A metacímtár, mint biztonsági megoldás

Vezetői összefoglaló

Metacímtár – Biztonság

Az informatikai rendszer biztonságának mérlegelése egy összetett és rendkívül sok síkon elemezhető kérdés. A biztonság egzakt mérőszámmal történő jellemzése, pedig egyértelmen lehetetlen feladat. A Novell Identity Manager metacímtár megoldása egy olyan összetett metacímtár megoldás, amely az informatikai rendszerekben rejlő a felhasználók adminisztrálásával és jogosultság kezelésével kapcsolatos biztonsági kockázatok csökkentését célozza meg.

A metacímtár technológia legfontosabb célja, hogy összerendelje és szinkronizálja a különféle alkalmazások által használt, illetve a különféle adattárakban tárolt adatokat. Ennek során a metacímtár szétválasztja a hivatali (vagy megosztott) adatok felügyeletét az ezeket kezelő alkalmazásokétól. A metacímtár alkalmazása tehát az első lépés afelé, hogy az adatokat a többi értékes vállalati erőforráshoz hasonlóan kezdjük kezelni, és így az alkalmazások a tulajdonosi, vagy kizárólagos felhasználói szerep helyett a hivatali adatok fogyasztóivá válnak. E modellben az alkalmazások továbbra is megmaradnak, megmaradhatnak a hivatali adatok hiteles forrásaként. A metacímtár technológia lehetővé teszi az adatok osztályozását, az újrafelhasználás érdekében történő publikálását, a tulajdonosok azonosítását és különféle, az adatok „fogyasztását” szabályozó irányelvek kialakítását.

A metacímtár koncepciójából eredő biztonság

A metacímtár koncepciójából eredően egy jól megtervezett és mködő metacímtár rendszer egy sor olyan informatikai biztonsági mechanizmust biztosít, amely egyéb esetben csak szigorú biztonsági szabályok felállításával és betartatásával garantálhatóak. A következőkben a metacímtár rendszer eredményei kerülnek bemutatásra az informatikai biztonság és az adatvédelem szemszögéből:

Világos, szabályozható adatgazdai szerepek

A metacímtár tervezésekor az egyik legfontosabb teendő a szervezeten belül az egyes adatok hiteles forrásának meghatározása. Sok szervezet esetében még az olyan alapinformációk esetében mint a telefonszám vagy az email cím is nehezen eldönthető, hogy ki és melyik rendszer az adat gazdája, ki rendelkezik az adattal és ki felel annak pontos nyilvántartásáért. A metacímtár rendszer bevezetése így gyakran az informatikai oldalon jelentkező előnyök mellett, a szervezeten belül a pontos adatgazdai szerepkörök meghatározását és hiányzó adatkezelési szabályzatok elkészítését is indukálja.

A metacímtár mködésében is támogatja ezeket a világos adatgazdai szerepeket, hiszen minden információt onnan és csak onnan gyjt össze ahol az hitelesen megtalálható (az adatgazdától), és a rendszerek közötti adatszinkronizációs mechanizmusok kikényszerítik az adatgazdák oldalán a saját adataik felelős és pontos kezelését. Így például ha a telefonszámok kezeléséért felelős telefon-karbantartó csoport nem tartja nyilván helyesen a kiosztott mellékeket, hibás adatok fognak szerepelni a belső telefonkönyvben, a levelezőrendszer címlistájában és az intraneten.

Nyitottság

A metacímtár rendszer nyitottsága révén átlátható adatkezelési koncepciót valósít meg, amely nagymértékben kizárja az adatok felépítéséről kizárólag emberi tudás esetleges megsznése esetén fellépő veszélyeket.

Erőforrások és jogosultságok központosított kezelése

Mivel a metacímtár a szervezet valamennyi felhasználóját egy helyen tartja nyilván, a felhasználók csatolt rendszerhez tartozó jogosultságai egy helyen központilag kezelhetők. A metacímtár koncepciójában támogatja a központi adatkezelést, de biztosítja a csatlakozó szervezetek önállóságát és az adatgazdai szerepek garantálását. A metacímtár segítségével a rendszereket üzemeltető adminisztrátorok mindent egy helyen a címtárban szabályozhatnak, eldönthetik példának okáért, hogy ki kapjon email account-ot, ki jelenjen meg az intranetes telefonkönyvben és kiknek a címe kerüljön publikálásra a szervezet Internetes oldalán. Természetesen ehhez a felsorolt rendszereket először csatolni szükséges a metacímtárhoz.

Azonnali erőforrás-kiosztás és megvonás

A metacímtár rendszer segítségével kialakítható az úgynevezett „zero-day-start” és „zero-day-stop” felhasználó-kezelés. Ez a két fogalom azt jelenti, hogy egy új alkalmazott számára szükséges erőforrásokat mihamarabb (akár 24 óra alatt) biztosítsuk, és a szervezettől kilépő dolgozók esetében ugyanezen erőforrásokat lehetőség szerint minél hamarabb visszavonjuk. Biztonsági szempontból a második eset az érdekesebb, ugyanis egy kilépett vagy elbocsátott alkalmazottnak nem áll érdekében minél hamarabb lemondania eddigi erőforrásairól, azokat minél tovább használni szeretné. Adatvédelmi és egyéb szempontok miatt viszont a szervezet szeretné ezen személyektől a különböző rendszerekhez kapcsolódó jogaikat mihamarabb visszavonni, ami viszont egy olyan környezetben ahol a felhasználó akár 10 különféle rendszerhez hozzáfér, nehezen végrehajtható feladat.

A Novell metacímtár rendszerével lehetőségünk van a különböző rendszerekhez kapcsolódó jogosultságokat egy lépésben kiosztani és megvonni. Így például a humánpolitikai rendszerben inaktívvá minősített alkalmazott késleltetés nélkül valamennyi csatolt rendszerben kitiltásra kerülhet, védve ezzel az érzékeny információkat.

A Novell metacímtár rendszerének biztonsága

eDirectory

A Novell metacímtára a Novell kiforrott címtár technológiájára az eDirectory-ra épül. Az eDirectory biztonsági rendszere kiemelkedő. A felhasználók csak hitelesítés után érhetik el a címtárat és a hálózatot. A hitelesítés igen rugalmas módon történhet: a Secure Sockets Layer (SSL) segítségével titkosított jelszavaktól kezdve az X.509v3 tanúsítványokon át akár az intelligens kártyákig. A bejelentkezési hitelesítési szolgáltatás az RSA Data Security, Inc. nyilvános/privát kulcspárú titkosítási technológiájára épül. Miután a felhasználó bejelentkezett a hálózatba, a további hitelesítéseket (ha például a felhasználó egy másik szervert kíván elérni), az eDirectory már automatikusan, a háttérben, a felhasználó számára láthatatlan módon végzi.

Az eDirectory segítségével létrehozhatunk egy biztonságos környezetet, amely biztosítja a digitális tanúsítványok, titkosítás, hitelesítés és egyéb biztonsági technológiák megfelelő kezeléséhez szükséges méretezhetőséget, megbízhatóságot, és univerzális hozzáférést. Az eDirectory nyílt szabványú biztonsági szolgáltatásokkal rendelkezik – ezáltal a Novell a címtáralapú hálózati biztonság vezető szolgáltatója. Az eDirectory biztonsági komponensei a következő részekből állnak:

• Novell International Cryptographic Infrastructure (NICI) — Az első nemzetközi titkosítási infrastruktúra, amely segítségével a fejlesztők megkaphatják a megfelelő szint titkosítást az alkalmazáshoz (az alkalmazás használatának helye alapján) anélkül, hogy titkosítást ágyaznának az alkalmazásba.
• Secure Authentication Services (SAS) — Egy moduláris hitelesítési keretrendszer, amely következő generációs hitelesítési szolgáltatásokat biztosít; az SAS jelenleg SSLv3 támogatást biztosít.

A metacímtár és a csatolt rendszerek közötti adatforgalom SSL titkosítással kerül kialakításra.

Egységes központi felügyelet és jogosultságszabályozás

A Novell eszközeivel ellátható a szinkronizált címtáradatok egységes központi felügyelete. A finoman hangolható címtárbiztonság garantálja, hogy mindenki csak a számára engedélyezett címtáradatokkal csak azon mveleteket hajthassa végre, amelyek munkavégzéséhez szükségesek.

Auditálás

Az eDirectory auditálásával megállapítható, hogy adott adatgazda milyen adatokat módosított egy meghatározott időintervallumban. Lehetőség van annak megállapítására is, hogy adott adatokat ki módosított és mikor. A lekérdezés szükség esetén CSV fájlba menthető és későbbiekben bármilyen szerkesztőprogrammal feldolgozható. Mivel az auditálás alapját egy MySql adatbázis képezi, ezért a lekérdezések igen rugalmasan alakíthatók. Az auditálás segítségével hosszú időre visszamenően feltárhatóak az esetleges szabálytalanságok, rosszindulatú kísérletek.

„Queuing” feldolgozás

A Novell eDirectory címtárban minden esemény egy speciális naplófájlba kerül bejegyzésre, amelynek segítségével a metacímtár rendszer képes a bekövetkezett változásokat szinkronizálni. A Identity Manager rendszer sorban feldolgozza az eseménynaplóban rögzített változásokat és a megfelelő szabályok és szrők alkalmazásával végrehajtja az eseményhez kapcsolódó változásokat a csatolt rendszerekben. A feldolgozás módjából kifolyóan, a csatolt rendszerek időszakos kiesése esetén, az események nem vesznek el, a helyreállítást követően az objektumok és adataik szinkronizációja megtörténik.

Szrők – szabályok - irányelvek

A Novell metacímtár megoldása az Identity Manager, szrők, szabályok és irányelvek alkalmazásával biztosítja azt, hogy a csatolt rendszerekkel csak a megfelelő adatok kerüljenek szinkronizálásra. Az Identity Manager szrőiben állítható be, hogy melyek legyenek azok az adatok amelyek szinkronizálásra kerülnek, védve ezzel a csatolt rendszerekben tárolt egyéb érzékeny adatokat.

NMAS erős autentikációs megoldás

Az eDirectory-t többtényezős azonosítással és többszint hitelesítéssel bővítő Novell Modular Authentication Service-szel (NMAS) lényeges mértékben növelhető a hálózat és a címtár biztonsága. E sokoldalú hitelesítés-felügyeleti megoldással tetszés szerint kombinálhatók a jelszavas és tokenes, az X.509 tanúsítványokra és biometrikai jellemzőkre épülő bejelentkezési módszerek a felhasználók hálózati erőforrásokhoz, adatokhoz és alkalmazásokhoz való hozzáférésének finoman szabályozható korlátozásához.

A többszint hitelesítés (graded authentication) újabb védelmi szintet jelent az informatikai rendszerben. Akár személyre szóló irányelvek is készíthetők, amelyek szabályozzák a felhasználóknak a NetWare-kötetekhez vagy az eDirectory címtárhoz történő hozzáférését. A felhasználók ún. bejelentkezési sorozatok (login sequence) használatával kapnak írási vagy csak olvasási jogokat az egyes fájlokhoz és objektumokhoz. Megfelelő mechanizmus védi, hogy a felhasználók ne másolhassanak adatokat egy magasabb biztonsági szint kötetről egy alacsonyabbra.

Biztonság növelése többszint hitelesítéssel

Az NMAS megteremti a lehetőséget konzisztens, a szervezet egészére kiterjeszthető címtár alapú biztonsági előírások megvalósítására, amely az autentikációs módszer erősségétől, valamint módjától függően szabályozza a hozzáférést. A többszint hitelesítéssel (graded authentication) megvalósítható, hogy egy kötethez való hozzáférés bizonyos erősség autentikáció esetén jöhet csak létre.

A választás szabadsága

Az NMAS lehetőséget biztosít számos bejelentkezési mód (login sequence) felhasználására a beléptetéshez. Ezek között található jelszavas, tanúsítvány alapú, fizikai eszközzel (smart card, token) vagy biometrikus alapokon (újlenyomat, retina leolvasó, hangfelismerő, arcfelismerő) megvalósított módok.

Moduláris felépítéséből adódóan, partner termékeken keresztül számos eljárás támogatásával biztosítja az NMAS, hogy az egyes erőforrások védelmére a szervezetnek legmegfelelőbb, a környezethez legjobban illeszkedő, költséghatékony megoldás valósítható meg.

Többszint védelem

Az NMAS-on keresztüli autentikáció lehetővé teszi, hogy az autentikáció errősségének függvényében szabályozzuk az erőforrások kiosztását. Az NMAS segítségével megvalósítható, hogy az érzékeny információkhoz való hozzáférés csak erős autentikáció használatával valósuljon meg, míg a kevésbé fontos adatok elérésére már egy gyengébb azonosítás esetén is legyen lehetőség.

Központi felügyelet

Az NMAS felügyeletére a széles körben használt ConsoleOne nyújt lehetőséget, biztosítva a megszokott felületet, platformfüggetlen környezetben. A ConsoleOne funkcióját bővítő snap-in-ek adnak lehetőséget az NMAS mködését befolyásoló felhasználói és rendszerszint paraméterek beállítására.