SERVICEBESCHREIBUNG Remote Access

Transkript

1 SERVICEBESCHREIBUNG Remote Access Datum: Dokument: Servicebeschreibung: Remote Access

2 INHALTSVERZEICHNIS Seite 1 EINLEITUNG 3 2 SERVICE BESCHREIBUNG Basisdienst Optionen Lokale Authentisierung Starke Authentisierung Zentrale Verwaltung Client Web Filter Client Antivirus Additional Security Realm Globaler Zugriff IPSec VPN SMS Flat 12 3 WEITERFÜHRENDE DOKUMENTE 14 4 DISCLAIMER 15 Copyright United Security Providers AG Seite 2/15

3 1 EINLEITUNG Dieses Dokument beschreibt den Managed Service "Remote Access" mit allen Optionen, wie er von USP erbracht werden kann. Dieses Dokument bildet zusammen mit dem vereinbarten Service Level Agreement die verbindliche Grundlage für die Erbringung des Managed Services. Anwendungsgebiet Der klassische Arbeitsplatz verschwindet mehr und mehr. Die Mitarbeiter sind öfters unterwegs, die Benutzer müssen aber trotzdem auf interne Ressourcen zugreifen können. Dabei verwenden die Benutzer unterschiedliche Geräte mit unterschiedlichen Client-Betriebssystemen, und manchmal gibt es keine Möglichkeit eine Clientsoftware zu installieren. Remote Access bietet den Benutzern die Möglichkeit, von überall her via Internet sicher auf interne Ressourcen zugreifen zu können. Beispielsweise können über SSL VPN mit einer Client-Software auf Dateien zugegriffen und diese direkt bearbeitet werden. Lässt sich keine Software installieren, können Dateien aus dem internen Netzwerk heruntergeladen und lokal bearbeitet werden. Bei beiden Varianten können die Benutzer bequem über das AD verwaltet werde,n so dass kein zusätzlicher Aufwand für die interne IT entsteht. Egal mit welchem Device sich die Benutzer einloggen, die Benutzer können immer dieselben Zugangsdaten verwenden. Copyright United Security Providers AG Seite 3/15

4 2 SERVICEBESCHREIBUNG 2.1 Basisdienst Der Basisservice bildet die Grundlage für den sicheren Zugang von Benutzer über SSL-VPN-Verbindungen auf ihre internen Ressourcen. Name des Services Service Remote Access MSS-RA Service Version 2.0 Status Betriebszeiten Operativ OH1: Montag Freitag, 08:00 17:00 CET OH2: Montag Samstag, 07:00 21:00 CET OH3: Montag Sonntag, 0:00 23:59 OH4: Montag Freitag, 08:00 17:00 Local Time Verfügbarkeitsgarantie ACA: Best Effort ACB: 99.5% Verfügbarkeit während der Betriebszeit ACC: 99.7% Verfügbarkeit während der Betriebszeit ACD: 99.9% Verfügbarkeit während der Betriebszeit Der Service wird Anhand der Anzahl Benutzer, welche den Service insgesamt nutzen, bemessen. Im Basisservice wird ein VPN-Terminator betrieben. Auf diesen Verbinden sich die VPN-Benutzer über eine sichere SSL-Verbindung mit der entsprechenden Client-Software. Der VPN Terminator überprüft Benutzernamen und Passwort gegen die entsprechenden Angaben im Active Directory oder Radius und erlaubt bei einem positiven Resultat den Zugang zu den internen Ressourcen, welche für den Benutzer freigegeben sind. Alternativ zu der Benutzung der Client Software kann der Benutzer eine clientless SSL-VPN-Verbindung nutzen. Öffnet der Benutzer eine Anwendung, wird diese innerhalb eines Java-Applets zur Verfügung gestellt. Der Benutzer muss dafür keine Software installieren. Die Konfiguration der verfügbaren Bookmarks wird über Security Realms zur Verfügung gestellt. Im Basisservice ist ein entsprechendes Profile enthalten. Der lokale Internetverkehr wird in der Regel direkt in das Internet geroutet (Split-Tunnel). Alternativ kann er auch über den VPN Endpunkt geroutet werden, so dass die zentralen Sicherheitseinstellungen angewandt werden. Für den Rollout der Client Software stehen verschiedene Methoden zur Verfügung, beispielsweise die Erstellung von MSI Paketen oder über Copyright United Security Providers AG Seite 4/15

5 Softwareverteil-Mechanismen wie SCCM 2.0. Die Konfiguration der Client- Software wird von USP zur Verfügung gestellt. Mit dem Remote Access Service bietet USP eine einfache Lösung, damit Mitarbeiter auf einfach und sicher auf interne Ressourcen, beispielsweise Dateien auf Netzwerk-Shares aber auch Anwendungen, zugreifen können. Durch die Verwendung der AD Credentials vereinfacht sich zum einen die Benutzerverwaltung, aber auch das Handling der Benutzer wird einfacher, da sie ihre gewohnten Benutzernamen und ihr Passwörter verwenden können. Die Einhaltung der SLA Parameter wird anhand der Verfügbarkeit der Infrastruktur ermittelt. Die folgenden servicespezifischen Werte werden im monatlichen ausgewiesen: Auslastung der Infrastruktur Anzahl erfolgreicher Logins Anzahl fehlgeschlagene Logins ein- uns ausgehendes Datenvolumen pro Tag Um den Service zu überwachen, werden die folgenden überwacht: CPU/RAM-Auslastung Link Status Log Status Anzahl Benutzer (absolut und gleichzeitig) eingehendes Datenvolumen pro Benutzer ausgehendes Datenvolumen pro Benutzer Verbindung zum Active Directory Benutzer, die über einen entsprechenden AD-Account verfügen und die nötigen Berechtigungen haben, dürfen den Service benutzen. Der Basisservice sieht keine starke Authentisierung vor. Entsprechend empfiehlt USP, nicht auf sensible und streng vertrauliche Daten zugegriffen werden. Die Umsetzung dieser Empfehlung obliegt dem Kunden. Voraussetzung für die Erbringung des Services ist eine durch USP betriebene Appliance, welche von aussen über eine statische Adresse erreichbar ist. Die Konfiguration der Client Software wird durch USP als XML-Datei zur Verfügung gestellt und muss vom Kunden selber verteilt werden. Bei allfälligen Konfigurationsanpassungen wird eine neue XML-Datei generiert und dem Kunden zur Verfügung gestellt. Clientless VPN sieht kein Single Sign-On vor. Der Benutzer muss sich an den genutzten Applikationen erneut anmelden. Es werden ausschliesslich die von USP empfohlenen Software Clients unterstützt. Für Produkte von Drittherstellern kann das USP Security Operations Center keinen Support leisten. Copyright United Security Providers AG Seite 5/15

6 2.2 Optionen Lokale Authentisierung Die Ports, welche zur Nutzung von SSL VPN benötigt werden, müssen sowohl auf der Seite des Clients als auch auf der Seite des VPN Concentrators geöffnet sein. Alternativ oder Ergänzend zur Verwaltung der Benutzer im AD werden die Benutzer lokal auf dem VPN Zugang verwaltet. Local Authentication MSS-RA-LA Die Serviceoption wird anhand der Anzahl lokal verwalteter Benutzer verrechnet. Die Benutzer, welche lokal authentisiert werden, werden auf dem VPN Endpunkt verwaltet. Mutationen an den Benutzern werden durch das USP Security Operations Center durchgeführt. Mit dieser Option ist es nicht nötig, alle Benutzer im AD zu verwalten. Beispielsweise kann temporären Benutzern, wie etwa externen Mitarbeitern, der RAS Zugang ermöglicht werden ohne dass die interne IT einen AD Account erstellen muss. Das des Basisservices wird um die lokal authentisierten Benutzer dieser Option erweitert. Diese Option wird nicht gesondert überwacht. Die Zahl der lokal registrierten Benutzer ist auf 25 beschränkt Starke Authentisierung Neben dem Benutzernamen und Passwort ist ein zusätzliches Anmeldemerkmal für die Verwendung des Remote Access Services nötig. Two Factor Authentication MSS-RA-2F Die Bemessung dieser Serviceoption wird anhand der Anzahl Benutzer gemacht. Nach der Eingabe des Benutzernamens und des Passwortes erfolgt die Abfrage eines weiteren Anmeldemerkmals. Das Merkmal kann dem Benutzer mit einer der folgenden Arten übermittelt werden: Copyright United Security Providers AG Seite 6/15

7 SMS Der Benutzer erhält eine SMS mit einem einmal gültigen Code, welcher er bei der Anmeldung eingeben muss. HardToken Auf einem kleinen Gerät wird bei der Anmeldung ein Code erzeugt, welcher der Benutzer eingeben muss. SoftToken Der benötigte Code wird bei der Anmeldung mit Hilfe einer App auf einem Smartphone generiert. Innerhalb des Services können verschiedene Benutzer mit unterschiedlichen Faktoren authentisiert werden. Benutzername und Passwort bilden einen Grundschutz, welcher längst nicht mehr für alle Anwendungszwecke ausreichend ist. Mit dieser Option wird ein zweiter Faktor eingeführt, wodurch die Sicherheit deutlich erhöht wird, beispielsweise kann ein Unbefugter sich keinen Zutritt durch die Entwendung von Passwörtern verschaffen. Im monatlichen wird die Anzahl Benutzer pro Authentisierungsmethode ausgewiesen. Werden Token verwendet, wird monatlich die Anzahl genutzter Tokens wie auch die Anzahl revozierter Tokens ausgewiesen. Die starke Authentisierung erfordert keine speziellen. Der Kunde verwaltet die Mobile Nummern über das Active Directory selber. Zu diesem Zweck ist eine Authentisierungs-Appliance notwendig. Kosten für den Versand von SMS gehen zu Lasten des Kunden. Die Kosten für die Token sind nicht in den Servicegebühren inbegriffen. Der Roll-Out der Token wird durch den Kunden durchgeführt Zentrale Verwaltung Die Einstellungen der Clients werden zentral auf einem VPN-Endpunkt verwaltet. Die Konfiguration wird direkt auf die Clients propagiert, die Verwaltung der Konfiguration in XML-Dateien entfällt. Centralized Profile Management MSS-RA-CPM Die Grösse wird anhand des Basisservices definiert. Die Konfigurationsparameter der Client Software werden durch USP zentral auf dem VPN Endpunkt verwaltet. Jeder Client wird an diesem zentralen Punkt registriert und erhält die entsprechenden Einstellungen, abhängig vom Profil des Clients resp. des Benutzers. Copyright United Security Providers AG Seite 7/15

8 Ist der Client direkt oder über VPN mit dem Netz des Kunden verbunden, werden Konfigurationsänderungen abgerufen. Für Clients, welche selten im Kundennetz sind, kann die Konfiguration über eine öffentlich verfügbare IP- Adresse erreicht werden. Dieser Zugriff ist PSK-geschützt. Updates der Client Software werden ebenfalls über die zentrale Verwaltung gesteuert. Der Client sucht nicht selbstständig nach aktualisierten Softwareversionen und installiert diese dann. Stattdessen werden nur durch das zentrale Management freigegebene Versionen von den Clients heruntergeladen und installiert. Konfigurationsänderungen, beispielsweise neue Filter Einstellungen, müssen nicht mehr über die XML-Konfigurationsdatei auf die Client Computer verteilt werden. Stattdessen führt dies das USP Security Operations Center über eine zentrale Schnittstelle aus. Bei der internen IT des Kunden entfällt somit der Aufwand zur Verteilung von Konfigurationsdateien. Durch die zentrale Steuerung der Updates der Clientsoftware werden nur getestete und freigegebene Versionen verwendet, wodurch das Fehlerrisiko und der Supportaufwand sinken. Die Anzahl der propagierten Konfigurationsänderungen wird ausgewiesen. Dabei wird ausgewiesen, welche Clients die Änderungen bereits erhalten haben und welche noch nicht. Analog werden die Anzahl Clients pro Softwareversion ausgewiesen. Fehlgeschlagene Aktualisierungen (Software und Konfiguration) werden gemessen. Diese Option erfordert die Lizenzierung der Client-Software und somit die entsprechende Vendor-Subscription. Für die Updates ausserhalb des Netzes muss der Managementknoten vom Internet her über den TCP Port 8900 erreichbar sein Client Web Filter Diese Option erlaubt das Sperren von Internet Adressen auf dem Client. Client Web Filter MSS-RA-CWF Die Serviceoption wird anhand der Grösse des Basisservices bemessen. Der Service erlaubt das Filtern von Web Adressen. Die Adressen sind in Kategorien unterteilt und werden den Clients über das zentrale Management zugewiesen. Einzelne Adressen können innerhalb eines Profiles über Blackund Whitelists gesperrt respektive freigegeben werden. Copyright United Security Providers AG Seite 8/15

9 Das Sicherheitsfeature ist dauernd aktiv, unabhängig vom Netzwerkstatus des Clients respektive der Netzwerkzone, in welcher er sich befindet. Die Adressen, welche nicht erlaubt sind, werden auf dem Client gespeichert. Sobald der Client online ist, werden die Kategorien aktualisiert. Mitarbeiter können nicht mehr auf Internetseiten mit ungewollten Inhalten zugreifen. Durch das Sperren von Seiten die beispielsweise für Drive-By Infektionen bekannt sind, wird das Risiko einer Infektion durch Malware der Clients verkleinert. Das wird um die folgenden Daten erweitert: meistbesuchte Webseiten / Kategorien meistgeblockte Webseitenkategorien Top-Webseiten, welche keiner Kategorie angehören Diese Daten werden anonymisiert zur Verfügung gestellt. Fehlgeschlagene Aktualisierungen der Kategorien werden dem Monitoring gemeldet. Die WebFilter Datenbank wird dynamisch mit Fortiguard synchronisiert. Zu diesem Zweck muss entweder Port 53 oder 8888 vom Client Netz aus erreichbar sein. Ist dies nicht der Fall, werden entweder alle Adressen blockiert oder freigegeben. Diese Option muss auf der eingesetzten Client Software verfügbar sein. Momentan ist dies für Mac OS/X und Windows der Fall, für mobile Devices nur eingeschränkt. Die Konfiguration wird analog den WebFilter Profilen der zentralen Firewall gesetzt. Voraussetzung dafür ist der Bezug der Option MSS-RA-CPM. Endbenutzer sind nie changeberechtigt und können entsprechend das USP Security Operations Center nicht direkt kontaktieren. Ausnahmen der Filterregeln (Black- und Whitelists) sind nur auf Profile anwendbar. Lokale Ausnahmen können nicht unterstützt werden Client Antivirus Die Option erlaubt das überprüfen des Clients und des ein- und ausgehenden Datenstroms auf Viren. Client AntiVirus MSS-RA-AV Die Serviceoption wird anhand der Grösse des Basisservices bemessen. Der Service überprüft das Client System als auch der Datenstrom von und zum Client auf Viren und andere schädliche Software. Copyright United Security Providers AG Seite 9/15

10 Das Sicherheitsfeature ist dauernd aktiv, unabhängig vom Netzwerkstatus des Clients respektive der Netzwerkzone, in welcher er sich befindet. Die Antiviren Pattern sind auf dem Client gespeichert und werden automatisch aktualisiert. Mitarbeiter können nicht mehr auf Internetseiten mit ungewollten Inhalten zugreifen. Durch das Sperren von Seiten die beispielsweise für Drive-By Infektionen bekannt sind, wird das Risiko einer Infektion durch Malware der Clients verkleinert. Das wird um die folgenden Daten erweitert: Virenbefunde infizierte Webseiten Diese Daten werden personalisiert zur Verfügung gestellt. Fehlgeschlagene Aktualisierungen der Pattern werden dem Monitoring gemeldet. Spezielle Ereignisse, beispielsweise das Auftreten eines Virus in kurzer Zeit auf mehreren Clients, führen zu Alarmen. Die Antiviren Pattern werden automatisch von Fortiguard heruntergeladen. Zu diesem Zweck muss entweder Port 53 oder 8888 vom Client Netz aus erreichbar sein. Ist dies nicht der Fall, werden entweder alle Adressen blockiert oder freigegeben. Diese Option muss auf der eingesetzten Client Software verfügbar sein. Momentan ist dies für Mac OS/X und Windows der Fall, für mobile Geräte nur eingeschränkt. Die Konfiguration wird analog den Antivirus Profilen der zentralen Firewall gesetzt. Voraussetzung dafür ist der Bezug der Option MSS-RA-CPM. Endbenutzer sind nie changeberechtigt und können entsprechend das USP Security Operations Center nicht direkt kontaktieren. Die Mitarbeiterreglemente des Kunden müssen darauf hinweisen, dass Virenbefunde personenbezogen ausgewertet werden können Additional Security Realm Die Option beinhaltet den Betrieb eines zusätzlichen Clientless VPN Portal. Additional Security Realm MSS-RA-ASR Die Serviceoption wird anhand der Grösse des Basisservices bemessen. Jedes Security Realm hat eine eigene Konfiguration, in welcher definiert wird, welche Applikationen angezeigt werden. Auf welches Realm der Copyright United Security Providers AG Seite 10/15

11 Benutzer zugreift, wird über sein Profil definiert. Der Benutzer kann die Applikationen öffnen und muss sich in der Regel an diesen anmelden. Das Security Realm ist ein einfacher Weg, um webfähige Applikationen über eine sichere Verbindung dem Benutzer zur Verfügung zu stellen. Dadurch, dass das Security Realm die Applikationen über ein Portal zur Verfügung stellt, entfällt die Installation einer Client Software. Die Anzahl der Zugriffe auf das Security Realm werden ausgewiesen. Die Erreichbarkeit des Web GUI wird überprüft. Der Remote Access Service bietet kein Single Sign-On. Die Benutzer müssen sich an den jeweiligen Anwendungen manuell authentisieren. Wird Single Sign-On benötigt, bietet USP die Services Web Application Firewall und Web Authentication an Globaler Zugriff Diese Option ermöglicht die globale Verteilung von verschiedenen VPN-Endpunkten mit einer gemeinsamen Zugangsadresse. Global Distribution MSS-RA-GD Die Serviceoption wird anhand der Anzahl der erfolgreichen Verbindungen bemessen. In den Konfigurationen der VPN Clients ist lediglich eine Adresse als VPN- Endpunkt hinterlegt. Der Global Distribution Service leitet die Anfrage des Benutzers zu der Adresse des nächstgelegenen und verfügbaren VPN Endpunktes weiter. Durch die kurze Distanz zum VPN-Endpunkt wird die Latenzzeit der VPN- Verbindung optimiert, so dass der Remote Zugriff für den Benutzer angenehmer ist. Durch die Verteilung der VPN-Endpunkte kann eine äusserst hohe Verfügbarkeit des gesamten Service erreicht werden. Die Anzahl Verbindungen zu den einzelnen Endpunkten wird in Korrelation mit den Ländern, in denen sich die Benutzer finden, ausgewiesen. Die Erreichbarkeit der Zugangsadresse wird gemessen. Der Remote Access Service bietet kein Single Sign-On. Die Benutzer müssen sich an den jeweiligen Anwendungen manuell authentisieren. Wird Single Copyright United Security Providers AG Seite 11/15

12 Sign-On benötigt, bietet USP die Services Web Application Firewall und Web Authentication an IPSec VPN Diese Option erlaubt den RAS Zugriff über IPSec VPN. IPSec VPN MSS-RA-IPSEC Die Serviceoption wird anhand der Anzahl IPSec VPN Benutzer bemessen. Die Remote Access Verbindungen werden nicht über SSL-VPN sondern über IPSec VPN etabliert. Einige Applikationen und einige Client Betriebssysteme unterstützen ausschliesslich IPSec VPN Verbindungen. Mit dieser Option können auch diese Applikationen und Clients verwendet werden. Die Anzahl IPSec VPN Verbindungen werden ausgewiesen. Es werden keine Zusätzlichen für diese Option eingeführt. Die Ports, welche zur Nutzung von IPSec VPN benötigt werden, müssen sowohl auf der Seite des Clients als auch auf der Seite des VPN Concentrators geöffnet sein SMS Flat Mit dieser Option werden die für die SMS Token benötigten SMS zur Verfügung gestellt. SMS Flat MSS-RA-SMS Die Serviceoption wird anhand der Anzahl inkludierten SMS berechnet. Die folgenden Grössen sind möglich: 1000 SMS 2000 SMS 5000 SMS SMS Mit dieser Option wird eine vordefinierte Anzahl SMS im Voraus bezogen. Der Bezug der SMS ist nicht zeitlich beschränkt. Durch diese Option werden die Kosten für den Versand der benötigten SMS einfach kalkulierbar. Copyright United Security Providers AG Seite 12/15

13 Diese Option hat keinen Einfluss auf die Einhaltung der SLA. Die Anzahl gesendeter SMS werden im monatlichen ausgewiesen. Es werden keine Zusätzlichen für diese Option eingeführt. Keine zusätzlichen. Copyright United Security Providers AG Seite 13/15

14 3 WEITERFÜHRENDE DOKUMENTE Das vorliegende Dokument beschreibt den Funktionsumfang des Remote Access Service von USP. Allgemeine Informationen zum Service Level Agreement und zum Betrieb sind in den weiterführenden Dokumenten enthalten. Service Management und SL- Katalog Leistungskatalog Preisliste Dieses Dokument enthält alle Informationen zu den Parametern des Service Level Agreements. So sind neben Betriebszeiten und Verfügbarkeitsgarantien beispielsweise auch die Supportprozesse und Mitwirkungspflichten definiert. Im Leistungskatalog sind die Operation Tasks sowie die Standard Changes definiert. Das Dokument beschreibt auch die Prozesse, wie die entsprechenden Changes qualifiziert ausgelöst werden können. Die Preise zu allen Services und zu den Optionen sind in der Preisliste definiert. Copyright United Security Providers AG Seite 14/15

15 4 DISCLAIMER Dieses Dokument ist geistiges Eigentum USP AG und darf ohne ihre Einwilligung weder kopiert, vervielfältigt, weitergegeben noch zur Ausführung benützt werden. Unbefugte Verwertung ist gemäss Art. 23 in Verbindung mit Art. 5, UWG, strafbar. Das Werk ist urheberrechtlich geschützt. Die dadurch begründeten Rechte, insbesondere der Übersetzung, des Nachdrucks, der Entnahme von Abbildungen, der Weitergabe auf fotomechanischem oder ähnlichem Weg sowie der Speicherung in Datenverarbeitungsanlagen bleiben, auch bei auszugsweiser Verwertung, vorbehalten. Die in dieser Dokumentation beschriebenen Funktionen, Daten und Darstellungen gelten unter dem Vorbehalt, dass eine Änderung jederzeit möglich ist. Sie dienen dem besseren Verständnis der Materie, ohne im Detail Anspruch auf Vollständigkeit und Richtigkeit zu erheben. Die darin beschriebenen Programme werden nur aufgrund eines gültigen Lizenzvertrages mit USP AG überlassen und können nur in Übereinstimmung mit dem im Lizenzvertrag aufgestellten Bestimmungen verwendet werden. Sofern nichts vorrangig geregelt ist gelten die Allgemeinen Geschäftsbedingungen von USP. Copyright United Security Providers AG. Alle Rechte vorbehalten. Copyright United Security Providers AG Seite 15/15