeführt werden darf, kann DriveLock auch nicht auf einem Thin-Client installiert werden. Stattdessen ist es nötig, den Terminalserver selbst gegen Endgeräte-Bedrohungen abzusichern. Die DriveLock Terminalserver-Edition bietet diesen Schutz. Sie schützt Terminalserver in der gleichen Weise wie eine andere DriveLock Edition und erweitert diese Absicherung auf alle Terminalserver-Sitzungen. 5

6 Unabhängig von dem Protokoll (RDP oder ICA), das für die Verbindung verwendet wird, kontrolliert DriveLock die Client-Laufwerkszuordnungen und die Verwendung von Applikationen innerhalb der Client-Sitzung. Terminalserver-Sitzung Client - Laufwerkszuordnunge Anwendung 2.1 Laufwerkszuordnungen Terminalserver-Produkte erlauben dem Administrator, Client-Laufwerke in eine Terminalserver (TS) Sitzung zuzuordnen. Diese Laufwerke stehen dem Benutzer dann innerhalb der TS-Sitzung zur Verfügung. Wenn auf die TS-Sitzung von einem FAT-Client aus zugegriffen wird, auf dem ein DriveLock -Agent installiert ist, werden alle Laufwerks- Sperreinstellungen erzwungen, egal ob auf ein Gerät lokal oder innerhalb der TS-Sitzung zugegriffen wird. Wenn jedoch ein Thin-Client verwendet wird, gibt es keinen lokalen installierten DriveLock Agenten. Als Ergebnis werden alle lokalen und Wechseldatenträger ohne Schutz in der TS-Sitzung zugeordnet. Die DriveLock Thin- Client License kontrolliert daher alle Laufwerkszuordnungen auf einem Terminalserver, um sicherzustellen dass die Verwendung von Laufwerken auch auf Thin-Clients geschützt ist. Die Kontrolle von Laufwerkszuordnungen mit DriveLock ist überwiegend identisch zur der Kontrolle eines anderen Laufwerkes, aber aufgrund der technischen Grenzen gibt es ein paar Unterschiede: 6

7 Whitelist-Regeln können nicht auf Hersteller- und Produkt-ID basieren, da die Informationen innerhalb einer TS-Sitzung nicht verfügbar sind. Stattdessen basieren die Regeln auf Laufwerksbuchstaben, die innerhalb einer TS Sitzung verwendet werden. Das erlaubt dem Administrator, verschiedene Berechtigungen für unterschiedliche Laufwerkstypen wie CD-ROM oder USB-angeschlossene Laufwerke festzulegen. Schattenkopien sind noch nicht für TS-Laufwerkszuordnungen verfügbar. Diese Funktionalität wird in einer der nächsten Versionen von DriveLock integriert sein. Whitelist-Regeln basieren auf virtuellen Laufwerksbuchstaben, da keine genauen Informationen über Laufwerke innerhalb der TS Sitzung zur Verfügung stehen. Um ein korrektes Regelwerk umzusetzen, sollten Administratoren die Thin-Client Management Software verwenden, um eine zuverlässige Laufwerkszuordnung sicherzustellen. Zum Beispiel sollte der USB-Port eines Thin-Clients immer auf denselben virtuellen Laufwerksbuchstaben zugeordnet werden. Wenn man diese Technik verwendet, ist eine genaue Kontrolle über alle an Thin-Clients angeschlossene Laufwerke möglich. Mit dem neuen zusätzlichen Dateifilter ist es jetzt auch möglich, bestimmte Dateitypen auf Laufwerkszuordnungen einzuschränken oder eine Dateiprotokollierung der vom Benutzer kopierten Dateien vorzunehmen. 2.2 Anwendungen Wenn dem Endanwender der ganze Desktop veröffentlicht wird, kann jeder Benutzer alle Anwendungen starten, die auf dem Terminalserver verfügbar sind, also auch alle Anwendungen die auf einem verbundenem Client-Laufwerk liegen. Um die Ausführung von ungewollten Programmen zu verhindern, enthält die DriveLock Thin-Client License den Application Launch Filter. Diese Funktion erlaubt die Kontrolle, welche Applikationen wann und von wem ausgeführt werden dürfen. Der Application Launch Filter fängt den Start aller Anwendungen ab, berechnet den Hash- Wert der ausführbaren Datei und vergleicht diesen Hash mit allen verfügbaren White- und Blacklist-Regeln. Eine Applikation wird nur dann zum Start freigegeben, wenn eine entsprechende Regel dies erlaubt bzw. nicht verhindert. In Terminalserver-Umgebungen sollte der Application Launch Filter nur im Whitelist- Modus betrieben werden, um sicherzustellen, dass nur freigegebene Anwendungen auf dem Terminalserver ausgeführt werden können. Das stimmt mit der sonst üblichen 7

8 Verwendung von Terminalservern überein, Benutzern nur Zugriff auf eine streng angepasste, kontrollierte Computer-Umgebung zu gewähren, welche nur aus wenigen ausgewählten Anwendungen besteht. 3 Standard Lösungen vs. DriveLock DriveLock erweitert die bestehende Funktionalität von Terminalserver-Produkten. Zusätzlich erlaubt DriveLock es den Administratoren, eine zentrale Sammlung von Regeln für Benutzer zu verwalten, egal ob diese einen PC oder eine Terminalserver-Sitzung verwenden. Die folgende Vergleichstabelle zeigt die verschiedenen Stufen zur Absicherung der von DriveLock unterstützten Terminalserver-Produkte. Funktion DriveLock Thin-Client License Windows 2008 Terminalserver Client Laufwerkskontrolle Kontrolle pro Benutzer (in Active Directory) Kontrolle pro Gruppe Kontrolle pro Protokoll (TS Konfiguration) Dateifilter lesend Dateifilter schreibend Dateiprotokollierung Schattenkopien Geplant Whitelist-Regeln Zeitbeschränkungen Citrix XenApp (Presentation Server) Teilweise Teilweise (in Active Directory) (TS Konfiguration) Anwendungskontrolle Teilweise Teilweise Basierend auf MD5 (GPO) (GPO) Hash Basierend auf speziellen Regeln (alle OS Dateien, alle Dateien, Windows 8

9 Funktion DriveLock Thin-Client License Updates) Windows 2008 Terminalserver Citrix XenApp (Presentation Server) Application Hash Datenbank Kontrolle pro Benutzer Kontrolle pro Gruppe Zeitbeschränkungen Kombination von Black- und Whitelist Benutzerbenachrichtigung Allgemeine Funktionen Administration Zentrales Reporting Absicherung für alle Computer Nur Black-List Nur Black-List Zentral, eine Konsole (DriveLock Control Center) Verteilt, mehrere Konsolen Verteilt, mehrere Konsolen Viele Verwaltungsprodukte werden routinemäßig dazu verwendet, um Thin-Client Ressourcen zu administrieren. Diese Produkte stellen keine genaue Kontrolle von Client Laufwerkszuordnungen (z.b. basierend auf den Benutzer und Gruppe) zur Verfügung. Dennoch können sie einheitliche, virtuelle Laufwerksbuchstaben erzwingen, was sicherstellt, dass DriveLock seine Richtlinien korrekt und einheitlich übernehmen kann. Drittanbieter-Software kann ebenso dazu verwendet werden, um Terminalserver- Umgebungen zu konfigurieren oder zu installieren. Jeder Funktionsvergleich zwischen solchen Produkten und DriveLock sollte den Fokus auf die Sicherheitsfunktionen legen, da DriveLock keine Konfigurations- oder Installationslösung ist, dafür jedoch ein Sicherheitstool. Generell ergänzen sich DriveLock und andere Installationslösungen sich gegenseitig. 9