Daten vor Diebstahl schützen und deren Vertraulichkeit wahren unabhängig vom Speicherort

Transkript

1 Daten vor Diebstahl schützen und deren Vertraulichkeit wahren unabhängig vom Speicherort Gespeicherte Informationen sind eines der wertvollsten Unternehmensgüter. Da immer mehr Mitarbeiter vertrauliche Daten auch mobil unterwegs verwenden, gewinnt ein geeigneter Schutz sensibler Unternehmensdaten zunehmend an Bedeutung. Denn der vielfach bewährte Schutz einer zentralen Unternehmens-Firewall erweist sich bei der Sicherung mobiler Clients als machtlos. Mobile Clients (z.b. Laptops, Netbooks oder PDAs) und Wechselmedien (z.b. USB-Sticks) sind besonders anfällig für Verlust oder Diebstahl und stellen somit die Schwachstelle in der modernen IT-Infrastruktur dar. Unternehmen benötigen eine Sicherheitslösung, die sie nicht nur vor dieser Bedrohung schützt, sondern auch dafür sorgt, dass keine Unbefugten auf gespeicherte Daten oder den Rest der IT-Infrastruktur zugreifen können. Das vorliegende White Paper stellt SafeGuard Enterprise 5.40 vor, eine innovative Lösung von Sophos, die alle Unternehmensanforderungen beim Schutz vertraulicher Daten auf mobilen PCs und Datenmedien erfüllt. Sophos White Paper September 2009

2 Daten vor Diebstahl schützen und deren Vertraulichkeit wahren unabhängig vom Speicherort SafeGuard Enterprise kann nahtlos in die bestehende IT-Umgebung integriert werden. SafeGuard Enterprise (SGN) schützt Daten vor Diebstahl oder Verlust und stellt die Vertraulichkeit Ihrer Informationen unabhängig vom individuellen Speicherort sicher. Die grundlegende Architektur von SGN wurde mit dem Ziel entwickelt, eine nahtlose Integration in die bestehende IT-Umgebung zu gewährleisten und gleichzeitig sicherzustellen, dass weder der Sicherheitsadministrator, noch die User der Sicherheitslösung in ihren täglichen Arbeitsabläufen behindert werden. Mit den zentralen Verwaltungs- und Reportingfunktionen von SGN kann der Administrator die Sicherheitsrichtlinien auf allen Geräten jederzeit und von einer zentralen Konsole aus implementieren sowie im Anschluss Audits der geschützten Umgebung durchführen. Aufgrund des transparenten Operationsmodus von SGN wird der Enduser durch die zusätzliche, durch SGN gelieferte Sicherheit in keiner Weise eingeschränkt und benötigt kein spezielles Training. Die Kombination von SafeGuard Enterprise aus transparenter Datenmedium- und Dateiverschlüsselung (Smart Media Encryption) gepaart mit Schlüsselringverwaltung bietet ein branchenweit einmaliges Maß an Flexibilität beim Schutz von Datenmedien und den auf ihnen gespeicherten Informationen. Das Portfolio von SGNs User- Authentisierungsmethoden wird stetig erweitert und erlaubt so nicht nur die Integration und Nutzung bestehender Smartcard- und PKI- Strukturen, sondern auch einen problemlosen Wechsel zu diesen Strukturen, falls zukünftige Unternehmensentwicklungen dies erfordern. SafeGuard Enterprise ist das Ergebnis von Sophos' jahrelanger Erfahrung in der IT Security- Branche. Das Produkt wurde in Einklang mit aktuellen Standards entwickelt und verfügt über eine modulare Struktur. Diese Faktoren stellen sicher, dass SafeGuard Enterprise über die beste Interoperabilität und Flexibilität für zukünftige Upgrades verfügt. Alle Funktionen von SafeGuard Enterprise wurden speziell für den Einsatz in professionellen Abbildung 1: Übersicht SafeGuard Enterprise 1

3 Unternehmensumgebungen entwickelt und können von einer zentralen Konsole aus abgewickelt werden. Für SafeGuard Enterprise sind weder neue User Accounts, noch die Einrichtung von Geräten erforderlich. Stattdessen verwendet die Software bestehende Active Directory-Daten. Das Management Center wurde speziell für die Abwicklung plattformübergreifender Aufgaben entwickelt und ermöglicht eine parallele Verwaltung von PCs und anderen Mobilgeräten über nur eine Konsole. SafeGuard Management Center Das Management Center ist das zentrale Kontrollmodul von SafeGuard Enterprise. Zu seinen Hauptaufgaben zählen: Zentrale Erstellung und Verwaltung von Sicherheitsleitfäden (Sicherheitsrichtlinien) in modularen, vererbbaren Einheiten sorgt für die effiziente Erstellung von Richtlinien, auch in großen und komplexen Umgebungen. Richtlinienvergabe an alle SafeGuard Enterprise Clients über direkte, sichere Web Service Communication (SOAP) stellt sicher, dass zentrale Richtlinien schnell auf den Clients implementiert werden. Verwendung bestehender Infrastruktur-Daten durch optionalen Import aus Active Directory benötigt weder zusätzliche User, noch eine spezielle Computer-Verwaltung. Statt dessen nutzt es bestehende Informationen. Als Alternative zum Import von Active Directory kann eine Auto-Registrierung eingesetzt werden. Für diese Option muss kein Verzeichnissystem vorhanden sein. Außerdem bietet die SGN Management API eine zweite Alternative zum System- /User-Import und ermöglicht über individuelle Skripte Verbindungen der SGN zu Versorgungs- oder Verzeichnissystemen jeder Art (z.b. Novell edirectory). Zentraler Zugriff auf Protokoll- und Reporting- Status sowie Lizenzierungsinformationen informiert über Vorgänge im Netzwerk, die Einfluss auf die Sicherheit haben, und vereinfacht die Erbringung eines von Behördenseite geforderten Beweises über die Verschlüsselung von Endgeräten (z.b. Konformität mit Gesetzen in den USA). Verwaltung von Zertifikaten und Smartcards nutzt, falls vorhanden, bestehende PKI- Infrastrukturen. Optionale rollenbasierte Administration (z.b. Security Officer und Audit Officer) ermöglicht eine klare Abgrenzung zwischen Netzwerk-Administrator, Sicherheitsadministrator für Verschlüsselung und anderen administrativen Tätigkeitsfeldern. Überwachung des Systemstatus von SafeGuard Enterprise Management-Servern über ein optionales Management Pack für Microsoft System Center Operations Manager (SCOM) 2007 In weitläufigen IT-Infrastrukturen, die mit SCOM 2007 überwacht werden, kann die Überwachung mittels SafeGuard Enterprise ergänzt werden. Details finden Sie im White Paper zu diesem Modul. SafeGuard Device Encryption Das SafeGuard Device Encryption (SG DE)-Modul und das Management Center sind die beiden Hauptmodule von SafeGuard Enterprise. Das Device Encryption-Modul schützt Endgeräte (z.b. PCs, Notebooks, Netbooks und PDAs) sowie Wechselmedien jeder Art. Dieses Modul ist der Nachfolger von SafeGuard Easy. Zu seinen Hauptaufgaben zählen: Verschlüsselung von Daten jeglicher Art auf lokalen und externen Datenmedien SafeGuard Device Encryption schützt Daten, wenn das Gerät oder Datenmedium verloren bzw. gestohlen wird. Durch sein 2

4 transparentes Funktionsprinzip können User ihre Arbeitsprozesse unter Verwendung der üblichen Anwendungen wie Microsoft Office ohne Beeinträchtigung fortführen. Die SafeGuard-Software stellt automatisch sicher, dass alle gespeicherten Daten geschützt sind. Transparente, sektorenbasierte Verschlüsselung (volumenbasierte Verschlüsselung) SafeGuard Device Encryption stellt sicher, dass alle Dateien verschlüsselt werden (auch Boot-Dateien, Auslagerungsdateien, Dateien im Ruhezustand, temporäre Dateien usw.), ohne dass User ihre Arbeitsgewohnheiten ändern oder sich um ihre Sicherheit sorgen müssen. Diese Methode kommt normalerweise zum Einsatz, wenn verschlüsselte Medien ausschließlich innerhalb des Unternehmens ausgetauscht werden sollen. Transparente dateibasierte Verschlüsselung (Smart Media Encryption, abgedeckt durch das im Folgenden beschriebene SafeGuard Data Exchange-Modul) SafeGuard Device Encryption stellt sicher, dass alle Daten verschlüsselt werden (ausgenommen Boot-Medium und Verzeichnisdaten). Der besondere Vorteil dieser Methode besteht darin, dass auch CDs/DVDs verschlüsselt und Daten mit externen Computern ausgetauscht werden können, die selbst über keine SafeGuard- Installation verfügen (insofern die Richtlinie diesen Vorgang zulässt). Flexible Schlüsselring-Verwaltung SafeGuard Device Encryption ermöglicht einen schnellen und einfachen Austausch von verschlüsselten Wechselmedien innerhalb von User- Gruppen. Dies vereinfacht im Notfall auch Wiederherstellungsvorgänge (eine Festplatte, die nicht mehr bootet, kann z.b. in einen anderen Computer eingebaut werden, auf dem der entsprechende Schlüssel vorhanden ist). Neueste grafische 32-Bit Pre-Boot- Authentisierung (Power On Authentication [POA]), bevor das Betriebssystem selbst startet sowie Unterstützung biometrischer Fingerabdruck-Authentisierung über Single Sign-On zu Windows noch vor Starten des Boot-Vorgangs SafeGuard Device Encryption schützt das Betriebssystem zuverlässig vor externen Manipulationen und unterbindet außerdem die Verwendung von Kennwort-Hacking- Tools. SafeGuard Enterprise POA wartet mit einer hochflexiblen Bedienoberfläche auf und unterstützt sowohl Unicode für alle asiatischen Sprachen, als auch zahlreiche Typen von Authentisierungshardware (z.b. Smartcards, Tokens, Fingerabdruck). SafeGuard Enterprise verwendet in seiner POA auch Windows-Accounts und -Kennwörter. Eine separate Verwaltung der POA von User-Seite wie bei vielen Wettbewerbsprodukten ist somit überflüssig. Integration von Windows Vista BitLocker Drive Encryption (BDE) SafeGuard Device Encryption ermöglicht die zentrale Verwaltung von BitLocker Clients innerhalb des SGN Management Center, gemeinsam mit nativen SGN Clients. Dieses Produkt ergänzt BitLocker um transparente, dateibasierte Verschlüsselungsfunktionen für Wechselmedien. SafeGuard Data Exchange Das SafeGuard Data Exchange- (SG DX) Modul sorgt für die transparente Verschlüsselung von Wechselmedien jeglicher Art. Ein Zugriff auf diese Medien ist durch Eingabe eines Kennworts gewährleistet und kann auch über Systeme erfolgen, auf denen SafeGuard nicht installiert ist. Alle Funktionen und Schlüssel von SafeGuard Data Exchange werden zentral über das SafeGuard Enterprise Management Center verwaltet. Durch Einsatz des SafeGuard Data Exchange- Modul in Kombination mit SafeGuard Device Encryption stehen eine Reihe wichtiger Zusatzfunktionen für die Verschlüsselung von Wechselmedien zur Verfügung. 3

5 Verschlüsselte Medien können außerhalb des Unternehmens verwendet werden. User können für Wechselmedien oder auf diesen gespeicherte Dateien optional eigene Schlüssel und Kennwörter definieren und mit Geschäftspartnern austauschen. Diese Schlüssel werden zu Backup- Zwecken außerdem auf dem zentralen SafeGuard Server gespeichert oder können vom Administrator anderen Usern für eine Wiederherstellung oder einen gemeinsamen Zugriff zugewiesen werden. Je nach Richtlinie kann eine Mischung aus Reintext- und verschlüsselten Dateien auf dem gleichen Medium zugelassen werden. Die Verschlüsselung optischer Medien wie CDs/DVDs und Blu-ray Discs kann mit dem DX-Modul vorgenommen werden. Die portable Komponente des SafeGuard Data Exchange-Moduls kann auch auf dem Datenmedium gespeichert werden. So können verschlüsselte Wechselmedien auch auf Computern verwendet werden, die selbst über keine SafeGuard Enterprise-Installation verfügen. Die mit SafeGuard Portable generierten Schlüssel können außerdem in den Schlüsselring eines Users importiert und in Folge in SafeGuard Enterprise verwendet werden. Einheitliche, stabile Kennwort-Regeln und Failed Logon Delays werden ebenfalls für die portable Funktion implementiert. Optional kann das SafeGuard Data Exchange- Modul im Standalone-Modus und ohne das SafeGuard Management Center installiert werden. Diese Methode eignet sich vor allem für Kunden, die eine übergreifende Verschlüsselung von Wechselmedien (SG DX) einführen, jedoch nur die Festplatten ausgewählter Clients (z.b. alle Notebooks) verschlüsseln möchten (SG DE und SG DX). SafeGuard Configuration Protection SafeGuard Configuration Protection (SG CP) verhindert, dass PCs potenziell schädlichen Code empfangen und beugt Datenverlusten vor, indem es den unbefugten Export vertraulicher Daten über bestimmte Kommunikationsports oder periphere Geräte unterbindet. All seine Funktionen werden zentral über das SafeGuard Enterprise Management Center verwaltet. Neben Lese-/Schreibe-Beschränkungen an Ports (z.b. USB, FireWire, WLAN oder Bluetooth) kann der Administrator Richtlinien auf Basis von Gerätetypen, Dateitypen oder sogar einzelnen peripheren Geräten konfigurieren. Für Letzteres steht ein bedienerfreundliches Tool zur Verfügung (SafeGuard Auditor), welches die Clients im Netzwerk scannt und zentral Berichte über zurzeit oder ehemals verbundene periphere Geräte als Whitelist Input für die Richtlinie erstellt. SafeGuard Enterprise Security Engine Die SafeGuard Enterprise Security Engine dient als Grundlage für sämtliche kryptographischen Prozesse. Sie wurde speziell zur Einhaltung aktueller Standards entwickelt und bietet maximale Flexibilität und Sicherheit. Die SGN Security Engine stellt sicher, dass: leistungsstarke Verschlüsselungsalgorithmen auf allen unterstützten Plattformen präsent sind (auch Gerätetreiber). alle relevanten Standards, Algorithmen und Protokolle zentral zur Verfügung gestellt werden. Sicherheitszertifikate (z.b. FIPS) auf diesen Komponenten anwendbar sind. neue Algorithmen (z.b. kunden- oder länderspezifische Algorithmen) und Crypto- Hardware (z.b. Smartcards oder Token, Trusted Platform Modules) einfach und effektiv mit SafeGuard Enterprise verbunden werden können. 4

6 Boston, USA Oxford, UK Copyright 2009 Sophos GmbH Alle Rechte vorbehalten. Alle hier aufgeführten Marken sind Eigentum der jeweiligen Inhaber. Kein Teil dieser Publikation darf ohne schriftliche Genehmigung des Copyright-Inhabers in jeglicher Form vervielfältigt, gespeichert oder übertragen werden.