Nekter uvedkommende adgang til følsom informasjon

- I store bygg lar du ikke alle slippe til overalt. AppGate gir nøkler kun til de tjenester og dokumenter brukerne trenger, forklarer Tomas Olovsson.

Olovsson er teknologisjef i det svenske selskapet AppGate, tidligere kjent som Firedoor Network Security og opprinnelig en avlegger av Carlstedt Research & Technology (CR&T) der AppGate-teknologien ble utviklet fra midten av 1990-tallet. Ifølge analyseselskapet Hurwitz Group lider AppGate av et typisk problem for sikkerhetsbransjen: De fleste kundene ønsker ikke omtale. Men Olovsson er i Norge for å jakte på blant annet ASP-markedet (utleie av programvare som tjeneste), og han har noen gode referanser, blant dem Volvo, Ericsson og Göteborgs Universitet.

Et viktig poeng for Olovsson er at det ikke finnes noen differensiert sikkerhet når du først er kommet innenfor brannmuren.

- Sammenlign med et stort hotell eller en stor bedrift; I entreen står en kontrollør og sjekker identiteten til alle. Når man er sluppet inn, får man lov til å vandre fritt omkring, inn og ut av alle kontorer, og gjøre hva man vil med alt man finner der. Det går selvsagt ikke. Gjesten gis adgang til sitt eget rom, og til bestemte fellesrom, og forskjellige former for kontroll sikrer at pålegg overholdes. Det er noe tilsvarende AppGate gjør bak brannmuren. De som slipper inn utstyres med avgrensede rettigheter og det kontrolleres at man ikke går ut over det man har rett til.

På Göteborgs universitet er det rundt 40.000 brukere, hvorav mange tusen oppfinnsomme studenter, og ingen brannmur. Tjenerne lagrer ulike typer følsom informasjon, blant annet om økonomi og regnskap, og om karakterer.

- Her sorterer absolutt all adgangskontroll under AppGate, og ledelsen er trygge på at uvedkommende ikke får adgang til følsom informasjon.

Problemet hos Ericsson var annerledes. Der fantes to nettverk, et lukket og et åpent. Denne inndelingen ble utfordret av et behov som ble stadig mer akutt: Folk som det ikke var hensiktsmessig å gi full tilgang til det lukkede nettet, måtte likevel få tilgang til noen av ressursene der. Det lukkede nettet ble plassert bak en AppGate-tjener. Eksterne brukere må gjennom AppGate-tjeneren, og får tilgang til nøyaktig det de trenger - men ikke mer.

Fra brukerens side fortoner AppGate seg som et vindu der ikonene forteller hvilke tjenester og mapper du har tilgang til. Autentiseringsmetodene kan være brukernavn og passord, eller brukernavn, smartkort og pinkode. Rettighetene nedfelt i AppGate-tjeneren er formet som regler. For hver bruker oppgis hva man har tilgang til, på hvilket tidspunkt og fra hva slags sted. Det kan tenkes at man ikke ønsker at en medarbeider skal kunne sitte hjemme og arbeide med følsomme dokumenter. Kommunikasjon mellom klienten og AppGate-tjeneren er alltid sikret gjennom sterk kryptering.

Det kan være en omfattende oppgave å tilrette et nettverk for beskyttelse gjennom AppGate. Alle beskyttede tjenester må plasseres slik at all fysisk kontakt med omverdenen går gjennom en AppGate-tjener.

- I en overgangsfase, for eksempel mens man holder på å implementere AppGate, må man ty til løsninger der noen klienter må gjennom AppGate, mens andre kopler seg på direkte. Vi kan gi råd om dette. Men full sikkerhet krever at en AppGate-tjener fronter alle klientene.

En AppGate-tjener kjører utelukkende under Solaris, på enten Sparc eller Intel. Den slipper bare gjennom kryptert IP-trafikk til port 22. Skalering skjer ved å legge inn flere tjenere etter hvert som man får flere brukere. I større installasjoner er det hensiktsmessig å kjøre AppGate-tjenere som klynger. Belastningen skapes av den løpende krypteringen og dekrypteringen av trafikken til de øvrige tjenerne.

- Fordelen med denne løsningen, er at alle tjenesteleverende applikasjoner kan kjøres uten endringer. Vi holder tjenester og sikkerhet strengt fra hverandre. Antall brukere som hver AppGate-tjener kan håndtere, er sterkt avhengig av hva slags trafikk de forskjellige tjeneste genererer. I noen tilfeller holder det med en eldre Sparc-maskin på et par tusen brukere. I andre kan en håndfull tunge brukere med DAK-applikasjoner kreve en Sparc-maskin alene. Erfaringen vår er at det er lett å overdimensjonere en AppGate-tjener.

Olovsson har erfaring med å kjøre Citrix-løsninger gjennom AppGate, og det er dette han viser når han lar meg forsøke en AppGate-løsning selv.

- Endringer som må gjøres i det fysiske nettet for å gjennomføre en AppGate-løsning, svarer til den generelle tendensen mot sentralisering. Vi ser allerede at IT-avdelinger i praksis oppfattes mer og mer som tjenesteleverandører til sine kunder, og skillet i konsept mellom en ekstern og intern applikasjonstjenestetilbyder eller ASP behøver ikke være så stort. Programvareutleie er en utmerket anvendelse av AppGate.

VPN eller virtuelt privat nettverk tilbyr i likhet med AppGate krypterte tunneler for samband gjennom ubeskyttede nettverk. Olovsson erkjenner at så lenge du ikke ønsker å differensiere tilgangsrettighetene, kan du nøye deg med et VPN. Men straks det er behov for å innføre nøkler bak en brannmur, må de samme reglene gjelde for brukere med fjerntilgang, og da er AppGate påkrevet, mener han.

I Norge representeres AppGate av Secure Computing som fra 1. april innlemmes i I-Nett.

Les mer om AppGate:


Svensk nettvokter kommer til Norge
Secure Computing og I-Nett Norge fusjonerer

Til toppen