Inshipia Security Gateway

Az Inshipia Security Gateway (ISG) a termelési rendszerekhez vezető privilegizált hozzáférést brókerezi — a parancssort SSH-n, a webes konzolokat a Web Access-en át. Az adminisztrátorok nem közvetlenül érik el a célgépet vagy a konzolt, hanem az átjárón keresztül, amely hitelesíti őket, összeveti a policyvel, amit tesznek, és rögzíti az eredményt.

Amit az átjáró az adminisztrátor és egy termelési rendszer közé tesz, mindkét úton:

• Többfaktoros hitelesítés — e-mailben küldött egyszer használatos kód, vagy RFC 6238 TOTP; magához a belépéshez a szervezet OIDC vagy SAML identity providerén át egyszeri bejelentkezés is elérhető, a címtár továbbra is dönt arról, ki létezik és mit tehet.
• Négy szem elve — a második személyt igénylő hozzáférés addig vár, amíg egy arra jogosult jóváhagyó dönt; a saját kérését senki nem hagyhatja jóvá. Ahol a négy szem túl lassú, ott egy indoklással nyitott önkiszolgáló ablak az alternatíva.
• Zárolás — egy felhasználó vagy egy alkalmazás azonnal megállítható, minden brókeren, és a futó munkamenetei lezárulnak.
• Nincs hitelesítő adat az adminisztrátor kezében — a hozzáférést az átjáró brókerezi, így senkinél sincs állandó kulcs egy célgéphez vagy egy konzol közös jelszava.
• Manipulációt kimutató auditnapló — csak hozzáfűzhető JSONL, eseményenként egy sor, a webes felületen átnézhető és SIEM-mel feldolgozható.

És utanként:

• SSH: parancsszintű policy. Minden parancs kiértékelődik, mielőtt elérné a célgépet; a tiltott parancs az átjárón akad el, nem a szerveren. A hozzáférés egy rövid életű, a munkamenetre aláírt tanúsítvánnyal megy, és minden munkamenet felvételre kerül.
• Web Access: kérésszintű policy. Minden kérést metódus és útvonal szerint ítél meg, mielőtt elérné a konzolt, egy érzékeny kérés friss második faktort kérhet, és minden kérés egy sor a munkamenet transcriptjében. A konzol egy aláírt assertionből tudja meg a felhasználó identitását, vagy az ISG lép be egy közös fiókkal, amit a böngésző sosem lát.
• RDP: munkamenet-szintű policy. RDP-n a verdikt a munkamenet szintjén áll: ki, hova, mikor, milyen jóváhagyással. Minden munkamenet felvételre kerül, élőben nézhető és megszakítható; a vágólap (irányonként), a nyomtató és a hang ki van kapcsolva, amíg a policy alkalmazásonként és szerepenként meg nem nyitja, minden átvitel auditálva, a tartalma nélkül; a meghajtó és a mikrofon nem érhető el. Parancsszintű, végrehajtás előtti verdikt RDP-n nem létezik a piacon, az ISG sem ígéri. Lásd: távoli asztal (RDP).

Mit találsz itt

A Platform szekcióval érdemes kezdeni — ezen osztozik a két út:

• Első lépések — egy üres géptől egy futó átjáróig, az első identitással: előfeltételek, telepítés, első indítás, első identitás, és mindegyik ellenőrzése.
• Flotta-telepítés — a flotta telepítésének és üzemeltetésének menetrendje a szállított Ansible-automatizálással: melyik playbook mikor és melyik gépeken fut, mi kell minden futás parancssorára, mit csinál a site.yml sorrendben, a lebontás, és az üzemeltetési runbookok.
• Architektúra — mik a részek, és hogyan illeszkednek: a komponensek, a portok és a helyi socketek, a tanúsítványok élettartama, hol él az állapot, és mi nélkül nem hajlandó elindulni az átjáró.
• Identitások, csoportok és zárolás — kinek gondol az átjáró: honnan jönnek az identitások és a csoportok, melyik csoport melyik ajtót nyitja, mit mutat a webUI kinek, és hogyan zárolható egy felhasználó vagy egy alkalmazás.
• Operátori interfész-referencia — minden port, socket és fájl, amit az átjáró megnyit vagy tárcsáz, alrendszerenként egy szakaszban: hol állítható be az érték, mit foglal, és melyik parancs méri.
• Hasznos parancsok — a leggyakrabban futtatott ellenőrzések, bemásolható egysorosokként, a telepítés saját neveit helyőrzőként hagyva.
• A csomagolt komponensek frissítése — a harmadik féltől származó komponensek, amelyekkel az átjáró érkezik: hogyan van mindegyik egy image-digestre rögzítve, a csak olvasó riport, ami megmondja, mi fut valójában, és mennyibe kerül mindegyiknél egy újraindítás.

Az SSH-hozzáférés szekció a parancssori út:

• Első SSH-munkamenet — egy előkészített célgép, az első kapcsolódás, és a munkamenet a rekordban.
• SSH-policy és jóváhagyás — egy parancs-szabály alakja és amire illeszkedik, amit a policy nem tud elolvasni, mi van az átjáró által aláírt tanúsítványokban, és a kapuk, amiken egy connect átmegy.
• Célgép-előkészítés — mi kell egy termelési szervernek, mielőtt brókerezhető: a két sshd-direktíva, a fiókok, az egy port, és a parancs, ami eldönti, kész-e a gép.

A Web Access szekció a webes konzolok útja:

• Hogyan működik a Web Access — egy kérés útja: a listener, a belépés átadása, mit csinál a bróker minden kéréssel, és hogyan ér véget egy munkamenet.
• Alkalmazások beállítása — az apps.yaml és az Ansible-kapcsolója, a listener és a tanúsítványa, a három mód, ahogy egy alkalmazás megtudja, ki a felhasználó, az űrlapos belépés receptjei, és a webUI-n felvett alkalmazások.
• Web Access-policy — ki ér el egy alkalmazást, jóváhagyás és önkiszolgáló ablakok, kérés-szabályok, friss második faktor, engedélylista-mód, és mi kerül a felvételbe.
• Izolált böngésző — egy alkalmazás, ami egy RBI-hoszt távoli böngészőjében fut: amit a felhasználó lát, a vízjel, a második faktor a nézetben, a képernyőfelvétel és a lejátszása, az élő nézet.
• Távoli asztal (RDP) — egy Windows-szerver asztala ugyanazon az izolált úton: az rdp:// upstream, a tárolt fiók, a kitűzött tanúsítvány, a csatornák, a felvétel és a csak olvasható élő nézet.
• Egy webes konzol előkészítése — mi kell egy konzolnak, mielőtt az ISG brókerezheti: a hálózat, az identitás-mód, a közös fiók OpenBao-ban, egy űrlap-recept megírása, és a valódi konzolokon látott viselkedések.

A Referencia szekció a termék teljes felülete:

• Parancs-referencia — minden isg parancs, a súgószövege és a kapcsolói.
• Konfigurációs referencia — minden konfigurációs fájl és benne minden kulcs.
• Audit-eseménykatalógus — minden eseménynév, amit az átjáró ír.
• Auditnapló-séma — a szerződés, amire egy SIEM feldolgoz: a fájl helye és jogosultságai, egy bejegyzés JSON-alakja, a verziózási szabály, és a rotáció viselkedése, amit egy beolvasó ágensnek tűrnie kell.

A Támogatás szekció arra a pillanatra való, amikor valami már elromlott:

• Hibaelhárítás — az üzenetek, amiket az átjáró a platformra és az SSH-ra kiír, szó szerint idézve és aszerint csoportosítva, mikor látod őket, mindegyik az okával és a teendővel.
• A Web Access hibaelhárítása — az oldalak, amiket a böngésző az ISG-től kap, és a Web Access isg system check-sorai, ugyanígy.

Mennyire naprakész

A Reference alatt az auditnapló-sémán kívül minden oldal a forrásfából generálódik — a parancsfából, a konfigkulcs-nyilvántartásból, az audit-eseménylistából és a string-katalógusokból —, és a folyamatos integráció pirosra viszi a buildet, ha egy generált oldal és a kód, amit leír, nem egyeznek. Amit ezek az oldalak állítanak, az tehát arra a buildre nézve igaz, amelyikből generálódtak, nem valamelyik korábbira.