I min första bloggpost kring DirectAccess så gav jag er en översyn av teknologin, om ni råkat missa den så återfinns den här. I denna bloggpost kommer jag att berätta ytterligare information om DirectAccess och de säkerhetsteknologier som Onevinn rekommenderar att använda i en DirectAccess implementation för att säkra upp infrastrukturen och för att eliminera hotbilderna som kan uppstå.

Som jag tidigare nämnt så kan vi använda oss av Windows Server 2008 R2 eller Forefront UAG för att hantera anslutningarna från DirectAccess klienterna. Vi rekommenderar att om DirectAccess införs så bör man använda Forefront UAG, detta bla för att:

• UAG agerar IPv6 router och tunnlar IPv6 trafik i IPv4 huvudet, vilket i korthet betyder att DirectAccess klienter får på så sätt åtkoms till IPv6 aktiverade resurser i nätverket och det krävs ingen extra handpåläggning på befintlig routinginfrastruktur för at stödja IPv6.
• UAG gör det möjlig att komma åt system på Windows OS som inte kör Windows Server 2008 med hjälp av NAT64/DNS64 som är en inbygg teknologi i UAG.
• UAG gör det möjligt att publicera tjänster för icke-DirectAccess klienter.
  Låt säga att verksamheten måste stödja fjärraccess för klienter med äldre OS än Windows 7, dessa kan få access till tjänsterna genom publiceringar i UAG portalen.

Forefront UAG erbjuder fler funktioner och du kan läsa mer om produkten här.

En annan utav de viktigaste teknologierna att använda sig utav i sin DirectAccess implementation är NAP och det i kombination med IPsec, dvs. IPsec NAP.
IPsec NAP fungerar i korthet som så att klienten som kör NAP erhåller ett så kallat hälsocertifikat från en certifikatutfärdare om de uppfyller hälsokraven som NAP infrastrukturen tvingar. Uppfylls inte hälsokraven, som NAP konfigurerats med, får klienten inget hälsocertifikat och klienten får på så sätt ingen access till nätverket.
Hälsocertifikatet på klienten är ett krav för att klienten ska få initiera trafik till resurserna i nätverket. I IPsec konfigurationen skapar vi ett eller flera regelverk som reglerar trafiken till resurser i nätverket. Med hjälp av IPsec kan vi skapa logiska zoner med önskade säkerhetskrav utifrån verksamhetens behov. Hur många zoner och hur mycket säkerhet vi väljer att applicera bör vi välja utifrån ett informationssäkerhetsperspektiv. Då IT inte äger informationen betyder det att det inte heller är IT som ska bestämma säkerhetsnivån utan detta är något som verksamheten och informationsägaren ska göra tillsammans med IT.

Om du önskar ytterligare information om IPsec, så har jag tidigare beskrivit det mer utförligt här.

Med IPsec NAP har vi löst delar av våra problem och hotbilder men dock inte alla.
Vi anser att man bör använda sig av Bitlocker  då detta säkerställer att om datorn blir stulen eller någon stjäl disken/diskarna till datorn så är informationen skyddad och obrukbar för förövaren. För vidare information om BitLocker fortsätt din läsning här.

Om verksamheten även har krav på stark autentisering anser vi att man bör koppla på denna fuktion i sin DirectAccess infrastruktur, där vi kan använda oss av Smart Card eller genom OTP (Onetime Password).

Det kan även finnas scenarion där man önskar att kunna göra en såkallad “remote wipe”, dvs. göra informationen på en stulen dator oläsbar. Onevinn AB har utvecklat funktion “remote wipe” för DirectAccess aktiverade klienter.

DirectAccess är ett tekniskt projekt men samtidigt även ett projekt där verksamheten har intresse och delaktighet på flera än ett tekniskt plan.
Med hjälp av teknologin ökar verksamheten sin produktivitet då användarna jämt kan vara uppkopplade och ha åtkomst till företagets information. Informationsägarna bör vara inblandade då säkerhetsnivån sätts på datan, dvs. tala om hur känslig informationen är för att IT ska kunna skapa IPsec-regelverket därefter. IT organisationen drar nytta av teknologin då dem får möjlighet till managering av klienterna ute på internet och verifiering av deras hälsostatus.

Som ni kanske förstår så kan vi inte lösa alla potentiella hotbilder med en produkt som kan förekomma vid en DirectAccess implementation, utan vi måste tillämpa flera lager av skydd då attackerna kan äga rum på flera lager. Modellen att tillämpa fler lager av skydd kallas, som många av er kanske redan vet, “Defense-in-Depth Security Model”. Jag kommer i framtida bloggpost berätta mer om säkerhetsmodellen och vad som ryms inom den.

Ovanstående säkerhetsteknologier är tyvärr inte i en “one size, fits all” modell och passar varje kund när det gäller DirectAccess implementationer. Vad jag menar på är att varje DirectAccess implementation kräver sin riskanalys då hotbilderna är olika från verksamhet till verksamhet. Säkerhet är inte heller bara teknologi och teknik utan även en “kultur” som vi tillsammans odlar. Vi måste skapa medvetenhet hos våra användare och vår verksamhet och detta kan vi göra delvis genom teknik men även genom mjuka verktyg, dvs. policys, metoder och processer.

Onevinn AB har en lång erfarenhet av DirectAccess och har arbetat med produkten sedan Windows Server 2008 R2 var i beta status. Onevinn AB har medverkat på mässor och offentliga event och utfört demo på DirectAccess ihop med egen utvecklade NAP komponenter. Onevinn AB har även blivit ombedda av Microsoft att tala om erfarenheter, strategier och metoder för hur man implementerar DirectAccess i sin verksamhet. Bland våra kunder har vi flera kunder som har valt att implementera DirectAccess och de flesta av dem använder idag samtliga säkerhetsteknologier i sina implementationer. Vill ni veta mer om DirectAccess och se ett demo av samtliga tekonolgier och hur de samverkar är ni välkomna att kontakta oss.