RSA Authentication Manager ExpreSS Översikt av produkten
Riskerna som förknippas med autentisering med enbart lösenord är inte nya. Trots det förlitar sig 44 % av alla företag och organisationer på lösenord för att skydda fjärråtkomsten för personalen och underleverantörerna 1. Många raffinerade hot och allt fler dataintrång gör att system där man förlitar sig på statiska lösenord är sårbara och riskerar att utsättas för obehöriga intrång. Stark autentisering är den allmänt erkända lösningen för att skydda tillgången till affärskritiska data och program. Men det är många gånger besvärligt för små och medelstora företag att införa säkerhetslösningar, eftersom de inte har de resurser som krävs för att skydda sitt nätverk och kanske tror att de inte löper så stor risk att råka ut för dataintrång. Enligt en undersökning som nyligen publicerades av National Cyber Security Alliance tror 85 % av de små och medelstora företagen att cyberbrottslingar hellre ger sig på storföretag 2. Tyvärr är brottslingarna medvetna om att många små och medelstora företag saknar pålitliga säkerhetssystem, så de har börjat inrikta sig på att stjäla dessa företags känsliga data. Röja undan hindren för stark autentisering Små och medelstora företag behöver röja undan flera hinder för att autentisering med två faktorer ska komma i fråga. De tre svåraste problemen som hindrar många små och medelstora företag från att börja använda stark autentisering är: Höga kostnader Olägenheter för användarna Komplicerad driftsättning och administration Kostnader Många små och medelstora företag nämner kostnaden för tillgängliga lösningar som det största problemet som hindrar dem från att börja använda stark autentisering. Exempelvis kräver driftsättning av ett system för engångslösenord investeringar i maskinvara, t.ex. användarenheten och autentiseringsservern. Sedan tillkommer underhållskostnader kopplade till kundstöd och programuppdateringar. De flesta små och medelstora företag som har en begränsad IT-budget nöjer sig med att skydda tillgången till information med enkla användarnamn och lösenord. Olägenheter för användarna Bekvämligheten för användarna är ett starkt vägande skäl när man börjar använda stark autentisering. Man måste fundera över om den extra säkerheten sänker personalens produktivitet och om användarna kommer att motsätta sig införandet av ny teknik. Detta kan även påverka lösningens totala kostnad om supporten plötsligt får ta emot samtal från användare som behöver mer hjälp. Driftsättning och administration Driftsättningen av en produkt för stark autentisering kan kräva stora insatser från IT-avdelningen. Man får även ta hänsyn till sådant som löpande administration av produkten, vilket kan innebära att skapa och ta bort användare och att distribuera maskineller programvara. De små och medelstora företagen har redan begränsade IT-resurser. Därför kan den tid och arbetsinsats som krävs för att hantera stark autentisering omsorgsfullt te sig enorma för den redan överbelastade personalen. 1 Forrester Research, Best Practices: Implementing Strong Authentication in Your Enterprise, juli 2009 2 2010 NCSA/Visa Inc. Small Business Study Sidan 2
Stark autentisering för små och medelstora företag RSA Authentication Manager Express uppfyller de krav som små och medelstora företag ställer på kostnad, bekvämlighet för användarna och IT-administration. Det är en kostnadseffektiv och bekväm lösning som inte ger avkall på säkerheten. Produkten är en plattform för stark autentisering med flera faktorer och ger säker fjärrautentisering av högst 2 500 användare. RSA Authentication Manager Express fungerar med ledande virtuella privata nätverk som skyddas med SSL-teknik och webbaserade program. Det ger små och medelstora företag tillgång till stark autentisering och säker åtkomst till skyddade program och data. RSA Authentication Manager Express understöds av RSA:s riskbaserade autentiseringsteknik. Hjärtat i denna är RSA:s riskmotor, ett sinnrikt system som utvärderar varje inloggningsförsök och alla aktiviteter i realtid genom att hålla reda på dussintals riskindikatorer och tilldela varje åtkomstbegäran en risknivå. Flera faktorer används för att bedöma risken med varje åtkomstbegäran, däribland: Något användaren känner till, t.ex. ett användarnamn och ett lösenord Något användaren har, t.ex. en bärbar eller stationär dator Något användaren gör, t.ex. autentiseringsförsök och kontoaktivitet under den senaste tiden Med RSA:s riskmotor kan företaget upprätta egna principer som är anpassade efter dess unika risktröskel: det finns flera risknivåer som företaget kan använda, från en hög till en låg risknivå. Det går även att välja risknivån efter användarpopulationer i RSA Authentication Manager Express. Företaget kan välja olika autentiseringsprinciper för olika användarprofiler beroende på deras förhållande till företaget. Företaget kan till exempel ha större förtroende för personal än mot kunder eller partner som ansluter. Om bedömningen är att risknivån för ett åtkomstförsök understiger den högsta tillåtna gränsen autentiseras användaren utan invändningar. Men om bedömningen är att ett åtkomstförsök överstiger den högsta tillåtna gränsen kan användaren tvingas ge ytterligare bevis för sin identitet. Enhetsprofilering: något användaren har RSA:s riskmotor granskar information inom två huvudkategorier om varje åtkomstförsök en användare gör: enhetsprofilering och beteendeprofilering. Den första komponenten, enhetsprofilering, gör att de allra flesta användarna kan autentiseras genom en analys av enhetsprofilen för den bärbara eller stationära dator som normalt används vid åtkomstförsök och information om huruvida personen i fråga har använt enheten tidigare. Enhetsprofilens två huvudkomponenter är unik enhetsidentifiering och statistisk enhetsidentifiering. Unik enhetsidentifiering gör det lättare att identifiera användaren genom att två element sparas på användarens enhet: (a) säkra cookies från första part och (b) delade Flashobjekt ( Flash-cookies ). Säkra cookies från första part spelar en viktig roll vid identifieringen av bärbara och stationära datorer. Ett unikt kryptografiskt ID sparas på användarens enhet, och det är den mekanism som brukar användas först för att identifiera användaren. Flash-cookies används i förening med cookies från första part och ökar tillförlitligheten. I RSA Authentication Manager Express används Flash-cookies för att märka en användares dator på samma sätt som cookies från första part innehåller information som går att hämta vid ett senare tillfälle. Fördelen med att använda Flashcookies är att de inte tas bort lika ofta som cookies från första part, eftersom de flesta användarna inte vet om att de finns. Till och med användare som känner till dem vet inte alltid säkert hur man tar bort dem. Sidan 3
Statistisk enhetsidentifiering är en teknik där en enhets egenskaper används för statistisk identifiering och koppling av en användare till en viss enhet. Statistisk enhetsidentifiering kan liknas vid att ta ett fingeravtryck av enheten. Metoden används i allmänhet som en reservutväg om ett unikt kryptografiskt ID saknas (sådana kan tas bort från enheten). Några av de element som mäts vid statistisk enhetsidentifiering är data som samlas in från HTTP-huvuden och via JavaScript, t.ex. operativsystemversioner, operativsystemets korrigeringsnivå, skärmupplösningen, webbläsarversionen, uppgifter om användaragenten, programversioner, bildskärmsparametrar (storlek och färgdjup), språk, tidszonsinställningar, installerade webbläsarobjekt, installerade program, språkinställningar och IP-adressinformation. Beteendeprofilering: Något användaren gör Utöver enhetsprofilering tas hänsyn till användarens beteende innan en risknivå kopplas till ett åtkomstförsök. Beteendeprofilering används för att upptäcka riskabla inloggningsförsök. Man mäter då faktorer som identitetshastighet, IP-adressinformation och autentiserings- och kontoaktivitet (d.v.s. nyare ändringar av användarprofilen eller flera misslyckade autentiseringsförsök). Säg att en användare brukar logga in från ett kontor i New York och sedan försöker göra det från en plats i Moskva. Då kan systemet betrakta detta som ovanligt beteende. Men om användaren ofta är ute och reser och regelbundet loggar in från olika platser runtom i världen behöver detta inte betraktas som ett ovanligt beteende. Bild 1: RSA:s riskmotor tar hänsyn till dussintals element för att koppla en risknivå till varje begäran 10.0.1.195 IP-information Enhetsspecifika token Beteendemönster Enhetsprofil Kontohistorik Sidan 4
Ytterligare autentisering för åtkomstförsök med hög risk Ytterligare autentiseringsmetoder kan användas om ett åtkomstförsök når upp över risktröskeln som företaget har infört. Det är särskilt vanligt i situationer då en fjärranvändare loggar in från en enhet som inte känns igen och som inte tidigare har använts för att komma åt nätverket. Företagen kan välja mellan två metoder: oförutsedda SMS-meddelanden och frågor till användaren. Oförutsedda SMS-meddelanden Ett oförutsett SMS-meddelande skickas när risken som förknippas med ett åtkomstförsök är hög. När detta inträffar tvingas användaren ge ytterligare bevis på sin identitet genom en lättfattlig process. Först ber systemet användaren att ange PIN-koden han angav vid registreringen. Sedan skickar systemet automatiskt ett SMS-meddelande till mobiltelefonen som användaren har registrerat. SMS-meddelandet innehåller en unik åtta siffror lång kod som användaren måste ange i webbläsaren. När systemet har verifierat koden loggas användaren in omedelbart. RSA Authentication Manager Express kan även skicka engångslösenordet via e-post. De främsta fördelarna med oförutsedd SMS-autentisering är att metoden går att använda med vilken mobiltelefon som helst och att användaren inte tvingas köpa ny maskinvara eller installera något program. Frågor till användaren Användaren väljer frågorna i en lista vid registreringen eller när företaget väljer att ta stark autentisering i bruk. Bara en viss del av frågorna ställs vid autentiseringstillfället för att minska risken för att någon obehörig får tillgång till användarens hemliga frågor och svar. Företaget kan även ta fram egna frågor i stället för att använda de inbyggda frågor som RSA Authentication Manager Express kan erbjuda. Driftsättning och administration RSA Authentication Manager Express är en plug-and-play-produkt som stöder de ledande VPN-produkterna som skyddas med SSL-teknik och webbservrarna utan ytterligare åtgärder. Med hjälp av RSA Quick Setup kan servern tas i drift i ett par enkla steg. Lika okomplicerat är det att upprätta användare. RSA Authentication Manager Express kan kopplas direkt till en befintlig katalogserver och användarna får automatiskt hjälp att registrera sig nästa gång de loggar in. Eftersom registreringen är helt automatisk slipper administratörerna besväret att konfigurera användare som krävs med andra autentiseringsmetoder. Sidan 5
Främsta fördelar RSA Authentication Manager Express har utformats för att uppfylla små och medelstora företags behov av stark autentisering. Kostnadseffektivt. RSA Authentication Manager Express har utformats för och givits ett pris som anpassats till små och medelstora företag med högst 2 500 användare. Bekvämt för användarna. Med RSA Authentication Manager Express kan de allra flesta användarna autentiseras med sitt vanliga användarnamn och lösenord. I dessa fall märker användaren inte att autentisering med flera faktorer används, eftersom RSA:s riskmotor arbetar diskret. Den enda gång användaren märker av den höjda säkerheten är om en åtkomstbegäran har bedömts vara särskilt riskfylld. Enkelt att ta i drift och administrera. RSA Authentication Manager Express levereras i plug-and-play-format och stöder utan ytterligare åtgärder de ledande VPN-produkterna som skyddas med SSL-teknik och de ledande webbservrarna. Dessutom är registreringsprocessen helautomatiserad. Administratörerna slipper ägna så mycket mindre tid åt att skapa nya och ta bort gamla användare. Beprövad teknik. RSA Authentication Manager Express utnyttjar samma riskbaserade autentiseringsteknik som används av över 8 000 företag och organisationer inom branscher som finansiella tjänster, sjukvård, försäkring, detaljhandel och offentlig sektor. För närvarande används RSA:s riskbaserade autentiseringsteknik för att skydda fler än 250 miljoner användaridentiteter och den säkra tillgången till en mängd olika program och system, däribland webbplatser och portaler och virtuella privata nätverk som skyddas med SSL-teknik. Sammanfattning Med RSA Authentication Manager Express kan små och medelstora företag övergå till stark autentisering. Det är kostnadseffektivt och bekvämt både för användarna och ITadministratörerna. Man kan förhindra obehörig åtkomst, minska risken för dataintrång, se till att följa myndighetsföreskrifter på ett sätt som ryms inom budgeten och tryggt ge nya användare behörighet att fjärransluta. Sidan 6
Sanningen om myterna kring stark autentisering Myt Verklighet Vi använder starka lösenord på företaget, och personalen måste ändra lösenorden regelbundet. Det minskar risken. Starka lösenord som innehåller siffror, versaler eller tecken kan vara svåra att gissa för en hacker, men de är också besvärliga att komma ihåg. Det kan leda till att folk antecknar sitt lösenord på ett papper eller hittar på andra komihågknep som i själva verket ökar risken. Verkligt stark autentisering kräver flera faktorer: något utöver enbart ett lösenord. Mitt företag har inte råd med stark autentisering. Stark autentisering kan vara mycket kostnadseffektivt, inte bara för storföretag. RSA Authentication Manager Express är utformat och prissatt för företag med få användare och begränsad IT-budget. Kostnaden för stark autentisering uppväger fördelarna. Kostnaden för stark autentisering är mycket lägre än kostnaden som uppstår vid dataintrång eller om företaget bötfälls för att det inte följer myndigheternas föreskrifter. Dessutom kan stark autentisering skapa nya affärsmöjligheter som ger nya intäkter och effektiviserar affärsprocesserna. Därför betalar sig kostnaden för den högre säkerheten. Cyberbrottslingar angriper bara stora företag och organisationer samt myndigheter. Tvärtom. Cyberbrottslingar angriper ofta små och medelstora företag, eftersom sådana brukar ha sämre säkerhet och är mer sårbara för angrepp. Sidan 7
Om RSA RSA, EMC:s säkerhetsdivision, är den ledande leverantören av lösningar som hanterar säkerhet, risker och efterlevnad av myndighetsföreskrifter. Vi hjälper världens ledande företag och organisationer att lösa de mest komplicerade och känsliga säkerhetsproblem. Det kan vara att hantera risker som företaget löper, skydda mobil åtkomst och mobilt samarbete, se till att myndighetsföreskrifter efterlevs och skydda virtuella miljöer och molnmiljöer. RSA kombinerar affärskritiska kontroller inom identitetskontroll, dataförluster, kryptering och tokengenerering, bedrägeriskydd och SIEM med branschledande egrc-funktioner och konsulttjänster. Vi gör miljontals användare, de transaktioner de genomför och de data som genereras trygga och synliga. www.rsa.com RSA, RSA-logotypen, EMC², EMC och where information lives är registrerade varumärken eller varumärken som tillhör EMC Corporation i USA och andra länder. Alla övriga varumärken som används tillhör sina respektive innehavare. 2011 EMC Corporation. Med ensamrätt. Publicerat i USA. AMX SB 0111