SERVICEBESCHREIBUNG Web Authentication

Transkript

1 SERVICEBESCHREIBUNG Web Authentication Datum: Dokument: Service : Web Authentication

2 INHALTSVERZEICHNIS Seite 1 EINLEITUNG 3 2 SERVICEBESCHREIBUNG Basisdienst Optionen Captive Portal Federation Single Sign-On Strong Authentication Test Instanz SMS Flat 9 3 WEITERFÜHRENDE DOKUMENTE 11 4 DISCLAIMER 11 Copyright United Security Providers AG Seite 2/11

3 1 EINLEITUNG Dieses Dokument beschreibt den Managed Service "USP Web Authentication" mit allen Optionen, wie er von USP erbracht werden kann. Dieses Dokument bildet zusammen mit dem vereinbarten Service Level Agreement die verbindliche Grundlage für die Erbringung des Managed Services. Anwendungsgebiet Der Web Authentication Service bietet flexible Technologien und Konzepte für die Authentisierung der Benutzer. Der Service ermöglicht ganzheitliche Single Sign-on Lösungen über verschiedene Applikationen unter Berücksichtigung des Transaktionsschutzes wie auch eine nahtlose Integration in Ihre IAM Prozesse. Der Web Authentication Service bietet Ihren Benutzern eine einheitliche Schnittstelle für alle Web Applikationen. Die zentrale Haltung der Benutzerdaten erleichtert die Arbeit Ihrer IT und spart dadurch wertvolle Zeit und Ressourcen. Ändert sich die Datenstruktur muss die Änderung an einer Stelle nachgezogen werden ohne dass alle Anwendungen beeinträchtigt werden. Das Risiko von Fehlern wird dadurch stark minimiert, zudem können Änderungen deutlich schneller durchgeführt werden. Copyright United Security Providers AG Seite 3/11

4 2 SERVICEBESCHREIBUNG 2.1 Basisdienst Der USP Web Authentication Service bietet eine einheitliche und einfache Schnittstelle für die Authentisierung Ihrer Benutzer. Name des Services Service Web Authentication MSS-WA Service Version 2.0 Status Betriebszeiten Operativ OH1: Montag Freitag, 08:00 18:00 CET OH2: Montag Samstag, 07:00 21:00 CET OH3: Montag Sonntag, 0:00 23:59 Verfügbarkeitsgarantie ACA: Best Effort ACB: 99.5% Verfügbarkeit während der Betriebszeit ACC: 99.7% Verfügbarkeit während der Betriebszeit ACD: 99.9% Verfügbarkeit während der Betriebszeit Der Service wird anhand der Anzahl gleichzeitiger Benutzer bemessen. Der Web Authentication Service dient als standardisierte Schnittstelle zwischen vorgelagerten Services, etwa dem Web Application Firewall Service, und der Datenhaltung der Benutzerdaten. Der Service konsolidiert verschiedene Authentisierungssysteme und bietet diese weiteren Services in einer einzigen Schnittstelle an. Moderne Anwendungen, insbesondere webbasierte Applikationen, beziehen ihre Benutzerdaten aus verschiedensten Quellen. Verschiedene Schnittstellen führen zu einer sehr hohen Komplexität in allen Applikationen. Durch den Web Authentication Service greifen alle Ihre Web Applikationen auf eine gemeinsame Schnittstelle auf die Benutzerdaten zu. Werden an der Datenstruktur Änderungen gemacht, muss lediglich der Web Authentication Service diese Änderungen übernehmen. Dadurch, dass Ihre Applikationen nicht geändert werden müssen, werden bei gleichzeitig minimiertem Risiko auch Entwicklungskosten gespart. Die Einhaltung der SLA Parameter wird anhand der Verfügbarkeit der Service Infrastruktur gemessen. Die folgenden servicespezifischen Werte werden im monatlichen ausgewiesen: - Auslastung der Infrastruktur - Anzahl gültiger / ungültiger Logins Copyright United Security Providers AG Seite 4/11

5 - Anzahl Sessions Um den Service zu überwachen, werden unter anderem die folgenden überwacht: - CPU / RAM / HDD Auslastung - Listener Prozesse - Verbindung zum Backend - Erreichbarkeit Eine Verfügbarkeitsgarantie, welche Best Effort übersteigt, erfordert eine redundante Auslegung der Service Infrastruktur. Copyright United Security Providers AG Seite 5/11

6 2.2 Optionen Captive Portal Ihren Gastbenutzern wird ein Self-Registration Portal zur Verfügung gestellt. Captive Portal MSS-WA-CP Die Serviceoption wird anhand der Grösse des Basisservices bemessen. Mit dieser Option wird den Gastbenutzern ein Captive Portal zur Self- Registration zur Verfügung gestellt. Verbindet sich ein Benutzer mit dem Netzwerk, wird der Request zuerst auf ein Web Portal umgeleitet, auf welchem er seine Benutzerinformationen inklusive Mobile Nummer hinterlegen muss. Über einen SMS Challenge Code wird die Korrektheit der Eingaben überprüft. Ist die Überprüfung positiv, kann der Gast die Netzwerk Ressourcen verwenden. Wird Benutzern ein öffentliches WLAN angeboten, muss gemäss dem Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF) der Anbieter die Identifikation der Benutzer ermöglichen. Mit dieser Option wird die geforderte Identifikation ermöglicht so dass Sie Ihre diesbezüglichen gesetzlichen Pflichten vollumfänglich erfüllen. Die Registrierung Ihrer Gäste erfolgt automatisch ohne weitere Eingriffe von Mitarbeitern. Sie können somit auch einer grossen Anzahl Benutzern ohne weiteren Aufwand den Zugriff auf Netzwerkressourcen, beispielsweise auf das Internet, zur Verfügung stellen. Die Einhaltung der SLA wird anhand der KPIs des Basisservices ermittelt. Das wird um die Anzahl Benutzer erweitert. Die Benutzeraktivitäten werden auf eine entsprechende Anfrage an das USP Security Operations Center zur Verfügung gestellt. Die Erreichbarkeit des Web Interfaces wird überprüft. Das Captive Portal muss entweder die Netzwerk Adressen selber den Benutzern zur Verfügung stellen oder diese den Gästen weiterleiten. Kosten, welche durch den Versand von SMS entstehen, sind in den monatlichen Kosten des Services nicht enthalten Federation Diese Option bietet Unterstützung für SAML. Federation MSS-WA-FED Copyright United Security Providers AG Seite 6/11

7 Die Serviceoption wird anhand der Grösse des Basisservices bemessen. Moderne IT Umgebungen agieren zunehmend unternehmensübergreifend. Mit der Option Federation werden die entsprechenden Benutzerdaten unternehmensübergreifend und zur Authentisierung zur Verfügung gestellt, so dass Kunden, Partner oder auch Mitarbeiter ihre eigenen, bestehenden Identitäten nutzen können. Federation bietet volle SAML (Security Assertion Markup Language) Unterstützung, sowohl als Identity Provider wie auch als Service Provider. Diese Option bietet Ihnen eine komfortable Möglichkeit, vertrauenswürdige und unternehmensübergreifende IT Umgebungen abzubilden. Sie können Ihren Mitarbeitern beispielsweise Zugriff auf Office 365 ermöglichen oder auf Anwendungen welche bei Partnern gehostet sind, ohne dass zusätzliche Benutzeraccounts erstellt und verwaltet werden müssen. Mit Federation erhalten Sie die Kontrolle darüber, welche Informationen an Service Provider weitergereicht werden. Sie gewinnen deutlich an Sicherheit, indem die Benutzerdaten dort bleiben, wo sie auch hingehören. Die Einhaltung der SLA wird anhand der KPIs des Basisservices ermittelt. Diese Option wird in den Reports nicht gesondert ausgewiesen. Die Option wird nicht gesondert überwacht. Es gelten die des Basisservice Single Sign-On Die Benutzer greifen auf verschiedene Applikationen zu und müssen sich dafür nur einmal einloggen. Single Sign-On MSS-WA-SSO Die Serviceoption wird anhand der Grösse des Basisservices bemessen. Verschiedene Web Applikationen verfügen über unterschiedliche Authentisierungsmethoden und der Benutzer muss unterschiedliche Benutzerdaten angeben. Mit der Option Single Sign-On wird der Anmeldevorgang über alle Anwendungen vereinheitlicht: Die Benutzer geben initial ihren Benutzernamen und das dazugehörige Passwort (und allenfalls ein weiterer Faktor, siehe Kapitel 2.2.4). Die Option Single Sign-On reicht diese Angaben an die Applikationen weiter so dass der Benutzer an diesen automatisch eingeloggt wird. Müssen sich die Benutzer eine grosse Anzahl Passwörter merken, neigen sie dazu, einfache Passwörter zu verwenden oder aber die Passwörter aufzuschreiben. Mit der Option Single Sign-On brauchen sich Ihre Benutzer lediglich ein Passwort zu merken. Sie erreichen dadurch eine höhere Copyright United Security Providers AG Seite 7/11

8 Benutzerfreundlichkeit welche sich in Zufriedenheitet Ihrer Benutzer niederschlägt sowie eine höhere Sicherheit, da einfachste Passwörter und das Aufschreiben von Passwörtern vermieden wird. Die Serviceoption wird anhand der Grösse des Basisservices bemessen. Diese Option wird in den Reports nicht gesondert ausgewiesen. Die Option wird nicht gesondert überwacht. Es gelten die des Basisservice Strong Authentication Nebst einem Passwort wird ein zweiter Faktor für die Authentisierung der Benutzer eingeführt. Strong Authentication MSS-WA-SA Die Serviceoption wird anhand der Grösse des Basisservices bemessen. Mit dieser Option wird ein zweiter Faktor für die Authentisierung eingeführt. Der Benutzer muss nebst dem Passwort (etwas, das er weiss) noch ein zweites Merkmal (etwas, das er hat oder ist) zur Bestätigung seiner Identität angeben. Dabei stehen unterschiedliche Adapter zur Einbindung von verschiedenen Merkmalen zur Verfügung. So werden Schnittstellen zu SuisseID, zu Mobile ID, zu verschiedenen Hard Tokens, zu SMS und vieles mehr geboten. Durch die Einführung eines zweiten Faktors zur Authentisierung Ihrer Benutzer erhöhen Sie die Sicherheit massgeblich. Ein potentieller Angreifer muss nicht nur den Benutzernamen und das Passwort des Opfers kennen, sondern auch noch einen weiteren Faktor besitzen oder etwas zu sein vorgeben. Die Einhaltung der SLA wird anhand der KPIs des Basisservices ermittelt. Diese Option wird in der Regel in den Reports nicht gesondert ausgewiesen. Einzelne Faktoren können im Bedarfsfall speziell ausgewiesen werden, beispielsweise der Status von Zertifikaten oder die Anzahl verschickter SMS. Diese Option wird in der Regel nicht gesondert überwacht. Einzelne Faktoren können aber besondere erfordern, beispielsweise wird die Verfügbarkeit des SMS Gateways überprüft. Allfällige Kosten für die Infrastruktur für die Zwei-Faktor Authentisierung, sind in den monatlichen Servicegebühren nicht enthalten und gehen zu Lasten des Kunden. Copyright United Security Providers AG Seite 8/11

9 Der Kunde ist für den Rollout von Infrastruktur-Komponenten für die Zwei- Faktor Authentisierung, beispielsweise von Hard Tokens oder Zertifikaten, zuständig Test Instanz Betrieb einer zusätzlichen Instanz, welche nicht produktiv genützt wird. Non-Prod Licence MSS-WA-TEST Die Serviceoption wird anhand der Anzahl Instanzen bemessen. Mit dieser Option wird eine weitere Instanz der Web Authentication Infrastruktur betrieben. Die zusätzliche Instanz wird nicht produktiv genützt und kann so beispielsweise als Test- oder Entwicklungsumgebung eingesetzt werden. Die zusätzliche Instanz ist mit denselben Optionen wie die produktiven Instanzen ausgerüstet. Durch den Einsatz einer nicht-produktiven Instanz können Änderungen vor der Umsetzung in einer produktionsähnlichen Umgebung getestet werden. Durch die Möglichkeit, Änderungen zuerst auf einer nicht-produktiven Umgebung zu testen, wird das Risiko eines Fehlers beim späteren Live Schalten der Änderungen auf der Produktion deutlich minimiert. Testinstanzen werden, unabhängig von der SLA des Basisdienstes, während den Bürozeiten nach Best Effort betrieben. Diese Option hat keine gesonderten KPIs. Für Testinstanzen werden keine Reports erstellt. Die Verfügbarkeit der Instanz wird überwacht. MSS-WA-TEST wird erst angeboten, wenn mindestens zwei produktive Instanzen bezogen werden SMS Flat Mit dieser Option werden die für die SMS Token benötigten SMS zur Verfügung gestellt. SMS Flat MSS-WA-SMS Die Serviceoption wird anhand der Anzahl inkludierten SMS berechnet. Die folgenden Grössen sind möglich: SMS SMS SMS SMS Copyright United Security Providers AG Seite 9/11

10 Mit dieser Option wird eine vordefinierte Anzahl SMS im Voraus bezogen. Der Bezug der SMS ist nicht zeitlich beschränkt. Durch diese Option werden die Kosten für den Versand der benötigten SMS einfach kalkulierbar. Diese Option hat keinen Einfluss auf die Einhaltung der SLA. Die Anzahl gesendeter SMS werden im monatlichen ausgewiesen. Es werden keine Zusätzlichen für diese Option eingeführt. Keine zusätzlichen. Copyright United Security Providers AG Seite 10/11

11 3 WEITERFÜHRENDE DOKUMENTE Das vorliegende Dokument beschreibt den Funktionsumfang des Web Application Firewall Service von USP. Allgemeine Informationen zum Service Level Agreement und zum Betrieb sind in den weiterführenden Dokumenten enthalten. Service Management und SL Katalog Leistungskatalog Preisliste Dieses Dokument enthält alle Informationen zu den Parametern des Service Level Agreement. So sind neben Betriebszeiten und Verfügbarkeitsgarantien beispielsweise auch die Supportprozesse und Mitwirkungspflichten definiert. Im Leistungskatalog sind die Operation Tasks sowie die Standard Changes definiert. Das Dokument beschreibt auch die Prozesse, wie die entsprechenden Changes qualifiziert ausgelöst werden können. Die Preise zu allen Services und zu den Optionen sind in der Preisliste definiert. 4 DISCLAIMER Dieses Dokument ist geistiges Eigentum USP AG und darf ohne ihre Einwilligung weder kopiert, vervielfältigt, weitergegeben noch zur Ausführung benützt werden. Unbefugte Verwertung ist gemäss Art. 23 in Verbindung mit Art. 5, UWG, strafbar. Das Werk ist urheberrechtlich geschützt. Die dadurch begründeten Rechte, insbesondere der Übersetzung, des Nachdrucks, der Entnahme von Abbildungen, der Weitergabe auf fotomechanischem oder ähnlichem Weg sowie der Speicherung in Datenverarbeitungsanlagen bleiben, auch bei auszugsweiser Verwertung, vorbehalten. Die in dieser Dokumentation beschriebenen Funktionen, Daten und Darstellungen gelten unter dem Vorbehalt, dass eine Änderung jederzeit möglich ist. Sie dienen dem besseren Verständnis der Materie, ohne im Detail Anspruch auf Vollständigkeit und Richtigkeit zu erheben. Die darin beschriebenen Programme werden nur aufgrund eines gültigen Lizenzvertrages mit USP AG überlassen und können nur in Übereinstimmung mit dem im Lizenzvertrag aufgestellten Bestimmungen verwendet werden. Sofern nichts vorrangig geregelt ist gelten die Allgemeinen Geschäftsbedingungen von USP. Copyright United Security Providers AG. Alle Rechte vorbehalten. Copyright United Security Providers AG Seite 11/11