Technologie des patentierte virtuelle Tresor

Technologie des patentierten virtuellen Tresors

Die Herausforderung

Viele Unternehmen geben immer noch Millionen für herkömmliche Sicherheitslösungen aus – jedoch nur mit mäßigem Erfolg. Die Zahl der Sicherheitsverstöße mit ihren finanziellen Folgen steigt weiter. Statistisch gesehen haben über 70 % dieser Verstöße einen internen Ursprung. Anstatt ein Unternehmensnetzwerk bis in den letzten Winkel zu schützen, bieten die Tresorlösungen von Cyber-Ark besonders geschützte Bereiche zum Speichern, Schützen und Freigeben von unternehmenskritischen Daten. Die Cyber-Ark-Lösung enthält alle erforderlichen Funktionen für den Schutz und die Freigabe von Informationen im gesamten Unternehmen.

Die Lösung

Der Ansatz von Cyber-Ark ist im Grunde derselbe wie bei einem physischen Tresor in einer Bank. Wir installieren einen „elektronischen Tresor“ im Netzwerk. Dieser Tresor ist extrem sicher – unabhängig von der Netzwerk- oder Sicherheitsumgebung. Gleichzeitig sind Informationen durch diesen einzigartigen Ansatz besser zugänglich, und Kompromisse zwischen Verfügbarkeit und Sicherheit gehören der Vergangenheit an.

Der patentierte virtuelle Tresor von Cyber-Ark schützt Daten durch eine Vielzahl von Sicherheitsebenen wie Firewall, Datenzugriffskontrolle und End-to-End-Verschlüsselung.

Darüber hinaus enthält der Tresor bekannte und bewährte Sicherheitsebenen wie VPN, Dateizugriffskontrolle, Verschlüsselung und Authentifizierung. Die Sicherheitsebenen werden durch visuelle, manuelle (doppelte Kontrolle) und geografische Sicherheit ergänzt. Alle Ebenen sind ineinander integriert und arbeiten zusammen. Dies garantiert eine proprietäre Implementierung. Indem die Ebenen selbst nicht mit anderen Systemen zusammenarbeiten, wird der Tresor noch sicherer. Zudem sind bestimmte Ebenen speziell auf verbesserte Leistung und Sicherheit ausgelegt. Es handelt sich um eine patentierte Implementierung, für die keine separate Verwaltung erforderlich ist. Sie ist proprietär und lässt sich daher in jedes Unternehmen integrieren. Weitere Leistungsmerkmale:

• Firewall und Code-Datenisolierung: Der virtuelle Tresor wird von einem eigenständigen Computer gehostet, auf dem keine weitere Software installiert ist. Die Firewall des virtuellen Tresors lässt nur die Übertragung des tresoreigenen Protokolls zu. Nur so kann der virtuelle Tresor die vollständige Kontrolle über die darin gespeicherten Informationen garantieren. Die Dateien im virtuellen Tresor werden niemals verändert oder ausgeführt, wodurch ein potenzielles Sicherheitsrisiko durch die Daten selbst ausgeschlossen wird. Diese Code-Datenisolierung schafft eine sterile Umgebung als Basis für weitere Sicherheitsebenen.
• Authentifizierung: Jede Verbindung mit dem virtuellen Tresor muss authentifiziert werden. Dazu wird ein robustes Challenge-Response-Authentifizierungsprotokoll (SRP) verwendet. Benutzer können anhand von Kennwörtern, RSA-SecurID-Token, RADIUS, USB-Token (z. B. von Aladdin) oder digitalen PKI-Zertifikaten authentifiziert werden.
• Zugriffskontrolle: Nach der erfolgreichen Authentifizierung werden Benutzer durch den Zugriffskontrollmechanismus des virtuellen Tresors überprüft. Der virtuelle Tresor ist in einzelne „Schließfächer“ gegliedert, und Benutzern sind nur diejenigen Schließfächer bekannt, auf die sie Zugriff haben. Für jedes Schließfach sind verschiedene Benutzerrechte möglich (z. B. Prüfen, Lesen, Schreiben, Kontrolle usw.).
• VPN und Datenverschlüsselung: Als Teil des Authentifizierungsvorgangs startet der virtuelle Tresor eine verschlüsselte Sitzung, in der jede Benutzertransaktion und jede Serverantwort verschlüsselt wird. Dateien werden sowohl bei der Speicherung im virtuellen Tresor als auch bei der Übertragung mithilfe von symmetrischer Verschlüsselung und interner Schlüsselverwaltung verschlüsselt. Beim Speichern einer Datei auf dem Server wird ein eindeutiger Verschlüsselungsschlüssel generiert. Durch diese automatische Schlüsselverwaltung ist die Verschlüsselung für den Endbenutzer vollständig transparent und erfordert keine administrativen Eingriffe.
• Inhaltsprüfung: Vor der Speicherung im virtuellen Tresor können Dateien optional von potenziellem Code befreit werden, z. B. durch einen Microsoft Office-Makro, VB-Skript aus einer E-Mail oder eine ausführbare Datei. Durch diesen „Schwarzweiß“-Ansatz wird garantiert, dass alle gespeicherten und freigegebenen Dateien frei von Viren sind.
• Sicheres Backup und Versionskontrolle: Da alle Daten verschlüsselt im virtuellen Tresor gespeichert warden, sind auch die Backups verschlüsselt. Darüber hinaus wird beim Speichern im virtuellen Tresor eine neue Version jeder Datei erstellt, und vorhandene Daten werden niemals überschrieben. Dadurch wird jede absichtliche oder versehentliche Beschädigung von Daten verhindert und außerdem ein Versionskontrollmechanismus umgesetzt, mit dem ältere Versionen wiederhergestellt oder untersucht werden können.
• Visuelle Sicherheit: Benutzer können visuell über sämtliche Zugriffe auf ihre im virtuellen Tresor gespeicherten Daten informiert werden. Alle Objekte im virtuellen Tresor werden blau, rot oder grün markiert, was darauf hinweist, ob ein Objekt verändert, darauf zugegriffen oder eine neue Datei im Schließfach abgelegt wurde.
• Manuelle Sicherheit: Zur vollständigen Kontrolle über den Datenzugriff lassen sich weitere Beschränkungen einführen:
  1. Duale Kontrolle: Für den Zugriff auf bestimmte Schließfächer in einem Tresor können zwei Bestätigungen erforderlich sein, ebenso wie zum Öffnen eines Bankschließfachs zwei Schlüssel erforderlich sein können. Beim Versuch, ein solches Schließfach zu öffnen, wird eine Freigabeanforderung an den oder die Verwalter des Schließfachs gesendet. Das Schließfach wird nur geöffnet, wenn die Zugriffsberechtigung auf diese Weise bestätigt wurde.
  2. Verzögerung: Ein einzigartiger Mechanismus ermöglicht die Verzögerung einer Schließfachöffnung um einen bestimmten Zeitraum, wodurch der oder die Verwalter unerwünschte Zugriffe verhindern können.
  3. Zeiteinschränkungen: Für ein Schließfach kann ein ausschließlicher Zugriff in einem bestimmten Zeitfenster konfiguriert werden, etwa nur während der Betriebszeiten.
• Geografische Sicherheit: Der Zugriff auf Schließfächer im virtuellen Tresor kann auf bestimmte Netzwerkregionen beschränkt werden. Ebenso kann die Anmeldung auf bestimmte Regionen beschränkt werden. Entsprechend ist es möglich, dass etwa der Zugriff auf die Sicherheitsprotokolle nur von einem bestimmten Raum aus, jedoch nicht aus dem übrigen Gebäude möglich ist.