Ivanti Connect Secure (ICS): Sicurezza e scalabilità di prossima generazione

Ivanti Connect Secure (ICS)

NIST / FIPS 140-3: Certificato con Oracle Linux 9 utilizzando il provider/modulo FIPS di OpenSSL.org in ICS 25.x (25.1.0.0 o versioni successive) Cert n. 4779

Ivanti Secure Access Client (ISAC) per Windows

NIST / FIPS 140-3: Certificato con Oracle Linux 9 utilizzando il provider/modulo FIPS di OpenSSL.org in ICS 25.x (25.1.0.0 o versioni successive) Cert n. 4779

Ivanti Secure Access Client (ISAC) per MacOS

NIST / FIPS: 22.8R5 o versioni successive in base al certificato openSSL.org n. 4985

ISAC Mobile - iOS, Android

NIST / FIPS: 22.8R5 o versioni successive in base al certificato openSSL.org n. 4985

Sistema operativo Oracle Linux 9

Whitepaper:
Il ruolo dei sistemi operativi nella strategia IT e di sicurezza

• Maggiore supporto della memoria: il sistema operativo a 64 bit può indirizzare più memoria (RAM), consentendo a Connect Secure di gestire set di dati più grandi e più utenti simultanei
• Maggiore sicurezza: lo spazio utente a 64 bit migliora la protezione dagli attacchi basati su memoria
• Prestazioni migliorate: Le app possono sfruttare la potenza di elaborazione a 64 bit, consentendo un'elaborazione dei dati più rapida dati, un throughput più elevato e prestazioni complessive migliori
• Scalabilità migliorata: Supporta database di dimensioni maggiori, più collegamenti e applicazioni ad alta intensità di risorse, rendendo l'IT adatto per workload su scala enterprise

• A prova di futuro e compatibilità: Le funzionalità e gli aggiornamenti software Oracle più recenti sono ottimizzati per piattaforme a 64 bit, garantendo compatibilità e supporto continui per un'ampia varietà di librerie software di terze parti

SELinux

• Fornisce un controllo degli accessi obbligatorio e granulare che limita drasticamente i potenziali danni causati da applicazioni o processi compromessi, anche se tali processi vengono eseguiti come root.
• Abilitato in modalità di esecuzione per impostazione predefinita in ICS.

NGINX con configurazione Web Application Firewall (WAF) integrata per gateway ICS

• Ispeziona e arresta gli attacchi di livello 7 (applicazione) sul traffico HTTP che termina sui gateway Connect Secure
• Previene attacchi come SQL injection, cross-site scripting (XSS) e altri exploit Web

• Riduce al minimo la superficie di attacco

Gestione delle chiavi

• Chiavi uniche e randomizzate per ogni gateway
• Utilizza l'implementazione di TPM/vTPM (Trusted piattaforma Module) per una solida gestione delle chiavi

• Migliora la protezione riducendo al minimo i rischi di violazione
• Riduce l'impatto dei compromessi chiave
• Previene perdite/dati compromissioni di dati riservati
• Migliora la postura di sicurezza

Avvio sicuro / Ripristino di fabbrica

• Fornisce controlli di integrità avanzati al momento dell'avvio per contrastare la persistenza di malware di basso livello
• Assicura che l'integrità dei file system critici rimanga intatta durante il ripristino di fabbrica per i dispositivi hardware ISA e le VM che eseguono immagini software ICS
• Incorpora Trusted piattaforma Module (TPM)

• Protegge l'integrità del processo di avvio verificando una catena di fiducia consolidata
• Estende le convalide della catena di fiducia a file system aggiuntivi, salvaguardando ulteriormente la loro integrità
• Impedisce il caricamento di codice dannoso di basso livello dalle partizioni di avvio
• Impedisce la persistenza degli aggressori nei file system di basso livello
  Migliora la sicurezza riducendo il rischio di compromissione

Avvio sicuro / Ripristino di fabbrica - Appliance virtuali

• Assicura che solo il codice attendibile e verificato venga eseguito all'avvio con l'implementazione di avvio sicuro per appliance virtuali.
• Convalida l'integrità del firmware e del sistema operativo durante l'avvio.
• Utilizza vTPM (virtual Trusted piattaforma Module)

• Le appliance virtuali includono tutte le funzioni di avvio e ripristino delle impostazioni di fabbrica sicure dell'apparecchio hardware, oltre a...
• Protegge i sistemi da manomissioni, modifiche non autorizzate o iniezioni di malware
• Assicura un'esecuzione affidabile tra le appliance virtuali

Prevenzione privilegi root (NRP)

• Ai processi di sistema vengono negati i diritti di amministratore completi per impostazione predefinita e vengono eseguiti con i privilegi minimi richiesti, ad esempio, come account di servizio non privilegiati o dedicati

• Limita l'accesso solo ai file e alle risorse di sistema richiesti
  Limita la superficie di attacco
  Riduce i rischi e limita i potenziali danni

Debug registri server Web registri

• Fornire codici di gravità debug per eventi correlati al Web

Autenticazione a più fattori (MFA)

• Richiede agli utenti di fornire due o più metodi indipendenti di verifica per accedere a un account o sistema
  Migliora la protezione rendendo molto più difficile l'accesso da parte dell'IT per gli utenti non autorizzati, anche se hanno ottenuto una password

Eseguire lo strumento di verifica integrità esterna (ICT)

• Scansiona da nSA a gateway singoli o multipli con un solo clic.
• Utilità di sicurezza progettata per verificare l'integrità dei file chiave e dei componenti di sistema
• Rileva modifiche, corruzione o manomissioni non autorizzate

• Aiuta a identificare potenziali compromessi o anomalie confrontando i file con le linee di base valide note
• Consente una risposta più rapida alle minacce e mantiene l'affidabilità del sistema
• Fornisce un avviso in caso di anomalia nell'ICT eseguito su un gateway
• Consente agli amministratori di selezionare un pacchetto ICT specifico per la versione pacchetto, di eseguire uno o più gateway ICS e di visualizzare i risultati sulla stessa pagina in cui viene eseguita l'ICT

HTML5 funzione Gestione licenze funzione HTML5 avanzata

• La gestione delle licenze della funzione HTML comporta vantaggi economici, legali, di protezione e operativi
• Consente alle organizzazioni di controllare e controllare le tecnologie Web disponibili per utenti o sviluppatori.

Avvisi e miglioramenti delle notifiche

• Gli allarmi basati su e-mail forniscono lo stato del gateway ICS stato

piattaforma Supporto per piattaforma desktop e mobile

• Desktop - Windows (Intel x86 e ARM), macOS (Intel e ARM) M1/M2/M3/M4, Linux
  Mobile - App iOS, Android, Android app su ChromeOS

Tunneling split del nome di dominio completo (FQDN)

• Consente agli utenti di accedere in modo sicuro a risorse specifiche tramite VPN (in base ai nomi di dominio, non solo agli indirizzi IP)
• Consente ad altro traffico Internet di instradare direttamente (al di fuori della VPN)

• Migliora l'efficienza della rete e l'utilizzo delle risorse
• Riduce l’utilizzo della larghezza di banda VPN utilizzo
• Migliora l'esperienza utente instradando solo il traffico necessario attraverso il tunnel sicuro

Fast Identity Online (FIDO2) e autenticazione senza password

• Fornisce un'autenticazione più sicura e amichevole senza password
• Utilizza chiavi di accesso, dati biometrici, PIN

Eseguire lo strumento di verifica integrità esterna (ICT)

• Scansioni da nSA a gateway singoli o multipli con un solo clic
• Utilità di sicurezza progettata per verificare il
  integrità dei file chiave e dei componenti di sistema
• Rileva modifiche non autorizzate, corruzione,
  o manomissione

• Aiuta a identificare potenziali compromessi o anomalie confrontando i file con le linee di base valide note
• Consente una risposta più rapida alle minacce e mantiene l'affidabilità del sistema
• Fornisce un avviso in caso di anomalia nell'ICT eseguito su un gateway
• Consente agli amministratori di selezionare un pacchetto ICT specifico per la versione pacchetto, di eseguirlo su uno o più gateway ICS,
  e visualizzare i risultati sulla stessa pagina in cui viene eseguita l'ICT

HTML5 funzione Gestione licenze funzione HTML5 avanzata

• La gestione delle licenze della funzione HTML comporta vantaggi economici, legali, di protezione e operativi
• Consente alle organizzazioni di controllare e controllare le tecnologie Web disponibili per utenti o sviluppatori.

Avvisi e miglioramenti delle notifiche

• Gli allarmi basati su e-mail forniscono lo stato del gateway ICS stato

VPN di livello 3

• Connettività VPN di livello 3 completa a doppia trasmissione (SSL + Encapsulating Security payload) con controllo accessi granulare.
• Modalità "VPN sempre attiva con modalità di blocco" e "Accesso solo VPN" per la conformità (la connessione VPN si connette/disconnette automaticamente in base alla posizione dell'utente).

• VPN basata su computer con la possibilità di passare all’autenticazione basata sull’utente dopo l’accesso dell’utente.

• "VPN on demand" e "VPN per app" per un'esperienza utente finale senza interruzioni e sicura.

VPN di livello 4

• Proxy applicazione client/server che tunnelizza il traffico da applicazioni specifiche a destinazioni specifiche.
• La versione Windows di Secure Application Manager (PSAM) consente il traffico sicuro verso le singole applicazioni client/server e i server applicazioni.

• La versione Java di Secure Application Manager (JSAM) fornisce il supporto per le applicazioni client/server di porte TCP statiche.

Accesso condizionale

• Convalida e verifica dispositivi e utilizzatori tramite una serie di policy automatizzate per la protezione di dati e network dati. Ogni tentativo di accesso viene valutato dinamicamente e controllato in tempo reale in base ai criteri in vigore.

Portale utente avanzato
(Layer 7/VPN senza client)

• Protegge l'accesso senza client da qualsiasi browser HTML5-capable ad applicazioni e collegamenti pubblicati e/o aggiunti dall'utente. Generazione dinamica basata sul ruolo utente.
• Accesso RDP/VNC/SSH con HTML5 avanzato. HTML5
• Proxy Web e Web Rewriter integrati.

• Supporto multiportale (ad es., portale SSO per i dipendenti, portale 2FA per gli appaltatori).

• Supporto per Windows Terminal Services, VDI (Citrix, VMware) e File Browsing.

Esperienza ottimizzata per l'utente finale

• Roaming uniforme dall'accesso remoto all'accesso LAN locale (Ivanti Policy Secure).
  Single Sign On (SSO) per un accesso rapido e sicuro da postazioni remote o in loco (tramite integrazione con Ivanti Connect Secure e Ivanti Policy Secure).

integrità e valutazione degli endpoint stateful

• Valuta e corregge i dispositivi degli utenti finali prima dell'autenticazione con definizioni di criteri semplici.
  Windows, MacOS, Apple iOS e Android.

Opzioni di lancio flessibili
(client indipendente, avvio basato su browser)

• Gli utenti possono facilmente avviare SSL VPN tramite il proprio browser Web o direttamente dai propri dispositivi.
• La funzione Connessione automatica consente funzione agli utenti di connettersi in modo automatico alla VPN, sia all'avvio della macchina che all'accesso dei registri utente.

• La funzione VPN on demand funzione sfrutta le funzionalità del sistema operativo per attivare automaticamente la VPN in background quando un'applicazione approvata richiede l'accesso aziendale.

Supporta cloud soluzione cloud sicura

• Combina l'accesso al cloud e al centro dati in un'esperienza utente senza soluzione di continuità per i lavoratori di prossima generazione.
• Aggiungere regole di conformità per l'accesso DC ibrido.

Opzioni di preconfigurazione
(solo Windows e Mac)

• Gli amministratori possono pre-configurare una distribuzione con un elenco di gateway da scegliere per gli utenti finali.

Opzioni di autenticazione

• Autenticazione adattiva utilizzando l'autenticazione dinamica a più fattori utilizzando diversi attributi utente.
• Gli amministratori possono distribuire Ivanti per l'autenticazione utente remota utilizzando un'ampia gamma di meccanismi di autenticazione, tra cui il supporto di autenticazione biometrica con Windows Hello for Business, token hardware, smart card, soft token, Google Authenticator, password monouso e autenticazione del certificato.
• Gli amministratori possono inviare traffico AAA tramite un'interfaccia desiderata (interna / esterna / gestione) per delegare l'autenticazione utente a un provider di identità.

• Il supporto OAuth/OpenID Connect consente l'integrazione con qualsiasi provider OpenID standard provider come Google, OKTA, Azure AD, ecc., Durante la connessione a Connect Secure (che agisce come parte affidabile).
• La mappatura dei ruoli basata sul gruppo OAuth consente di assegnare criteri di accesso e ruoli utente in base all'appartenenza al gruppo di provider di identità.

Supporto VDI

• Ivanti supporta le ultime versioni di VMware Horizon e Citrix XenApp / XenDesktop.

Configurazione cifra SSL granulare

• Consente all'amministratore di selezionare cifrari specifici rispetto a quelli preconfigurati per una conformità altamente sicura.

RIPOSO API

• Le API REST complete supportano l'automazione, la diagnostica, la gestione della configurazione e i flussi di lavoro operativi.
• La raccolta Postman delle API ICS Rest è disponibile tramite il portale di download.

Avvio sicuro con affidabilità
Modulo piattaforma (TPM)

• Controlli di integrità migliorati al momento dell'avvio per contrastare la persistenza di malware di basso livello
• Utilizza una chiave di crittografia unica e casuale a livello di istanza
  Le appliance hardware hanno un chip TPM integrato

• Le appliance virtuali utilizzano il TPM virtuale dalla piattaforma cloud/cloud hypervisor sottostante piattaforma

ACME (Automated Certificate Management Environment )

• Supporta i requisiti baseline TLS ridotti che hanno ridotto sia la durata di vita dei certificati TLS sia la riutilizzabilità delle informazioni convalidate da CA informazioni nei certificati

• Automatizza le richieste di certificato, la convalida del dominio, l'emissione di certificati e la distribuzione di certificati sull'interfaccia designata.

Mappatura dinamica dei ruoli con espressioni personalizzate

• Combina gli attributi di rete, dispositivo e sessione per determinare quali tipi di accesso sono consentiti
• Una combinazione dinamica di attributi per sessione può essere utilizzata per prendere la decisione di mappatura dei ruoli.
• Attraverso l'integrazione MDM, recupera gli attributi del dispositivo e applica le decisioni sui criteri in modo appropriato prima di concedere l'accesso.

• Consente all'amministratore di eseguire il provisioning per scopo per ogni sessione univoca.

Supporto per RSA Authentication Manager

• Autenticazione basata sul rischio RSA Authentication Manager.

• Fornisce un'altra opzione di livello di autenticazione.

Basato su standard e basato sul tempo
Password monouso (TOTP)

• Abilita l'autenticazione a più fattori utilizzando gli smartphone.

• Sfrutta gli smartphone per implementare un meccanismo di autenticazione a due fattori conveniente e self-service, in cui i passcode monouso vengono generati da un'app mobile.

Più sessioni per utente

• Consente agli utenti remoti di avviare più sessioni di accesso remoto.

• Consente agli utenti remoti di avere più sessioni autenticate aperte contemporaneamente, ad esempio quando si accede contemporaneamente a VPN da un laptop e uno smartphone.

Sincronizzazione record utente

• Supporta la sincronizzazione dei record utente, come i segnalibri utente tra i diversi dispositivi Ivanti.

• Assicura un'esperienza coerente per gli utenti che spesso viaggiano da una regione all'altra e quindi devono connettersi a diverse appliance Ivanti che eseguono Ivanti Connect Secure.

Pagine di accesso SSL VPN per dispositivi mobili

• Fornisce pagine HTML predefinite personalizzate per dispositivi mobili, tra cui Apple iPhone, iPad e Google Android.

• Fornisce dispositivo agli utilizzatori di dispositivi mobili un'esperienza utente semplificata e migliorata e pagine Web personalizzate per i loro tipi di dispositivi. dispositivo

Integrazione con autenticazione avanzata e gestione di identità e accessi
piattaforme (IAM)

• Possibilità di supportareSecurID, Security Assertion Markup Language (SAML) incluso il supporto SAML v2.0 basato su standard e l'infrastruttura a chiave pubblica (PKI)/certificati digitali.
• Supporto OAuth/OpenID Connect.

• Sfrutta i metodi di autenticazione aziendale esistenti per semplificare l'amministrazione.

Neurons per un accesso sicuro

• Piattaforma di gestione, analisi e reporting centralizzata facoltativa piattaforma per le distribuzioni Ivanti Connect Secure.
• Gestione completa della configurazione, aggiornamenti con un solo clic, registrazione centralizzata, creazione di report personalizzati e risoluzione dei problemi.
• Configurazioni "Solleva e sposta" attraverso modelli di configurazione e gestione della configurazione multi-nodo.

• La configurazione centralizzata e la gestione dello stile di vita del gateway consentono di risparmiare tempo e denaro.
• L'analisi comportamentale avanzata identifica e agisce in modo automatico sul comportamento rischioso degli utenti prima che l'IT diventi un problema.
• Semplifica la gestione delle distribuzioni multi-nodo o globali.

Integrazione dispositivo con Gestione dispositivo mobile (MDM)

• Abilita report e dashboard consolidati per una gestione semplificata.
• Sfrutta gli attributi MDM per una creazione di policy più intelligente e centralizzata.
• Facilita l'implementazione trasparente "no touch" basata su MDM dei client Ivanti su dispositivi iOS e Android.

• Estende gli investimenti MDM per ottenere una visibilità completa degli endpoint e supportare casi d'uso mobili aggiuntivi.

Supporto Bridge Certification Authority (BCA)

• Bridge CA è un'estensione PKI che certifica in modo incrociato gli ancoraggi (CA root).
• Supporta le distribuzioni PKI federate con autenticazione del certificato client.
• Consente ai clienti di configurare gli interni dei criteri nell'interfaccia utente di amministrazione, da applicare durante la convalida del certificato.

• Consente agli utenti che utilizzano distribuzioni PKI avanzate di distribuire Ivanti Appliances di effettuare una convalida dei certificati conforme agli standard rigorosi prima di consentire la condivisione di dati e applicativi tra aziende e utenti.

Supporto per nomi host multipli

• Possibilità di ospitare diversi siti extranet virtuali da un singolo apparecchio.

• Facilita il sovraccarico di gestione.

Interfaccia utente personalizzabile

• Creazione di pagine di accesso completamente personalizzate.

• Fornisce un look personalizzato per i ruoli specificati, semplificando l'esperienza utente.

Single Sign-On SAML per l'accesso al cloud e alle applicazioni Web

• SSO basato su SAML 2.0 per una varietà di applicazioni Web, tra cui molte delle applicazioni Software as a Service (SaaS) più popolari di oggi.
• Include la funzionalità SSO, anche quando ci si connette tramite un tunnel VPN Ivanti Connect Secure Layer 3.
• Ivanti Connect Secure supporta le distribuzioni sia come provider di identità SAML (provider IdP) sia come provider di servizi SAML provider (SP).

• Accesso singolo alle applicazioni Web e basate su cloud di un utente, semplificando l'esperienza di connettività utente.

Delega vincolata Kerberos

• Supporto per il protocollo Kerberos Constrained Delegation (KCD).
• Applica il traffico KCD for Exchange Active Sync, richiedendo certificati client, certificati CA attendibili e criteri di delega appropriati per l'autenticazione.

• Elimina la necessità per le aziende di gestire password statiche, riducendo i tempi e i costi di amministrazione.

Kerberos SSO e NT LAN Manager
Supporto (NTLMv2)

• Ivanti Connect Secure autentica automaticamente gli utenti remoti tramite Kerberos o NTLMv2 utilizzando le credenziali utente.

• Semplifica l'esperienza utente eliminando la necessità di inserire più volte le credenziali per accedere a diverse app.

Integrazione gestione password

• Interfaccia basata su standard per un'ampia integrazione con i criteri delle password negli archivi di directory (LDAP, AD e altri).

• Sfrutta i server esistenti per autenticare gli utenti.
• Gli utenti possono gestire le password direttamente tramite l'interfaccia Ivanti Connect Secure.

Autenticazione di base SSO basata sul Web e NTLM

• Consente agli utenti di accedere ad altre applicazioni o risorse protette da un altro sistema di gestione degli accessi senza reinserire le credenziali di accesso.

• Allevia la necessità per l'utente di inserire e conservare più set di credenziali per applicazioni Web e Microsoft.

Basato su moduli SSO basati sul Web, basato su variabili di intestazione, basato su SAML

• Possibilità di passare nome utente, credenziali e altri attributi definiti dal cliente ai moduli di autenticazione di altri prodotti e come variabili di intestazione.

• Migliora la produttività degli utenti e fornisce un'esperienza personalizzata.

OAuth/OpenID Connect

• Il supporto OAuth/OpenID Connect consente l'integrazione con qualsiasi provider OpenID standard come Google, Okta, Azure AD, ecc., Durante la connessione a Connect Secure (che funge da parte di relè).

• Integrazione nelle distribuzioni OAuth esistenti per una semplice federazione degli id utente.

Ivanti Secure Access Client

• Client di accesso remoto unificato, integrato che può anche fornire controllo accessi LAN e funzionalità VPN dinamiche agli utenti remoti.

• Ivanti Secure Access Client sostituisce la necessità di distribuire e mantenere più client separati per diverse funzionalità come il controllo degli accessi VPN e LAN.
• Gli utenti finali semplicemente "cliccano e connettono" la connessione di cui hanno bisogno.

Accesso Web core clientless

• Accesso sicuro a diversi tipi di applicazioni basate sul Web, tra cui le applicazioni più comuni di oggi come Outlook Web Access, SharePoint e molti altri.
• L'accesso al protocollo desktop remoto (RDP) in Ivanti Connect Secure può essere fornito tramite HTML5, tramite RDP di terze parti.

• Fornisce la forma di accesso alle applicazioni e alle risorse più facilmente accessibile da una varietà di dispositivi utente finali con opzioni di controllo di sicurezza estremamente granulari.
• Approccio completamente clientless utilizzando solo un browser Web.

Supporto IKEv2 per dispositivi mobili

• Consente agli utenti remoti di connettersi da qualsiasi dispositivo mobile dispositivo che supporti la connettività VPN Internet Key Exchange (IKEv2).
• L'amministratore può abilitare l'autenticazione rigorosa del certificato o del nome utente/password per l'accesso tramite IKEv2.

• Supporto VPN L3 completo per nuovi dispositivi che supportano IKEv2 ma per i quali un client non è ancora disponibile.

Supporto dell'infrastruttura Virtual Desktop (VDI)

• Consente l'interoperabilità con VMware View Manager e Citrix Xen Desktop.

• Fornisce agli utenti remoti un accesso senza interruzioni ai loro desktop virtuali ospitati sui server VMware e Citrix.

Provisioning zero touch

• Distribuire ICS utilizzando OpenStack KVM, VMWare, Hyper V e cloud (GCP, Azure, AWS).
• Ottenere la configurazione iniziale dal server DHCP locale senza inserimento manuale dei dati.
  Configurare e gestire tramite API REST.

• Migliora la produttività dell'amministratore e offre un'esperienza personalizzata.

Proxy ActiveSync

• Fornisce connettività di accesso sicura (crittografia forte + certificato
  autenticazione) da dispositivi mobili (come iOS o Android) a Exchange Server tramite Proxy, senza installazione di software client. Consente fino a 5.000 sessioni simultanee.

• Consente ai clienti di consentire a molti utenti (inclusi dipendenti, appaltatori e partner) di accedere alle risorse aziendali tramite telefoni cellulari tramite ActiveSync.

Gestione applicazioni sicura (SAM)

• Un download leggero dell'applicazione che consente l'accesso alle applicazioni client/server.

• Consente l'accesso alle applicazioni client/server utilizzando solo un browser Web.
• Fornisce inoltre l'accesso nativo alle applicazioni del server terminale senza la necessità di un client preinstallato.