Benvenuti. Luca Biffi, Direttore Supporto Tecnico di Achab

Transcript

1 Benvenuti Luca Biffi, Direttore Supporto Tecnico di Achab

2 DriveLock: avere il pieno controllo dei dispositivi interconnessi ad un pc aziendale

3 Agenda Introduzione a DriveLock Il controllo dispositivi Controllo drive Controllo porte, controller ed altri dispositivi Auditing ed altre funzionalità Conclusioni Domande & risposte

4 Funzionalità principali di DriveLock E2go Full Disk Encryption Filtro applicativo

5 Architettura di DriveLock

6 Requisiti di sistema

7 Quali dispositivi sono controllabili?

8 Controllo dispositivi da MMC

9 Modalità semplice/avanzata

10 Controllo drive Unità (Drive) rimovibili: tutti quei dispositivi che sono connessi al computer e accessibili tramite una lettera di unità (es. D:\) da Windows. Tutti gli altri rientrano nei device. Floppy disk CD-ROM/DVD USB bus-connected drive FireWire (1394) bus-connected drive SD bus-connected drive Hard disk

11 Controllo dei drive modalità semplice Classi Floppy disk CD-ROM/DVD USB bus-connected drive FireWire (1394) bus-connected drive SD bus-connected drive Hard disk Azioni Accesso bloccato Accesso consentito Accesso consentito solo ad alcuni utenti e gruppi White list Vendor ID Product ID Serial Number File Filtering

12 Esempio 1 Blocco totale di tutte le unità connesse via USB

13 Esempio 2 L uso di unità USB è consentito solo agli amministratori

14 Esempio 3 E consentito l uso di chiavette USB agli amministratori ma solo se appartengono al set fornito dall azienda (che devono essere riconsegnate a fine giornata).

15 Esempio 4/1 E consentito l uso delle chiavette USB agli amministratori, ma nessuno può copiarci i file di progetto dell azienda.

16 Esempio 4/2 E per gli utenti più smaliziati?

17 Controllo dei drive modalità estesa Classi Floppy disk CD-ROM/DVD USB bus-connected drive FireWire (1394) bus-connected drive SD bus-connected drive Hard disk Azioni Accesso bloccato Accesso consentito Accesso consentito solo ad alcuni utenti e gruppi White list Vendor ID Product ID Serial Number Size rule Base rule Terminal Server rule Rule from Template Folder File Filtering

18 Regole di white list modalità estesa

19 Regole di white list modalità estesa

20 Configurazione dettagliata Alcune impostazioni sono disponibili sono nel nodo della configurazione estesa Permessi Filtro file Limiti temporali (giorni, volte) Regole valide da fino a Computer Reti Utenti/Gruppi (Filtro) Messaggi /messaggi all utente sulle policy di utilizzo Crittatura automatica (encryption-to-go) Abilitazione supporti approvati Eseguire script e applicazioni / verifica stato sistema

21 White list basate su template

22 Ordine priorità white list Voce della white list + numero seriale Voce della white list (con product/vendor ID) Regole su size (e crittatura) Regole base Impostazioni di blocco predefinite (es. usb connected drives)

23 Organizzazione delle white list Organizzare regole in cartelle Creare sottocartelle Spostare voci white list Non è consentito duplicare le voci

24 Controllo dispositivi Dispositivi basati su Windows Mobile Dispositivi basati su Palm OS Scanner efotocamere Modem Stampanti Schede di rete Lettori smartcard Controller audio, video e giochi Blackberry Dispositivi virtuali (VMware) Telefoni cellulari Tastiere e mouse Dispositivi media player Dispositivi biometrici Dongles Secure Digital Host controller Unità a nastro Dispositivi PCMCIA e memorie flash Dispositivi basati su bus IEC (AVC) Dispositivi con Windows Media Center Dispositivi Windows SideShow Sensori

25 Controllo controller e porte Porte seriali (COM) e parallele (LPT) Interfaccie Bluetooth Interfaccie a infrarossi Controller USB Controller Firewire (1394) Controller PCMCIA

26 Controllo dei dispositivi Azioni Accesso bloccato Accesso consentito Accesso consentito solo ad alcuni utenti e gruppi White list Device class Device bus Hardware ID Computer template Riavvio dispositivo su cambio utente Range temporale Computer Rete

27 Abilitazione blocco dispositivo Il blocco del dispositivo è attivo anche se il dispositivo viene riavviato Attenzione alle schede di rete: creare una whitelist prima di attivare il blocco di una classe!

28 ID hardware Le white list dei dispositivi usano gli ID hardware Possono esserci dispositivi non univoci (al contrario delle unità) Le white list possono essere create solo sulla base del vendor e del modello, es. Canon PowerShot A80 In alcuni casi potrebbe essere necessario creare delle regole sulla base delle differenti versioni PCI\VEN_8086&DEV_103D&SUBSYS_ &REV_81 USB\Vid_0bb4&Pid_0a51&Rev_0000

29 ID compatibili Rimuovere gli ID generici compatibili es. \CC o \Class Class Code es. \VEN_8086 o \VID_8086 Tutti i dispositivi Intel L ideale è mantenere gli stessi ID come gli hardware ID precendenti ma senza revisioni

30 White list dispositivi Identificazione plug and play (Hardware-ID) Regole di white list basate su: Classe dispositivo Tipo di bus connesso Hardware ID Configurazioni aggiuntive per rendere più granulari le eccezioni

31 Dispositivi di sistema Ad alcune classi di dispositivi appartengono dispositivi di sistema Schede di rete (WAN Miniport for IP, L2TP, PPTP ) Suono, Game controller (audio, video codecs, legacy audio drivers ) USB controller (USB Root Hub) Dipende dall hardware Normalmente non si bloccano i dispositivi di sistema (non è hardware reale)

32 Controller e porte COM/LPT bloccate di default Se un controller è bloccato nessun dispositivo ad esso connesso funzionerà! Cosa succede al proprio mouse USB se blocco il controller USB?

33 Utilizzare i computer template Collezione logica di determinati dispositivi Tipo di workstation type (es.dell Latitude E6400) Tipo di bus dei dispositivi (es. All Windows mobile handhelds) Raggruppamento logico di voci di white list differenti L accesso ai dispositivi inclusi in un computer template è sempre consentito senza la necessità di creare altre regole di white list

34 Auditing ed altre funzionalità

35 Auditing File Auditing Che cosa è stato copiato (path, nomefile)? Chi ha copiato i dati? Dove sono stati copiati i dati? Shadowing Quale file è stato copiato esattamente (copia del file)? Cosa c è all interno del file? Autenticità

36 Altre feature del controllo dispositivi Sblocco temporaneo Controllo masterizzazione CD/DVD Notifiche utente personalizzabili Policy di utilizzo Supporti autorizzati

37 Conclusioni Tutto ciò che può essere connesso o interconnesso ad un pc per il travaso di dati può essere controllato Il controllo è molto granulare E possibile loggare l attività degli utenti

38 Domande & risposte

39 Grazie per aver partecipato! Luca Biffi, Direttore Supporto Tecnico di Achab