Microsoft Management Summit 2010: Secure collaboration

3. Конфиденциальная
информация отправляется
по эл. почте
Вредоносный код
Доступ отсутствует
или ограничен
Доступ
отсутствует или
ограничен

4. Безопасность Простота
Безопасный удаленный доступ к ресурсам организации с любого
устройства из любой точки мира, защита от вредоносного ПО и
контроль доступа к информации
Интеграция
• Безопасный
прозрачный доступ
• Эффективный
антивирус
• Защита
конфиденциальной
информации
• Централизованное
управление
• Повышенная защита
критичных бизнес-
приложений
• Глубокая интеграция
с Microsoft SharePoint
и Office
• Основано на
открытых стандартах

5. Защита информации
Управление учетными
данными
Защита эл.почты Защита ПК

6. • Единая точка доступа к бизнес-приложениям (Exchange, SharePoint,
Dynamics CRM, SAP, Lotus) и другим внутренним ресурсам
• Поддержка всех наиболее распространенных интернет-браузеров (IE,
Mozilla, Safari) и операционных систем (Windows, Mac OS X, Linux)
Свободный
доступ
• Проверка конечных точек на соответствие требованиям политик
безопасности
• Интеграция со службой Active Directory и средствами многофакторной
аутентификации (цифровые сертификаты/смарт-карты, OTP)
• Ограничение доступа к информации и снижение рисков утечки данных
Повышенная
безопасность
• Простота внедрения и эксплуатации посредством встроенных мастеров
настройки
• Централизованное управление политиками доступа к приложениям
• Масштабируемость и отказоустойчивость
Легкое
управление
UAG предоставляет безопасный удаленный доступ из любой точки
мира к любым бизнес-приложениям, повышая эффективность
работы пользователей, не снижая общего уровня безопасности

7. Решение, используемое в Windows 7
Direct Access
Ситуация на сегодняшний день
В офисе Дома ДомаВ офисе
 Находящимся вне офиса пользователям
сложно получить доступ к корпоративным
ресурсам
 ИТ-специалистам сложно обновлять
мобильные ПК, устанавливать на них
исправления и управлять ими, если
мобильные ПК не подключены к
корпоративной сети
 Новая сетевая парадигма обеспечивает
единообразие при работе в офисе и вне его
 Упрощенный доступ к сетевым ресурсам
способствует повышению производительности
труда мобильных пользователей
 Инвестиции в инфраструктуру также
позволяют упростить обслуживание
мобильных ПК, установку обновлений
и применение политик

9. Прозрачный доступ
Единый портал для
доступа к
приложениям
Политики доступа к
приложениям

11. Внутренние
пользователи
SharePoint
Вредоносный
код
• Многоядерная технология антивирусной
защиты
• До 5 ядер, работающих одновременно
• Отказоустойчивость
• Скорость реагирования на новые угрозы
• Фильтрация файлов по типа
• Фильтрация по ключевым словам
SharePoint
Server
Внешние
пользователи
SharePoint
Ядро 1
Ядро 2
Ядро 3Ядро 4Ядро 3 Ядро отключается для
обновления или из-за
ошибки
Ядро с последними
обновлениями
активируется для
сканирования
Активные сканирующие
ядра
После обновления ядро
снова становится
активным
Вредоносный
код Internet
Базы сигнатур обновляются как
только становятся доступными на
сайте производителя ядра

13. Права доступа
(ACL)
Авторизованные
пользователи
Периметр сети
Неавторизованные
пользователи
Авторизованные
пользователи
Неавторизованные
пользователи

15. Защита встроена в
документы
+Шифрование Политики:
• Права доступа
• Права использования

16. Автор данных Получатель
1. Автор получает сертификаты
2. Автор определяет права доступа к
файлу и автоматически создает
“Лицензию публикации” для файла
(файл шифруется)
3. Автор распространяет файл
4. При открытии файла получателем
приложение соединяется с RMS
сервером, который проверяет
полномочия пользователя и
выпускает “Лицензию
использования”
5. Приложение при работе с файлом
обеспечивает исполнение правил
1
4
3
52

17. Автор данных Получатель
1
5
4
2
3
6
1. Автор публикует документы на
SharePoint Server
2. Получатель запрашивает документы
с SharePoint
3. SharePoint защищает файл исходя из
разрешений в библиотеке
документов
4. SharePoint посылает файл
получателю
5. Приложение запрашивает
разрешения с AD RMS сервера
6. Приложение представляет файл и
применяет разрешения

19. • Сканирование содержимого сообщений (включая вложения)
• Применение шаблонов AD RMS с помощью транспортных правил
Exchange Server (запрет пересылки, копирования содержимого или
распечатки сообщений)
AD RMS

22. Сброс паролей и
обработка запросов на
предоставления доступа
через службу поддержки
Компания обслуживает
учетные записи сотрудников
Партнера
Множество
удостоверений,
ограниченная
поддержкаПрикладные системы
используют разнообразные
методы аутентификации
пользователей
Решение для удаленного
доступа с отдельным
хранилищем учетных
данных
Партнер обслуживает
учётные записи
сотрудников
компании

23. Отношения доверия
Поставщик
утверждений
(Сервис
маркеров
доступа)
2. Получение
утверждения
3. Предоставление
утверждений
1. Запрос
утверждений
Субъект
Доверяющая
сторона
(потребитель
утверждений)

24. AD FS 2.0AD FS 2.0
Smart Client или Browser
(или CardSpace)
Доверие
Доверие
Приложение
4. Новый маркер доступа
WCF
ASP.Net
WIF

25. Платформенные средства
предоставления доступа
для приложений ДБО
Более безопасный и
простой доступ к
ресурсам для партнеров
Корпоративные
удостоверения для
доступа к облачным
сервисам
Единое удостоверение
для всех ресурсов и
приложений
ADFS 2.0 ADFS 2.0

28. Пример внедрения
О Компании
Производство:
• Москва
• Новосибирск
• Ростов на Дону
• Казань
• Уфа
1999 строительство первого завода в России 4 500 сотрудников

29. Причины инициации проекта
• Множество систем для удаленного доступа
• Электронная почта – Outlook Web Access
• SAP ERP/CRM - SAP Web Dispatcher
• Файлы – корпоративный портал (SAP NetWeaver Portal)
• IPSec VPN (PPTP, L2TP)
• Недостатки для пользователя
• Множество точек входа, паролей
• IPSec VPN не везде работает (офисы, гостиницы и т.д.)
• Недостатки для ИТ отдела
• Сложность в использовании и обслуживании отдельных систем

30. Результаты внедрения решения
Унификация удаленного доступа через портал Forefront UAG
Удобство для сотрудников – доступ из единой точки
Работает везде, где есть Интернет (SSL VPN)
Упрощение администрирования
• Один продукт для удаленного доступа
• Интеграция с Active Directory
Безопастность
• Двухфакторная аутентификация для некоторых сотрудников
• Проверка состояния компьютера перед предоставлением доступа

31. Вопросы
Алексей Голдбергс
Эксперт по технологиям информационной безопасности
AGoldber@microsoft.com
Блог: http://blogs.technet.com/securityrus
Twitter: @AlexGolbergs