Stellungnahme Forefront

Transkript

1 2013 Stellungnahme Forefront MICROSOFTS PLÄNE ZUR FOREFRONT PRODUKTFAMILIE

2 Zusammenfassung Microsofts kündigte September 2012 an die Sicherheitserweiterungen der Forefront Produktfamilie in die jeweiligen Anwendungen zu integrieren. Windows Server 2012 und Windows Server 2012 R2 enthalten bereits die Windows DirectAccess (VPN) Features des Forefront Unified Access Gateway Proxy Cache Funktionen der Edge Firewall finden sind längst in Windows 7, Windows 8 und 8.1. The Open Group beschrieb bereits 2007 die Abschaffung der zentralen Unternehmensfirewall am Internetzugang. Die zentral verwaltete Windows Firewall nicht nur am Windows 8 Client mehr noch an den Windows Server 2012 Installationen wird die zentrale Unternehmensfirewall ersetzen. Historie 4. April 2013, Erstellt 7. August 2013, Verweise aktualisiert 23. Sept. 2013, Abs. Privates Arbeitsgerät zum Windows Netzwerk hinzufügen hinzugefügt

3 Microsofts Produktplanung Microsoft veröffentlichte am 12. September 2012 in zwei Beiträgen wichtige Änderungen bezüglich der Weiterentwicklung der Forefront Produktlinie. (Hornbeck, 2012), (The Forefront Product Teams, 2012). Demnach werden folgende Produkte in die jeweiligen Anwendungen integriert: Forefront Protection 2010 for Exchange Server (FPE) (Microsoft Corporation), Forefront Protection 2010 for SharePoint (FPSP) (Microsoft Corporation) und Forefront Security for Office Communications Server (FSOCS) (Microsoft Corporation). Demnach wird Forefront Online Protection for Exchange, ein Cloud Dienst von Microsoft für Hygiene, im nächsten Release Exchange Online Protection genannt werden. Die folgenden Produkte scheint Microsoft nicht mehr weiter entwickeln zu wollen: Forefront Threat Management Gateway 2010 (TMG) (Microsoft Corporation) Forefront Threat Management Gateway Web Protection Services (TMG WPS) (Microsoft Corporation) Die Perimeter-Firewall Forefront Threat Management Gateway 2010 wird mindestens bis 14. April 2015 unterstützt, eine Erweiterung des Support um 5 Jahre wird angeboten (Microsoft Corporation, 2012). Möglicherweise mit neuem Namen wird weiterentwickelt werden Forefront Unified Access Gateway (UAG) und Forefront Identity Manager (FIM). Anwendern empfiehlt Microsoft die VPN-Technologie Windows 8 DirectAccess von Unified Access Gateway (UAG) auf Windows Server 2012 zu übertragen (Microsoft Corporation, 2012). Neue Installationen benötigen u. A. keine Zertifizierungsstelle mehr (BLUESITE Beratungsges. IT mbh, 2012). Mit Service Pack 3 für Unified Access Gateway 2010 erlaubt Microsoft nun SharePoint 2013 und Exchange 2013 für Windows 8 mit Office 2013 sicher zu veröffentlichen (Microsoft Corporation, 2013). Forefront Produktfamilie Forefront Protection 2010 for Exchange Server (FPE), Forefront Protection 2010 for SharePoint (FPSP) und Forefront Security for Office Communications Server (FSOCS) wurden im Februar 2005 mit Antigen Antivirus und Antimalware Software mit dem Unternehmen Sybari aufgekauft (Microsoft Corporation, 2005). Microsoft Proxy Server aus dem Jahre 1997, setzte sich über den Microsoft Proxy Server v2, den Microsoft Internet Security and Acceleration Server (ISA) 2000, ISA Server 2004, ISA Server 2006 bis zum aktuellen Forefront Threat Management Gateway 2010 fort (Wikipedia, 2012). Das Unified Access Gateway (UAG) kaufte Microsoft mit dem Startup Whale Communications wurde es als Microsoft Intelligent Application Gateway Server 2007 angeboten

4 und ist derzeit als Forefront Unified Access Gateway 2010 erhältlich (Wikipedia, 2012). (Berenson, 2012) Grundlage für grenzenlose Zusammenarbeit Mit der Entscheidung die Edge Firewall Threat Management Gateway (TMG) nicht mehr weiter zu entwickeln folgt Microsoft dem scheinbar erkennbaren Trend des Verschwindens der Perimeter- Netzwerke (Demilitarized Zone, DMZ) (The Open Group, 2007). Die Betriebssysteme Windows Server 2008 und neuer sowie Windows Vista und neuer enthalten wie andere moderne Betriebssysteme ebenfalls eine Firewall die Netzwerkverbindungen zu einzelnen Anwendungen regelt (Port basierende Firewall). Anwendungen prüfen die Echtheit eines Anwendungsservers mit dem eine Verbindung hergestellt wird anhand digitaler Zertifikate Aussteller der Zertifikate prüfen die Anwendungsangebote. Figure - Clients prüfen Anwendungsangebote Werden diese Anwendungen oder Cloud Dienste mit Microsoft Produkten ermöglicht (bspw. Dokumentenmanagement auf Basis von Microsoft SharePoint Server), wird das jeweilige Produkt zum Schutz dieser Anwendung nun von Microsoft direkt in den Anwendungsserver integriert. Forefront Protection 2010 for SharePoint (FPSP) wird der Veröffentlichung nach in die nächste SharePoint Version integriert in der aktuellen Vorabversion von SharePoint Server 2013 ist bislang Nichts zu erkennen. Die Prüfung der Echtheit von Server-/Cloud-Diensten durch den Client wird auch von Diensten für die Infrastruktur angeboten, Beispiel Namensauflösung (DENIC eg).

5 Anwendungsserver und Cloud-Dienste Windows Server 2012 wie auch Windows 8 enthalten die Windows Firewall with Advanced Security zu der Neuigkeiten dokumentiert sind (Microsoft Corperation, 2012). Beim Server wie auch beim Client filtert diese integrierte Firewall nach Anwendungen (TCP/UDP Port), bspw. http Port 80, https Port 443. Plattform für Web-Anwendungen bei Microsoft sind die Internet Information Services (IIS), diese bieten http sind damit gemäß Definition Anwendungen (Wikipedia, 2012). Auch die Internet Information Services (IIS) werden durch die Dynamic IP Restrictions (Microsoft Corporation) und URLScan (Microsoft Corporation) Erweiterungen bereits heute auf Anwendungsebene geschützt. Figure - Anwendungsfilter bei Serveranwendungen TMG Feature Web Cache Proxy Das Threat Management Gateway (TMG) unterstützte wie das Vorgängerprodukt Internet Security und Acceleration Server (ISA) den beschleunigten Zugriff auf Webinhalten durch das Zwischenspeichern. Bereits mit erscheinen des TMG wurde alleine anhand des Produktnamen deutlich, dass sich dies rückläufig entwickelt. Wirksam ist der Cache im Browser selbst. Immer weniger Inhalte werden überhaupt zwischengespeichert dies ist zum Einen der Aktualität der Inhalte geschuldet; zudem

6 werden einige Technologien nicht unterstützt (siehe aktive Seiten und statische Seiten auf Webservern); dazu kam der Trend des mobilen Arbeiten: Arbeitsplatzgeräte verändern die Netzwerkanbindung der Effekt eines Cache wurde immer geringer. Microsoft bietet in Windows 8 Enterprise wie in der Vorgängerversion auch den BranchCache (Visser, 2012), der es erlaubt häufig verwendete Web-Inhalte von Windows 8 Geräten in Netzwerknähe herunterzuladen an statt diese jeweils von der Quelle anzufordern der Ergebnis ist wie bei einem zentralen Web Proxy. Figure - Windows Enterprise Client als Peer-to-peer Web proxy Brennpunkt IP-Adressen Dem Rückbau der Perimeter-Netzwerke (Demilitarized Zone, DMZ) (The Open Group, 2007) folgend würde ein Verzicht auf eine Edge Firewall wie dem Threat Management Gateway (TMG) es erfordern, das die angesprochenen Anwendungen eben auch erreichbar wären. Bei den weitgehend nicht mehr verfügbaren IPv4 Adressen war eine Perimeter Firewall eine große Hilfe um IPv4-Adressen zu sparen.

7 Verzichtet man auf den Edge werden mehr Adressen benötigt, IPv4 reicht nicht mehr aus es wird IPv6 benötigt um den Bedarf an Adressen, um die Anwendungen direkt anzusprechen, zu decken. Figure - IPv4 Verbindungsaufbau über Edge Dies würde die Netzwerkinfrastruktur vereinfachen und somit das Troubleshooting einzelner Dienste erheblich erleichtern. Auch wäre das Risiko eliminiert das durch den Ausfall der Edge Firewall komplette Infrastruktur vom Internet abgeschnitten sondern es wäre lediglich der betroffene (ausgefallene) Server und der Dienst den dieser zur Verfügung stellt offline. Anwendungsgateway Neben dem Arbeitsplatzcomputer (hier Desktop) wird immer häufiger mit einem Konsumentengerät oder mobilem Gerät auf Anwendungen zugegriffen. Forefront Unified Access Gateway (UAG) 2010 bietet sich hier als Anwendungsgateway für mobile Geräte: Windows Phone optimierter Zugriff auf SharePoint - SharePoint Workspace Mobile (Microsoft Corporation, 2012) sichere Authentisierungsmethoden (2-Faktore-Anmeldung) für Anwendungen - ohne UAG ist dies nur für Benutzerkonten möglich, was zu bekannten Problemen in der Zusammenarbeit zwischen Hochautorisieren und Personen mit niedriger Einstufung führt (Wikipedia, 2012) Auch gleicht es die Sicherheitseinstellungen von Fremdgeräten mit der Unternehmensrichtlinie ab und regelt basierend darauf den Verbindungsaufbau, bspw. für Heimarbeit oder Geschäftspartner setzt also die Compliance mit den Unternehmensrichtlinien technisch um im Szenario Bring our own device (BYOD). Privates Arbeitsgerät zum Windows Netzwerk hinzufügen Windows Server 2012 R2 stellt ein neues Feature vor, das Windows und ios Geräte zur Windows Domäne (verwalteter Unternehmensbereich) beitreten lässt - Systemvorrausetzung ist Windows 8.1 oder ios (Microsoft Corporation, 2013).

8 Bestellmöglichkeiten und Lizenzierung Microsoft weist darauf hin, das ausgenommen das Anwendungsgateway UAG und dem Identity Manager keine Produkte der Forefront Produktfamilie mehr bestellt werden dürfen nach dem 1. Dezember 2012 (Microsoft Server and Cloud Platform Team, 2012). Gegenüber den Dienstanbietern, die im Microsoft Service Provider License Agreement (SPLA) kaufen dürfen ergänzt Microsoft die Anmerkung: Anbieter die Forefront Produkte vor dem 1. Dezember 2012 einsetzten dürfen diese weiterhin über SPLA monatlich beziehen (Microsoft Corporation, 2012). Empfehlung IT-Projektanbietern, Service Providern und Hostern, aber auch IT-Abteilungen von Unternehmen wird empfehlen sich mit dem zentralen Management der Windows Firewall with Advanced Security auseinanderzusetzten und auch die Einführung von IPv6 zu planen. Würde Microsoft den Support für Forefront Threat Management Gateway 2010 (TMG) über das Jahr 2020 hinaus verlängern böte dies die Unterstützung weiterhin mehrere verschiedene Dienste über mehrere Server hinweg mit einer einzigen IPv4 Adresse zu veröffentlichen. Anwendern wird empfohlen - zentral verwaltet - klar zu regeln wem digital vertraut wird.

9 Quellen Berenson, H. (2012, 9 15). Goodbye Forefront, it was nice knowing you. Retrieved from Hal's (Im)Perfect Vision : BLUESITE Beratungsges. IT mbh. ( ). Neuerungen in Windows Server Windows 8 DirectAccess. Von Unser wertvolles Wissen, zielgerichtete Methodik und umfassende Gestaltung stehen für Ihren Erfolg.: 0-%20Windows%208%20DirectAccess.docx DENIC eg. (n.d.). DNSSEC erhöhte Sicherheit im Netz. Retrieved from Hornbeck, J. C. (12. September 2012). Important Information Regarding Changes to Forefront Product Roadmaps. Von Forefront TMG Product Team Blog: Microsoft Corperation. (2012, 3 8). Windows Firewall with Advanced Security Overview. Retrieved from TechNet: Microsoft Corporation. (8. Februar 2005). Microsoft to Acquire Enterprise Anti-Virus Security Provider Sybari Software. Von Microsoft Corporation Web Site: Microsoft Corporation. (2012, 11 21). Licensing Updates. Hosting News: Additional Windows Server Downloads, Windows 8 Trainings, and Licensing Updates. Microsoft Corporation. (2012, 10 5). Microsoft Support Lifecycle. Retrieved from Microsoft Support: Microsoft Corporation. (2012, 2 29). Migrate from Forefront UAG SP1 DirectAccess to Windows Server Retrieved from Microsoft TechNet: Migrate from Forefront UAG SP1 DirectAccess to Windows Server 2012 Microsoft Corporation. (2012). Verwenden von Microsoft SharePoint Workspace Mobile. Retrieved from Hilfe & Anleitung : Microsoft Corporation. (2013, 8 28). Overview: Join to Workplace from Any Device for SSO and Seamless Second Factor Authentication Across Company Applications. Retrieved from TechNet - Windows Server: Microsoft Corporation. (2013, 2 15). What's new in Forefront UAG Service Pack 3. Retrieved from Microsoft TechNet:

10 Microsoft Corporation. (kein Datum). Forefront Protection 2010 for SharePoint. Von Microsoft Corporation Web Site: Technologies/Pages/Forefront-Protection-2010-for-SharePoint.aspx Microsoft Corporation. (kein Datum). Forefront Security für Office Communications Server. Von Microsoft TechNet: Microsoft Corporation. (kein Datum). Forefront Threat Management Gateway 2010 Overview. Von Microsoft Corporation Web site: Microsoft Corporation. (kein Datum). Microsoft Exchange 2010: Forefront Protection 2010 for Exchange Server. Von Microsoft Corporation Web Site: Microsoft Corporation. (kein Datum). Microsoft Forefront Threat Management Gateway Von Microsoft Corporation Web Site: Microsoft Corporation. (kein Datum). The Official Microsoft IIS Site. Von IIS.net: Microsoft Corporation. (kein Datum). The Official Microsoft IIS Site. Von IIS.net: Microsoft Server and Cloud Platform Team. (2012, 9 12). Important Changes to Forefront Product Roadmaps. Retrieved from Server & Cloud Blog: The Forefront Product Teams. (12. September 2012). Important Changes to Forefront Product Roadmaps. Von Server & Cloud Blog: The Open Group. (2007, 1). Business rationale for de-perimeterisation. Retrieved from Jericho Forum: The Open Group. (2012, 1 25). Jericho Forum. Retrieved from The Open Group: Visser, E. (2012, 4 18). Introducing Windows 8 Enterprise and Enhanced Software Assurance for Today s Modern Workforce. Retrieved from The Windows Blog:

11 Wikipedia. ( ). Geheimhaltungsstufe. Von Wikipedia: Wikipedia. (2012, 9 22). Microsoft Forefront Threat Management Gateway. Retrieved from Wikipedia: Wikipedia. (2012, 9 22). Microsoft Forefront Unified Access Gateway. Retrieved from Wikipedia: Wikipedia. (2012, 10 4). OSI model. Retrieved from Wikipedia: