Adatvédelmi és megırzési megoldások IBM Tivoli eszközökkel

®

IBM Software Group

Adatvédelmi és megırzési megoldások IBM Tivoli eszközökkel Kocsis Zsolt IBM

IBM Software Group | Tivoli software

“Never fly in a plane designed by an optimist.”


What What occurred: occurred: Employee Employee leaving leaving for for competitor competitor

Massive Insider Breach at DuPont

Accessed Accessed database database

February 15, 2007 – A research chemist who worked for DuPont for 10 years before accepting a job with a competitor downloaded 22,000 sensitive documents and viewed 16,706 more …

Carnegie Carnegie Mellon Mellon Comments: Comments:

“The “Thebest bestway wayto toguard guardagainst againstinsider insider breaches breachesisisfor forcompanies companiesto tomonitor monitor database databaseand andnetwork networkaccess accessfor forunusual unusual activity and set thresholds that represent activity and set thresholds that represent acceptable acceptableuse usefor fordifferent differentusers.” users.” Source: InformationWeek, Feb. 15, 2007

Transferred Transferred 180 180 documents documents to to new new laptop laptop “75% “75% of of … … confidential confidential information information thefts thefts studied studied … … were were committed committed by by current current employees” employees” “45% “45% had had already already accepted accepted aa job job offer offer with with another another company” company” CIA CIA Comments: Comments: “…designers “…designers and and scientists scientists tend tend to to view view their their company's company's intellectual intellectual property property as as their their own… own… and and something something they they want want to to take take with with them” them”


Belsı támadások elkerülése – Tivoli technológia

Tanulmány a belsı témadásokról, a USA titkosszolgálatainak megbizásából:* ►

Néhány biztonsági támadás költsége > $10M

►

86% a támadóknak technikai poziciót töltött be

►

►

90%-a rendszer adminisztrátor , vagy kiemelt jogosultságú felhasználó A kockázatok csökkentésének legfontosabb módjai:

• • Tivoli Identity Manager

•

A jogosultságok életciklusának kezelése, jogok visszavonása kilépéskor Auditok végzése, arre vonatkozóan, hogy ki, mit és hogyan ért el A kiemelt jogosultságú felhasználók viselkedését monitorozni kell

Tivoli Compliance Insight Manager

* Feb, 2007, http://www.cert.org/archive/pdf/CommonSenseInsiderThreatsV2.1-1-070118.pdf


2004 évi XXII törvény elıírásai a pénzügyi szervezetek mőködésével kapcsolatban A 13/B. § (5) pont a következıket írja elı a pénzügyi szervezetek számára: A biztonsági kockázatelemzés eredményének értékelése alapján a biztonsági kockázattal arányos módon gondoskodni kell legalább az alábbiakról: a) a rendszer legfontosabb elemeinek (eszközök, folyamatok, személyek) egyértelmő és visszakereshetı azonosításáról; b) az informatikai biztonsági rendszer önvédelmét, kritikus elemei védelmének zártságát és teljes körőségét biztosító ellenırzésekrıl, eljárásokról; c) a rendszer szabályozott, ellenırizhetı és rendszeresen ellenırzött felhasználói adminisztrációjáról (hozzáférési szintek, egyedi jogosultságok, engedélyezésük, felelısségi körök, hozzáférés naplózás, rendkívüli események); d) olyan biztonsági környezetrıl, amely az informatikai rendszer mőködése szempontjából kritikus folyamatok eseményeit naplózza és alkalmas e naplózás rendszeres (esetleg önmőködı) és érdemi értékelésére, illetve lehetıséget nyújt a nem rendszeres események kezelésére;


Egyéb rendelkezések Gyógyszeripar Amerikai tızsde: Sarbanes-Oxley Act (NASDAQ) •Health Insurance Portability and Accountability Act (HIPAA) •FDA (U.S. Food and Drug Administration)


Cél: csak a megfelelı személyek érjék el a részükre engedélyezett adatokat, az engedélyezett adatfelhasználási célnak, és szabályoknak megfelelıen. Kik a belsı és külsı ügyfelek, és milyen jogosultságokkal rendelkeznek? Milyen adat-felhasználási házirendet kell betartani? Hogyan ellenırizhetı az alkalmazások adatkezelése? Hogyan hozhatóak létre személyes adatok használatát leíró házirendek , és hogyan garantálható ezek betartása? Milyen adat megırzési kötelezettségeink vannak, és hogyan tudunk ezeknek megfelelni? A IBM TIVOLI termékcsalád kész technológiákat biztosít a fenti problémák megoldására. Tivoli termékcsalád elemei: Rendszermenedzsment, Adattárolás menedzsment, és Biztonsági termékek


Mirıl is lesz szó?

Identitás infrastruktúra felépítése elemei Az identitás-kezelés funkciói, moduljai ►

Identitás menedzsment

►

Egyszeres bejelentkezés- SSO

►

Címtár integráció

►

Föderatív Identitás menedzsment

►

Biztonsági esemény és felhasználó viselkedés kontroll

SOA környezetek kialakításának biztonsági megfontolásai Hosszú távú adattárolás, archiválás


Vállalati biztonsági modell Határırség (tartsuk kívül...)

• • • •

Tőzfalak VPN Antivírus Betörés-érzékelés

„Határırség”

Audit-réteg Kontroll-réteg

Audit réteg •Szabályzatoknak való megfelelés •Audit jelentések •Kockázat-elemzés •Biztonsági események kezelése

Kontroll-réteg •Ki léphet be? •Mit érhet el és mit tehet? •Egyéni preferenciák? A felhasználók kontrollja: • Authentikáció • Authorizáció • Web Services, legacy és saját alkalmazások


Identitás, kockázat és megfelelıség menedzsment Szervezetek feletti (Federated) biztonság

Azonosítás, Authorizáció, egy pontos bejelentkezés

Felhasználó adminisztráció és menedzsment

Federated Identity Manager Privacy Manager

Access Manager

Identity Manager

Személyes adatok kezelése

Directory Server Directory Integrator LDAP Címtár

Security Compliance Manager

Sérülékenység és biztonsági megfelelıség

Adat Szinkronizáció

Complicance Insight, Operations Biztonsági események, és felhasználói tevékenyslg központi korrelációja és felügyelete


Tivoli Identity Manager


Kézi erıforrás kiosztás Várakozás Melyek a problémák? Napjainkban a legtöbb szervezet Új felhasználók A kézimanuális erıforrás biztosítás 12 napot is igénybe vehet folyamatokat Hiányzó Audit napló felhasználónként Erıforrásokkal használ a ellátott Késedelmes “A hozzáférési profilok 30felhasználók jogosultságok kérelem 60%-a érvénytelen ” - Chris Christiansen, IDC kiadására

Hozzáférési Kérelem

Adminisztrátorok

Növekvı erıforrás-szám Hibák IT InBox

Hiányos kérelmek

Jóváhagyási útvonal

Házirend és a szerepkör összevetése


TIM - logikai nézet Identitás áren hozz

Szerepkörök manager

Szervezeti egységek

Helyek

Accounts

developer root

alkalmazás

Szervezetek

birtoklás

Administrator

Szolgáltatások

Policy-k alkalmazás

unix

Új alkalmazott

Helyek in dí tá

s

Folyamatok

windows

létrehozás

Szervezeti felépítés

delés


TIM: adminisztráció szerepkörök segítségével A szerepkör egyezı felelısségi körő felhasználók győjteménye Statikus vagy dinamikus szerepkörök definiálhatók A dinamikus szerepköröket LDAP-lekérdezések adják meg ►

Pl. menedzser neve, szervezeti egység, ...

A provisioning folyamatok szerepkörhöz való tartozás alapján zajlanak


Az Identity Manager mőködési modellje I „Role Based” attr Provisioning Policy

Felhasználó

Szerep

Szolgáltatás (erıforrás)

A felhasználói felelısségi körnek megfelelı szerepkörhöz rendelés A szerepkör tagjainak erıforráshoz rendelése

A Provisioning Policy attribútumokat is meghatározhat (pl. felhasználói lemezterület-kvóta, csoport-tagság, ...)


A probléma: a szerepkörök meghatározása I.

Az aktuális jogosultsági rendszer nem kiosztása nem szabályok, hanem „szokások” alapján történt Sok a kivétel Sok az érvénytelen, árva ”account” Egy felhasználó több User ID-vel rendelkezik , a leképzési szabály nem pontos Nincsenek meg az adott jogosultság kiadás- visszavonás munkafolyamatai, jóváhagyók. A szervezeti felépítés, a HR adatbázis, nem pontos, nem elég részletes, nem tartalmaz minden felhasználót, vannak külsısök.

DE

Vannak triviális szerepkörök. A szerepkör elve a „szokásokban” már mőködött. Vannak olyan eszközök, amivel egy adott jogosultsági helyzet, kiindulási állapotként feldolgozható


A probléma: a szerepkörök meghatározása II

A meglévı jogosultsági kép feldolgozásával effektív szerepkörök keresése. Matematikai (adatbányászati) módszerrel Probléma: zajos, az eredmény nem tükrözi a vállalat elvárt mőködési modelljét. Ennek ellenére kiindulási képet biztosít a további tervezéshez.

Péter

Szerepkör László

Zoltán

A javasolt megoldás: a teljes szervezet átvilágítása, szerepkörök megállapítása, definíciója, és bevezetése.

Éva

Károly Mihály


Az Identity Manager mőködési modellje II „Request Based” attr Kérelem

Jóváhagyás

Felhasználó


A felhasználó felelısségi körének megfelelı erıforrásokhoz hozzáférést kér. A kérelem a megfelelı jóváhagyókhoz kerül. Az igényelt erıforrások megnyitása, vagy visszavonása megtörténik.


Az egyeztetés összeveti az elvárt és a valós állapotot Provisioning Policy

Felhasználó

Szerep


A szabályok betartatása történik a reconciliation során (pl. egy erıforrás elérési jogosultságai) • A TIM visszaállíthatja a jogosulatlan módosítások elıtti állapotot (lokális admin tevékenység)

A reconciliation felfedi az „árva” account-okat, amelyek • adoptálhatók, felfüggeszthetık, vagy törölhetık


IBM Tivoli biztosítja az identitás menedzsment megoldások teljes körét Üzemeltetési feladatok

Hybrid Megkö Megközelí zelítés Kezdeti szerepkörök, Fejlesztés költségek

Kézi Profile:Magasan képzett specialisták Sample Industry: Professional Services Sample Customer: Jogi , pénzügyi tanácsadó cég

Automatikus Profile: Különbözı, kevert munkakörök Sample Industry: Retail Banking Sample Customer: Bankok, biztosítók

Profile: Nagy számú, elsıdlegesen homogén tudású ügyfelek, munkatársak Sample Industry: lakossági alkalmazások


Engedélyezési folyamatok


Folyamatelem-típusok Approval:

Jóváhagyási lépés kezdeményezése (akár egynél több jóváhagyóval, timeout definícióval)

RFI:

Információk bekérése

Loop: lépések

Ciklus: megadott ideig vagy bizonyos feltételek teljesüléséig ismétlıdı

Extension:

Külsı processzek hívása, bemeneti és kimeneti paraméterek megadása. Java hívást használhat.

Script:

Javascript-tel megfogalmazott feldolgozás

Work Order:

e-mail értesítés befejezıdött vagy elvégzendı lépésrıl (pl.

Subprocess:

Különállóan létrehozott folyamat

engedélyezés)


Elosztott adminisztráció

e-business “Virtual” Enterprise

Az ellenırzést a döntéshozó közelébe kell vinni A felhatalmazások megosztása • Skálázhatóság növekedése • Gyorsabb folyamatok

Your Privilege Information Enterprise User &

•

Finance

Workgroup Administrator

IT

R&D



Business Partner

Business Partner Administrator


Jelszó menedzsment Helpdesk költségek csökkentése Önkiszolgáló, minden rendszerre kiterjedı jelszó reset Jelszó szabályzat ellenırzése Challenge-Response ( kérdés-válasz) megoldás az elfelejtett jelszavak kezelésére. Jelszó eljuttatás biztonságos módon.

Átlagosan alkalmazottanként 3-4 újraindítási igény jelentkezik évente

Help Desk hívás költsége $20-per-call jelszó újraindítás esetén

Meta Group

Gartner Group

1

2


Audit és riportok A következı elemek idıbélyeggel kerülnek a TIM adatbázisban tárolásra ►

Kérelmek

►

Jóváhagyások

►

Változtatások

Standard jelentések pdf formátumban ►

Mőködtetés - Operation

►

Szolgáltatások - Service

►

Felhasználók - User

►

Elutasított tevékenységek -Rejected

►

Egyeztetés - Reconciliation

►

Alvó – Dormant

CSV formátumú jelentések a tovább feldolgozáshoz


Tivoli Identity Manager (TIM)

Menedzselt erıforrások 70+ támogatott rendszer

Biztonságos • 128-bites titkosítás • PKI authentikáció

nt e Id

HR rendszer

it y

ag n Ma

DSML

er

Kétirányú Finomhangolt vezérlés Hatékony WAN környezetekben

LDAP

Lokális és távoli mőködtetés

ODBC

Adatszinkronizáció

DSML

S TP T H

Testre szabható folyamatok Grafikus folyamatszerkesztı Tranzakciós integritás

Címtárak

Felhasználói mőveletek

Önkiszolgáló mőködés Kérelem és engedélyezés


Tivoli Directory Integrator


IDI bemutatása Adatszinkronizálást és cserét hajt végre különbözı adatbázisok és címtárak között Elosztott architektúra: mindenki a leghatékonyabb eszközökkel és módszerekkel menedzseli az adatokat

Adat transzformáció (AssemblyLine), eseménykezelés, scriptek: szinkronizáció mindig a leghitelesebb forrással, az üzletviteli szabályoknak megfelelıen Elıre ütemezett, vagy eseményvezérelt szinkronizáció

AssemblyLines EventHandlers Valós-idejő integráció elıre definiált eseményekre való reagálással

Az elıre definiált folyamatok megvalósítása: adatok átalakítása, új bejegyzések létrehozása, módosítása, rendszerek adatainak frissítése Címtár

Bemeneti rendszerek

Parsers

Connectors Rendszerekhez, alkalmazásokhoz történı kapcsolódás, adatszerkezetek leírása

RDBMS LDIF File

Beérkezı adatok értelmezése és átalakítása a kívánt formátumra


Integrációs feladatok megoldása a felhasználói adatok szinkronizációjával Hiteles adatforrás

Feladat Egyes adatelemek szinkronizációja szükséges

Felh. költséghely Felh. mobiltelefonszámok

IDI

Hiteles adatforrás, B szervezeti egység

Feladat Hiteles adatforrás, A szervezeti egység

IDI Hiteles adatforrás, C szervezeti egység

Több vállalati adatforrás pontos és szinkronizált fenntartása

Feladat Különbözı interfészek gyors kialakítása elosztott adatforrások és végpontok felé

Identity Sources

End Points

IDI

IDI


Server SSO


TAM for e-Business - integrált megoldás Címtár-alapú Címtár-alapú identitás-felügyelet identitás-felügyelet Partnerek HH TT TT PP

Ügyfelek

PP RR O O XX YY

•Biztonsági •Biztonsági szint szint •Központi •Központi felh. felh. adattár adattár •Központi •Központi házirend házirend

XX M M LL // W W EE BB

SS EE RR VV II CC EE SS

BB UU SS II NN EE SS SS

LL O O G G II CC

PP LL UU G G -II NN

Alkalmazottak

Alkalmazottak

Szállítók

Nyílt internet

Demilitarizált zóna

Intranet


TAM for e-business — authentikáció Login Please enter your ID and password ID Password

C 13289576

SECURID

Különbözı authentikációs eljárások használata

Access Manager

A felhasználók identitásának ellenırzése • Basic authentication & • Forms-based authentication mások • X.509 Certificate • Kerberos ticket • RSA SecurID Token • Mobil eszközök • További, külsı ún. „Pluggable Authentication” módszerek


Tivoli Access Manager for e-Business


Az authorizáció lépései Kérés

“Elutasítás”

“Elutasítás”

nem

ACL kiért.

“Engedélyezés”/“Elutasítás” engedélyezés elutasítás

nem igen

Hozzáférés csoport- és felh. jogok alapján

POP kiért.

Objektum tulajdonságok (pl. auditálás, napszak, stb.)

igen

Szabály kiért.

Dinamikus kiértékelés, pillanatnyi feltételek szerint


Authorization performed by WebSEAL


Authorizáció — nem csak URL szinten Master Authentication/ Authorization Services Login Please enter your ID and password ID Password

C

13289576

SECURID

SSO WebSEAL

WAS WAS Web Svr.

Servlet

Erıforrás Authorizáció

HTTP header info

Alkalmazások WebSEAL (robusztus authentikáció, Web/URL SSO, magas rendelkezésreállás, skálázhatóság) Java alkalmazás (EJB-k/servletek) C, C++ alkalmazás (aznAPI hívásokkal - Open Group szabvány)


Kliens SSO


Jelszó-menedzsment problémák Nem minden alkalmazás saját alkalmazás. Idı és pénz Felhasználói elégedetlenség a jelszavak áttekinthetetlensége miatt. Folyamatosan idıt vesz el az alkalmazásokba történı bejelentkezés, vagy elfelejtett jelszavak keresése, újraindítása. Magasak jelszóval kapcsolatos támogatási költségek. Biztonság Nem megfelelı jelszó választás és kezelés miatti biztonsági kockázatok. Kritikus alkalmazások biztonságának megvalósítása problémás. Nehéz a komplex, fokozott biztonságot nyújtó azonosítási rendszerek integrációja a meglévı alkalmazásokhoz. Törvényi szabályozás Személyes adatok hozzáférésének korlátozása, valamint minden üzleti adathozzáférés, jogosultság követése.


Tivoli Access Mgr for Enterprise Single Sign-on

Bejelentkezés és jelszóváltás támogatása a legtöbb Windows, Web, Java és Host (kliens) alkalmazáshoz

Az egyedüli , elsıdleges authentikáció a Windows bejelentkezésen keresztül, biometrikus, smart card, LDAP, PKI tanúsítvány kiegészítéssel.

Automatikus jelszó generálás és jelszó házirend támogatása

Minden használati mód támogatott: on-line, off-line, több gépes, vagy kioszk

Felhasználja a meglévı vállalati címtárat vagy adatbázist a felhasználók és adminisztrációs adatok tárolására.

Rekord szintő azonosítási információ szinkronizáció és adminisztráció címtárban, file-ban, vagy adat bázisban.

Az azonosítási információk titkosított tárolása kiválasztható titkosító algoritmus segítségével (3DES, AES), egy bejelentkezéskor csak a szükséges azonosító információ kerül visszafejtésre.


IBM Tivoli Access Manager for ESSO Architecture ESSO Console

Password

Directory, Domain, Database

U ser

Windows

Custom Apps PKI

Mainframes (OS390, AS400)

Biometrics

TAM for Enterprise Single Sign-on

Healthcare Apps

Token/ Smart card

User Auth

Java Apps

User’s Desktop

Application Sign-On


A TIM, TAM és IDI integrációja

Identitás-vezérelt felhasználói account-ok TIM

ók l ná z as h l Fe

k -t o n u co c A

Kontroll – ki jöhet és mit tehet?

HR

LOB Partner Directory

White Pages

Telepho ny

Szabályzá s

NOS

Charge Centers

eMail Directory

IBM Directory Integrator

Címtárak szinkronizációja

Access Manager

Identitás-vezérelt hozzáférés-szabályzás


Federated Identity Management


Federated Identity Manager Tipikus forgatókönyvek

Több szervezet, vagy egy szervezeten belül több független intézmény

Third Party User

Cél: a felhasználó információk megosztásával, a bizalmi kapcsolatokon keresztül.

Érték:

Partner

Az újabb funkciók, feladatok integrációja, alacsony költségszinten, SOA architektúrával. Alacsonyabb Identitás menedzsment és help-desk költségek Egyszerőbb kezelés

Third Party

Portal

User

Company A Company B

Pension Holder

Stock Options

Company C

HR Provider


Federated Identity Manager—Federated SSO MyHR.com

Options.com Options.com

1 HTTPS

End User

3

Access Manager

Stock Options

4 User x

2

1. A felhasználó belép MyHR.com oldalra - TAM authentikálja, és indítja a session-t

SSO Protocol Service Trust Service Token Services Identity Services Federated Identity Manager

SSO SAML Liberty WSWS-Federation

2. Felhasználó egy külsı linkre lép -Options.com - Link Liberty, WS-Fed, vagy SAML kapcsolatnak

megfelelıen van konfigurálva.

TAM kapcsolatba lép a FIM-mel 3. FIM létrehoz egy SSO a külsı site-on. - FIM létrehozza SSO Token session-t 4. Options.com hozzárendeli a token-t egy helyi

identitáshoz

A felhasználó szempontjából SSO a külsı szolgáltatáshoz


TFIM – Architektúra áttekintés Federated Single Sign-On Secure user interaction

Federated Web Services Secure application interaction Portal

Web Portal

App

Web Portal App

App ESB

Web Application

Gateway

Federated Provisioning

Provisioning System

Provisioning System

Database

Trust infrastructure Business agreements

Transport: SSL/TLS, WS-Sec

Message: sign/ encrypt

Tokens: sign/encrypt

Technical implementation

Legal agreements

O p e n S t a n d a r d s


Federated Identity Manager – Federated SSO XSL

– Token modules – SAML assertion (1.0, 1.1, and 2.0) – Liberty assertion (1.1 and 1.2) – User name token – X.509 (validate only) – Kerberos (validate only) – RACF PassTicket – JAAS Subject – Access Manager credential Trust Service

Issue token for use with protected resource

Client

Authenticate

Configured Mapping

Output Token Module

STSUUser

Identity Mapping Module

STSUUser

XML

XML Parser

XML

– Trust service includes a mapping module – Performs mapping using XSL transformations – Custom mapping modules can also be added Trust

Protected resource with client's authenticated ID

Point of Contact

Input Token Module

Trust Service

Exchange presented token for locally valid token or ID

Pass Identity

Valid local token or ID

Point of Contact

Authorize

Protected Resource


Tivoli Privacy Manager


Személyes adatok kezelése: ki, mely adatot, milyen célból használhat Személyes adatok körének meghatározása, ezen adatok elkülönítése Adattulajdonos döntési jogkörének biztosítása Adatot felhasználók szerepkörökbe sorolása Az adott adatra vonatkozó célok – alkalmazások – körének meghatározása Adathozzáférés ellenırzése, a szabályok betartatása Az adat felhasználási szabályok dokumentálása Adatfelhasználás naplózása, audit képességek


A Tivoli Privacy Manager funkciói A személyes adatok megadása

Privacy Manager ® Monitor

Alkalmazás Külsı User “Data Subject”

3

2

A szabályok ellenırzése és betartatása

Hozzáférés a személyes adatokhoz

Adat tárolás

Auditálhatóvá teszi a szabályok betartását

Privacy Manager®

4

5

1 Policy Editor

Belsı User “Data User”

Jelentések készítés


Adatvédelem és hozzáférés kontroll folyamata

Tivoli Access Manager

Firewall

Firewall

Privacy Manager Monitor

címe 1. Bob Milyen adatvédelmi szabályt WebSeal: engedélyezett Bob? WebSeal: 1. “Ki lekérte vagy?” Bob címét “Alice 2. “Lépj Milyen felhasználói csoportba AM ID = Alice be a (authentication) marketing email készítése tartozik Alice? Ezek a felhasználói 2. “Elérheted-e az AM Group = céljából, amit Bob felhasználók elérhetik Bob Marketing portálra.” adott alklamazást?” korábban engedéylezett” címét? Dept. (authorization) 3. Az engedélyezett adatvédelmi szabály kitejed-e a kérı http request: alkalmazásra? “Get Bob’s 4. Bob engedélyezte-e az adott Address” alkalmazás esetében az adatfelhasználást?

Application

Bob címe.

®

Data Store

“Megnézheti Alice Bob címét?” DB kérés:

“Alice megkapta az engedélyt Bob címének lekérdezésére”

Access Manager Policy Server

“Get Bob’s Address”

Privacy Manager Policy Server


Biztonsági esemény és felhasználó viselkedés kontroll

F r e q u e n c y


Event Class

D o m a i n

Frequency

E v e n t C l a s s


SOA környezetek biztonsága

IBM Software Group | |Tivoli Tivolisoftware software

Mi a SOA modell? Business Componentization Az üzleti folyamatokat standardizált komponensekre bontjuk.

CBM business components

Service Oriented Architecture Egy olyan IT modell amely leképezi az üzleti komponenseket olyan együttmőködı IT alkalmazásokra, amelyek dinamikusan, egymásnak szolgáltatásokat nyújtva, és azokat igénybe véve mőködnek.

Web Services Egy olyan szállító független standard csomag, amely használható SOA komponensek együttmőködésének, kapcsolatának felépítésére.

SOA application “components” *

(XML, SOAP, WSDL, UDDI) provide an interface toolkit for components Business components SOA components Service Interactions 54


SOA Security az IT biztonság minden aspektusát átfedi 55 Service Consumer

consumers

SCA

Portlet

WSRP

B2B

Other

SOA Security Services 44 business businessprocesses processes process choreography

33 Services services (Definitions) atomic and composite

Identitás menedzsment Azonosítás Autorizáció

22 Service Provider

Service components

Bizalmasság, teljesség Rendelkezésre állás

ISV Operational systems

Packaged SAP Packaged Application Outlook Application Platform

Unix

OS/390

Custom Application Custom Application

OO Application Custom Apps

Supporting Middleware

MQ

DB2

11

Audit & és megfelelıség Adminisztráció és házirend menedzsment

55


SOA környezetek biztonsági aspektusai I Mind a Transport mind Message réteget védeni kell: Transport réteg általában “pont- pont” tipusu, SSL tipikusan A Message réteg “end to end” , azaz szolgáltatások között! Web services általában “pont” szintet támogatnak: “end” az igazán fontos!

Confidentiality, Integrity, Availability Tipikusan Transport rétegen, SSL/TLS A Message rétegen is szükséges hasonló technikák használata.

Azonosítás Nem feltétlenül csak a valódi felhasználót kell azonosítani. Valószínőleg inkább szerepkörökön, csoport-tagságokon alapuló jogosultság kezelés kell.

56


SOA környezetek biztonsági aspektusai II Azonosítás A végfelhasználó azonosítása mellett: Biztosítani kell a külsı -Trusted - forrásból származó azonosításelfogadását. Ezek az azonosítók mint tokenek utaznak az üzenetekkel.

Authorizáció A kérelmezı azonosítása , jogosultságai identitása, kérelme, alapján. Több pontos is felépíthetı, nagy felbontásban.

Auditing Az egypontos bejelentkezés, az üzleti integráció, a hozzáférés egyre egyre nagyobb köre mind az audit fontosságát erısíti. Ez az audit adatok szempontjából mind mennyiségi, mind minıségi követelményeket támaszt.

57


Hosszú távú adatmegırzés

58


Egy korszerő mentırendszer követelményei:

Duplikátum menedzsment Hierarchia menedzsment

Média menedzsment Compress?

Enterprise class

Mid-range

Low-cost

Manual

WORM

WORM

Encrypt?

WORM

Jogszabályi megfelelıség

Automated

Adat biztosítás menedzsment 59


Mentés és Archiválás: Tivoli Storage Manager Administration User Interface

WEB

Local Area Network Log

Database

Servers, Clients, Application systems

TSM Clients

Storage Repository

Storage Area Network

TSM Server

TSM Stgpools 60


A JIC Információ születése Az adat túléli a médiát! “Just In Case” – ha esetleg kell... magas Hozzáférések számossága

Tipikusan 2-8 hónap

alacsony 100+ Év

50 Év

20 Év

5 Év

3 Év

2 Hónap 1 Nap 1 Óra

Megırzési idı

Source: Cohasset Associates, Inc.

61


Adatmegırzési szabályok Célja az elıírásoknak megfelelı adatmegırzési kötelezettség illetve adatmegsemmisítés biztosítása Védi az adatokat a beállított megırzési idı elıtti törlés ellen Adat-menedzsmentet végez megırzési és adatlejárati eljárásokon keresztül Lehetıséget biztosít az optimális tárolóterület és eszköz használathoz a széles támogatott eszközválasztékával Archiválási funkciók: Elıre definiált megırzési idı (Chronological Retention time policy): Az objektumokat egy elıre meghatározott ideig – pld. 3. évig – meg kell ırizni Esemény alapú megırzés ( Event-based retention protection): A megırzési idıszak egy eseménytıl függ – pld. életbiztosításnál a biztosított halála után 70 évig, Törlés tiltás, engedélyezés (Deletion Hold / Release): Bizonyos állományok esetében a törlés felfüggesztve – pld. egy bírósági eljárás végéig.

API ‘Hold’ issued

Minimum Content Managers Day 0 retention Archive Manager Data stored in Archive API Manager Server

API ‘Event’ issued

Retention period after event occurs

API ‘Release’ issued

X

Automated Expiration Data deleted from Archive Manager 62


Köszönöm a figyelmet! Kérdések? Kocsis Zsolt

[email protected]

Adatvédelmi és megırzési megoldások IBM Tivoli eszközökkel

Recommend Documents