Sicherheit auf hohem Niveau

Transkript

1 Sicherheit auf hohem Niveau

2 Thin Client Computing senkt die Kosten und erhöht das Sicherheitsniveau. Universelle Desktop-Ansätze verstärken diesen Effekt und fördern darüber hinaus eine bedarfsgerechte Gestaltung der Schutzmaßnahmen. Das Thema Datensicherheit ist endgültig im Top-Management angekommen. Laut einer Umfrage des Lösungsanbieters Websense unter IT-Administratoren ist die Unternehmensführung zu 91 Prozent in Diskussionen um die Datensicherheit beteiligt. Darüber hinaus zeigt die Untersuchung, dass bei rund einem Drittel der Unternehmen schon einmal sensible Daten gestohlen wurden, auch in der Führungsetage. Angesichts immer größerer Bedrohungen aus dem Internet sehen sich IT- Verantwortliche einem hohen Druck ausgesetzt. So gaben 72 Prozent der IT-Manager an, dass der Schutz sensibler Daten im Unternehmen für sie mehr Stress bedeute als eine Scheidung, Schulden oder ein kleiner Autounfall. Grundsicherheit durch Thin Client- Infrastruktur Die geschilderten Gefahren für die IT und die damit verbundenen stetig steigenden Kosten für Sicherheitsvorkehrungen sind recht typisch für klassische Client/Server-Umgebungen. Denn dort stellt jeder einzelne Arbeitplatzrechner mit seinen zahlreichen Schnittstellen und Möglichkeiten zur lokalen Datenspeicherung eine potenzielle Gefahrenquelle dar. Anders verhält es sich dagegen im Server Based Computing (SBC) mit Thin Clients, wo viele bekannte Kosten und Risiken gar nicht erst auftreten. Datensicherung, Storage, System- und Datenwiederherstellung erfolgen zentral, auf den Clients ist dafür keine Software erforderlich. Selbst wenn neben Thin Clients auch Laptops genutzt werden, können sie so konfi guriert werden, dass sie per LAN- oder WLAN-Verbindung, VPN-Tunnel und Kommunikationsprotokoll (ICA, RDP oder andere) auf die zentralen Server zugreifen und ausschließlich dort fi rmenrelevante Daten speichern. Um sich vor dem Diebstahl dieser zu schützen, muss also ausschließlich der Server geschützt werden. Ein Angriff auf das Endgerät bzw. ein Diebstahl des Geräts stellt keine Gefahr dar. In Client/Server-Netzwerken hingegen ist genau dieses Endgerät das schwächste Glied in der Kette, da es meist schlechter gesichert ist als die Server und daher im Fokus der Angreifer steht. SBC schließt dieses Sicherheitsrisiko per se aus. Wenig Angriffsfläche von außen In jüngster Zeit mehren sich die Angriffe von außen. Zero-Day- Attacken treten immer häufi ger auf und erfordern immer schnellere Reaktionszeiten. Eine moderne Gegenmaßnahme stellen intelligente Netzwerkkonzepte dar, wie z.b. das Self-defending Network (SDN) von Cisco. Diese nutzen die globale Vernetzung, um lokal auftretende Attacken an der internationalen Verbreitung zu hindern. Bei Gefahr werden die Kommunikationsports des Firmennetzwerks nach außen automatisch geschlossen. Doch solche Investitionen lohnen nur, wenn es auch innerhalb des Firmennetzwerks keine ungeschützten Schlupfl öcher gibt. Hier bieten Thin Clients eine sichere Alternative: Denn anders als Arbeitsplatz-PCs bieten sie regulierbare Schnittstellen nach außen, keine Festplatten oder Laufwerke, auf denen sich Viren, Würmer oder Trojaner dauerhaft festsetzen könnten. Bei Thin Clients kann sich die Abwehr gegen äußere Angriffe folglich allein auf das Rechenzentrum konzentrieren. Damit fallen auf Desktop- Ebene keine Kosten mehr für Antiviren- oder Firewallsoftware an. Auch dem internen Datendiebstahl lässt sich mit Thin Clients sehr einfach vorbeugen: Per Remote-Management lassen sich die USB-Ports der Thin Clients gruppenbasiert oder individuell für bestimmte Peripheriegerätetypen sperren. Diese Maßnahme betrifft je nach Anforderung beispielsweise Memory-Sticks, CD- Laufwerke, Bluetooth- und WLAN-Geräte oder lokale Drucker. Interner Datenaustausch Der Datenaustausch ist in Server Based Computing-Architekturen naturgemäß sicherer als im Client/Server-Modell. Die Datenströme zwischen (Thin) Client und Server beinhalten in der Regel nur Ein- und Ausgabecodes, wie zum Beispiel Bildschirmdaten und Tastatureingaben. Gegen das Ausspionieren von Passwörtern lassen sich diese Daten zusätzlich verschlüsseln. Zudem ist das Microsoft-Protokoll RDP prinzipiell verschlüsselt, das Citrix ICA optional. In Linux-Umgebungen lässt sich eine Verschlüsselung durch die Protokollergänzung NoMachine NX erzielen. Darüber hinaus gibt es immer die Möglichkeit, für die Kommunikation zwischen Endgerät und Rechenzentrum VPN-Verbindungen aufzubauen. Für die drahtlose Anbindung stationärer oder mobiler Thin Clients empfi ehlt sich die Berücksichtigung der Standards WPA- bzw. WPA2. Auch das Management der Thin Clients sollte prinzipiell verschlüsselt und zudem zertifi katsbasiert erfolgen. Dies ist zum Beispiel beim deutschen Hersteller IGEL Technology der Fall. Dessen IGEL Universal Management Suite gestattet darüber hinaus auch die Kontrolle von USB-Geräten. 2/5

3 ABB. 2: PKI-BASIERTE AUTHENTIFIZIERUNGSLÖSUNG MIT IGEL THIN CLIENTS UND KOBIL MIDENTITY PKI ANMELDUNG ICA RDP SERVER BENUTZERZERTIFIKAT USB-TOKEN Multifaktor-Authentifizierung Ein klassisches und zunehmendes Sicherheitsrisiko auf Anwenderseite bilden passwortbasierte Anmeldeverfahren. Anwender, die sich viele Kennwörter merken müssen oder aufgrund der Passwort-Policy einem hohen Wechselzyklus unterworfen sind, wählen häufi g leicht zu erratende Kennwörter oder schreiben sie auf einen Notizzettel. Die am häufi gsten verwendete Angriffsmethode auf passwortbasierte Authentifi zierungssysteme ist schlichtes Raten. So genannte Dictionary Attacks setzen ganze Wörterbücher auf die User-Logins an. Auch mittels Hardware können die Passwörter ermittelt werden. Zwischen Tastatur und Computer geschaltete Key-Logger zeichnen dazu die Eingaben des Users auf. Besonders hohe fi nanzielle Verluste verursachen mittlerweile aber auch die Betrugsmethoden des Social Engineering, zu denen vor allem das Phishing zählt. Eine wirkungsvolle Maßnahme gegen unbefugten Zugriff stellen Multifaktor-Authentifi zierungslösungen dar, die neben dem Faktor Wissen (Benutzername und Passwort) auch den Faktor Besitz und/oder Sein erfordern. Biometrische Verfahren, wie z.b. der Fingerabdruck (Faktor Sein ), gelten dabei als besonders sicher, sind aber in der Umsetzung relativ teuer. Ein gutes Kosten/Nutzen-Verhältnis bieten Smartcard-basierte Lösungen (Faktoren Besitz und Wissen ). Die Wissenskomponente ist dabei durch die PIN-Nummer gegeben, welche die Smartcard zugleich gegen unbefugten Gebrauch schützt. Die Besitzkomponente ist die Hardware der Smartcard. Ein Auslesen der PIN ist nicht möglich, da äußere Angriffe auf eine Smartcard zur Zerstörung derselben führen. Smartcards gibt es heute neben der typischen Form auch integriert in USB-Sticks. Diese Lösung hat den Vorteil, dass kein zusätzliches Lesegerät erforderlich ist (Abb. 2). Out of the box: IGEL Smartcard-Lösung Der deutsche Thin Client-Hersteller IGEL bietet eine eigene, im Lieferumfang der Geräte enthaltene Smartcard-Lösung mit optional integrierbarem Smartcard-Reader. Nach erfolgreicher Authentifzierung setzt ein automatisierter Log-on-Prozess ein, der den Anwender mit serverbasierten Anwendungen, virtuellen Desktops und lokal in die Firmware integrierten Softwareclients und -tools verbindet. Beim Herausziehen der Smartcard wird die Session unterbrochen und kann durch erneutes Einstecken an einem beliebigen Thin Client fortgesetzt werden (Session-Roaming). Alle IGEL-Modelle unterstützen extern angeschlossene sowie optional interne Reader. Sämtliche IGEL-Modelle arbeiten zudem auch mit USB-basierten Authentifi zierungslösungen zusammen. Auch der Einsatz PKI-basierter Smartcard-Lösungen wird unterstützt. Zusätzlich lassen sich auch Roaming- und Multi-User-Szenarien realisieren. 3/5

4 TABELLE 1: SICHERHEITSMERKMALE VON IGEL UNIVERSAL DESKTOPS (AUSWAHL) Kategorie Kommunikationsprotokolle (Verschlüsselung) VPN Authentifi zierung via Smartcard Authentifi zierung via USB Single Sign-on Host Access IP-Telefonie Virtualisierung Beispiel Citrix ICA (optional), Microsoft RDP (immer), X11R6 (keine), NoMachine NX (immer), VMware PCoIP (immer), Red Hat Spice (optional) Cisco-VPN-Client (Virtual Private Network), Unterstützung von: PPTP (VPN), L2TP IGEL Smartcard-Lösung (optional), Unterstützung weiterer Smartcard-Lösungen verschiedener Anbieter, darunter ActivIdentity, AET, Gemalto, Kobil, LOGiCO, NEC, Nexus und S-Trust, SecMaker Aladdin etoken, Kobil myidentity IGEL Smartcard-Lösung Terminalemulationen; Kerberos-Unterstützung für sicheren Host Access (Authentifi zierung und Single Sign-on) VoIP (SIP-Client) via VPN, Unterstützung von SRTP (Secure Real Time Protocol) VMware View, Leostream, Citrix XenDesktop, Quest vworkspace, Ericom PowerTerm WebConnect, Red Hat Enterprise Virtualization for Desktops Integrierte Sicherheit Zu den wesentlichen Merkmalen von Thin Client-Umgebungen zählt die Standardisierung der Endgeräte und die zentrale Administration. Dadurch sinken die Energiekosten um über 50 Prozent, die Gesamtkosten um bis zu 70 Prozent 1. Ein zusätzliches Konsolidierungspotenzial bieten in die Thin Client-Firmware integrierte Softwareclients, -tools und Protokolle, die den direkten Zugriff auf unterschiedliche zentrale IT-Infrastrukturen erlauben. Damit wird der Thin Client gleichzeitig zum Printserver, zum IP-Telefon, zum Terminal für Hostapplikationen oder zu einem effi zienten Endgerät für virtuelle Desktops. Bestimmte Firmwarekomponenten dienen zudem einem sicheren Datenaustausch. Beispiele hierfür sind: Cisco VPN-Client, die VPN-Protokolle PPTP sowie L2TP in Microsoft Windows Embedded Standard, das Secure Realtime Protocol (SRTP) für VoIP-Gespräche oder Kerberos, eine Single Sign-on- und Authentifi zierungslösung für Hostzugriffe. Den größten Nutzen bieten Hersteller wie IGEL, deren Firmware-Ausstattung letztendlich einen einheitlichen Sicherheitsstandard für alle Userszenarien im Unternehmen ermöglicht. So können beispielsweise auch Heimarbeitsplätze grundlegende Sicherheitsmerkmale der Thin Client-Umgebung nutzen, z.b. Smartcard-basierte Authentifi zierung, Single Sign-on und mittels VPN verschlüsselte Übertragung von Sprache und Daten via DSL. Aktive Gestaltung der Maßnahmen Infrastruktur, Kommunikation und Management von Thin Client- Umgebungen schaffen ein hohes Grundniveau an Sicherheit. Die Zentralisierung von Datenhaltung, und -sicherung minimiert die Angriffsfl äche nach außen. Die typischen Budgeteinsparungen des SBC schaffen zudem einen fi nanziellen Gestaltungsspielraum, mit dem die verantwortlichen IT-Manager aktiv und rechtzeitig auf wachsende Bedrohungen reagieren können. Moderne Lösungen bieten darüber hinaus eine Vielzahl relevanter, kombinierbarer Sicherheitsmerkmale, mit deren Hilfe sich unterschiedlichste Userszenarien getreu der aktuellen Security-Bedürfnisse abbilden lassen (Tabelle 1). 1 IGEL Thin Client mit integriertem Smartcard-Reader 4/5

5 DAS IGEL UNIVERSAL DESKTOP-KONZEPT a Ob Server Based Computing, virtuelle Desktops oder Cloud Computing die Universal Desktops von IGEL arbeiten mit unterschiedlichsten zentralen IT-Infrastrukturen zusammen. Für eine hohe Zukunftssicherheit sorgen insbesondere die leistungsfähige Hardware und Grafikperformance der Designgeräte sowie ihre laufend weiter-entwickelte Firmware. Die Auswahl des passenden Modells kann bedarfsabhängig und kosteneffizient erfolgen dank diverser Bauformen, Betriebssysteme, alternativer Firmwareausstattungen (Tools, Clients und Protokolle) und zahlreicher Hardware-Optionen. Nicht zuletzt überzeugen die IGEL Universal Desktops durch ihren minimalen Energieverbrauch, lange Einsatzzeiten und die im Lieferumfang enthaltene Remote-Managementlösung IGEL Universal Management Suite. UMFANGREICHE PERIPHERIEUNTERSTÜTZUNG a IGEL Universal Desktops lassen sich in verschiedenste Peripherieumgebungen einbinden. Mehrere USB-Ports, Audio-Ein- und -Ausgänge sowie mindestens eine DVI-I-Schnittstelle gehören zur Standardausstattung. Dank optionalem Y-Videokabel sind sämtliche Modelle Dualview-fähig, Widescreen-Formate werden ebenfalls unterstützt. Darüber hinaus bietet IGEL USB-Seriell- bzw. USB-Parallel-Adapter, optionale Sockelfüße sowie integrierte Smartcard-Reader und unterstützt externe Sicherheitslösungen. Letztere erweitern die Konnektivität um WLAN und/oder eine zusätzliche serielle- bzw. parallele Schnittstelle. Für einen räumlich flexiblen Einsatz sind neben VESA-Montagevorrichtungen auch Gummifüße für den horizontalen Betrieb erhältlich. PCIe- Steckplatz Mic-in Stereo-out Serielle Anschlüsse USB 2.0 RJ45 Ethernet PS/2-Tastatur Display Port DVI-I-Monitor Stromversorgung Vorderseite: Zwei USB 2.0-Anschlüsse Deutschland (Zentrale) IGEL Technology GmbH Hanna-Kunath-Str. 31 D Bremen I Deutschland Tel +49 (0) Fax +49 (0) Großbritannien IGEL Technology Ltd Merlin House I Brunel Road Theale I Reading I Berkshire RG7 4AB I United Kingdom Tel +44 (0) Fax +44 (0) USA IGEL Technology America, LLC 2106 Florence Avenue Cincinnati OH I USA Tel Fax info@igelamerica.com Kostenfrei (nur US): GET IGEL Singapur IGEL Technology Care of: C. Melchers GmbH & Co. Singapore Branch 101 Thomson Road # 24-01/05 United Square Singapore Tel Fax Hongkong IGEL Technology Care of: Melchers (H.K.) Ltd Shun Tak Centre I West Tower Connaught Road C. Hong Kong I China Tel Fax IGEL ist eine geschützte Marke der IGEL Technology GmbH. Alle Hardware- und Software-Namen sind Marken oder eingetragene Marken der jeweiligen Hersteller. Alle sonstigen genannten oder anders erkennbaren Marken, eingetragenen Waren- und/oder Dienstleistungsmarken sind das Eigentum ihrer jeweiligen Inhaber. Änderungen und Irrtümer vorbehalten. info@igel.com I 02/2012 IGEL Technology 99-DE-2-2