Strategische Absicherung mobiler Geräte Enrico Mahl Business Development Manager

Transkript

1 Strategische Absicherung mobiler Geräte Enrico Mahl Business Development Manager

2 Habeichdas richtigebewusstseinimumgang mitdaten? 2

3 3 Die Fakten!

4 etwas vereinfacht dargestellt 4

5 Zugriff auf Daten: die gute alte Zeit? KOPIE ORIGINAL 5 Verkehrswege von Dokumenten.

6 Zugriff auf Daten aus heutiger Sicht: (ein einfacher Maus-Klick) ORIGINAL KOPIE 5 KOPIE 4 KOPIE 1 KOPIE 2 KOPIE 6 6 Verkehrswege von Daten. KOPIE 3

7 7

8 Maxi-Speicher auf Mini-Größe (das Risiko für jeden Unternehmer) 1 Schreibmaschinenseite DinA4 = = ca Zeichen (Byte) 1 DinA-4-Ordner = ca. 250 DinA-4 Blätter ca Zeichen 1 GB = ca Zeichen ca DinA-4 Blätter ca DinA-4 Ordner 250 GB = ca Zeichen ca DinA-4 Blätter ca DinA-4 Ordner Nebeneinander aufgestellt ergibt dies eine Reihe von ca. 54 Kilometer Länge! 8

9 Moderne Zeiten Daten werden fast ausschließlich nur noch elektronisch erfaßt, gespeichert und verarbeitet Moderne Technik erlaubt nahezu das unbegrenzte Speichern von Daten Geschäftskorrespondenz findet weitgehend auf elektronischem Wege statt ( ) Durch die Vernetzung von Arbeitsplätzen und Organisationen erhalten eine Vielzahl von Personen Zugriff auf diese Daten Durch die zunehmende Mobilisierung der Arbeitswelt (Notebooks, PDA s, PnP-Massenspeicher) verlassen die gespeicherten Daten auch physikalisch den Schutzbereich einer Organisation/eines Unternehmens Wie kann Vertraulichkeit und Integrität sichergestellt werden und gewahrt bleiben? Anders gesagt, konzentrieren wir uns auf mögliche Verkehrswege und möglichen Speicherplatz 9

10 Teil 1 Das Notebook und die fehlende Verschlüsselung 10

11 11 Brandenburgs Innenminister 2009

12 Die logische Konsequenz. Am 23. September 2010 trat Speer als Innenminister des Landes Brandenburg zurück 12

13 2011 Ex - Brandenburgs Innenminister 13

14 14 Heute kann er schon wieder lachen

15 Was passiert mit ausrangierten Festplatten? BR-online, : Gebrauchte Festplatten Brisante Steuerdaten vom Flohmarkt Ein Flohmarkt-Gänger aus Pappenheim ist für 1,50 Euro unfreiwillig an sensible Steuerdaten gekommen. Auf zwei gebrauchten Festplatten konnte er Konto- und PIN-Nummern sowie persönliche Daten von Bürgern einsehen. Das amerikanische Militär sieht viermaliges [ ] Bereits im Mai sei er auf ausrangierte Festplatten von zwei bayerischen Finanzämtern gestoßen. Auf diesen waren Adressen und Geschäftszahlen von Steuerzahlern Überschreiben lesbar. Zudem mit konnte definierten er Kontonummern, Datenmustern PIN-Nummern und persönliche vor, Informationen von das Bürgern Bundesamt im Freistaat einsehen. für Sicherheit [ ] in der Der Pappenheimer Flohmarkt-Käufer fand auf gebrauchten Festplatten auch Daten einer Schule Informationstechnik aus Ingolstadt und einer Privatschule (BSI) verlangt aus Berlin. "Das siebenmaliges ist schon interessant, wenn Sie das Überschreiben soziale Profil von Kindern mit nachlesen definierten können, deren Bitmustern Eltern aus Funk und Fernsehen bekannt sind [ ]

16 Fallbeispiele aus der Praxis Diebstahl Verlust ??? Laptops verloren/gestohlen wöchentlich auf int l. Flughäfen* *July 2008,

17 Weitere Beispiele aus Politik und Wirtschaft von HEUTE! 17

18 In den Schlagzeilen

19 19 Fazit:

20 Fazit: Neben Sicherheitslösungen wie Anti-Virus, HIPS + Client Firewall brauchen wir 10 weitere : Kontrolle von Standart und unerwünschten Applikationen Portkontrolle für Endpoints (Data Control) Data-Lost-Prevention (DLP) am Endpoint Web Kontrolle am Endpoint (Web-Control) Network Access Control (NAC) Zustandsanalyse durch Patchüberprüfung Endgeräteverschlüsselung (Lokale Datenträger) Verschlüsselung von Mobieler Datenträger (zb. Externe Festplatten + USB-Sticks) Rollenbasiertets und Zentrales Management garantierte Richtlinien-durchsetzung 20

21 Der perfekte Schutz für Rechner und Daten Sophos Endpoint Protection Schutz der Integrität Anti-Malware Firewall/HIPS Applikations- & Speicher-Medien- Kontrolle DLP Network Access Control (NAC) Patch Protection Web Protection Basis-Sicherheit SafeGuard Data Protection Schutz der Daten Verschlüsselung Festplatte Externe Medien Verzeichnisse Cloud Dateien, Container Schnittstellen- und Gerätekontrolle Dateitransferkontrolle Daten-Sicherheit

22 SafeGuardEnterprise 6.0 -Teil 2 Erweiterter Datenschutz Enrico Mahl Infinigate Deutschland GmbH

23 Mobilität: Schutz der Daten, nicht nur der Infrastruktur

24 Sophos SafeGuard Enterprise Verschlüsselung und Datenschutz in einer Lösung

25 Sophos SafeGuard Enterprise Ihr zentraler Schlüssel zur Datensicherheit SafeGuard Management Center* Zentrale Administration, Reports SafeGuard Device Encryption Festplattenverschlüsselung SafeGuard Data Exchange Medienverschlüsselung (HDD, Stick, SD ) Sicherer Datenaustausch mit Externen SafeGuard File Share File & Folder Verschlüsselung SafeGuard Cloud Storage Verschlüsselung von Daten, die zu Cloud Storages (z.b. Drop Box) übertragen werden SafeGuard Configuration Protection Port- und Gerätekontrolle Dateitransferkontrolle über Wechselmedien SafeGuard Partner Connect Management und Einbindung von Microsoft Bitlocker Clients * kostenloser Bestandteil von SGN

26 SafeGuard Device Encryption Client-Start 1. Benutzer startet PC 2. BIOS wird aktiviert 3. POA wird angezeigt 4. Benutzer meldet sich an mit Username & Passwort Credentials vom Token Lenovo Fingerprint 5. Windows startet von verschlüsselter Festplatte 6. Single Sign-On zum Betriebssystem (optional)

27 SafeGuard Device Encryption Herausragende Features Schnelle Initialverschlüsselung (Fast Initial Encryption [FIE] ) Moderne Festplatten erreichen immer größere Kapazitäten, die kaum noch an einem Tag verschlüsselt werden können Bei FIE werden nur die Sektoren initial verschlüsselt, die auch Daten enthalten Besonders empfehlenswert bei neuen Rechnern und Rechnern mit SSD-Platten und virtuellen Maschinen OPAL-Support: Unterstützung von selbstverschlüsselnden Festplatten Trend geht zu selbstverschlüsselnden Festplatten: neuer Standard OPAL * Problem: Management, Recovery SGN Client erkennt OPAL-Platten automatisch und nutzt deren Verschlüsselung Einbindung in die SGN-Umgebung mit allen Features (Recovery etc.) Performance-Optimierung Nutzung aller Prozessorkerne bei der Verschlüsselung (Intel i5/i7 Prozessoren) AES-NI Support * Siehe auch: Hersteller: u.a. Fujitsu, Hitachi GST, Seagate Technology, Samsung, Toshiba, Western Digital

28 SG File Share & CloudStorage Schutz sensibler Daten in Netzwerkverzeichnissen und in der Cloud Neues Modul: SafeGuard File Share Verschlüsselung von Daten in Netzlaufwerken Ende-zu-Ende-Verschlüsselung Zentrales Richtlinien- und Schlüsselmanagement Neues Modul: SafeGuard Cloud Storage Verschlüsselung von Daten, die in Cloud-Storages gespeichert werden (z.b. Dropbox) Verschlüsselung am Client, auch die Übertragung in die Cloud ist verschlüsselt Sicherer Zugriff auch von außerhalb der Firma möglich (vergleichbar mit SafeGuard Portable), zusätzlich Reader für Smartphones und Tablets geplant

29 SG Enterprise -Kommunikationsfluß Container (Gruppen, Organisationseinheiten [OU s], etc.) inkl. User und Maschinen SGN Management Center Zertifikate automatisch generiert SG Enterprise Datenbank (SQL / SQL Express) SGN Server SGN Client Schlüssel Maschinen Zertifikate Settings Logging Policies Benutzer IIS

30 360 Schutz Ihrer vertraulichen Daten Data Leakage Prevention Transfer von Dateien auf/von Speichermedien SafeGuard Configuration Protection Schnittstellen, Geräte, Speichermedien Endpunkt- Kontrolle Zentrales Management SafeGuard Managment Center Datenverschlüsselung Festplatte Removable Media File & Folder Cloud SafeGuard Device Encryption SafeGuard Data Exchange SafeGuard File Share SafeGuard Cloud Storage

31 Teil 3 Das Haar in der Suppe (Mobile-Telefone und die dafür fehlenden Richtlinien! ) 31

32 Smartphone und Tablet-PC-Risiken Verlust Diebstahl Consumer orientiert Kein Zentrales Management Nutzung privat & geschäftlich Viel Speicherplatz Schneller Netzwerkzugang Keine Regelwerke für zugehörge Mobildienste wie Mailboxen, App-Managemet u.s.w 32

33 .unzählige neue Angriffsmöglichkeiten über Selbstbauanleitungen aus dem World-Wide-Web v=0djyppyhkri&feature=relate d 33

34 Die Herausforderung! 34

35 DerSmartphone Markt Wächst weiter rasant Über 300 Millionen verkaufte Geräte

36 Smartphone Risiken Games & Add-Ons 36

37 Der Smartphone Markt Marktanteil 2011 Android Blackberry ios Symbian Windows Phone / Mobile Andere Quelle: IDC 37

38 Der Smartphone Markt Marktanteil 2015 Android Blackberry ios Symbian Windows Phone / Mobile Andere Quelle: IDC 38

39 Smartphone Risiken Applikationen 39

40 Sicherheitsansätze 40

41 Sophos Mobile Control Überblick Compliance Enforcement Kontrolle über gestohlene oder verlorene Smartphones Management von Apps Zugang schützen Mehr Effizienz für ihre IT

42 Remote Konfiguration Erzwingen von PIN oder Passwort Richtlinien Blockieren von Kamera, Youtube, AppStore, etc. Plattformspezifische Einstellungen SMS Nachrichten senden Zentrale Konfiguration und Erzwingen der Einstellungen

43 Verlorene oder gestohlene Devices Erzwingen der Verwendung von PIN oder Passwort auf verwalteten Devices Remote sperren und/oder löschen (wipe) Löschen aller synchronisierten Exchange s und Kalender Daten SIM-Tausch-Erkennung Wird ein Smartphone vermisst, oder die SIM Karte wird getauscht, können sie sicher sein das ihre sensiblen Daten sicher sind 43

44 Sicherer Zugang Zugang nur für verwaltete Mobile Geräte Verwendet Microsoft ActiveSync Exchange Proxy Einstellungen für den Zugang können over the air verteilt werden. User können Ihre eigenen Geräte einsetzen, der Zugang zum Mailpostfach wird durch Sophos Mobile Control gesichert Geben sie ihren Usern zugriff auf ihre Exchange Postfächer und Kalender, mit Smartphones die richtig gesichert und in ihrer Konsole sichtbar sind.

45 Management von Apps Verhindern der Installation von Apps Umfangreiche Inventarisierung von Modell, OS, installierten Apps usw. Setzen von Policys, Verteilen und Deinstallieren von Apps Wenn sie sicher sein möchten das ihre Benutzer z.b. einen speziellen VPN Client verwenden, verteilen sie ihn einfach mit der Konsole und stellen sie sicher, daß die VPN- Einstellungen korrekt sind. 45

46 Mehr Effizienz für ihre IT Benutzer können ihre Geräte mit dem Self Service Portal selbst registrieren, sperren, löschen Gerät muss nicht bei der IT vorbeigebracht werden Management der Clients und Policies ganz einfach over the air SMS Nachrichten oder Alarme können einfach verschickt werden Unternehmens- -Zugriff erst nach Registrierung möglich Umfassender Plattformsupport mit einer Admin-Console Ihre Benutzer möchten ihr eigenes Telefon zum Arbeiten verwenden? Schicken sie sie einfach auf das Self Service Portal zum Registrieren und Installieren.

47 Sophos Mobile Control Features Device Diversity Compliance & Security Enterprise Applications IT Productivity Broad Platform Support ios Android Windows Mobile BackBerry Loss/Theft Protection Compliance Enforcement Controlled Access Enterprise App Store OTA App Deployment App Visibility Self Service Portal Inventory Management and Reporting OTA Device Provisioning and Configuration Dashboard Reporting

48 Sophos Mobile Control Managenent Zusammenfassung Die Mobile Device Management Lösung mit den Möglichkeiten: Telefone zentral konfigurieren Maßnahmen bei Verlust oder Diebstahl einzuleiten Mitarbeiter können ihre eigenen Devices einsetzen Do it yourself Device Management mit dem Self Service Portal Für Apple, Android und Windows Mobile Unterstütze Plattformen 48

49 Funktionen Überblick im Detail

50 Compliance Enforcement - Basics Send status Validate rules Control mail access EAS Proxy Exchange

51 Integration von Sophos Mobile Control IP APNS SMS C2DM IP Sophos Self Service Portal ActiveSync IP SMS IP Sophos Mobile Control (SMC) Server EAS Proxy MS Exchange SMS EAS = Exchange Active Sync APNS = Apple Push Notification Service

52 Integration von Sophos Mobile Control APNS C2DM Sophos Mobile Control (SMC) Server EAS Proxy ActiveSync SMS Gateway von IP APNS&/C2DM SMS HTTPS / EAS Exchange Active Sync Protokoll Blackberry Service Connection Anbindung an den Blackberry Enterprise Server MS Exchange /Lotus Notes

53 What Mobile Control connects to Active Directory Server For portal user login data Server Connects to Exchange ActiveSync Mobile Control Server Policy Server Self-service portal Exchange ActiveSync Proxy SQL Database (can be remote)

54 How a Policy is sent Mobile Control SMS Server (Hosted) Install sent via SMS via Apple Push ios via SMS Android and Windows Mobile Control Server Policy Server Self-service portal Exchange ActiveSync Proxy SQL Database (can be remote)

55 Install for ipone User accesses portal via a web browser and registers phone Apple MDM profile sent via SMS Admin creates users mobile device in SMC console Token identifies Mobile Control Server to SMC Policy Server Self-service portal Exchange ActiveSync Proxy SQL Database (can be remote) SSL Unique Apple device token Apple Push Notification Service

56 Install for ipad User accesses the portal via Safari on the ipad and registers it Admin creates users mobile device in SMC console Token identifies Mobile Control Server to SMC Policy Server Self-service portal Exchange ActiveSync Proxy SQL Database (can be remote) SSL Unique Apple device token Apple Push Notification Service

57 Install for Android and Windows User accesses portal via a web browser and registers phone Install sent via SMS Client app sent over the air Policy downloaded over the air Admin creates users mobile device in SMC console Mobile Control Server Policy Server Self-service portal Exchange ActiveSync Proxy SQL Database (can be remote)

58 How Users login Admins Access policy server via web console Users Access self service portal Mobile Control Server Policy Server Self-service portal Exchange ActiveSync Proxy SQL Database (can be remote)

59 Dashboard Direct access to all device status from the Dashboard, the new starting page

60 List of non-compliant devices

61 Sophos Mobile Control

62 62 Passcode Reset

63 Blackberry Support Supported Functions: - Lock - Wipe - Software Inventory - SMS to Device - Compliance Check 63

64 64 DNA Template

65 65 DNA Template

66 66 iphone Profile im Detail