Forefront Security. Helge Schroda Technologieberater Microsoft Deutschland

Transkript

1 Forefront Security Helge Schroda Technologieberater Microsoft Deutschland

2 Microsoft Security Produkt Portfolio Service s Edge Server Applications Client and Server OS Information Protection Identity Management Active Directory Federation Services (ADFS) Systems Management Guidance Developer Tools

3 Agenda Forefront Antivirus ISA Server 2006 & Netzwerksicherheit Rechte Management

4 Microsoft Forefront Security Vorgänger Heute H Client Server Edge 2008

5 Sicheres Messaging Mehrschichtiger Schutz des Messaging Externe Firewall Authentifikation und Autorisierung Interne Firewall Hosted Services Software im Unternehmen Internet DMZ Unternehmensnetzwerk Schutz des Perimeternetzwerks Firewall-Schutz Internet-Antiviruslösung Antigen für SMTP Gateways Antigen Spam Manager ISA Server Antigen für Exchange

6

7 ISA Server 2006 Built on an EAL4+ certified firewall engine

8 Die Landschaft ehemals vertrauenswürdige Netze nicht länger sicher genug IVBB, LVNs, kommunale Netzverbünde im öffentlichen Bereich Corporate Networks im privaten Sektor Dienste und Applikationen werden attackiert weniger die Netze selbst Bsp. Microsoft Exchange Wo setzen wir den adäquaten Schutz an?

9 Firewall Features spielen zusammen Firewall entschlüsselt und inspiziert SSL Firewall pre-authentisiert Verkehr Applikationsfilter Server fordert stoppt Nutzer, eliminiert mehrere Viren Attacken Authentifikation und at Würmer network jeder edge, Dialog Boxen und lässt nur können HTTP Filter auch Internet unentdeckt wenn Nutzer über kann SSL validen Verkehr durch passieren diese Dialogbox bekommen Applikationsfilter Authentisierung delegieren SSL SSL Sichere Auth. (ISA2006): Kerberos Impersonation Kerberos constrained delegation RADIUS, RADIUS OTP, LDAP, SecurID Forms Based Auth (FBA) Certificate based Authentication SSL oder HTTP Internet Client SSL tunnelt durch traditionelle Firewalls weil es verschlüsselt ist ISA Traditionelle Server Firewall Web- Server Inspizierter Verkehr wird ver- oder entschlüsselt zum internen Server gesendet und interne Server angreifen!

10 RAS-Zugriffe auf Ressourcen Reisen ohne technische Ausrüstung OWA ist der desktop für mobile Anwender geworden Whale erweitert dieses Angebot Reisen mit mobilen Endgeräten Transparente Verbindungen (bspw. RPC/HTTP) Gleiche Arbeitsumgebung, als sei man im Büro Citrix WANScaler branch office appliance basiert auf ISA Server

11 Remote Access User Experience

12 Sicheres Mobiles Arbeiten Internet ISA Server Exchange Server Windows Mobile Ultra Notebook Mobile or PC Tablet (UMPC) Eine Plattform für alle Geräte-Klassen

13 Remote Access VPNs (IPSec) Client-Site-VPNs VPN-Clients in virtuellen Netzen Richtlinien und Filter für VPN-Netze Nur autorisierte VPN-Verbindungen Betriebssystem, VPN-Client, Benutzer VPN-Q

14 Internet Firewall steuert sämtliche Kommunikation VPN network DMZ kein peer-to-peer in Quarantäne VPN Clients nicht mehr Teil des inneren Netzwerks VPN quarantine Intranet Update network

15 Netzwerksicherheit heute & morgen Labor-Umgebung Gäste

16 ISA Server als Forward Proxy HTML Internet HTML Web Server ISA Server Domain Controller Authentifikationsmethoden: Windows integriert, RADIUS, Basic, SSL Inspektion des Verkehrs: A/V: http, ftp, smtp... Blocken von Verkehr: IM, Mediastreaming, Peer-to-Peer... Internal Client

17 ISA Server Filial-Lösungen ISA Server HQ Internet ISA Server Außenstelle 1 Außenstelle 2 ISA Server Abgesicherte Filiale BITS Caching Zentrales Management Sparen der Bandbreiten Einfache Verteilung

18 Appliances von Hardware-Partnern Vor-Installiert Vor-Konfiguriert Vor-Gehärtet

19 Informationszentrische Sicherheit

20 Herkömmliche Lösungen schützen den initialen Zugriff Authorized Users Access Control List Perimeter Unauthorized Users Firewall Perimeter Information Leakage aber nicht die Verwendung Unauthorized Users

21 Windows RMS Workflow SQL Server Active Directory 1. Bei erster Anwendung erhält der Anwender ein client licensor certificate (CLC) RMS Server Autor erstellt die Datei und definiert einen Satz von Rechten und Regeln; Anwendung verschlüsselt die Datei und sendet eine unsignierte Publishing License an RMS; Server signiert und sendet die Publishing License zurück 3. Autor verteilt die Datei 2 Information Author 3 5 The Recipient 4. Empfänger öffnet die Datei, die Applikation ruft RMS an und validiert den Anwender und die Anforderung und verteilt anschließend eine use license 5. Anwendung rendert die Datei und setzt die Rechte durch

22 RMS, EFS, and SS-FVE Partners in Protection (Windows Vista) Policy Definition & Enforcement Rights Management Services User-Based File System Encryption Encrypted File System Hardware-Based Disk Encryption Full Volume Encryption

23 Vielen Dank für Ihre Aufmerksamkeit!

24 Exchange RPC filter Outlook über Firewall ohne VPN Internet Outlook ISA Server ISA Server Exchange RPC filter Nur Port 135 (portmapper) ist offen Exchange Server Höhere Ports werden mit Outlook Clients verhandelt und jeweils geöffnet bzw. geschlossen Verkehr wird auf Applikationsebene inspiziert Nur Exchange UUIDs sind erlaubt

25 Exchange RPC filter RPC Verschlüsselung erzwingen Outlook RPC Verschlüsselung wird zentral erzwungen Ermöglicht RPC Kommunikation über Fremdnetze Outlook Clients hinter einem ISA Server können auf Exchange Server zugreifen RPC External network Internal network Exchange Server ISA Server with Feature Pack 1 Outlook