SCHEDA PRODOTTO: CA Access Control for Virtual Environments CA Access Control for Virtual Environments agility made possible CA Access Control for Virtual Environments (CA Access Control) estende la gestione delle identità e degli accessi agli ambienti VMware ESX e ESXi. Rappresenta una soluzione end-to-end per la protezione dell'accesso privilegiato all'ambiente virtuale, dall'infrastruttura ai guest fino alle applicazioni. Esigenza di business La virtualizzazione dei server favorisce un utilizzo flessibile delle risorse IT, minori costi di capitale, elevata efficienza energetica, alta disponibilità delle applicazioni e business continuity migliorata. La virtualizzazione, tuttavia, porta con sé un insieme di sfide inerenti la gestione e la sicurezza dell'infrastruttura virtuale. L'ambiente virtualizzato è altamente automatizzato e complesso. Quando un'organizzazione sposta le proprie applicazioni nevralgiche in un ambiente virtuale, emerge l'esigenza di una soluzione in grado di proteggere automaticamente i sistemi e attuare la separazione dei compiti degli utenti privilegiati che hanno accesso ai sistemi virtuali, al fine di assicurare la conformità alle normative e impedire danneggiamenti accidentali o dolosi. Gli utenti con privilegi dispongono di accesso a tutte le macchine virtuali in esecuzione su un host e ciò conferisce loro un potere, e dunque un potenziale di provocare danni, molto elevato; è pertanto essenziale un rigido controllo delle autorizzazioni degli utenti con privilegi e la separazione dei compiti. Una dimostrazione eloquente di questa esigenza è rappresentata dal caso di un'industria farmaceutica giapponese. Un membro del personale IT avrebbe utilizzato le proprie credenziali per accedere illegalmente ai sistemi anche dopo il licenziamento e cancellare quindici sistemi VMware host (88 server in totale) su cui erano in esecuzione posta elettronica, applicazioni di tracciamento degli ordini e finanziarie, oltre ad altri servizi. Questa azione ha bloccato le operazioni dell'azienda per vari giorni, lasciando i dipendenti nell'incapacità di spedire prodotti, emettere assegni o persino comunicare tramite e-mail, con un costo di ripristino stimato in 800.000 dollari.
Panoramica CA Access Control è una soluzione unica per la gestione dell'accesso degli utenti privilegiati a macchine virtuali e hypervisor, che consente di controllare le azioni degli utenti con privilegi, proteggere l'accesso all'ambiente virtuale e assicurare la conformità ai requisiti di settore. Offre inoltre le funzionalità chiave per gestire le password degli utenti con privilegi, per rafforzare la sicurezza degli hypervisor e per monitorare l'attività di questo tipo di utenti. Vantaggi principali Combinando i controlli per gli accessi host con la gestione degli utenti con privilegi, CA Access Control consente di abbattere i costi e i rischi associati alla gestione di questi utenti in un ambiente virtuale. CA Access Control è stato progettato per aiutare le organizzazioni a: Garantire la conformità del data center virtuale Ottenere visibilità e controllo sull'ambiente virtuale Automatizzare le operazioni di sicurezza e ridurne i costi Accelerare l'adozione delle tecnologie di virtualizzazione per le applicazioni critiche Creare un ambiente multi-tenant sicuro Funzionalità principali CA Access Control offre controllo e auditing centralizzato degli utenti con privilegi e fornisce accesso privilegiato temporaneo a server, applicazioni e dispositivi fisici e virtuali, il tutto da un'unica console VMware vcenter centrale. Le caratteristiche principali della soluzione includono: Automazione virtualization-aware dei controlli di sicurezza: CA Access Control consente di tenere traccia in tempo reale delle modifiche apportate alla configurazione infrastrutturale e dell'inventario degli asset software. È inoltre in grado di sfruttare le policy, il tagging e le proprietà degli asset (conformità a criteri aziendali e normative, best practice e regole di hardening della sicurezza) per abilitare e configurare automaticamente i servizi di sicurezza pertinenti nell'ambiente virtuale. Questi servizi comprendono controlli per la gestione degli utenti con privilegi e deployment degli asset con le funzionalità di auditing di CA User Activity Reporting Module (CA UARM) installate e pronte per la registrazione delle attività. CA Access Control è progettato per semplificare automaticamente la gestione delle autorizzazioni degli utenti con privilegi, migliorando l'efficienza, eliminando i processi manuali e contribuendo così alla riduzione dei costi operativi e di sicurezza. Permette inoltre di centralizzare la gestione delle policy che regolano l'accesso ai server virtuali in un ambiente virtuale ampio ed eterogeneo. I criteri di governance comprendono accesso alle console di servizio degli hypervisor, risorse all'interno dell'ambiente virtuale, accesso di rete da e sulle console, accesso alla configurazione delle macchine virtuali ecc. Queste funzionalità di gestione delle policy permettono di rendere più chiari gli ambienti di policy complessi basati su più piattaforme, nonché di semplificare le attività amministrative, offrendo così un processo di gestione delle policy comuni affidabile. (vedere Figura A) 2
Installandosi nell'ambiente vcenter, CA Access Control adotta questa interfaccia utente come propria, aiutando gli amministratori vcenter ad apprendere l'utilizzo e adattarsi rapidamente alla soluzione. Gli amministratori saranno in grado di visualizzare i servizi di sicurezza disponibili o appropriati, comprese, se applicabile, le relative versioni a scopo di gestione (installazione, disinstallazione, abilitazione, disabilitazione, aggiornamento ecc.). (vedere Figura B) Figura A. Gestione dei gruppi di sicurezza Gestione delle password degli utenti con privilegi: rispetto a un ambiente fisico, gli utenti con privilegi dispongono potenzialmente di un accesso e di capacità più estese sulle risorse IT critiche di un ambiente virtuale. Oltre alle azioni dolose come quelle compiute nell'azienda farmaceutica di cui sopra, un utente con privilegi (hypervisor) potrebbe avviare/arrestare macchine virtuali senza autorizzazione, ripristinare una VM a una versione precedente cancellandone così le attività, oppure rubare proprietà intellettuali copiando una VM e i relativi dati su un dispositivo di storage esterno. CA Access Control fornisce accesso sicuro agli account con privilegi e aiuta a tenerne traccia, implementando così la separazione dei compiti e favorendo la conformità normativa. 3
Monitoraggio delle attività utente: CA Access Control controlla le attività eseguite sulla console di servizio di hypervisor e guest e tiene traccia dell'utilizzo degli account con privilegi in base all'id utente originale. In aggiunta, l'integrazione con UARM permette ai clienti di estendere le funzionalità di auditing oltre gli eventi di CA Access Control, fornendo in tal modo una visione olistica delle attività privilegiate eseguite nell'ambiente IT. La copertura end-to-end, da una macchina guest all'hypervisor, consente all'organizzazione di migliorare la visibilità il controllo sull'ambiente virtuale. Per la registrazione integrale delle attività degli utenti è disponibile separatamente un'applicazione di registrazione delle sessioni. Grazie a questo software l'organizzazione può creare un record visivo sicuro della sessione di un utente con privilegi. Ciò risulta particolarmente utile per le sessioni basate su browser, che sono completamente basate su azioni eseguite via mouse e non possono pertanto essere registrate mediante programmi keylogger tradizionali. Separazione dei compiti: CA Access Control consente di applicare le regole di separazione dei compiti, standard di settore, sull'hypervisor. CA Access Control è ad esempio in grado di prevenire l'accesso da parte dell'amministratore dell'hypervisor alla configurazione delle macchine virtuali tramite l'hypervisor, facendo così in modo che tutte le modifiche all'ambiente di virtualizzazione siano gestite solo mediante le console di gestione. Multi-tenancy sicura: CA Access Control estende agli ambienti virtuali la segmentazione tipica delle reti fisiche. Offre maggiore isolamento dei tenant per una migliore conformità e abilitazione dei provider di servizi gestiti, controllo del traffico tra VM su un framework basato su policy e densità superiore di VM su hardware fisico consentendo ai guest con vari livelli di affidabilità di condividere un host comune con privilegi di accesso minimi tra i membri di zone diverse. Hardening degli hypervisor: CA Access Control, che include HyTrust Appliance, offre un'ampia gamma di funzionalità per il rafforzamento della sicurezza dell'hypervisor. Consente di controllare l'accesso alle risorse di sistema, ai programmi, ai file e ai processi attraverso una rigorosa serie di criteri come tempi, metodo di accesso, attributi di rete e programma di accesso. È possibile configurare i nuovi server VMware in base a configurazioni di sicurezza predefinite, monitorare in modo coerente gli host VMware vsphere al fine di identificare gli errori di configurazione utilizzando strutture di valutazione predefinite, nonché intervenire attivamente sui problemi con interruzioni minime dei servizi. Anche se l'adozione della tecnologia virtuale è cresciuta rapidamente, è stata finora utilizzata principalmente in ambienti di sviluppo e test e non per sistemi di produzione. Le funzionalità di sicurezza di CA Access Control consentono alle organizzazioni di espandere l'utilizzo della tecnologia di virtualizzazione alle applicazioni critiche nella massima tranquillità. 4
Figura B. CA Access Control for Virtual Environments si integra con VMware vcenter Il vantaggio di CA Technologies Vasta esperienza nel settore CA Technologies offre soluzioni di controllo degli accessi basate su host per ambienti distribuiti da più di quindici anni. Per soddisfare le esigenze dei suoi clienti, CA Technologies presenta ora CA Access Control, un prodotto scalabile e ampliabile che protegge l'accesso dall'ambiente fisico all'ambiente virtuale. Approccio alla delivery CA Services offre servizi di implementazione rapida forniti dallo staff interno di CA Technologies e da una rete di partner consolidati, selezionati per aiutare i clienti a effettuare un deployment corretto e a realizzare i risultati di business desiderati il più rapidamente possibile. Tramite la sperimentata metodologia in nove fasi, le best practice e la competenza di CA, è possibile raggiungere più rapidamente il time-to-value per l'implementazione di CA Access Control. Time-to-value rapido CA Access Control è veloce da distribuire grazie all'ampio supporto out-of-the-box e semplice da utilizzare, grazie a interfacce amministrative e dashboard di reporting moderni, offrendo così ai clienti un time-to-value estremamente rapido. Altri prodotti di sicurezza di CA Technologies integrati con CA Access Control includono CA Identity Manager e CA Role and Compliance Manager, CA SiteMinder, CA Arcot e CA DLP. 5
I passi successivi Per ulteriori informazioni, contattare il partner CA autorizzato locale di riferimento all'indirizzo capartners@ca.com, oppure CA Technologies visitando la pagina ca.com/accesscontrol Copyright 2011 CA Technologies. Tutti i diritti riservati. Tutti i marchi, i nomi commerciali, i marchi di servizio e i logo citati nel presente documento sono di proprietà delle rispettive società. Questo documento ha esclusivamente scopo informativo. CA Technologies non si assume alcuna responsabilità riguardo all'accuratezza e alla completezza delle presenti informazioni. CA non fornisce consulenza legale. Né il presente documento né alcun prodotto software di CA qui menzionato potranno sostituire la conformità del lettore con qualsiasi normativa inclusi, a titolo esemplificativo ma non esaustivo, normative, legislazioni, regolamenti, regole, direttive, policy, standard, requisiti, ordini amministrativi, ordini esecutivi e così via (di seguito, collettivamente, le "normative") menzionati nel presente documento. Il lettore dovrà rivolgersi a un consulente legale competente in relazione alle normative qui citate. Nella misura consentita dalle leggi applicabili, CA Technologies rende disponibile questo documento "così com'è" senza garanzie di alcun tipo, incluse, a titolo esemplificativo ma non esaustivo, le garanzie implicite di commerciabilità, di idoneità per uno scopo determinato e di non violazione di diritti altrui. In nessun caso CA Technologies sarà ritenuta responsabile per perdite o danni, diretti o indiretti, derivanti dall'utilizzo del presente documento, ivi inclusi, in via esemplificativa e non esaustiva, perdite di profitti, interruzioni di attività, perdita del valore di avviamento o di dati, anche nel caso in cui CA Technologies fosse stata espressamente avvertita del possibile verificarsi di tali danni. CS1747_1011