Seguridad en Windows 8 y Server 2012

Transcripción

1 Seguridad en Windows 8 y Server 2012 Enrique G. Dutra Enterprise Security MVP MCT 2012 Punto Net Soluciones SRL Auditor Lider ISO/IEC 27001:2005 edutra@puntonetsoluciones.com.ar 1

2 Agenda Características de Seguridad de MS Windows 8 y Recomendaciones. 2

3 ASPECTOS DE SEGURIDAD 3

4 Autenticación Es un proceso que comprueba la identidad de un objeto, un servicio o una persona. En un contexto de redes, la autenticación es el acto de probar la identidad a una aplicación o recurso de red. Novedades: Compresión del grupo de recursos de KDC. Aumento en el tamaño del búfer del token de contexto SSPI de Kerberos. Compatibilidad con la protección ampliada para destinos que no son de confianza. Inicio de sesión de dispositivos con certificado. 4

5 Autenticación Autenticación vs Autorización. Who are you? Authentication: Verifying the identity of someone Are you on the list? Authorization: Determining whether someone has permission to access a resource User Resource What does the list say you can do? Access: Determining what actions someone can perform on the resource based on permission levels 5

6 Autenticación Métodos de Autenticación de Ms Windows 8 Windows Authentication Method Description Kerberos version 5 protocol Used by Windows 8 clients and servers that are running Microsoft Windows Server 2000 or newer versions NTLM Used for backward compatibility with computers that are running pre- Windows 2000 operating systems and some applications Certificate mapping Certificates are used as authentication credentials 6

7 Control de Acceso Dinámico Las necesidades son muy simples al principio Agregar políticas fragmenta la estructura La complejidad incrementa la posibilidad de políticas poco efectivas Carpeta por proyecto Prevenir que información corporativa se filtre Retener la data por 10 años 7

8 Control de Acceso Dinámico 8

9 Control de acceso dinámico Aplicar permisos de control de acceso y restricciones de acuerdo a reglas bien definidas que pueden contemplar la confidencialidad de los recursos. Incluye: Reglas de acceso central Directivas de acceso central Notificaciones Expresiones Permisos propuestos 9

10 Control de acceso dinámico Novedades: Regla de Acceso Central: es una expresión de reglas de autorización que puede incluir una o más condiciones que competen a grupos de usuarios, notificaciones de usuario, notificaciones de dispositivos y propiedades de recursos. Directivas de Acceso Central: son directivas de autorización que incluyen expresiones condicionales.. 10

11 Control de acceso dinámico Permisos Propuestos: un administrador puede modelar con más precisión el impacto de los posibles cambios en la configuración de control de acceso sin materializarlos de facto. Predecir el acceso eficaz a un recurso ayuda a planear y configurar permisos para esos recursos antes de implementar dichos cambios. 11

12 Control de acceso dinámico Get classification properties API for external applications Set classification properties API for external applications Descubrimiento Extraen Propiedades de Clasificación Clasificación Almacén de Propiedades de Clasificación Aplica Política en Función de Clasificación Windows Server File Classification Extensibility points Las APIs existentes se han conservado y extendido APIs para las funciones de clasificación Get/Set disponibles para roles no Administrador 12

13 Control de acceso dinámico Políticas de Acceso Central para Archivos Habilitar a las organizaciones la definición de políticas de red que reflejen las intenciones de la empresa y permitan cumplir con regulaciones Proteger Información Sensible Identificar y proteger data critica mientras la información permanece en Windows Server 2012 pero también cuando deja este ambiente Remediación para Acceso Denegado Mejorar la experiencia del usuario cuando se recibe un acceso denegado 13

14 Control de acceso dinámico User claims User.Department = Finance User.AccessLevel = High AD DS Device claims Device.Department = Finance Device.Managed = True File Server Resource properties Resource.Department = Finance Resource.Impact = High Política de Acceso Applies = High Allow Read, Write if (@User.Department AND (@Device.Managed == True) 14

15 ACL mejorado Se ha rediseñado para que presente con mayor claridad la información clave necesaria para evaluar y administrar el control de acceso. 15

16 Permisos Efectivos La pestaña Acceso efectivo ofrece a los administradores información sobre los permisos efectivos que sirve para solucionar problemas de control de acceso. DEMO: Auditoría 16

17 BitLocker El cifrado de unidad BitLocker es una característica de protección de datos del sistema operativo. BitLocker aumenta el nivel de protección con versión 1.2 o posterior del Módulo de plataforma segura (TPM). El TPM es un componente de hardware que los fabricantes instalan en muchos equipos nuevos. Requerimientos: Espacio en el dispositivo para crear dos particiones. BIOS compatible con TPM. 17

18 BitLocker Novedades: No hace falta tener permisos de administrador para recuperar dispositivo. Cifrar todo el disco o espacio utilizado. Clave de red permite desbloquear un equipo. Permite mantenimiento remoto de los PINs. Vinculación de la clave de recuperación a una cuenta de usuario de Active Directory. Protección de discos en volúmenes compartidos como clusters. DEMO : GPEDIT.MSC 18

19 UAC UAC permite a los usuarios realizar tareas comunes como no administradores. En Windows 8 se puede setear por usuario 19

20 Asociar el equipo a usuario Crear equipo de confianza con cuenta de Active Directory o de Microsoft. Seteos de seguridad. DEMO 20

21 AppLocker AppLocker ayuda a los administradores a controlar qué aplicaciones y archivos puede ejecutar el usuario. Éstos incluyen archivos ejecutables, scripts, archivos de Windows Installer, DLL, aplicaciones empaquetadas e instaladores de tales aplicaciones. 21

22 AppLocker Ayudar a impedir que software malintencionado (malware) y aplicaciones no admitidas afecten a los equipos de su entorno. Impedir que los usuarios instalen y utilicen aplicaciones no autorizadas. Implementar una directiva de control de aplicaciones para satisfacer parte de los requisitos de directiva de seguridad o de cumplimiento de su organización. 22

23 AppLocker Novedades: La capacidad de establecer reglas para aplicaciones empaquetadas y sus instaladores. Las reglas de AppLocker pueden controlar los formatos de archivo de la lista. Se amplió la lista que puede reconocer los formatos. DEMO 23

24 Secure Boot (UEFI) UEFI (Unified Extensible Firmware Interface ) El firmware que cumple con las especificaciones de UEFI proporciona las siguientes ventajas: Capacidad para usar características de seguridad, como el arranque seguro y las unidades cifradas en fábrica. Capacidad para arrancar desde discos de más de 2 terabytes. Arranque y tiempos de reanudación más rápidos. Objeto es remplazar el boot clásico de BIOS (Basic Input Output System) de la Pcs. 24

25 Direct Access Proporcionar acceso transparente y seguro a los recursos de la empresa desde cualquier lugar

26 Qué es DirectAcess Una VPN, sin VPN Los usuarios remotos trabajan del mismo modo dentro y fuera de la oficina La conexión se realiza antes de que el usuario inicie sesión Basado completamente en IPv6

27 Beneficios de Direct Access + Productividad + Seguridad + Manejabilidad y Coste efectivo Siempre activo el acceso a la red de la empresa No se requiere acción alguna del usuario listo para trabajar Misma experiencia de usuario (dentro y fuera) Equipos confiables y sanos independiente de la red Control de Políticas por servidor y/o Aplicación Extender a los activos móviles el cumplimiento de la normativa Ruta de implementación incremental hacia IPv6 Gestión sencilla de los recursos móviles como si estuvieran en LAN Menor coste propiedad (TCO) con infraestructura «siempre administrada» Unificar el acceso seguro a través de todos los escenarios y redes Administración integrada de todos los mecanismos de conectividad

28 Requisitos Active Directory DirectAccess Server (Windows Server 2012) DirectAccess Client (Windows 8 o 7 Enterprise o Ultimate) 2 IP s públicas consecutivas Ahora ya no es necesario PKI (Windows 8)

29 Opciones de Implementación Requiere Clientes Windows 8 No PKI Usa proxy Kerberos para adquirir Ticket Kerberos Soporta Certificados SSL auto firmados No requiere certificados de máquina Ni lista de revocación de certificados Simple configuración del túnel IPSec Simple factor de autenticación

30 Interoperabilidad Windows Server 2012 Windows Server 2008 R2 Windows 8 Soporte completo Soportado con las siguientes limitaciones No soporta DirectAccess y VPN en el mismo servidor Sin acceso directo a recursos IPv4 (Necesita soluciones NAT64/DNS64) Requiere PKI No soporta implementación multi-sitio Windows 7 Soportado con las siguientes limitaciones Requiere PKI Clientes Windows 7 deben conectarse a una entrada preconfigurada No soporta Windows To Go, ni configuración off line Soporte con las siguientes limitaciones No soporta DirectAccess y VPN en el mismo servidor Sin acceso directo a recursos IPv4 (Necesita soluciones NAT64/DNS64) Requiere PKI No soporta implementación multi-sitio No soporta Windows To Go, ni configuración off line

31 Resumen de Comparaciones Escenario VPN Tradicional SSL VPN TS gateway Outlook Web Access DirectAccess Siempre Activo No No No No Si Administración Remota Limitado Limitado No No Si Aplicaciones Soportadas Políticas por servidor de aplicación Todas Todas Publicadas por IT Solo Correo Todas No Depende Si No Si Políticas de Perímetro Complejo Complejo Medio Simple Simple Equipos Administrados No-administrados Ambos Ambos No Administrados No Administrados Sólo Administrados

32 Gracias Enrique G. Dutra Enterprise Security MVP MCT 2012 Punto Net Soluciones SRL Auditor Lider ISO/IEC 27001: