Security-Lösungen in Windows 2000 Netzwerken mit Bordmitteln & MS-Backoffice Produkten. Windows Agenda

Transkript

1 Döres AG Stolberger Straße Köln Security-Lösungen in werken mit Bordmitteln & MS-Backoffice Produkten Telefon: Telefax: Internet: Agenda Untersuchung eines typischen Szenarios unter Windows NT / Backoffice Aufzeigen der neuen Möglichkeiten unter / Backoffice Kommerzielle Betrachtung Blick in die Zukunft Kosten/ Kosten 1

2 PWR OK WI C0 AC T /CH0 AC T/ C H1 WIC0 ACT/CH0 ACT/CH1 ET H AC T COL PWR OK WI C0 AC T /CH0 AC T/ C H1 WIC0 ACT/CH0 ACT/CH1 ET H AC T COL Das Beispiel-Unternehmen Zentrale mit 400 Mitarbeitern Niederlassung mit 50 Mitarbeitern 50 Außendienstmitarbeiter Zentrales Hosting von Kommunikationsdiensten Keine eigenen Leitungen zur Standortverbindung Kosten/ Kosten PDC Exchange Proxy Software RAS RADIUS Client VPN Device Hardware Internet Verzeichnisdienst PKI LAN Zentrale RADIUS Mailserver/ Forwarder/ POP3 Webserver DMZ VPN Device Kosten/ Kosten Security BDC, File, etc. LAN Niederlassung 2

3 PWR OK WI C0 AC T /CH0 AC T/ C H1 WIC0 ACT/CH0 ACT/CH1 ET H AC T COL PWR OK WI C0 AC T /CH0 AC T/ C H1 WIC0 ACT/CH0 ACT/CH1 ET H AC T COL Windows NT / Backoffice: Routing & Remote Access (RRAS ab SP 3) Radius Client Radius (NT 4.0 Option Pack) Client- VPN via PPTP Drittlösung: (z.b. Checkpoint FW-1, Axxent Raptor, Borderware, etc.) VPN-Lösung (Hardware, VPN Option für Checkpoint FW-1, Axxent Power VPN, etc.) Kosten/ Kosten PDC Exchange Proxy Software RAS RADIUS Client VPN Device Hardware Internet Verzeichnisdienst PKI LAN Zentrale RADIUS Mailserver/ Forwarder/ POP3 Webserver DMZ extern intern VPN Device BDC, File, etc. LAN Niederlassung Kosten/ Kosten 3

4 PWR OK WI C0 AC T /CH0 AC T/ C H1 WIC0 ACT/CH0 ACT/CH1 ET H AC T COL PWR OK WI C0 AC T /CH0 AC T/ C H1 WIC0 ACT/CH0 ACT/CH1 ET H AC T COL Windows NT / Backoffice: NT Domänen Authentisierung Radius Client SSL via IIS (externes Zertifikat zwingend) Proxy Authentisierung Radius (MS-Chap & PAP) Drittlösung: VPN-Client (z.b. Checkpoint Secure Client, Axxent Raptor Mobile, etc.) EAP-Lösung (z.b. Secure Computing SafeWord, RSA Secure ID, etc.) PKI- (z.b. Secure Computing SafeWord, RSA Keon, etc.) Verzeichnisdienst (z.b. Novell) Kosten/ Kosten PDC Exchange Proxy Software RAS RADIUS Client VPN Device Hardware Internet Verzeichnisdienst PKI LAN Zentrale RADIUS Mailserver/ Forwarder/ POP3 Webserver DMZ Security VPN Device BDC, File, etc. LAN Niederlassung Kosten/ Kosten 4

5 PWR OK WI C0 AC T /CH0 AC T/ C H1 WIC0 ACT/CH0 ACT/CH1 ET H AC T COL PWR OK WI C0 AC T /CH0 AC T/ C H1 WIC0 ACT/CH0 ACT/CH1 ET H AC T COL Windows NT / Backoffice: Exchange /Outlook Client POP3 /Outlook Client Drittlösung: PKI- (z.b. Secure Computing SafeWord, RSA Keon, etc.) Kryptographie Plug-In (z.b. PGP, SafeGuard Sign&Krypt, etc.) Kosten/ Kosten PDC Exchange Proxy Software RAS RADIUS Client VPN Device Hardware Internet Verzeichnisdienst PKI LAN Zentrale RADIUS Mailserver/ Forwarder/ POP3 Webserver DMZ Security VPN Device BDC, File, etc. LAN Niederlassung Kosten/ Kosten 5

6 PWR OK WI C0 AC T /CH0 AC T/ C H1 WIC0 ACT/CH0 ACT/CH1 ET H AC T COL PWR OK WI C0 AC T /CH0 AC T/ C H1 WIC0 ACT/CH0 ACT/CH1 ET H AC T COL Windows NT / Backoffice: NT Domänen Authentisierung NTFS4(5abSP4) Drittlösung: -Basierte Verschlüsselungslösung (z.b. Secure Computing SafeWord, RSA Secure ID, etc.) Verzeichnisdienst (z.b. Novell) Kosten/ Kosten PDC Exchange Proxy Software RAS RADIUS Client VPN Device Hardware Internet Verzeichnisdienst PKI LAN Zentrale RADIUS Mailserver/ Forwarder/ POP3 Webserver DMZ VPN Device BDC, File, etc. LAN Niederlassung Kosten/ Kosten 6

7 Windows NT / Backoffice: Gateway Service für Netware Client Service für Netware X.400 Connector von Exchange Drittlösung: UNIX-Sharezugriff via SAMBA Verzeichnisdienst (z.b. Novell) Kosten/ Kosten Das NT Zeitalter aus Security-Sicht Wenig interne Möglichkeiten Viele Drittlösungen Wenig Lösungen aus einer Hand (Zoo) Viele Verwaltungskonsolen/-schnittstellen Wenig Skalierbarkeit Häufig Investitionen über die tatsächlichen Anforderungen hinaus, da Alternativen fehlen Kosten/ Kosten 7

8 PDC Emulator ISA 2000 RRAS VPN RAS VPN RADIUS Client Hardware Internet Zertifikats- (PKI) IAS Dienst (RADIUS) LAN Zentrale Exchange 2000 (Backend) IPSec Exchange 2000 (Frontend) Outlook Web Access Internet Information Content Management DMZ Security W2k LAN Niederlassung ISA 2000 RRAS VPN Kosten/ Kosten RRAS: Sichern von Bastion Hosts mit Paketfiltern (z.b. VPN, Webserver) Sicherer Remotezugriff mit VPN (PPTP und L2TP über IPSec) NAT (Network Address Translation) Best Practises : Hardening TCP/IP Stack Hardening Microsoft Backoffice: und Proxy durch ISA 2000 Kosten/ Kosten 8

9 Internet Security&Acceleration 2000: Integriert in Active Directory Vordefinierte Protokollregeln Organisationsweite Basisregeln durch Array Konfiguration (Enterprise Version) Stateful Inspection Intrusion Detection H.323 Gatekeeper NAT Funktionalität Publizierungen SMTP Filter DMZ Funktionalität Kosten/ Kosten Beispiel Three-Homed DMZ : DMZ Web extern ISA 2000 Internet Kosten/ Kosten intern LAN 9

10 Beispiel Back-to to-back DMZ : Kosten/ Kosten Bearbeitung ausgehender Anfragen im ISA 2000: Benutzer- und gruppenbezogene Regeln HTTP Anfragen über Proxy Dienst, andere Protokolle über client Protokollregeln Paketfilter Zugriffsregeln für Webanfragen (destination sets) HTTP Inhaltsfilter (.exe,.mpg, etc.) Richtungsbezogene Regeln Kosten/ Kosten 10

11 Bearbeitung eingehender Anfragen im ISA 2000: publizierung auf Protokoll- oder Portbasis Webserverpublizierung -Umleitung auf Verzeichnisse oder Ports -Verschiedene externe IP Adressen -Durchreichen von Hostheader Eingehende Authentisierung gegen AD SSL Funktionalität Reverse Proxy für eingehende Webanfragen Kosten/ Kosten PDC Emulator Zertifikats- (PKI) IAS Dienst (RADIUS) LAN Zentrale Exchange 2000 (Backend) AD-Integration ISA 2000 RRAS VPN Exchange 2000 (Frontend) Outlook Web Access RAS VPN RADIUS Client Internet Information Content Management DMZ Hardware extern intern Internet W2k LAN Niederlassung ISA 2000 RRAS VPN Kosten/ Kosten 11

12 Kommunikations- Verschlüsselung: Client- und - VPN L2TP over IPSec bis 3DES PPTP bis 128bit MPPE Demand-Dial VPN IPSec Verschlüsselung von werkverkehr Client-Client Client- - Kosten/ Kosten Authentisierung: Active Directory Kerberos V5 NTLM V2 (NT4 und Windows 9.x Clients) Internet Authentication Service (IAS) RADIUS Implementierung Kosten/ Kosten 12

13 Certificate Service (PKI): Benutzer- und Maschinenzertifikate IPSec Zertifikate Code Signing Zertifikate EAP (Extensible Authentication Protocol) Zertifikate (SmartCard und Softcert) EFS (Encrypted File System) Zertifikate S/MIME (Secure/ Multipurpose Internet Mail Extensions) Zertifikate SSL (Secure Socket Layer) Zertifikate Kosten/ Kosten PDC Emulator ISA 2000 RRAS VPN RAS VPN RADIUS Client Hardware Internet Zertifikats- (PKI) IAS Dienst (RADIUS) LAN Zentrale Exchange 2000 (Backend) Exchange 2000 (Frontend) Outlook Web Access Internet Information Content Management DMZ Security W2k LAN Niederlassung ISA 2000 RRAS VPN Kosten/ Kosten 13

14 / ISA 2000: Digitale Signatur und Verschlüsselung mit S/MIME ISA SMTP Filter ISA Publizierung auch für Outlook Web Access Exchange 2000 : Erweiterte Authentisierungsmöglichkeiten SMTP, POP3 und IMAP4 Sicherheit Sicherheit für Outlook Web Access Kosten/ Kosten Authentisierung und Verschlüsselung in Exchange 2000: Active Directory Integration Kerberos Authentisierung Exchange Schlüsselverwaltung Frontend-Backend Konfiguration mit Pass- Through Authentisierung Kosten/ Kosten 14

15 SMTP Connector: Passwort Authentisierung (gegen AD) Domänenbeschränkungen (aus-/eingehend) Sitzungsverschlüsselung (SMTPS) Reverse (gegen IP-Spoofing) Sicheres POP3 und IMAP: Integrierte Authentisierung SSL/TSL Verschlüsselung (POP3S, IMAPS) Kosten/ Kosten Outlook Web Access: Sicherheit durch SSL Verschlüsselung Authentisierung gegen das Active Directory Integrierte Authentisierung mit Internet Explorer Kosten/ Kosten 15

16 PDC Emulator ISA 2000 RRAS VPN RAS VPN RADIUS Client Hardware Internet Zertifikats- (PKI) IAS Dienst (RADIUS) LAN Zentrale Exchange 2000 (Backend) IPSec Exchange 2000 (Frontend) Outlook Web Access Internet Information Content Management DMZ IPSec Security W2k LAN Niederlassung ISA 2000 RRAS VPN Kosten/ Kosten Neue Möglichkeiten in : NTFS 5 (New Technologie File System) Wiederherstellbare Datenverschlüsselung mit EFS (Encrypted File System) Sichere werkkommunikation mit IPSec Zentrale Konfiguration und Verwaltung einheitlicher Sicherheitsrichtlinien durch Gruppenrichtlinien Security Templates Kosten/ Kosten 16

17 Beispiel Security & Configuration Snap-In In : Kosten/ Kosten PDC Emulator ISA 2000 RRAS VPN RAS VPN RADIUS Client Hardware Internet Zertifikats- (PKI) IAS Dienst (RADIUS) LAN Zentrale Exchange 2000 (Backend) Exchange 2000 (Frontend) Outlook Web Access Internet Information Content Management DMZ W2k LAN Niederlassung ISA 2000 RRAS VPN Kosten/ Kosten 17

18 Verzeichnisdienste: Active Directory (LDAP Verzeichnis) Microsoft Meta Directory Kosten/ Kosten Heterogenes (UNIX): Interoperabilität mit UNIX Kerberos Realms - Clients im Kerberos Realm - NIX Clients in der Active Directory Domäne RFC-kompatible Implementierung von IPSec Services für UNIX - Kontensynchronisation und Mapping zwischen AD und NIS n - Gateway für NFS Kosten/ Kosten 18

19 Heterogenes (Sonstige): Services für Netware 5.0 Macintosh Clients - Apple Standard Encryption und MS-UAM Kosten/ Kosten aus Security-Sicht Integrierte Sicherheitslösungen für alle relevanten Bereiche (hohe Sicherheit ab Werk ) Einheitliche Verwaltungskonsolen/-schnittstellen Zentralisiertes Deployment Hohe Skalierbarkeit Kosten/ Kosten Reduktion der TCO durch schneller erreichbare qualifizierte Administration 19

20 Beispiel Szenario Windows NT: 7x Windows NT x Windows NT 4.0 1x Microsoft Exchange 5.5 +VPN für 450 User 50 Mobile VPN Lizenzen 3 UNIX-Systeme (POP3,, Verzeichnisdienst) PKI-/Authentisierungs-/Kryptographielösung für 500 Anwender Ggf. Leased Lines statt VPN Kosten/ Kosten Gesamtkosten mindestens ,- Beispiel Szenario : 12x 500x /XP Professional 2x Exchange x Internet Security & Acceleration 2000 Gesamtkosten ca ,- Kosten/ Kosten 20

21 Windows NT/ Backoffice 2.5 Kaum integrierte Lösungen 3rd Party Tools notwendig Management- Zoo Dezentrale Konfiguration & Pflege der Komponenten Zwang zu oversized Lösungen / Backoffice 2000 Vollständige Sicherheit ab Werk 3rd Party Tools optional Einheitliche Verwaltung Zentrales Deployment der Sicherheitspolitik Skalierbarkeit Kosten/ Kosten Strategic Technologie Protection Program: Sammlung von Whitepapers und Best Practice Dokumenten Spezielle Security Tools und Ressourcen Cipher.exe ISS Lockdown Wizard Windows Critical Update Notification QChain Werkzeug Security Toolkit CD alphaset Security Baseline Security Analyzer Kosten/ Kosten 21

22 Windows : Minor Update zu 2000 Kompletter Codereview im Februar 2002 (Trustworthy Initiative) Umkehrung der Installationsphilosophie (Features müssen aktiviert werden) IIS 6.0 mit erweiterten Sicherheitsfeatures (startet im Lockdown Modus, etc.) EFS für Offline-Dateien Bessere AD-Replikation (breiter einsetzbar) Dynamic Update/Windows Update Kosten/ Kosten +? Kosten/ Kosten alexius.guido@doeres.com lorenz.jens@doeres.com Döres AG Stolberger Str Köln Tel.: Fax.:

23 Entwicklung im Virenschutzsegment: Zunehmende Integration von Schnittstellen für Virenscanner (realisiert in Exchange 2000 und ISA 2000) Steigender Bedarf an vollintegrierten Lösungen zur Überwachung aller Entry Points Client/Desktop Internet-Gateway Gefährdung im Open Source Segment wächst Schnelle Reaktionszeit, proaktiver Support und lückenlose Produktpalette = Markterfolg Kosten/ Kosten Malicious Code/Viren Die Referenten Guido Alexius, Döres AG Diplom-Physiker & Associate Consultant Leiter Rechenzentrum Leiter Competence Center Betriebsunterstützung MCP, Microsoft Inner Circle Systemplatform alexius.guido@doeres.com Jens Lorenz, Döres AG Consultant Teamleiter Security NCSA Certified, MCSE, MCP+I, CLS Security-Manager, Designer und Reviewer lorenz.jens@doeres.com Kosten/ Kosten Malicious Code/Viren Die Referenten 23