Ivanti Connect Secure (ICS): Seguridad y escalabilidad de última generación

Ivanti Connect Secure (ICS)

NIST / FIPS 140-3: Certificado con Oracle Linux 9 utilizando el proveedor/módulo FIPS de OpenSSL.org en ICS 25.x (25.1.0.0 o posterior) Certificado n.o 4779

Ivanti Secure Access Client (ISAC) para Windows

NIST / FIPS 140-3: Certificado con Oracle Linux 9 utilizando el proveedor/módulo FIPS de OpenSSL.org en ICS 25.x (25.1.0.0 o posterior) Certificado n.o 4779

Ivanti Secure Access Client (ISAC) para MacOS

NIST / FIPS: 22.8R5 o posterior basado en el certificado n.o 4985 de openSSL.org

ISAC móvil: iOS, Android

NIST / FIPS: 22.8R5 o posterior basado en el certificado n.o 4985 de openSSL.org

Sistema operativo Oracle Linux 9

Documento técnico:
El papel de los sistemas operativos en la estrategia de TI y seguridad

• Mayor soporte con memoria: el SO de 64 bits puede abordar más memoria (RAM), lo que permite a Connect Secure manejar conjuntos de datos más grandes y usuarios más simultáneos
• Mayor seguridad: el espacio de usuario de 64 bits mejora la protección contra ataques basados en memoria
• Rendimiento mejorado: Las aplicaciones pueden aprovechar la potencia de procesamiento de 64 bits, lo que da como resultado un procesamiento de datos más rápido, un mayor rendimiento y un mejor rendimiento general
• Escalabilidad mejorada: Admite tamaños de base de datos más grandes, más conexiones y aplicaciones de uso intensivo de recursos, lo que lo hace adecuado para cargas de trabajo a escala empresarial

• Preparación para el futuro y compatibilidad: Las funciones y actualizaciones de software de Oracle más recientes están optimizadas para plataformas de 64 bits, lo que garantiza compatibilidad y soporte continuos para una amplia variedad de bibliotecas de software de terceros

SELinux

• Proporciona un control de acceso preciso y obligatorio que limita drásticamente los posibles daños de aplicaciones o procesos comprometidos, incluso si dichos procesos se ejecutan como raíz.
• Habilitado en el modo de aplicación de forma predeterminada en ICS.

NGINX con configuración de Web Application Firewall (WAF) integrada para puertas de enlace ICS

• Inspecciona y detiene los ataques de capa 7 (aplicación) sobre el tráfico HTTP que termina en las puertas de enlace de Connect Secure
• Evita ataques como inyección SQL, secuencias de comandos entre sitios (XSS) y otros exploits web

• Minimiza la superficie de ataque

Gestión de claves

• Claves únicas y aleatorizadas para cada puerta de enlace
• Utiliza la implementación de TPM/vTPM (módulo de plataforma de confianza) para una gestión de claves sólida

• Mejora la seguridad minimizando el riesgo de infracción
• Reduce el impacto del compromiso clave
• Evita la fuga/comprometimiento de datos confidenciales
• Eleva la postura de seguridad

Arranque seguro / Restablecimiento de fábrica

• Proporciona comprobaciones de integridad mejoradas en el momento del arranque para frustrar la persistencia de malware de bajo nivel
• Garantiza que la integridad de los sistemas de archivos críticos permanezca intacta durante el restablecimiento de fábrica de los dispositivos de hardware ISA y VM que ejecutan imágenes de software ICS
• Incorpora el módulo de plataforma de confianza (TPM)

• Protege la integridad del proceso de arranque verificando una cadena de confianza establecida
• Amplía las validaciones de la cadena de confianza a sistemas de archivos adicionales, protegiendo aún más su integridad
• Evita la carga de código malicioso de bajo nivel desde las particiones de arranque
• Evita la persistencia del atacante en sistemas de archivos de bajo nivel
  Mejora la seguridad reduciendo el riesgo de compromiso

Arranque seguro/restablecimiento de fábrica: dispositivos virtuales

• Garantiza que solo se ejecute código de confianza y verificado al inicio con implementación de arranque seguro para dispositivos virtuales.
• Valida la integridad del firmware y del SO durante el arranque.
• Utiliza vTPM (módulo de plataforma de confianza virtual)

• Los dispositivos virtuales incluyen todas las funciones de arranque seguro y restablecimiento de fábrica del dispositivo de hardware, más...
• Protege los sistemas de manipulaciones, cambios no autorizados o inyección de malware
• Garantiza una ejecución fiable en todos los dispositivos virtuales

Evitar privilegios raíz (NRP)

• Los procesos del sistema reciben derechos de administrador completos de forma predeterminada y se ejecutan con los privilegios mínimos necesarios, por ejemplo, como cuentas de servicio sin privilegios o dedicadas

• Limita el acceso solo a los archivos y recursos del sistema necesarios
  Limita la superficie de ataque
  Reduce los riesgos y limita los posibles daños

Depurar registros del servidor web

• Proporcionar códigos de gravedad de depuración para eventos relacionados con la web

Autenticación multifactor (MFA)

• Requiere que los usuarios proporcionen dos o más métodos independientes de verificación para acceder a una cuenta o sistema
  Mejora la seguridad al dificultar mucho el acceso de usuarios no autorizados, incluso si han obtenido una contraseña

Ejecutar herramienta de comprobación de integridad externa (ICT)

• Escanea desde nSA a una o varias puertas de enlace con un solo clic.
• Utilidad de seguridad diseñada para verificar la integridad de los archivos clave y los componentes del sistema
• Detecta cambios no autorizados, corrupción o manipulación

• Ayuda a identificar posibles compromisos o anomalías comparando archivos con líneas de base conocidas
• Permite una respuesta más rápida a las amenazas y mantiene la fiabilidad del sistema
• Proporciona una alerta si hay una anomalía en la ICT ejecutada en una puerta de enlace
• Permite a los administradores seleccionar un paquete de ICT específico de la versión, ejecutarlo en una o varias puertas de enlace de ICS y ver los resultados en la misma página donde se ejecuta la ICT

Administración avanzada de licencias de función HTML5

• La gestión de licencias de función HTML aporta beneficios de costes, legales, de seguridad y operativos
• Permite a las organizaciones controlar y auditar las tecnologías web disponibles para usuarios o desarrolladores.

Mejoras de alertas y notificaciones

• Alertas basadas en correo electrónico proporcionan el estado de la puerta de enlace del ICS

plataforma soporte de plataforma móvil y de escritorio

• Escritorio: Windows (Intel x86 y ARM), macOS (Intel y ARM) M1/M2/M3/M4, Linux
  Móvil: aplicación iOS, Android, Android en ChromeOS

Túnel dividido de nombre de dominio completo (FQDN)

• Permite a los usuarios acceder de forma segura a recursos específicos a través de VPN (basado en nombres de dominio, no solo direcciones IP)
• Permite que otro tráfico de Internet se enrute directamente (fuera de la VPN)

• Mejora la eficiencia de la red y la utilización de recursos
• Reduce la utilización del ancho de banda de VPN
• Mejora la experiencia del usuario al enrutar solo el tráfico necesario a través del túnel seguro

Autenticación rápida de identidad en línea (FIDO2) y sin contraseña

• Proporciona una autenticación más segura y agradable sin contraseñas
• Utiliza claves de acceso, biometría, PIN

Ejecutar herramienta de comprobación de integridad externa (ICT)

• Escanea desde nSA a una o varias puertas de enlace con un solo clic
• Utilidad de seguridad diseñada para verificar la
  integridad de los archivos clave y componentes del sistema
• Detecta cambios no autorizados, corrupción,
  o manipulación

• Ayuda a identificar posibles compromisos o anomalías comparando archivos con líneas de base conocidas
• Permite una respuesta más rápida a las amenazas y mantiene la fiabilidad del sistema
• Proporciona una alerta si hay una anomalía en la ICT ejecutada en una puerta de enlace
• Permite a los administradores seleccionar un paquete de ICT específico de la versión, ejecutarlo en una o varias puertas de enlace de ICS,
  y ver los resultados en la misma página donde se ejecuta la ICT

Gestión avanzada de licencias de función HTML5

• La gestión de licencias de función HTML aporta beneficios de costes, legales, de seguridad y operativos
• Permite a las organizaciones controlar y auditar las tecnologías web disponibles para usuarios o desarrolladores.

Mejoras de alertas y notificaciones

• Alertas basadas en correo electrónico proporcionan el estado de la puerta de enlace del ICS

VPN de capa 3

• Conectividad VPN completa de capa 3 de doble transporte (SSL + carga útil de seguridad encapsulado) con control de acceso granular.
• "VPN siempre activo con modo de bloqueo" y "Acceso solo VPN" para Cumplimiento (la conexión VPN se conecta/desconecta automáticamente según la ubicación del usuario).

• VPN basada en equipo con capacidad para pasar a la autenticación basada en el usuario después de iniciar sesión.

• "VPN bajo demanda" y "VPN por aplicación" para una experiencia del usuario final segura y sin problemas.

VPN de capa 4

• Aplicación de Proxy cliente/servidor que tuneliza el tráfico desde aplicaciones específicas a destinos específicos.
• La versión de Windows de Secure Application Manager (PSAM) permite el tráfico seguro a aplicaciones de cliente/servidor individuales y servidores de aplicaciones.

• La versión Java de Secure Application Manager (JSAM) proporciona soporte para aplicaciones de cliente/servidor de puerto TCP estático.

Acceso condicional

• Valida y verifica dispositivos y usuarios mediante un conjunto de políticas automatizadas para proteger redes y datos. Cada intento de acceso se evalúa dinámicamente y se controla en tiempo real en función de las políticas vigentes.

Portal de usuario avanzado
(Capa 7/VPN sin cliente)

• Protege el acceso sin cliente desde cualquier navegador HTML5-capable a aplicaciones y enlaces publicados y/o agregados por el usuario. Generado dinámicamente según el rol del usuario.
• Acceso RDP/VNC/SSH con HTML5 avanzado.
• Reescritor web y Proxy web incorporados.

• soporte multiportal (p. ej., portal SSO para empleados, portal 2FA para contratistas).

• soporte con Windows Terminal Services, VDI (Citrix, VMware) y Exploración de archivos.

Experiencia optimizada del usuario final

• Itinerancia sin problemas desde el acceso remoto al acceso LAN local (seguridad de la política devanti).
  Inicio de sesión único (SSO) para un acceso rápido y seguro desde ubicaciones remotas o in situ (a través de la integración con Ivanti Connect Secure e Ivanti política Secure).

Integridad y evaluación del punto de conexión con estado

• Evalúa y corrige los dispositivos del usuario final antes de la autenticación con definiciones de política sencillas.
  Windows, MacOS, Apple iOS y Android.

Opciones de lanzamiento flexibles
(cliente independiente, inicio basado en navegador)

• Los usuarios pueden iniciar fácilmente SSL VPN a través de su navegador web o directamente desde sus dispositivos.
• La función de conexión automática permite a los dispositivos conectarse de forma automática a VPN, ya sea cuando se inicia el equipo o cuando el usuario inicia los registros.

• La función VPN bajo demanda aprovecha las funciones del SO para activar automáticamente VPN sin problemas en segundo plano cuando una aplicación aprobada necesita acceso corporativo.

Compatible con la solución segura en la nube

• Combine el acceso a la nube y al centro de datos en una experiencia de usuario perfecta para los empleados de la próxima generación.
• Agregar reglas de cumplimiento para el acceso de CC híbrido.

Opciones de configuración previa
(Solo Windows y Mac)

• Los administradores pueden preconfigurar una implementación con una lista de puertas de enlace para que elijan los usuarios finales.

Opciones de autenticación

• Autenticación adaptativa mediante autenticación dinámica multifactor mediante varios atributos de usuario.
• Los administradores pueden implementar Ivanti para la autenticación de usuarios remotos mediante una amplia gama de mecanismos de autenticación, incluida soporte con autenticación biométrica con Windows Hello for Business, token de hardware, tarjeta inteligente, token de software, Google Authenticator, contraseñas de un solo uso y autenticación de certificados.
• Los administradores pueden enviar tráfico AAA a través de una interfaz deseada (interna/externa/gestión) para delegar la autenticación de usuarios a un proveedor de identidad.

• La soporte con OAuth/OpenID Connect permite la integración con cualquier proveedor estándar de OpenID como Google, OKTA, Azure AD, etc., mientras se conecta a Connect Secure (actuando como parte dependiente).
• La asignación de roles basada en grupos de OAuth permite asignar políticas de acceso y roles de usuario en función de la pertenencia al grupo de proveedores de identidad.

soporte con VDI

• Ivanti es compatible con las últimas versiones de VMware Horizon y Citrix XenApp / XenDesktop.

Configuración del cifrado SSL granular

• Permite al administrador seleccionar cifrados específicos sobre los preconfigurados para un cumplimiento altamente seguro.

API DE REPOSO

• Las API REST integrales soporte Automatización, Diagnóstico, Administración de configuración y Flujos de trabajo operativos.
• La colección Postman de API de ICS Rest está disponible a través del portal de descargas.

Arranque seguro con Trusted
Módulo de plataforma (TPM)

• Comprobaciones de integridad mejoradas en el momento del arranque para frustrar la persistencia de malware de bajo nivel
• Utiliza una clave de cifrado única y aleatoria a nivel de instancia
  Los dispositivos de hardware tienen chip TPM integrado

• Los dispositivos virtuales utilizan TPM virtual desde la plataforma de nube/hipervisor subyacente

ACME (Entorno de gestión de certificados automatizado)

• Admite los requisitos de línea de base TLS reducidos, que han acortado la vida útil de los certificados TLS y la reutilización de la información validada por CA en los certificados

• Automatiza las solicitudes de certificados, la validación de dominios, la emisión de certificados y la implementación de certificados en la interfaz designada.

Asignación dinámica de roles con expresiones personalizadas

• Combina atributos de red, dispositivo y sesión para determinar qué tipos de acceso se permiten
• Se puede utilizar una combinación dinámica de atributos por sesión para tomar la decisión de asignación de roles.
• A través de la integración de MDM, recupera los atributos del dispositivo y aplica las decisiones de política adecuadamente antes de otorgar acceso.

• Permite al administrador aprovisionar por propósito para cada sesión única.

soporte con RSA Authentication Manager

• Autenticación basada en el riesgo de RSA Authentication Manager.

• Proporciona otra opción de capa de autenticación.

Basado en estándares y basado en tiempo
Contraseña de un solo uso (TOTP)

• Habilita la autenticación multifactor mediante smartphones.

• Aprovecha los teléfonos inteligentes para implementar un mecanismo de autenticación de dos factores rentable y de autoservicio, donde una aplicación móvil genera códigos de acceso de un solo uso.

Varias sesiones por usuario

• Permite a los usuarios remotos iniciar varias sesiones de acceso remoto.

• Permite a los usuarios remotos tener múltiples sesiones autenticadas abiertas al mismo tiempo, como cuando acceden a VPN desde un portátil y un smartphone simultáneamente.

Sincronización de registros de usuario

• Admite la sincronización de registros de usuarios, como marcadores de usuarios, en diferentes dispositivos Ivanti.

• Garantiza una experiencia coherente para los usuarios que a menudo viajan de una región a otra y, por lo tanto, necesitan conectarse a diferentes dispositivos Ivanti que ejecutan Ivanti Connect Secure.

Páginas de inicio de sesión de SSL VPN compatibles con dispositivos móviles

• Proporciona páginas HTML predefinidas que se personalizan para dispositivos móviles, incluidos Apple iPhone, iPad y Google Android.

• Proporciona a los usuarios de dispositivo móviles una experiencia de usuario simplificada y mejorada y páginas web personalizadas para sus tipos de dispositivo.

Integración con autenticación sólida y gestión de identidad y acceso
Plataformas (IAM)

• Capacidad para admitir SecurID, Security Assertion Markup Language (SAML), incluyendo soporte SAML v2.0 basado en estándares e infraestructura de clave pública (PKI)/certificados digitales.
• soporte OAuth/OpenID Connect.

• Aprovecha los métodos de autenticación corporativa existentes para simplificar la administración.

Neurons para un acceso seguro

• Gestión centralizada opcional, análisis y plataforma de informes para implementaciones de Ivanti Connect Secure.
• Gestión completa de la configuración, actualizaciones con un solo clic, registro centralizado, creación de informes personalizados y solución de problemas.
• Configuraciones de "elevación y cambio" a través de plantillas de configuración y gestión de configuración de múltiples nodos.

• La configuración centralizada y la gestión del estilo de vida de la puerta de enlace ahorran tiempo y dinero.
• Los análisis de comportamiento mejorados identifican y actúan automáticamente sobre comportamientos de usuario riesgosos antes de que se conviertan en un problema.
• Simplifica la administración de despliegues globales o de múltiples nodos.

Integración de la administración de dispositivo móviles (MDM)

• Habilita los informes y paneles consolidados para una administración simplificada.
• Aprovecha los atributos de MDM para crear una política más inteligente y centralizada.
• Facilita la implementación transparente "sin contacto" basada en MDM de clientes de Ivanti en dispositivos iOS y Android.

• Amplía la inversión de MDM para obtener una visibilidad completa del punto de conexión y soporte casos de uso móviles adicionales.

soporte de la Autoridad de certificación de puentes (BCA)

• Bridge CA es una extensión PKI que certifica los anclajes (CAD raíz).
• Admite implementaciones PKI federadas con autenticación de certificados de cliente.
• Permite a los clientes configurar extensiones de política en la interfaz de usuario del administrador, que se aplicarán durante la validación del certificado.

• Permite a los clientes que utilizan implementaciones PKI avanzadas implementar Ivanti Appliances realizar una validación de certificados estricta que cumpla con los estándares antes de permitir que los datos y aplicaciones se compartan entre organizaciones y usuarios.

soporte varios nombres de host

• Capacidad de alojar diferentes sitios web de extranet virtuales desde un solo dispositivo.

• Facilita los gastos generales de administración.

Interfaz de usuario personalizable

• Creación de páginas de inicio de sesión completamente personalizadas.

• Proporciona un aspecto individualizado para roles específicos, lo que agiliza la experiencia del usuario.

Inicio de sesión único SAML para acceso a aplicaciones web y en la nube

• SSO basado en SAML 2.0 para una variedad de aplicaciones web, incluidas muchas de las aplicaciones de software como servicio (SaaS) más populares de la actualidad.
• Incluye la funcionalidad SSO, incluso cuando se conecta a través de un túnel VPN de Ivanti Connect Secure Layer 3.
• Ivanti Connect Secure admite implementaciones como proveedor de identidad SAML (IdP) y como proveedor de servicios SAML (SP).

• Inicio de sesión único en las aplicaciones web y basadas en la nube de un usuario, lo que simplifica la experiencia de conectividad del usuario.

Delegación restringida de Kerberos

• soporte con el protocolo de delegación restringida de Kerberos (KCD).
• Aplica el tráfico de KCD for Exchange Active Sync, lo que requiere certificados de cliente, certificados de CA de confianza y políticas de delegación adecuadas para la autenticación.

• Elimina la necesidad de que las empresas administren contraseñas estáticas, lo que reduce el tiempo y los costos de administración.

Gestor de LAN de Kerberos SSO y NT
(NTLMv2) soporte

• Ivanti Connect Secure autenticará automáticamente a los usuarios remotos a través de Kerberos o NTLMv2 mediante credenciales de usuario.

• Simplifica la experiencia del usuario eliminando la necesidad de introducir credenciales varias veces para acceder a diferentes aplicaciones.

Integración de la administración de contraseñas

• Interfaz basada en estándares para una amplia integración con políticas de contraseñas en almacenes de directorios (LDAP, AD y otros).

• Aprovecha los servidores existentes para autenticar a los usuarios.
• Los usuarios pueden administrar contraseñas directamente a través de la interfaz de Ivanti Connect Secure.

Autenticación básica de SSO basada en web y NTLM

• Permite a los usuarios acceder a otras aplicaciones o recursos protegidos por otro sistema de gestión de acceso sin volver a introducir las credenciales de inicio de sesión.

• Alivia la necesidad de que los usuarios introduzcan y mantengan múltiples conjuntos de credenciales para aplicaciones basadas en web y Microsoft.

Basado en formularios de SSO web, basado en variables de encabezado, basado en SAML

• Capacidad de pasar el nombre de usuario, las credenciales y otros atributos definidos por el cliente a los formularios de autenticación de otros productos y como variables de encabezado.

• Mejora la productividad del usuario y proporciona una experiencia personalizada.

OAuth/OpenID Connect

• El soporte de OAuth/OpenID Connect permite la integración con cualquier proveedor de OpenID estándar como Google, Okta, Azure AD, etc., mientras se conecta a Connect Secure (actuando como parte de retransmisión).

• Intégrelo en implementaciones de OAuth existentes para facilitar la federación de id de usuario.

Ivanti Secure Access Client

• Cliente de acceso remoto unificado e integrado que también puede proporcionar control de acceso LAN y funciones VPN dinámicas a usuarios remotos.

• Ivanti Secure Access Client reemplaza la necesidad de implementar y mantener varios clientes separados para diferentes funcionalidades como VPN y control de acceso LAN.
• Los usuarios finales simplemente "hacen clic y conectan" la conexión que necesitan.

Acceso web central sin cliente

• Acceso seguro a diferentes tipos de aplicaciones basadas en web, incluidas las aplicaciones más comunes de hoy como Outlook Web Access, SharePoint y muchas otras.
• El acceso al protocolo de escritorio remoto (RDP) en Ivanti Connect Secure se puede entregar a través de HTML5, a través de RDP de terceros.

• Proporciona la forma más accesible de acceso a aplicaciones y recursos desde una variedad de dispositivos de usuario final con opciones de control de seguridad extremadamente granulares.
• Enfoque totalmente sin cliente utilizando solo un navegador web.

soporte con IKEv2 para dispositivos móviles

• Permite a los usuarios remotos conectarse desde cualquier dispositivo móvil que admita la conectividad VPN de Intercambio de claves de Internet (IKEv2).
• El administrador puede habilitar la autenticación estricta de certificados o nombre de usuario/contraseña para acceder a través de IKEv2.

• soporte completa con VPN L3 para dispositivos nuevos que soporte IKEv2 pero para los que un cliente aún no está disponible.

soporte infraestructura de escritorio virtual (VDI)

• Permite la interoperabilidad con VMware View Manager y Citrix Xen Desktop.

• Proporciona a los usuarios remotos acceso sin problemas a sus escritorios virtuales alojados en servidores VMware y Citrix.

Aprovisionamiento sin intervención

• Implemente ICS con OpenStack KVM, VMWare, Hyper V y la nube (GCP, Azure, AWS).
• Obtenga la configuración inicial del servidor DHCP local sin introducir datos manualmente.
  Configurar y administrar a través de la API REST.

• Mejora la productividad de los administradores y proporciona una experiencia personalizada.

Proxy de ActiveSync

• Proporciona conectividad de acceso seguro (cifrado sólido + certificado
  autenticación) desde dispositivos móviles (como iOS o Android) al Servidor de Exchange a través de un Proxy, sin instalación de software cliente. Habilita hasta 5000 sesiones simultáneas.

• Permite a los clientes permitir que muchos usuarios (incluidos empleados, contratistas y socios) accedan a recursos corporativos a través de teléfonos móviles a través de ActiveSync.

Gestor de aplicaciones seguras (SAM)

• Una descarga de aplicaciones ligera que permite el acceso a aplicaciones cliente/servidor.

• Permite el acceso a aplicaciones cliente/servidor utilizando solo un navegador web.
• También proporciona acceso nativo a las aplicaciones del servidor del terminal sin necesidad de un cliente preinstalado.