Shell Control Box 3.2

Introduction Shell Control Box (SCB) est une solution qui permet de contrôler, superviser et auditer les accès distants des administrateurs systèmes aux serveurs et périphériques réseaux. Cet outil permet de visualiser toutes les actions faites par les administrateurs ainsi que les proces sus d administration nécessaires pour administrer les serveurs. Lors de l utilisation de la Shell Control Box, ni le serveur ni l application client n ont besoin d être modifiés l Appliance SCB s intègre facilement et de manière transparente dans votre infrastructure existante. SCB enregistre tout le trafic (connexions, modifications de configuration, commandes exécutées ) dans les Logs. Les données de Logs sont chiffrées, horodatées et signées, empêchant toute modification ou manipulation. En cas de problème (mauvaise configuration du serveur, manipulation de la base de données, arrêt soudain des serveurs/applications), les circonstances de l évènement sont disponibles dans les Logs et la cause de l incident peut être facilement identifiée. L enregistrement des Logs peut s afficher comme un film et permet de recréer l ensemble des actions d un administrateur. Les Logs sont indexés, permettant une recherche rapide, une recherche par type d évènement, par fichiers lus et même recherche textuelle! «De plus, les rapports, les recherches peuvent être automatisés et planifiés.» Pour protéger les informations sensibles contenues dans les flux, les deux directions des flux (client-serveur, serveur-client) peuvent être séparées et cryptées avec des clés différentes de telle manière que les informations sensibles (comme les mots de passe) ne sont affichées que si nécessaire. SCB peut également supprimer le cryptage des flux et transmettre le trafic non crypté à un système d analyse de détection d intrusion (IDS), permettant ainsi d analyser le contenu du trafic. De cette façon tous les flux qui étaient jusqu à présent inaccessibles pour une analyse IDS peuvent être inspectés, en temps réel. De même, d autres protocoles encapsulés dans un flux SSH peuvent être inspectés. Idem, les fichiers transférés par protocoles chiffrés peuvent être envoyés à un système d analyse et de prévention des fuites de données (DLP).

Points Forts de la Solution Shell Control Box La réglementation Les dispositions législatives et les normes industrielles imposent de plus en plus le respect de normes de conformité concernan t la protection et la sécurité des données informatiques. En conséquence, les entreprises doivent accroître le contrôle et la traçabilité de leurs processus informatiques, dont notamment ceux qui concernent l accès distants aux systèmes et l administration des serveurs. Cependant, il arrive souvent que pour des raisons demaintenance, des administrateurs accèdent aux serveurs hébergeant des données sensibles. Etant donné leurs privilèges de super-utilisateur, les administrateurs de serveurs ont la possibilité d accéder et de manipuler les données et les Logs des applications et des bases de données. Pour répondre à ces besoins de conformité, Shell Control Box, of fre une solution indépendante des serveurs administrés et des administrateurs, qui permet de gérer les accès et les activités des administrateurs et d obtenir des rapports de conformité, en cas d audit. Contrôle des Prestataires et sous-traitants De nombreuses entreprises font appel à des entreprises externes pour configurer, maintenir et superviser leurs serveurs et applications informatiques. Cela signifie que l entreprise fait confiance aux administrateurs de ces entreprises externes. Dans cette situation, Shell Control Box est un outil fiable et indépendant qui permet de contrôler, archiver et auditer toutes les actions effectuées par les prestataires externes, sans aucun doute. Les entreprises offrant des Services de gestion à distance Shell Control Box répond également aux besoins des entreprises qui proposent des services d hébergement, en leur apportant un outil de contrôle et d audit des accès à leur plate-forme et améliore le contrôle sur les niveaux de services (SLA). Ainsi grâce à la SCB vous pouvez également évaluer la performance de vos hébergeurs.

Les entreprises utilisant des infrastructures clients léger SCB peut auditer les protocoles utilisés dans les solutions clients légers, offrant une application indépendante pour enregistrer et surveiller les activités. Analyse en temps réel des transferts de fichiers et de leur accès Shell Control Box peut envoyer la liste des fichiers auxquels les utilisateurs ont eu accès et des fichiers transférés à un système d analyse et de prévention des fuites de données (DLP) qui pourra reconnaître, suivre, et alerter sur les accès aux données et aux transferts. De cette manière, la politique de l entreprise au regard de la prévention de la fuite des données pourra être étendue aux protocoles chiffrés tels que SSH et SFTP. Les entreprises ayant besoin de contrôler les flux SSH De nombreuses entreprises permettent les connexions SSH sortantes mais ne les contrôlent pas. Shell Control Box peut contrôler le trafic autorisé dans une connexion SSH et peut séparer indépendamment les différents types de trafic tel que les connexions des terminaux (TSE) transfert de fichiers SFTP et redirection de port. Il est également possible d extraire les fichiers transférés des connexions SFTP et SCP afin d effectuer une analyse plus poussée. Les entreprises utilisant des infrastructures clients légers De nombreuses entreprises utilisent des serveurs de rebond pour accéder à des serveurs ou des services distants. Shell Control Box peut être utilisé pour authentifier et auditer tous les accès aux serveurs de rebond. Du fait que SCB peut prendre en charge les méthodes d authentification forte (par exemple certificat X.509) et l authentification directe des utilisateurs (par exemple Active Directory et LDAP), la gestion des clés et la gestion des mots de passe est considérablement simplifiée. Ceci est particulièrement utile si une entreprise a besoin d accéder à de nombreux serveurs distants ou des serveurs de rebond. Références publiques Voici une sélection de quelques références publiques utilisant la solution Shell Control Box: Dubai Islamic Bank PJS (http://www.dib.ae/) Émirats Arabes unis FIDUCIA IT AG (http://www.fiducia.de/) Allemagne Hungarian Post Co. Ltd. (http://www.posta.hu) - Hongrie Svenska Handelsbanken AB (http://www.handelsbanken.com/) Suède Wilo SE (http://www.wilo.de) - Allemagne

Caractéristiques et capacités du produit Superviser et contrôler les travaux des administrateurs systèmes. Contrôlez vos connexions SSH (X11inclus), RDP5, RDP6, RDP7, VMWare View, VNC, Telnet, et les connexions TN3270; Audit des connexions SCP et SFTP, des accès aux fichiers et des transferts de fichiers; Collecte intégrale et sûre des informations pour des analyses poussées forensics. Les logs sont chiffrés, horodatés et signés; Intégration facile à votre infrastructure existante, interface depuis un navigateur WEB et séparation des rôles Administrateur - Auditeur; Support Haute disponibilité (HA) - Archivage et backup automatique des données. Avantages client : Se conformer aux règlements internes et aux régulations; Gestion de l accès à distance et des transferts de données; Améliorer et faciliter le contrôle des SLAs et édition de rapports détaillés sur les accès; Contrôle Proactif, technique et psychologique pour prévenir les accès non autorisés et malveillants; Économies réalisées sur le dépannage, maintenance et les investigations, en cas d audit.

Inspection du protocole SCB agit comme une passerelle de niveau applicatif : les connexions transférées et les trafics sont inspectés au niveau de l application (couche 7 du modèle OSI), en rejetant tous les trafics ne respectant pas le protocole - un bouclier efficace contre les attaques. Cette analyse au niveau applicatif donne le contrôle sur de nombreuses fonctionnalités des protocoles, comme l authentification et les méthodes de cryptage utilisées dans les connexions SSH, ou les canaux autorisés en trafic RDP. Protocoles supportés SCB prend en charge les protocoles suivants: Remote Desktop Potocol (RDP), versions 5, 6 et 7 utilisés pour accéder à des plates-formes Microsoft Windows, y compris 2008 Server et Vista ; Le protocole X11 transmis dans SSH, utilisé pour accéder à distance à l interface graphique de systèmes de type Unix ; Le protocole Telnet, utilisé pour accéder à des équipements de réseau (commutateurs, routeurs) et le protocole TN3270 utilisé avec les dispositifs existants Unix et les mainframes ; Le V irtual Network Computing (VNC), système de partage de bureau graphique couramment utilisé pour les accès distants dans des environnements multiplateformes. Audit et inspection du trafic avec SCB SCB enregistre toutes les sessions dans des Logs consultables, permettant de retrouver facilement les informations pertinentes. Les Logs peuvent être consultées en ligne, ou suivi en temps réel pour surveiller les activités des administrateurs. Tous les Logs stockés sur le serveur de sauvegarde sont accessibles depuis l interface web de SCB. Le module «audit player» permet de rejouer les sessions enregistrées. Toutes les actions des administrateurs peuvent être vues exactement comme elles ont été enregistrées. Toutes les pistes d audit sont indexées par un serveur d indexation distinct, permettant l avance rapide pendant la recherche d particuliers et les textes vus par l administrateur. événements

Il est également possible d exécuter des recherches sur un grand nombre de Logs pour trouver des sessions qui contiennent une i nformation ou un événement particulier. SCB peut également exécuter des recherches et générer automatiquement des rapports d audit pour les nouveaux Logs. En plus d enregistrer les Logs des protocoles inspectés et les protocoles embarqués (par exemple, d autres protocoles de tunnel en SSH, portforwarding), les fichiers transférés peuvent être également enregistrés. Il est même possible de convertir le trafic audité dans un format permettant une analyse avec des outils externes. Pour prévenir la manipulation et fournir des informations fiables pour l auditeur, SCB horodate, chiffre et signe tous les Logs. Les Logs sont compressés, les connexions inactives n utilisent pas d espace disque. Réaliser des audits fiables L audit est généralement basé sur les Logs générés par le serveur audité. Ce modèle n est pas parfait, car les Logs d évènements interactifs ne sont généralement pas très détaillés, et il n y a aucun m oyen de s assurer que les Logs stockés ou envoyés par le serveur ne sont pas manipulés par un administrateur ou un utilisateur malveillant. Mais SCB est une appliance indépendante qui fonctionne de manière transparente, et extrait les informations auditées directement à partir de la communication du client et du serveur. Cela empêche quiconque de modifier les informations auditées - l administrateur du SCB ne peut falsifier les Logs de vérification cryptés. SCB génère également les Logs détaillés de toutes modifications de configuration. Contrôle d accès détaillé : Qui, Quand, Comment accède à quel serveur SCB vous permet de définir les connexions, c est-à-dire, l accès à un serveur n est possible qu à partir d une liste d adresses IP client. La limitation est possible, en utilisant les différents paramètres de la connexion, par exemple, le moment où le serveur peut être consulté, les noms d utilisateurs et la méthode d authentification utilisée dans SSH, ou le type de chaînes autorisées dans les connexions SSH ou RDP. Le contrôle de l authentification signifie que SCB peut imposer l utilisation de méthodes d authentification forte (clé publique), et vérifier également les clés publiques des utilisateurs. SCB peut aussi authentifier les utilisateurs par rapport à un utilisateur d un répertoire externe. Cette authentification est entièrement indépendante de l authentification que l utilisateur effectue sur le serveur distant. Tous les paramètres suivants peuvent être contrôlés : L adresse IP des ordinateurs clients autorisés à accéder au serveur; Les administrateurs autorisés à accéder au serveur en utilisant SSH (nom d utilisateur en liste noire et blanche); En plus de l authentification effectuée sur le serveur distant, il est également possible d exiger une authentification tierce supplémentaire sur l interface Web de la SCB; La méthode d authentification (par exemple, mot de passe, clé publique, certificat) requis pour accéder au serveur en utilisant SSH; La période où le serveur peut être accessible (par exemple, uniquement pendant les heures de travail); Le type de canal SSH ou RDP autorisé sur le serveur (par exemple, RDP pour le partage de fichier, Terminal SSH etc.). Les règles ci-dessus peuvent être appliquées au niveau de la connexion et au niveau du canal. Par exemple, l accès SSH à un serveur peut être accordé à tout utilisateur avec un mot de passe valide, mais le port-forwarding requiert une authentification basée sur les certificats.

Autorisation «4-eyes» Pour éviter une mauvaise configuration accidentelle ou d autres erreurs humaines, SCB prend en charge le principe d autorisation «4-eyes». Ce résultat est obtenu en exigeant un «autorisateur» pour permettre aux administrateurs d accéder au serveur. Cette personne a la possibilité de contrôler le travail de l administrateur en temps réel, tout comme si, il regardait le même écran. Le principe «4-eyes» peut être utilisé pour les contrôleurs, ainsi SCB peut utiliser plusieurs clés pour chiffrer les audits. Dans ce cas, des clés de décryptage multiples sont nécessaires pour rejouer les audits, de sorte qu un seul vérificateur ne puisse pas avoir accès à toutes les informations de votre système. Vérifier l identité des serveurs SCB a intégré la capacité de vérifier les clés d équipements SSH et les certificats identifiant les serveurs, ce qui empêche les attaques «man-inthe-middle» et autres manipulations. Conserver toutes les données pour plus d un an Les sessions SSH et Telnet qui occupent la majeure partie du système de travail à l administration sont les types de trafic les plus intéressants pour des audits. Mais un tel trafic ne prend généralement pas beaucoup de place sur le disque dur (environ 1 Mo par heure), ainsi SCB peut stocker près de 500.000 heures d activité des administrateurs systèmes. Cela veut dire qu une société qui a 50 administrateurs qui travaillent en ligne (24x7) peut stocker toutes les sessions SSH et Telnet sur le SCB pour plus d 1 an - consultable, re-jouable facilement et rapidement avec des formats accessibles. Ces chiffres ne comprennent pas les données archivées sur le serveur de sauvegarde à distance, qui sont également accessible à partir de la SCB. Les sessions RDP prennent beaucoup plus de place (mais généralement moins de 1 Mo par minute), ce qui signifie que SCB peut stocker les données de plusieurs semaines voire des mois de travail.

Gérer les mots de passe et autres crédentiels Installer une solution single-sign-on, pour des administrateurs et autres utilisateurs à privilège, peut simplifier la gestion des mots de passe pour accéder à distance aux équipements cibles tout en renforçant le contrôle d accès. La coffre fort de crédentiels permet de garder les crédentiels des utilisateurs (par exemple : mots de passe, clés privées, certificats) et de les utiliser pour se connecter à l équipement cible, sans que l utilisateur ait besoin d accéder à ses crédentiels. Ainsi, l utilisateur doit s authentifier sur la Shell Control Box avec ses identifiants habituels, login et password (données pouvant être stockées directement dans la SCB ou bien dans un annuaire externe Active Directory ou LDAP, etc.). En plus de stocker les crédentiels localement, SCB s interface facilement à la solution de gestion des identités à privilège Enterprise Random Password Manager (ERPM)» de l éditeur Lierberman. Ainsi, la solution ERPM permet de gérer de manière centralisée les mots de passe et la SCB garantit que les serveurs protégés ne peuvent être accédés seulement à travers la SCB vu que les utilisateurs ne connaissent pas les mots de passe requis pour accéder directement.

Integration de SCB Afin d intégrer SCB dans votre réseau le plus facilement, SCB prend en charge 3 différents modes de fonctionnement : bridge, routeur, et mode bastion. Pour simplifier l intégration avec les environnements pare-feu, SCB supporte à la fois la source et la destination Address Translation (SNAT et DNAT). Mode bridge En mode Bridge, SCB agit comme un commutateur de réseau, et relie le segment de réseau des administrateurs au segment des serveurs protégés à la couche liaison de données (couche 2 du modèle OSI). Mode routeur En mode routeur, SCB agit comme un routeur transparent reliant le segment du réseau des administrateurs aux segments des serveurs protégés à la couche réseau (couche 3 du modèle OSI).

Mode Bastion Les administrateurs ont accès aux serveurs uniquement à travers SCB. Le pare-feu réseau doit être configuré de manière à garantir que seules les connexions provenant de la SCB peuvent accéder aux serveurs. SCB détermine quel serveur peut se connecter sur la base des p aramètres de la connexion entrante (l adresse IP de l administrateur et l adresse IP du serveur cible). Opération non transparente SCB peut fonctionner en mode non transparent, ainsi, il extrait l adresse du serveur cible à partir du protocole inspecté. Une opération nontransparente est principalement utilisée en mode Bastion, et simplifie l intégration de la SCB dans l infrastructure réseau. Intégration aux annuaires d utilisateurs SCB peut se connecter à une base de données LDAP distante (par exemple un serveur Microsoft Active Directory) pour définir le groupe d adhésions des utilisateurs qui ont accès aux serveurs protégés. Les règles et politiques peuvent être définies en fonction du groupe d adhésions. Lorsque vous utilisez l authentification par clé publique en SSH, ainsi SCB peut authentifier l utilisateur par rapport à la clé ou avec un certificat X.509 stocké dans la base de données LDAP. Les administrateurs et les contrôleurs ont accès à l interface Web de la SCB et peuvent également être authentifiés à une base de données LDAP. L authentification RADIUS (par exemple, en utilisant SecureID) est également supportée à la fois pour accéder à l interface web, et également authentifier les sessions SSH auditées.

Gestion de la Shell Control Box SCB est configuré à partir d une interface Web claire et intuitive. Les rôles de chaque administrateur de la SCB peuvent être clairement définis à l aide d un ensemble de privilèges : Gérer SCB comme un équipement Gérer les connexions aux serveurs Voir les audits et les rapports L accès à l interface Web de la SCB peut être restreint à un réseau physiquement séparé dédié à la gestion du trafic. Cette interface de gestion est aussi utilisée pour les sauvegardes, le Login à des serveurs distants, et autres trafics administratifs. Les utilisateurs ayant accès à l interface web peuvent être authentifiés à une base LDAP ou RADIUS. Tous les changements de configuration sont automatiquement enregistrés; SCB peut également exiger que les administrateurs ajoutent des commentaires quand ils modifient la configuration de SCB. De plus, SCB crée des rapports pour les changements de configuration et les détails et descriptions des modifications sont consultables et peuvent être recherchés à partir de l interface web, ce qui simplifie l audit de la SCB. Support Haute Disponibilité SCB est également disponible en haute disponibilité (HA). Dans ce cas, deux unités de SCB (un maître et un esclave) ayant une configuration identique fonctionnent simultanément. Les deux unités ont un sous-système de fichiers communs, L appareil Maître partage toutes les données avec l appareil esclave dès que les données sont reçues : chaque changement de configuration ou de trafic enregistré est immédiatement synchronisé avec l appareil esclave. Si l appareil principal s arrête de fonctionner, l autre devient immédiatement actif, de sorte que les permanence. serveurs protégés soient accessibles en Données automatiques et sauvegardes de configuration Les audits enregistrés, la configuration de la SCB et toutes les autres données peuvent être périodiquement transférées vers un serveur distant en utilisant les protocoles suivants: Network File System protocol (NFS); Rsync over SSH; Server Message Block protocol (SMB/CIFS). La dernière sauvegarde - y compris la sauvegarde des données - est facilement récupérable via l interface web de SCB. Archivage automatique des données La configuration de la SCB et les Logs enregistrés sont automatiquement archivés sur un serveur distant. Les données sur le serveur à distance sont accessibles et consultables; plusieurs téraoctets de Logs sont accessibles à partir l interface Web de la SCB. SCB utilise le serveur distant en tant que lecteur réseau via l e Network File System (NFS) ou le protocole Server Message Block (SMB/ CIFS).

Mise à jour du Logiciel Les mises à jour de logiciels sont recherchés sous forme d images firmware - La mise à niveau de SCB en utilisant l interface Web de la SCB est aussi simple que la mise à jour d un routeur réseau. SCB stocke jusqu à cinq précédentes versions de firmware; l une d entre elles peut être démarrée, permettant un «rollback» facile en cas de problème. Les mises à jour de firmware pour un an sont incluses dans le prix de base de chaque unité SCB. Support et garantie Le prix de base de toutes les appliances SCB comprend les services suivants : Support en ligne et l assistance téléphonique, disponible du lundi au vendredi de 9h00 à 18h00, heure de Paris. Garantie de remplacement du matériel sur place pendant un an. Toutes les erreurs matérielles sont corrigées. Mises à jour logicielles pour un an. Nous contacter pour plus de détails sur les extensions de support et de garantie. Hardware specifications Les appareils SCB sont construits sur la haute performance, de l énergie efficace et des serveurs fiables de Sun Microsystems qui sont facilement montables dans un rack standard. Modèle N1000 N1000d VA N10000 Gestion Navigateur Internet, CLI Sources de Connexion RDP5, RDP6, RDP7, VMWare View, VNC, Telnet, TN3270 SE Compression Jusqu à 10 : 1 Nombre de serveurs De 10 à illimité De 10 à illimité De 50 à illimité De 50 à illimité CPU 1xQuad Core 2GB 2xQuad Core 8GBRA 2xQuad Core 2xQuad Core 8GBRA RAM 4 Go 24 Go 24Go Stockage 1 TB RAID1 1 TB illimité 10 TB Châssis 1U 1U 2U Alimentation Non redondante Redondante Redondante Redondante Interfaces 2xGigabit Ethernet Emulex LPe 11002 2x4 Gigabit Ethernet Dimensions (PxLxH) 22,6 x 16,78 x 1,7 29,56 x 16,78 x 1,68 2xGigabit Ethernet 1xFast Ethernet 29,31 x 15,5 x 3,4 29,31 x 17,5 x 3,4

8 Parc Ariane 78280 GUYANCOURT Tel: +33 1 76 78 34 90 Fax : +33 1 76 78 34 91 Email: commercial@adines.fr www.adines.fr