CA Privileged Access Manager r3 ご紹介

Transcription

1 CA Privileged Access Manager ご紹介 2018 年 8 月富士通株式会社

2 お客様の課題 1

3 お客様の課題 内部不正や標的型攻撃による情報漏えいが心配! 特権 ID の悪用を防ぎたい 1 クラウド 仮想化環境 Web アプリケーション ネットワーク IoT デバイスなど 環境の多様化により管理対象が増加し 特権 ID の運用 管理が大変 2 特権 ID 利用者の証跡ログが記録できないため問題が発生した時に不正利用者を特定できない 3 金融機関等で必要不可欠な 特権 ID による作業の正当性を証明する監査に対応可能 2

4 解決方法 3

5 CA Privileged Access Manager が解決します 特権 ID アクセス管理ソリューション CA Privileged Access Manager CA Privileged Access Manager(CA PAM) は 特権 ID を管理する製品 多様なシステムを対象に特権 ID のアクティビティを一元的に制御 / 記録 / 監視して 特権 ID の悪用を防止 高権限である 特権 ID を使って 誰が いつ どんな操作 を行ったのか操作ログの記録や操作画面の録画ができるため 調査や監査に利用が可能 4

6 CA Privileged Access Manager が解決します オンプレミスとクラウドの特権 ID を一元管理! 1 CA PAM は IP アドレスを持つ全システム (OS DB Web アプリケーション 仮想環境 クラウド環境 ネットワーク /IoT デバイス PC 等 ) の特権 ID を単一ビューで一元管理 監視することができます 多様な特権 ID の運用 管理の問題を解決します 5

7 CA Privileged Access Manager が解決します 特権 ID の不正利用を抑止! 2 特権 ID 利用者の証跡ログが記録できることを広報しておくことで不正利用の抑止力になります また 問題発生時に不正利用者を特定できない問題を解決します 6

8 CA Privileged Access Manager が解決します あらゆるシステム監査の要件を網羅! 3 システム監査に求められる要件を網羅しています 必要不可欠な監査対応の問題を解決します カテゴリ CA Privileged Access Managerの主要機能 対応 録画 ログの取得 操作を動画や静止画で録画 発行されたコマンドや操作情報の取得 特権 IDや共有 IDのログイン / ログオフのログ取得 拡張性 大規模環境でも短時間で導入可能 クラウド管理コンソールのアクセス制御 ITリソースに対するアクセス制御 セキュリティ リソースの改ざん防止 許可されていないコマンドの利用をブロック ログイン 直接サーバへのログイン可否 ID 貸出認証システムの実装 7

9 特権 ID アクセス管理 CA Privileged Access Manager 8

10 CA Privileged Access Manager 概要 CA Privileged Access Manager 1アプライアンスで全ての管理者アクセスを制御&録画 １つの仕組みで包括的な特権アクセス管理 運用コストの最適化 既存データセンター オンプレミス/プライベートクラウド 利用申請者 協力会社等 操作モニタリング 承認者 OS,DB管理 Webｱﾌﾟﾘ ネットワーク機器 IoT等管理者 承認済アクセス 承認アクセス のみが 許可される SSH Telnet RDP VMware Console Mainframe, Windows, Linux, Unix, Networking 特権パスワード管理 企業機密 特定個人情報 PW払出しワークフロー パスワード自動変更 内部不正 ID盗用 攻撃者 特権乱用者 HTTP API BLOCK! コマンド制御 ブラックリスト コマンド ブロック 操作録画 ログ管理 All in One 全てのセッション操作録画 ロギング A2A パスワード管理 埋め込みパスワードから 管理パスワードへ A2A App to App(アプリケーション間) 9

11 CA Privileged Access Manager の特長 ゲートウェイ型仮想アプライアンスなので導入が簡単 OS や DB が含まれたイメージファイルを仮想環境に認識させるだけ 冗長化機能があるためクラスタ製品不要 AWS, Vmware 等の仮想環境の特権 ID も管理できる IPアドレスを持つ全システム (OS DB ネットワーク IoTデバイス クラウド) の特権 IDアクセスを単一ビューで一元管理 特権 ID のコマンドを制御 オールインワンの仮想アプライアンス 従来の特権 ID 管理製品は OS と DB のみ対応 特権 ID に対して特定のコマンド実行を禁止 (Select Update, Kill など ) 1 アプライアンスで同時に 2000 セッションレコーディングが可能 1 アプライアンスで全管理者のアクセスを単一ビューで管理同時に 2000 セッションのレコーディングが可能 録画によって 内部の不正犯行を抑止 世界最高水準のセキュアな特権 ID 管理基盤 Common Criteria (ISO/IEC 15408) を満たす世界唯一の特権 ID アクセス管理製品 セキュリティ要件の厳しい米国の政府機関や金融機関で多数の導入実績 ハッカーが使用するコマンドをブロック 仮想サーバを動的に自動検知 登録 削除 管理対象の仮想サーバに増減を自動的に検知管理対象として登録 削除 抜け漏れをなくし 運用負荷を軽減 人的な作業ミスを排除 10

12 CA Privileged Access Manager のアピールポイント PAM は 世界最高レベル の管理基盤 Common Criteria Certification Common Criteria Certification(CC) とは 主に政府機関へ導入する際に その製品が国際的な様々な基準に準じていて充分に安全かどうかを定めたガイドラインのこと アメリカ国立標準技術研究所 (NIST) とアメリカ国家安全保障局 (NSA) は国家情報保障パートナーシップ (NIAP) の元で米国 CCに関する活動を共同で行っている CC の主要コンポーネントは 2 点 Protection Profile ポリシーマネージメント エンタープライズセキュリティマネージメント アクセスコントロール企業のセキュリティを管理するにあたり定めた基準を満たしているかどうか Evaluation Assurance Levels (EAL) EAL は その製品が如何に充分にテストされているかを規定 LEVEL4 ソースコードチェックをパス 11

13 CA Privileged Access Manager PAM の管理対象は下記のプロトコルを利用する管理アクセスです PAM は踏み台となり 各管理者のクレデンシャルを安全に保管し アクセスをコントロールすることで 管理者 ID の悪用を排除します + 操作端末録画機能 承認者 4. ネットワーク機器 3. クラウド / 仮想環境 SSH RDP JDBC HTTP/S 作業者 Web ブラウザ 貸出 ID を使用し メンテナンスサーバへアクセス + 特権 ID 貸出 CA PAM 仮想アプライアンス 1 OS 2 DB Routers 5 アプリケーション フロント サーバ群 バックエンド サーバ群 12

14 CA Privileged Access Manager 機能詳細 共有 ID 利用ユーザの識別 (e.g., Root/Admin) セッション録画 & メタデータモニタリング & フィルタリング ID 連携 (SSO/ 自動ログイン ) ポリシーによるシステムへのアクセス制限豊富なユーザ認証 認証情報の管理 14

15 1. 認証情報管理 重要なデータにアクセス可能な特権 / 共有アカウントの認証情報は安全に管理されていなければいけない 認証情報の管理 15

16 1. 認証情報管理 様々なシステムの認証情報 ( パスワード等 ) を安全に管理 要塞化されたアプライアンスで認証情報を安全に保管 豊富な管理対象 OS DB ネットワーク機器 Webサービス Cloudベースサービス AWS etc Windows Linux DB Web ネッワーク機器 Cloud 16

17 1. 認証情報管理 パスワードポリシー 柔軟なパスワードポリシーにより企業に合わせたパスワード管理が可能 パスワードの複雑性と変更タイミングの定義 パスワード変更タイミングの定義 パスワード利用時のワークフロー & メール通知の定義 パスワードのチェックイン / チェックアウト ( 専用貸出 ) SSH 鍵の管理 パスワードだけではなく Linux/Unix 系のログインに多く使用される SSH 鍵認証の SSH 鍵の管理もサポート AWS マネジメントコンソールでも必須 17

18 2. ユーザ認証 特権 / 共有アカウントや重要なサーバへアクセス可能な個人ユーザは正しく識別 認証されなければいけない 豊富なユーザ認証 認証情報の管理 18

19 2. ユーザ認証 全てのアクセスの入り口となる PAM へのログインに様々な認証ストア / 方式をサポート PAM 上のローカルユーザ (ID& パスワード ) 標準的なディレクトリ Active Directory / LDAP v3 多要素認証 RADIUS / TACACS+ CA Advanced Authentication / RSA SecurID ID フェデレーション SAML / ADFS 政府系で求められるスマートカード認証 CAC (Common Access Card) / PIV (Private Information Verification) LDAP AD Active Directory Cloud 19

20 3. アクセスポリシー ユーザはそれぞれの役割に応じて許可されている管理対象サーバ 特権アカウントのみにアクセス可能 ポリシーによるシステムへのアクセス制限 豊富なユーザ認証 認証情報の管理 20

21 3. アクセスポリシー アクセスポリシーにより 管理対象へのアクセスをユーザごとに細かく制御 アクセスポリシーを構成するコンポーネント ユーザ : 誰が デバイス : どのサーバにアクセスして良いか その他のコンポーネント パスワード : どのアカウントか サービス : どのようなアクセス / プロトコルか 録画 : アクティビティを録画するか アクセスポリシー = [ ユーザ ] + [ デバイス ] + [ その他 ] フィルタ : 管理対象へのログイン後にアクセス制御を行うか 21

22 3. アクセスポリシー ユーザ PAM にログインするユーザ 2. ユーザ認証 で認証されたユーザ 註 : 管理対象上のアカウントではない デバイス 管理対象となるサーバ ( ホスト名 or IP) 複数の管理対象アプリケーションが 1 つのサーバ上にある場合も デバイスとしては 1 つ 22

23 3. アクセスポリシー パスワード 管理対象へのログインに使用するアカウントとそのパスワード パスワードを指定しない場合には手動で入力も可能 サービス 管理対象へのログイン方法 Access Method: PAMが用意しているログインアプリケーション (SSH, RDP, Telnetなど ) Services: PAMで提供されていないログインアプリケーションを使用するための定義 23

24 3. アクセスポリシー 録画 セッション録画の指定 Graphical: WindowsのRDP 接続の録画 Command: Unix/Linux 系のSSH/TELNET 接続のキーボードロギング Web Portal: Webアクセスの画面録画 フィルタ 対象へのログイン後のアクセス制御 コマンドフィルタ : コマンド実行のホワイトリスト / ブラックリスト ソケットフィルタ : 対象サーバからの踏み台アクセス防止 24

25 4. ID 連携 (SSO) セキュリティのみならず ユーザの利便性向上のためにもパスワード入力をせずに SSO できる事が望ましい ID 連携 (SSO/ 自動ログイン ) ポリシーによるシステムへのアクセス制限 豊富なユーザ認証 認証情報の管理 25

26 4. ID 連携 (SSO) 管理対象サーバ / アプリケーションへのアクセス Access Method (AM) AMはビルトインのログインアプリケーション 以下のプロトコルを使用した管理対象へのアクセスをサポート SSH / Telnet RDP など 以下を行いたい場合には基本的に AM が前提となる ( 例外あり ) SSO/ 自動ログイン セッション録画 26

27 4. ID 連携 (SSO) 管理対象サーバ / アプリケーションへアクセス ( 続き ) Services AM でサポートされていないプロトコルやサードパーティのアプリケーションを使用してアクセスを行いたい場合に使用 TCP/UDPサービス アクセスしたいポート 使用したいアプリケーションを指定 Webサービスへのアクセスの場合はURLを指定 RDPアプリケーション 管理対象 Windowsサーバ上のアプリケーションを使用したい場合に定義 RDPで一度 Windowsにログインし その後アプリケーションを自動起動 アプリケーションを終了するとRDPセッションも切断 27

28 4. ID 連携 (SSO) PAM を経由した管理対象へのアクセス ブラウザ CA PAM Windows Linux PAM AM JDBC DB サードパーティツール セッション録画 Web 外部ストレージ ネッワーク機器 28

29 5. モニタリング&フィルタリング ユーザのアクセスはモニタリングされるだけでなく 不正なアクセ スは防止されなければならない モニタリング & フィルタリング ID連携 (SSO/自動ログイン) ポリシーによるシステムへのアクセス制限 豊富なユーザ認証 認証情報の管理 29

30 5. モニタリング & フィルタリング モニタリング ログ アクセス履歴の取得 誰がいつどこで何をしたのか の履歴を取得 セッションの開始 / 終了時間も記録 ユーザが使用したアカウントやそのパスワード変更の履歴を取得 フィルタ条件の違反を記録 PAMの管理オペレーションを記録 ログ管理 ログのアーカイビング & 削除のスケジューリングが可能 SyslogサーバやSIEMと連携しログ転送が可能 30

31 5. モニタリング & フィルタリング モニタリング アラート 管理者へのメール通知 モニタリングサービスの起動時 ログのアーカイビング & 削除時 フィルタ条件の違反があった場合 (Optional) PAMへのログイン時 など 31

32 5. モニタリング & フィルタリング フィルタリング コマンドフィルタ PAMを介するSSH/Telnetアクセスのコマンド実行制御 ホワイトリスト or ブラックリストにより 許可 / 拒否コマンドを定義 違反があった場合にはメールによるアラート通知可能 特定回数以上の違反があった場合にセッションの強制切断が可能 リスト # passwd # passwd SSH Linux 32

33 5. モニタリング & フィルタリング フィルタリング ソケットフィルタ PAM を介した管理対象サーバ OS へのログインアクセス後 他のサーバへの踏み台アクセス防止 ホワイトリスト or ブラックリストにより 特定のネットワーク & ポートへのアクセス許可 / 拒否 違反があった場合にはメールによるアラート通知可能 特定回数以上の違反があった場合にセッションの強制切断が可能 サーバ A リスト ログイン RDP/SSH Windows / Linux サーバ B 33

34 6. セッション録画 問題が発生した場合 後からユーザの実際のアクティビティを追 跡できる必要がある セッション録画 & メタデータ モニタリング & フィルタリング ID連携 (SSO/自動ログイン) ポリシーによるシステムへのアクセス制限 豊富なユーザ認証 認証情報の管理 34

35 6. セッション録画 セッション録画 以下のアクセスのセッションをビデオ形式で録画 AM を使用したアクセス 下記 Service を使用したアクセス SSH/Telnet を使用した TCP/UDP サービス PAM ブラウザを使用した Web Portal サービス RDP アプリケーション フィルタに違反したアクセスのハイライト メタデータ検索 AM を使用した SSH/Telnet のセッション録画に対してはメタデータ ( キーワード ) 検索が可能 35

36 6. セッション録画 RDP セッション録画のリプレイ 36

37 6. セッション録画 SSH セッション録画のリプレイ & メタデータ検索 37

38 7. 共有アカウントの識別 作業後 監査対応のため特権アカウントを実際には誰が利用し ていたのかをレポートする必要がある 共有アカウント利用ユーザの識別(e.g., Root/Admin) セッション録画 & メタデータ モニタリング & フィルタリング ID連携 (SSO/自動ログイン) ポリシーによるシステムへのアクセス制限 豊富なユーザ認証 認証情報の管理 38

39 7. 共有アカウントの識別 レポート 特権 / 共有アカウント利用のレポートを提供 レポートにより 特権 / 共有アカウントを誰が利用したのかを正確に識別 ビルトインで様々なレポートを提供 View Password Request: 特権 / 共有アカウントパスワード利用アクセス履歴 Account Passwords Updates: アカウントのパスワード更新履歴 Cluster State: クラスタの状況 Privileged Accounts: 特権アカウント一覧 など PDFだけでなく HTMLやCSVなど複数のフォーマットをサポート スケジュールによる定期的なレポート作成 39

40 7. 共有アカウントの識別 レポートサンプル 40

41 動作環境 種類 / 用途 CA Privileged Access Manager Virtual Appliance (PAM 本体 ) CA PAM Management Console OVA Appliance (PAM の統合管理 ) CA Threat Analytics (for PAM) ( リスク評価 分析分析 ) CA Privileged Access Manager Server Control ( きめ細かなアクセス管理 ) CA Privileged App to App Manager Client ( パスワード埋込み機能 ) CA PAM クライアント 管理対象デバイス 動作 OS/ 環境 VMware ESX/ESXi ( 仮想アプライアンスにより VMware 上で動作 ) VMware ESX/ESXi ( 仮想アプライアンスにより VMware 上で動作 ) VMware ESX/ESXi ( 仮想アプライアンスにより VMware 上で動作 ) RHEL 7 (Intel64)/RHEL 6 (Intel64)/RHEL 6 (x86)/windows Server 2012/Windows Server 2012 R2/Solaris 10/Solaris 11 RHEL 7 (Intel64)/RHEL 6 (Intel64)/RHEL 6 (x86)/windows Server 2008 R2/Windows Server 2012 R2/Solaris 10/Solaris 11 Windows 7/Windows 7 (64-bit)/Windows 8.1/Windows 8.1 (64-bit)/Windows 10/Windows 10 (64-bit) RHEL 7 (Intel64)/RHEL 6 (Intel64)/RHEL 6 (x86)/windows Server 2016/Windows Server 2012 R2/Windows Server 2018 R2/Windows 7/Windows 7 (64-bit)/Windows 8.1/Windows 8.1 (64-bit)/Windows 10/Windows 10 (64-bit) 41

42 登録商標 Microsoft Internet Explorer Hyper-V Windows および Windows Server は 米国 Microsoft Corporation の米国およびその他の国における登録商標または商標です UNIX は 米国およびその他の国におけるオープン グループの登録商標です Oracle と Java は Oracle Corporation およびその子会社 関連会社の米国およびその他の国における登録商標です 文中の社名 商品名等は 各社の商標または登録商標である場合があります Oracle Solaris は Solaris Solaris Operating System Solaris OS と記載することがあります Linux は Linus Torvalds 氏の米国およびその他の国における商標または登録商標です Red Hat は Red Hat, Inc. の米国およびその他の国における登録商標または商標です その他 本資料に記載されているシステム名 製品名等には必ずしも商標表示 (TM ) を付記しておりません 42

43