Rok 2024 – czas DORA i NIS2
Nadchodzący rok, 2024, będzie okresem intensywnego wdrażania wymogów 2 regulacji unijnych: DORA (Digital Operational Resiliency Act), rozporządzania dla instytucji finansowych, a także dostawców technologii dla nich, oraz NIS2 (Network and Information Systems), dyrektywy obejmującej kilkanaście branż istotnych dla gospodarki i społeczeństwa, ale również wszelkie inne przedsiębiorstwa kwalifikowane jako co najmniej średnie w rozumieniu zaleceń Komisji Europejskiej.
W obu tych dokumentach wymienione jest silne uwierzytelnianie, czyli wykorzystanie podczas logowania do systemów informatycznych dodatkowego – poza hasłem – czynnika poświadczającego naszą tożsamość. Chcąc spełnić wymogi DORA i NIS2 (o których więcej dowiedzieć można się z tego specjalnego raportu) organizacje zapewne powołały już zespoły zajmujące się tym zagadnieniem. I nie ulega wątpliwości, że członkami takich zespołów powinni być Architekci IT.
Zadania dla Architektów IT
Tradycyjne podejście do implementacji silnego uwierzytelniania polega na modyfikacji aplikacji, dzisiaj głównie webowych (przeglądarkowych) tak, aby każdą z nich rozbudować o wymóg użycia przez jej użytkowników drugiego składnika uwierzytelniania. Oznacza to konieczność zaangażowania własnych programistów i dostawców aplikacji, wykonania odpowiednich modyfikacji, migracji i testów, co wymaga czasu i pieniędzy. A potem funkcjonalność ta musi być utrzymywana i zapewne rozbudowywana – cyberprzestępcy bowiem cały czas obmyślają i stosują coraz nowsze techniki ataku na konta użytkowników.
Aby uniknąć tych wszystkich prac i kosztów w Secfense opracowaliśmy rozwiązanie, które pozwala na szybkie i łatwe zabezpieczenie wszystkich aplikacji webowych w całej organizacji poprzez dodanie do nich dowolnego drugiego składnika uwierzytelniania – bez konieczności jakiejkolwiek modyfikacji ochranianych systemów. W dalszej części artykułu opiszemy, jak dzięki niemu Architekci Korporacyjni mogą włączyć silne uwierzytelnianie jako elementy architektury IT całego przedsiębiorstwa, Architektów Rozwiązań uzbroimy w wiedzę na temat funkcjonalności rozwiazania User Access Security Broker, a Architektom Systemowym pokażemy, jak ono działa.
Proste wdrożenie silnego uwierzytelniania
Dodanie silnego uwierzytelniania do dowolnej aplikacji webowej składa się z 3 kroków, które wykonują administratorzy IT, oraz z 4-tego, jaki należy już do użytkowników zabezpieczonych systemów. Są to:
1. Instalacja brokera w sieci organizacji. W formie maszyny wirtualnej (virtual appliance), ewentualnie sprzętu bądź skorzystanie z usługi “w chmurze”. Broker może, a nawet powinien być w pełni izolowany, bowiem ani nie wysyła z wewnętrznej sieci przedsiębiorstwa żadnych informacji diagnostycznych czy statystycznych, ani też nie potrzebuje otrzymywać niczego z zewnątrz. Dla podniesienia poziomu dostępności, rozłożenia obciążenia bądź z racji skomplikowanej topologii sieciowej broker może pracować w klastrze.
2. Przekierowanie ruchu sieciowego z końcówek użytkowników (ich komputerów, tabletów czy smartfonów) do serwerów z aplikacjami tak, żeby szedł on przez brokera (bądź brokery, jeśli mamy do czynienia z klastrem). W centrum danych najczęściej wykonujemy prostą modyfikację na load balancer’ach, w architekturze “chmurowej” możemy dokonać oczywistej zmiany w serwisie DNS.
3. Asysta brokerowi podczas fazy nauki aplikacji. Broker sam rozpoznaje, w jaki sposób zabezpieczana aplikacja dotychczas logowała swoich użytkowników. I sekwencję opartą jedynie o nazwę użytkownika i jego hasło rozbudowuje o możliwość dodania drugiego składnika uwierzytelniania. W szczegółach wygląda to następująco:
a. Po zalogowaniu się do brokera administrator wybiera, jakie typy drugich składników uwierzytelniania udostępni użytkownikom. Może też niektórych z nich zmusić do korzystania z konkretnego typu second factor’a. Do dyspozycji mamy:
- klucz kryptograficzny
- odcisk palca
- kontur twarzy
- PIN, jako “wyjście bezpieczeństwa” dla powyższych 2 metod biometrycznych
- bardzo wygodną w użyciu aplikację mobilną Secfense Authenticator
- kody TOTP generowane przez dowolną aplikację mobilną typu Authenticator
- kody jednorazowe wysyłane SMS-em
- kody jednorazowe wysyłane e-mail’em
Możemy również zintegrować się z istniejącymi już w firmie dedykowanymi systemami uwierzytelniania, o ile tylko korzystają one z otwartych protokołów RADIUS lub OIDC, i w ten sposób rozszerzyć ich funkcjonalność na wszystkie aplikacje w przedsiębiorstwie.
b. Administrator decyduje również o tym, czy jeszcze pozwoli użytkownikom na korzystanie z aplikacji bez konieczności dodania sobie drugiego składnika uwierzytelniania (Soft User enrolment Policy), czy też będą oni musieli to zrobić, aby móc zalogować się do tak zabezpieczonego systemu (Hard User enrolment Policy)
c. Następnie uruchamia fazę nauki. Przechodzi do zabezpieczanej aplikacji, widoczny na dole baner o treści “Secfense learning mode” upewnia go, że broker monitoruje proces logowania, i loguje się za pomocą użytkownika – sondy (domyślnie: inituser) oraz dowolnego hasła.
4. Po wykonaniu tych czynności aplikacja jest zabezpieczona i gotowa na przyjęcie użytkowników., którzy przy najbliższym logowaniu wybiorą sobie drugi składnik uwierzytelniania, zarejestrują go i będa korzystać z niego podczas kolejnych wejść do systemu.
Opisane rozwiązanie spełnia wszelkie wymogi dotyczące przyjazności dla użytkowników z jednej strony i ich bezpieczeństwa z drugiej. Pozwala na elastyczne polityki w kwestii stosowania drugiego składnika uwierzytelniania, obsługuje proces pomocy tym, którzy na przykład wykorzystują klucz kryptograficzny, jednak go zapomnieli, a muszą pracować, zapisuje wydarzenia w lokalnym dzienniku i wysyła je do firmowego systemu SIEM.
Zainteresowani?
Chętnie demonstrujemy działanie naszego User Access Security Brokera na aplikacjach zainteresowanych nim klientów. Udostępnimy im również wersję testową do zapoznania się z jego funkcjonalnością we własnym środowisku.
Architektów IT zapraszamy na nasze wystąpienie podczas odbywającego się 6 grudnia 2023 roku w Warszawie Forum Architektów IT, gdzie będzie można z nami porozmawiać i zadać każde pytanie. Można to również zrobić już teraz wchodząc na naszą stronę WWW pod adresem: secfense.com.
