Identity Bridge
V posledních letech často slýcháme o využití uživatelské identity (nejen) ve firewallech. A to ze všech stran. A ano, můžeme z praxe říct, že zájem o integraci nově i dříve implementovaných bezpečnostních technologií do podnikových identity databází je vysoký. Proč tomu tak je? V případě identity firewallů totiž získáte vyšší přehlednost v nastavených bezpečnostních politikách a významně se Vám zjednoduší správa celého ekosystému. Můžete také eliminovat některé výzvy spojené se segmentací uživatelů.
Používáte na svých firewallech software ASA a nechcete přecházet na Next-Generation Firewall software FTD, protože to ve svém prostředí nepotřebujete? Přesto ale chcete:
- pracovat s uživatelskou identitou
- zvýšit bezpečnost a visibilitu
- používat uživatelskou identitu v bezpečnostních politikách
- nahradit již nepodporovanou komponentu Cisco Directory Agent (CDA), která pro Vás uživatelské identity sbírá
ALEF Identity Bridge přímo nahrazuje Cisco Directory Agent.
Praktický příklad:
Představte si následující praktický scénář. Běžný uživatel dnes pracuje alespoň na jednom koncovém zařízení a tím je nejčastěji notebook, se kterými se pojí bezpečnostní politiky v dané organizaci. V případě běžného uživatele lze pomocí protokolu 802.1X přidělit tomuto uživateli jednu ze sítí, se kterou bude spojena určitá bezpečnostní politika. Jak ale řešit situace, kdy tento náš uživatel potřebuje specifickou bezpečnostní politiku, protože se v detailu přístupem do datacentra od svých kolegů odlišuje?
V případě tradičního firewallu je celý proces řízení bezpečnosti přístupu k aktivům společnosti i z jednoho zařízení velmi komplikovaný. Správce musí nastavit DHCP rezervace pro tohoto uživatele a jeho zařízení zvlášť ve Wired, WiFi i VPN prostředí. Při kvalitní segmentaci sítě může jít v našem příkladu o 3 statické rezervace na straně DHCP serveru pro jedno zařízení, jednoho zaměstnance, v jedné L3 lokalitě. A na tyto rezervované IP adresy jsou dále ve firewallu vytvářeny prostupy mezi uživatelskými segmenty, do datacentra nebo do Internetu.
Usnadnění procesu řízení bezpečnosti přístupu k aktivům společnosti.
Jistě Vás napadnou otázky:
- Co když máme ale tisíce uživatelů a jednotky či desítky poboček?
- Co když uživatel nemá jedno zařízení, ale dvě a na každé se musí nutně aplikovat jiná bezpečnostní politika?
- Jak vypadá IT proces spojený odchodem zaměstnance ze strany HR/IT?
- Co když zaměstnanec tzv. „sedí na dvou židlích“ a potřebuje přistupovat na různé zdroje?
Bude pak tento „tradiční“ model udržitelný? A je vůbec tento stav udržitelný z pohledu bezpečnosti, škálovatelnosti a zátěže, kterou klade na Vaše IT zaměstnance?
U našich Zákazníků se těmito otázkami a koncem životnosti komponenty CDA intenzivně zabýváme a proto jsme, s podporou společnosti Cisco, přišli s vlastním řešením. Tímto řešením je nová softwarová komponenta, kterou jsme u nás, ve společnosti Alef Nula, vyvinuli a nazvali ji Identity Bridge. Tato komponenta přímo nahrazuje Cisco Directory Agent a umožňuje i nadále Zákazníkům pracovat s uživatelskou identitou na Cisco Secure Firewallech s ASA software.
