präsentiert Aventail SSL VPN Appliances

Transkript

1 präsentiert Aventail SSL VPN Appliances Jens Albrecht, Dipl. El.-Ing. FH CEO

2

3 Agenda Aventail Herausforderung Alternativen Aventail SSL VPN End Point Control

4 Aventail Aventail Gegründet 1996 Erstes clientless SSL VPN Produkt 1997 SSL VPN managed service 1999 Hauptsitz in Seattle. Zweigstellen in London, Frankfurt, Paris, Singapor, Sydney und Bangalore, India Verkaufsnetz in 75 Ländern weltweit Market Leader Laut Frost & Sullivan am stärksten expandierender SSL VPN Hersteller Im Marktführer Quadrant von Gartner, Technologieführer Mehr als 25 Auszeichnungen seit 1997 Mehr als 500 Unternehmen weltweit und hunderttausende von Benutzern Größte produktive SSL VPN Installation mit gleichzeitigen Benutzern

5 Agenda Aventail Herausforderung Alternativen Aventail SSL VPN End Point Control

6 Neue Herausforderungen Pocket PC Heimarbeitsplatz Aussendienst Kiosk Users Filiale Extranet Secure Remote Access im Wandel Schwieriger zu handhaben: Heim PCs, Business Partner Offener und flexibler: Mehr Breitband, Internet-basierend Mobil: Wireless hotspots, Airport Kiosks, Internet Café

7 Secure Access im Wandel 1995: Network Perimeter 2010: Resource Perimeter Mitarbeiter im Hotspot LAN Perimeter VoIP Benutzer Roadwarrior Corporate Data Center Mitarbeiter am Kiosk External Users Kunden o. Partner hinter Firewall Partner mit Browser Kunden o. Partner hinter Firewall Heim-PC Interne Benutzer Mitarbeiter mit PDA

8 Agenda Aventail Herausforderung Alternativen Aventail SSL VPN End Point Control

9 Lückenhafte Lösungen Warum heutige Lösungen es nicht bringen VPN Lösungen die vollen Zugriff ermöglichen, haben Sicherheits- und Policy-Schwächen und die Verwaltung ist komplex IPSec VPNs Voller Netzwerkzugriff öffnet Sicherheitslücken Technologie der Netzwerkschicht Vorkonfigurierte Clients als Voraussetzung Nicht geeignet für mobile Benutzer Andere SSL VPNs Mix aus Netzwerk und Ressourcen-basierende Policies Komplexe Verwaltung und Policies Voller Netzwerkzugriff öffnet Sicherheitslücken Benutzer muss zu viele Entscheidungen treffen Zugriff immer nur über das Web-Portal Hybrid VPNs Mix aus Netzwerk und Ressourcen-basierende Policies Komplexe Verwaltung und Handhabung Ansatz wie (oder mit) IPSec inkl. Sicherheitslücken

10 Agenda Aventail Herausforderung Alternativen Aventail SSL VPN End Point Control

11 Aventail Smart Access: Universal Access Eine einheitliche Lösung für den Zugriff von Fremdsystemen als auch Frimen PCs und Laptops. Clientless Experience WorkPlace Access: für Web apps, client/server apps und file shares Kiosk Users Extranet Heim PCs PDA Users In-office Experience Connect Access: für Web apps, client/server apps und file shares. Fest installierter Client Internal Users Wireless LANs IT-Managed Devices Aventail Smart SSL VPN Appliances Web-Based Applications File Shares Thin Client/Server Applications Traditional Client/Server Applications

12 Aventail Smart Access: WorkPlace Access Personalisierte Startseite. Zugriff zu jeder Resource. Startet automatische die benötigten Zugriffsoptionen. Keine Pop-ups, keine Downloads. Aventail WorkPlace : 1. ) Benutzer greift auf WorkPlace URL zu 2.) Aventail s Smart SSL VPN" erledigt alles automatisch! X Y Z XYZ Incorporated Full Network Access Full Network Access - Untersuchung des Endgerätes - Authentifizierung des Benutzers und des Risikolevels seines Endgerätes - Ermittelt die optimale Zugriffsmethode - Falls notwendig werden Datenschutzagenten gestartet.

13 Aventail Smart Access: Connect Access Bietet die einfachst mögliche Art eines direkten Netzwerkzugriffes bei voller Sicherheit und Kontrolle. Aventail Connect : 1. Einmallige Installation von Connect Tunnel über WorkPlace oder Intranet 2. Start von Connect Tunnel durch Klick auf ein Icon - Kein Portal notwendig - Kontrolliert durch die selben Regeln wie WorkPlace

14 XYZ Incorporated Aventail Smart Access: Adaptive Access Adaptive addressing und -routing stellen sicher das der Benutzer Zugriff zu jederzeit und von jedem Ort hat Funktionsweise: End Point (Local Network) Client Access Adaptive Addressing Endpunkt liefert dem SSL VPN Daten über das lokale Netzwerk. SSL VPN liefert die virtuellen Netzwerkeinstellungen mit den geringsten Konflikten Firmennetzwerk App Servers und File Shares X Y Z Web Access Local NW Resources Adaptive Routing Access Control List Routen werden on-the-fly erzeugt auch auf Namesbasierende Resourcen. Keine Scheunentore! Minimiert das Risiko von Routenkonflikten

15 Aventail Smart Policy: Unified Policy Aventail s objektorientiertes Unified Policy Modell erlaubt ein schnelles, konfortables und einfaches Erstellen von komplexen Zugriffsregeln. Mit Aventail s zentralisierter Administration, gibt es nur eine gemeinsame Regelliste für alle Zugriffsarten -> reduziert Aufwand und Fehlerquellen Das Erstellen des Regelwerkes benötigt nur folgende Schritte: Users/Groups Policy Zones Access Control List Resources 1. Definition der Resources 2. Referenzieren von Benutzern/Gruppen (optional) 3. Definition von Policy Zonen (optional) 4. Definition Access Control Rules

16 Agenda Aventail Herausforderung Alternativen Aventail SSL VPN End Point Control

17 End Point Control Herausforderung: Die Identität des Benutzers ist nicht genug Gebe ich Hansibub aus einem Internet Café die gleichen Rechte wie Hansibub aus dem Unternehmens-WLAN mit seinem Laptop? Wie beschütze ich meine Unternehmensdaten? Lösung: End Point Control End Point Control (EPC) erlaubt es einem Unternehmen, die Zugriffsentscheidung nicht nur auf der Identität sondern auch auf das durch den Benutzer mitgebrachte Risiko zu basieren. Erkennen des Risikos, mögliche Risikobegrenzung und Authorisierung basierend auf der Umgebung des Benutzers. Vorteil: Mehr Zugriff mit weniger Risiko

18 How it Works: High-Level DETECT PROTECT AUTHORIZE Identify the Environment Identify the User Secure the Environment Today Source Network/IP Application Detection PFW Integration Encryption Strength Host Security Verification Zone Today User Realm Today Split Tunneling Control Time of Day Restrictions Aventail Cache Control Aventail Secure Desktop Grant the Right Access Today User Authorization Groups Zone

19 WholeSecurity & ZoneAlarm Integration Client-Less Security Scans Spyware, Key-logger, Würmer, Dialer, browserplugins Start VOR dem Login des Benutzers Kein Einloggen von unsicheren Zugangspunkten

20 Was machen Policy Zones? Policy Zones bestehen aus Einem oder mehreren Device Profiles Legen den Datenschutz fest Policy Zones ermöglichen somit: Beispiel: Richtlinien, die festlegen, wer auf was von welcher Umgebung/Zone zugreifen darf Automatisiertes Starten von Cache Control, Secure Desktop oder nichts Trusted Zone Semi-Trusted Zone Un-Trusted Zone Device Profile: IT-Managed Data Protection Aventail Cache Control Aventail Secure Desktop Application/Process Directory/File Registry key in.xyz.seattle.com or Windows domain in.xyz.phoenix.com Anti-Virus Personal Firewall Norton AV Sygate Device Profile: Home Machine Application/Process Directory/File HKEY_LOCAL_MACHINE Registry key \SW\Symantec\SharedDefs Windows domain Anti-Virus Norton AV Personal Firewall Sygate or Zone Data Protection Aventail Cache Control Aventail Secure Desktop Device Profile: Unknown Application/Process Directory/File Registry key Windows domain Anti-Virus Personal Firewall Data Protection Aventail Cache Control Aventail Secure Desktop

21 Aventail s Advanced Cache Control Molly SSL Firewall Aventail EX-1500 Directory AD 1) Hansibub greift auf zu (oder jede andere Webanwendung, die mit der Aventail EX-1500 gesichert ist) 2) Die EX-1500 überprüft, ob Cache Control auf Hans s Maschine starten kann Falls ja, kann Hans sich anmelden und mit der Arbeit anfangen Falls nicht Anzeigen einer Meldung. 3) Cache Control wird aktive wenn: Hans sich abmeldet Hans den Browser schliesst Hans s Sitzung ausläuft 4) Cache Control wird alle Sitzungsdaten löschen (Historty, Verlauf, Cookies, temporäre Dateien)

22 Aventail Secure Desktop Molly SSL Firewall Aventail EX-1500 Directory AD Ohne ASD 1) Hansibub greift auf zu (oder jede andere EX-1500 gesicherte Webanwendung) 2) Die EX-1500 überprüft, ob der ASD gestartet werden kann: Falls ja, Schritt 3 Falls nein Die EX-1500 überprüft ob Cache Control starten kann. 3) ASD stellt eine virtuelle Umgebung bereit Alle sitzungsbezogenen Daten werden verschlüsselt gespeichert, auch heruntergeladene Dokumente! 4) Die ASD Sitzung wird geschlossen wenn: Hans sich abmeldet Hans den Browser schliesst Hans s Sitzung ausläuft 5) ASD wird alle Sitzungdaten löschen. Alle. DOD-konform. After ASD

23 Der Kleber für Application Security Firewall and Application Security Gateway Data Protection Connectivity Application Reliability Single Sign-on and Identity Management Client-side End Point Control Authentication