BalaBit Shell Control Box

Хотите полностью контролировать процессы администрирования серверов? Вам необходимо соответствовать стандартам SOX, HIPAA, Basel II? Поддержка ИТ сервисов осуществляется внешними компаниями? Или вы хотите знать все о серверах, обслуживающих критичные для Вашего бизнеса операции? BalaBit Shell Control Box выносит безопасность администрирования серверов на новый уровень.

Zorp Application Level Technology

Защита на всех уровнях

Практически администрирование всех серверов осуществляется с помощью зашифрованных протоколов Shell (Unix) или Remote Desktop (Windows), что усложняет наблюдение и контроль над администрированием системы. Для осуществления надежного контроля необходимо, чтобы сбор данных был прозрачным и независимым от клиента и сервера - иначе опытный администратор (или злоумышленник) может скрыть записи о своих действиях или других событиях. Shell Control Box решает такие задачи, представляя отдельный уровень аудитора, чтобы наблюдать за администраторами системы.

Надежный контроль

SCB дает возможность контролировать каналы SSH, RDPи Telnet, которые используются для администрирования серверов и сетевых устройств. Весь трафик (включая изменения конфигурации, выполненные команды) записывается в журнал и архивируетсяв специальные отчеты. Все данные хранятся в зашифрованных файлах, что защищает их от любых модификаций и манипуляций. При  возникновении проблем (ошибок в конфигурации сервера, манипулирование с базой данных или  аварийное отключение), информация о них сразу же отображается в отчетах. Т.о., можно легко определить причину данных инцидентов.

Полный контроль над административными каналами

Используя SCB, Вы можете полностью контролировать подключения к Вашему серверу и сетевым устройствам через SSH, RDP и Telnet. Вы можете определить кто, когда, как и откуда имеет доступ к Вашим серверам, а также контролировать дополнительные характеристики протоколов, такие, как например, тип разрешенных каналов для SSH и RDP соединений. Чтобы сократить угрозы безопасности для серверов, Вы можете отключить ненужные каналы, как переадресация портов SSH или разделение файлов RDP. А также SCB проверяет ключ хоста на сервере для предотвращения атак типа «незаконный посредник» (man-in-the-middle).

Быстрота, радикальность, эффективность

Радикально изменить прозрачность администрирования системы Вы можете за нескольких часов: определите новый уровень ответственности администраторов с помощью предварительной установки SCB. С BalaBit SCB вы можете прозрачно применять установленныеправила во всей сети, Вам не приходится изменять среду приложений. Благодаря доступному и интуитивному веб-интерфейсу, даже детальную настройку конфигурации можно выполнить просто и быстро.

Как просмотр фильма

Записанные аудиторские отчеты можно просмотреть как фильм – Вы видите именно то, что делал администратор, как будто смотрите в его монитор.Все аудиторские отчеты проиндексированы, что позволяет быстро прокручивать события вперед, искать тексты, которые просматривал администратор, события (нажатие кнопок мыши, клавиши Enter) и др.

Протокол SSH пользуется особой популярностью у тех администраторов, которые нуждаются в защищенном управлении по сети системами UNIX и Linux. Поскольку в отличие от telnet он предусматривает шифрование трафика, ему можно доверить передачу конфиденциальных данных. Но что произойдет, если злоумышленник воспользуется SSH для сокрытия своей деятельности и манипулирования конфиденциальными данными на серверах?

Посредник SSH в состоянии обеспечить контроль за административным доступом к нуждающимся в защите системам, а также выполнение предписаний регулирующих органов. Давайте разберемся, зачем это нужно и как это работает.

SSH позволяет строить защищенное, аутентифицированное и шифруемое соединение между двумя компьютерами по ненадежной сети, поэтому данный протокол подходит для замены rlogin, telnet и rsh, трафик которых, включая пароли, передается по сети в незашифрованном виде. Правда, изначально SSH применялся для надежной регистрации на удаленных компьютерах — по большей части через Internet. Однако только терминальными функциями дело не ограничивается, особенно это касается переработанной версии SSH-2. Благодаря SSH можно туннелировать любые соединения TCP/IP. При этом с удаленного сервера на клиентский компьютер и обратно данные передаются только через один порт, что позволяет защитить, к примеру, соединение VNC. Протокол подходит и для зашифрованной передачи файлов по протоколу передачи файлов SSH (SSH File Transfer Protocol, SFTP). Сегодня SSH в значительной мере вытеснил telnet из области системного администрирования и стал стандартом де-факто для защищенного удаленного доступа к серверам UNIX и Linux и сетевому оборудованию.

В средах с жесткими требованиями к безопасности радость системного администратора оборачивается огорчением начальства. Так, финансовое руководство американского предприятия, акции которого котируются на бирже, в соответствии с законом Сарбейнса-Оксли (Sarbanes-Oxley Act, SOX) при необходимости обязано доказать, что его финансовые данные являются точными и не модифицировались. Другие предписания регулирующих органов, включая закон об обеспечении переносимости и возможности учета данных в системах медицинского страхования (Health Insurance Portability and Accountability Act, HIPAA) или стандарт обеспечения безопасности данных в области платежных карт (Payment Card Industry Data Security Standard, PCI DSS), предъявляют схожие требования к защите личных данных и информации о кредитных картах.

Конфиденциальные данные обычно хранятся на центральных серверах предприятия, а управление ими осуществляется специальными приложениями, поэтому соответствующие программы составляют необходимые протоколы доступа, чтобы в соответствии с требованиями регулирующих органов обеспечить необходимые доказательства в отношении изменений данных. Разумеется, приложения могут протоколировать сведения только о легитимных попытках доступа к конфиденциальной информации. Если же к базам данных обращается человек с правами администратора и определенными профессиональными знаниями, он сможет манипулировать всей сохраненной информацией, приложениями и их механизмами обеспечения безопасности, а затем удалить следы своего присутствия из системных журналов сервера. Однако администраторам нужны права суперпользователя, чтобы управлять своими серверами в полной мере.

Для решения дилеммы между предоставлением ответственным лицам широчайших прав, с одной стороны, и доказуемостью целостности данных — с другой, нужно научиться вести полномасштабный контроль за деятельностью администраторов. При этом цель заключается не в наблюдении за сотрудниками, а в последовательном документировании всех манипуляций с системами, содержащими конфиденциальные данные. Технически это можно реализовать при помощи специализированных посредников, предназначенных для контроля и архивирования SSH и обеспечивающих защиту от изменений. Такое устройство — Shell Control Box — выпускает, например, компания BalaBit.

Посредник сам проводит квазиатаку по типу «незаконный посредник» (man in the middle) на соединение и передачу данных между компьютером администратора и управляемыми системами. Сначала он терминирует входящие запросы администратора на соединение, а потом строит собственное параллельное соединение с нужной системой назначения. SSH шифрует всю передаваемую информацию, поэтому посреднику приходится выполнять еще одну задачу: он должен расшифровать все данные между клиентом SSH и сервером, проверить их, заархивировать, снова зашифровать и, наконец, отправить системе назначения. Однако этого недостаточно. Чтобы подготовить для целей аудита файл регистрации сетевых событий с защитой от изменений, все записываемые данные надо сохранить в центральном хранилище и зашифровать их таким образом, чтобы даже администратор посредника не мог получить доступ к данным аудита с правом записи (см. Рисунок 1). Впоследствии лица, обладающие соответствующими правами, с помощью средства воспроизведения аудиторского отчета (Audit Player) в любой момент смогут восстановить сеанс связи администратора, но манипуляции с записанными данными аудита уже исключены.

Рисунок 1. Посредник SSH вклинивается в соединение между компьютером администратора и управляемым сервером и сохраняет информацию обо всей деятельности администратора в зашифрованном аудиторском отчете.

Профессиональные посредники SSH интегрируются в сеть прозрачным образом, а значит, они подходят для контроля со стороны внешних провайдеров услуг или в качестве инструмента аудита для систем-приманок (honeypot). Специалисты в области обеспечения безопасности устанавливают их на серверы, кажущиеся особенно привлекательными для злоумышленников, однако наполненные фальшивыми данными. Тогда при помощи посредника SSH удастся сохранить информацию обо всех попытках атак на указанные системы и в любой момент воспроизвести ее. Это позволяет получить новые данные для совершенствования защиты систем от рисков.

В то же время интеллектуальные посредники способны не только сохранять информацию о трафике данных для определенных протоколов: если они владеют деталями какого-либо протокола, т. е. как бы говорят на его языке, они могут разрешать или запрещать различным лицам выполнение определенных действий. К примеру, интеллектуальный посредник SSH одному администратору позволит передать файлы, а остальным — нет. Поскольку соответствующий анализ протоколов производится посредником на седьмом уровне модели OSI, он будет выполнять лишь некоторые команды, в то время как другие будут запрещены в принципе или только для отдельных групп пользователей (см. Рисунок 2).

При администрировании серверов посредники SSH помогают реализовать так называемый «принцип нескольких наблюдателей». К примеру, в кабине самолета обычно организуется контроль «в две пары глаз», чтобы путем дублирующей проверки предотвратить возможную ошибку — случайную или намеренную. Подобная схема поведения реализуется посредником следующим образом. Допустим, администратор собирается произвести какие-либо действия на сервере. Посредник SSH терминирует построение соединения, но не создает другого соединения с системой назначения. Лишь когда с посредником связывается второй, авторизованный администратор, тот строит соединение с сервером. Оба администратора могут тогда контролировать друг друга при выполнении надлежащих действий.

Доказывать целостность корпоративных данных на основании предписаний регулирующих органов приходится все чаще, поэтому в области системного администрирования едва ли удастся обойтись без применения посредника SSH. Он подключается к сети без каких-либо изменений в имеющихся системах и шифрует все данные аудита таким образом, что последующие манипуляции с ними становятся невозможными. Поскольку посредник, как и любое другое устройство, может стать источником общесистемного отказа, он должен устанавливаться избыточным образом. Если наряду с серверами UNIX и Linux необходимо защищать и системы Windows, посредник должен поддерживать протокол для удаленных настольных систем (Remote Desktop Protocol, RDP).

Новости

22 января 2018 | McAfee McAfee покупает SkyHigh
1 октября 2013 Современные файрволы: от узкой специализации к универсальной защите Межсетевой экран (называемый также файрвол или брандмауэр) является важнейшим по значимости средством защиты корпоративной сети от различных угроз. В последние годы файрвол существенно эволюционировал: из специализированного инструмента фильтрации сетевых пакетов он превратился в универсальную систему защиты.
12 сентября 2013 | «Лаборатория Касперского» Мощность и продолжительность DDoS-атак растет Специалисты «Лаборатории Касперского» cравнили данные, полученные с помощью защитного сервиса Kaspersky DDoS Prevention и собственной системы мониторинга ботнетов во втором полугодии 2012 года и первой половине 2013 года. В результате эксперты выявили две тенденции: усиление мощности атак и увеличение их продолжительности.
10 апреля 2012 | Websense Websense заявляет, что компаниям нужна система безопасности, действующая в реальном времени. Компанией Websense был представлен отчет, в котором указаны причины большого количества инцидентов безопасности, связанных с хищением данных.
23 февраля 2012 | F5 F5 Big-IP получили сертификат ICSA Labs Компания F5 Networks, ведущий мировой разработчик оборудования для Application Delivery Networking, с выходом обновленного программного обеспечения для своих решений Big-IP получила сертификат от ICSA Labs.