Ivanti Connect Secure (ICS): 次世代のセキュリティとスケーラビリティ

Ivanti Connect Secure (ICS)

NIST / FIPS 140-3: ICS 25.x (25.1.0.0以降) Cert #4779 で OpenSSL.org の FIPS プロバイダ/モジュールを使用して、Oracle Linux 9 で認証済み

Ivanti Secure Access Client (ISAC) for Windows

NIST / FIPS 140-3: ICS 25.x (25.1.0.0以降) Cert #4779 で OpenSSL.org の FIPS プロバイダ/モジュールを使用して、Oracle Linux 9 で認証済み

Ivanti Secure Access Client (ISAC) for MacOS

NIST / FIPS: openSSL.org Cert #4985に基づく22.8R5以降

ISACモバイル - iOS、Android

NIST / FIPS: openSSL.org Cert #4985に基づく22.8R5以降

Oracle Linux 9 OS

ホワイトペーパー:
IT およびセキュリティ戦略におけるオペレーティング システムの役割

• メモリサポートの強化: 64 ビット OS はより多くのメモリ (RAM) に対応し、Connect Secure はより大きなデータセットとより多くの同時ユーザを処理できます
• セキュリティの向上: 64 ビットのユーザ領域により、メモリ ベースの攻撃に対する保護を強化
• パフォーマンスの向上: アプリケーションは64ビットの処理能力を活用できるため、データ処理の高速化、スループットの向上、全体的なパフォーマンスの向上を実現できます。
• 拡張されたスケーラビリティ: より大きなデータベース サイズ、より多くの接続、リソース集約型アプリケーションをサポートしているため、企業規模のワークロードに適しています。

• 将来性および互換性: 新しいOracle機能とソフトウェア更新は64ビットプラットフォーム用に最適化され、さまざまなサードパーティ製ソフトウェアライブラリの継続的な互換性とサポートが保証されます

SELinux

• 詳細な必須アクセス制御を提供し、侵害されたアプリケーションやプロセスによる潜在的な損害を、たとえそのようなプロセスがルートとして実行されていても、劇的に制限します。
• 既定では ICS で施行モードで有効になっています。

ICS ゲートウェイ用の統合 Web アプリケーション ファイアウォール (WAF) 構成を使用した NGINX

• Connect Secure ゲートウェイで終了する HTTP トラフィックに対するレイヤ 7 (アプリケーション) 攻撃を検査し、停止します
• SQL インジェクション、クロスサイト スクリプティング (XSS)、その他の Web エクスプロイトなどの攻撃を防止

• 攻撃対象領域を最小化

キー管理

• 各ゲートウェイの一意のランダム化キー
• TPM/vTPM (信頼できる プラットフォーム モジュール) の実装を利用して、堅牢なキー管理を実現

• 侵害のリスクを最小化することでセキュリティを強化
• キー侵害の影響を低減
• 機密データの漏洩/侵害を防止
• セキュリティ体制を昇格

セキュア ブート/工場出荷時設定のリセット

• 起動時に強化された整合性チェックを提供し、低レベルのマルウェアの永続性を防止
• ICS ソフトウェア イメージを実行している ISA ハードウェア デバイスおよび VM の工場出荷時リセット中に、重要なファイル システムの完全性が損なわれないようにします。
• 信頼できる プラットフォーム モジュール (TPM) を組み込む

• 確立された信頼チェーンを検証することで、起動プロセスの完全性を保護します
• 信頼検証チェーンを追加のファイル システムに拡張し、整合性をさらに保護
• 起動パーティションからの低レベルの悪意のあるコードの読み込みを防止
• 低レベルのファイル システムでの攻撃者の永続性を防止
  侵害のリスクを低減することでセキュリティを強化

セキュア ブート/工場出荷時設定リセット - 仮想アプライアンス

• 仮想アプライアンスのセキュア ブート実装により、起動時に信頼できる 検証済みコードのみが実行されるようにします。
• 起動中にファームウェアと OS の整合性を検証します。
• vTPM (仮想信頼できる プラットフォーム モジュール) を使用

• 仮想アプライアンスには、すべてのハードウェア アプライアンスのセキュア ブートおよび工場出荷時設定リセット機能に加えて、...
• システムの改ざん、不正な変更、マルウェアの侵入を防止
• 仮想アプライアンス全体で信頼できる 実行を保証

ルート特権回避 (NRP)

• システム プロセスは、既定では完全な管理者権限が拒否され、権限のないサービス アカウントや専用サービス アカウントなど、必要な最小限の権限で実行されます。

• アクセスを必要なファイルとシステム リソースのみに制限します
  アタックサーフェスを制限
  リスクを軽減し、潜在的な損害を制限

Web サーバ ログのデバッグ

• Web 関連イベントのデバッグ重大度コードを提供

多要素認証 (MFA)

• アカウントまたはシステムにアクセスするために、2つ以上の独立した検証方法を提供する必要があります
  パスワードを取得している場合でも、権限のないユーザがアクセスすることをはるかに困難にすることで、セキュリティを強化します

外部整合性チェッカ ツール (ICT) の実行

• nSA から単一または複数のゲートウェイにワンクリックでスキャンします。
• キー ファイルとシステム コンポーネントの完全性を検証するために設計されたセキュリティ ユーティリティ
• 不正な変更、破損、改ざんを検出

• ファイルと既知の良好なベースラインを比較することで、潜在的な侵害や異常を特定するのに役立ちます
• 脅威への迅速な対応とシステムの信頼性の維持を実現
• ゲートウェイで実行された ICT に異常がある場合にアラートを提供
• 管理者がバージョン固有の ICT パッケージを選択し、1 つ以上の ICS ゲートウェイに対して実行し、ICT が実行される同じページに結果表示できるようにします。

高度な HTML5 機能ライセンス管理

• HTML 機能ライセンスの管理により、コスト、法律、セキュリティ、および運用上のメリットが得られます
• 組織は、ユーザまたは開発者が利用できる Web テクノロジを制御および監査できます。

アラートと通知の機能拡張

• 電子メール ベースのアラートは ICS ゲートウェイ ステータスを提供します

デスクトップとモバイル プラットフォームのサポート

• デスクトップ - Windows (Intel x86 および ARM)、macOS (Intel および ARM) M1/M2/M3/M4、Linux
  モバイル - iOS、Android、ChromeOSのAndroidアプリ

完全修飾ドメイン名 (FQDN) 分割トンネル

• ユーザが VPN 経由で特定のリソースに安全にアクセスできるようにします (IP アドレスだけでなくドメイン名に基づく)
• 他のインターネット トラフィックが直接 (VPN 外) ルーティングすることを許可します。

• ネットワーク効率とリソース利用率を改善
• VPN 帯域幅使用状況を削減
• セキュア トンネル経由で必要なトラフィックのみをルーティングすることで、ユーザ エクスペリエンスを向上

Fast Identity Online (FIDO2) およびパスワードレス認証

• パスワードなしで、より安全でわかりやすい認証を提供
• パスキー、生体認証、PIN を使用

外部整合性チェッカ ツール (ICT) の実行

• nSA から単一または複数のゲートウェイにワンクリックでスキャン
• セキュリティ ユーティリティは、
  キー ファイルとシステム コンポーネントの整合性
• 不正な変更、破損、
  または改ざん

• ファイルと既知の良好なベースラインを比較することで、潜在的な侵害や異常を特定するのに役立ちます
• 脅威への迅速な対応とシステムの信頼性の維持を実現
• ゲートウェイで実行された ICT に異常がある場合にアラートを提供
• 管理者がバージョン固有の ICT パッケージを選択し、1 つ以上の ICS ゲートウェイに対して実行できるようにします。
  ICT が実行される同じページで結果表示

高度な HTML5 機能ライセンス管理

• HTML 機能ライセンスの管理により、コスト、法律、セキュリティ、および運用上のメリットが得られます
• 組織は、ユーザまたは開発者が利用できる Web テクノロジを制御および監査できます。

アラートと通知の機能拡張

• 電子メール ベースのアラートは ICS ゲートウェイ ステータスを提供します

レイヤ 3 VPN

• デュアル トランスポート (SSL + セキュリティ ペイロードのカプセル化) フルレイヤ 3 VPN 接続ときめ細かな制御。
• 「ロックダウン モードの常時オン VPN」および「VPN のみアクセス」モードに準拠 (VPN 接続はユーザ場所に基づいて自動的に接続/切断されます）。

• ユーザ ログイン後にユーザ ベースの認証にステップアップできるコンピュータ ベースの VPN。

• 「オンデマンド VPN」と アプリ 「」「App VPN」により、シームレスで安全なエンドユーザー ユーザ 体験を実現します。

レイヤ 4 VPN

• 特定のアプリケーションから特定の宛先へのトラフィックをトンネリングするクライアント/サーバ プロキシ アプリケーション。
• Windows バージョンの Secure Application Manager (PSAM) では、個々のクライアント/サーバ アプリケーションおよびアプリケーション サーバへの安全なトラフィックが可能になります。

• Secure Application Manager (JSAM) の Java バージョンは、静的 TCP ポート クライアント/サーバ アプリケーションをサポートします。

条件付きアクセス

• ネットワークとデータを保護するために、一連の自動化されたポリシーを介してデバイスとユーザを検証および検証します。各アクセス試行は動的に評価され、有効なポリシーに基づいてリアルタイムで制御されます。

詳細ユーザ ポータル
(レイヤ 7/クライアントレス VPN)

• 任意の HTML5-capableブラウザから、公開済みまたはユーザ追加アプリケーションやリンクへのクライアントレス アクセスを保護します。ユーザ ロールに基づいて動的に生成されます。
• 高度な HTML5 を使用した RDP/VNC/SSH アクセス。
• Web リライターと Web プロキシが組み込まれています。

• マルチポータル サポート (例: 従業員用の SSO ポータル、請負業者用の 2FA ポータル）。

• Windows ターミナル サービス、VDI (Citrix、VMware)、およびファイル参照のサポート。

最適化されたエンドユーザ エクスペリエンス

• リモート アクセスからローカル LAN アクセスへのスムーズなローミング (Ivanti ポリシー Secure)。
  シングルサインオン (SSO) により、リモートまたはオンサイトの場所からの迅速で安全なアクセスを実現 (Ivanti Connect Secure および Ivanti ポリシー Secure との統合経由）。

ステートフル エンドポイントの整合性と評価

• 簡単なポリシー定義を使用して、認証前にエンドユーザデバイスを評価および修正します。
  Windows、MacOS、Apple iOS、Android。

柔軟な起動オプション
(スタンドアロン クライアント、ブラウザ ベースの起動)

• ユーザはWeb ブラウザ経由で、またはデバイスから直接、SSL VPN を簡単に起動できます。
• 自動接続機能では、コンピュータの起動時またはユーザのログオン時に、デバイスが自動的に VPN に接続できます。

• VPNオンデマンド機能は、OS機能を活用して、承認されたアプリケーションが企業アクセスを必要とするときに背景でVPNをシームレスに自動トリガーします。

Cloud Secure Solution をサポート

• クラウドとデータセンターのアクセスを、次世代のワーカーにとってシームレスなユーザエクスペリエンスに融合します。
• ハイブリッド DC アクセスの準拠ルールを追加します。

事前構成オプション
(Windows および Mac のみ)

• 管理者は、エンド ユーザが選択できるゲートウェイのリストを使用して、配布を事前構成できます。

認証オプション

• 複数のユーザ属性を使用した動的多要素認証を使用したアダプティブ認証。
• 管理者は、Windows Hello for Business での生体認証サポート、ハードウェア トークン、スマート カード、ソフト トークン、Google Authenticator、ワンタイム パスワード、証明書認証など、配列認証メカニズムを使用して、リモート ユーザ認証用の Ivanti を配布できます。
• 管理者は、目的のインターフェイス (内部 / 外部 / 管理) 経由で AAA トラフィックを送信し、ユーザ認証を ID プロバイダに委譲できます。

• OAuth/OpenID Connect サポートでは、Google、OKTA、Azure AD などの標準の OpenID プロバイダと統合しながら、Connect Secure (Relying Party として動作) に接続できます。
• OAuth グループ ベースのロール マッピングでは、ID プロバイダ グループ メンバーシップに基づいてアクセス ポリシーとユーザ ロールを割り当てることができます。

VDI サポート

• Ivanti は最新バージョンの VMware Horizon と Citrix XenApp / XenDesktop をサポートしています。

きめ細かな SSL 暗号構成

• 管理者は、安全性の高い準拠のために事前構成された暗号よりも特定の暗号を選択できます。

休止 API

• 包括的な REST API は、自動化、診断、構成管理、および運用ワークフローをサポートします。
• ICS Rest API の Postman コレクションは、ダウンロード ポータルから入手できます。

信頼できるセキュア ブート
プラットフォーム モジュール (TPM)

• 起動時の整合性チェックを強化し、低レベルのマルウェアの永続性を防止
• インスタンス レベルで一意かつランダムな暗号化キーを使用します
  ハードウェア アプライアンスには TPM チップが統合されています

• 仮想アプライアンスは、基盤となるクラウド/ハイパーバイザ プラットフォームからの仮想 TPM を使用します

ACME (自動証明書管理環境 )

• TLS 証明書の有効期間と証明書の CA 検証済み情報の再利用性の両方を短縮した低減された TLS ベースライン要件をサポート

• 指定されたインターフェイスで、証明書要求、ドメイン検証、証明書発行、および証明書配布を自動化します。

カスタム式を使用した動的ロール マッピング

• ネットワーク、デバイス、セッション属性を組み合わせて、許可されるアクセスのタイプを決定します
• セッションごとに属性を動的に組み合わせることで、ロール マッピングを決定できます。
• MDM 統合により、はデバイス属性を取得し、アクセスを許可する前にポリシー決定を適切に適用します。

• 管理者は、一意のセッションごとに目的別にプロビジョニングできます。

RSA Authentication Manager のサポート

• RSA Authentication Manager リスクベース認証。

• 別の認証レイヤ オプションを提供します。

標準ベースのビルトイン時間ベース
ワンタイム パスワード (TOTP)

• スマートフォンを使用した多要素認証を有効にします。

• スマートフォンを活用して、コスト効果の高いセルフサービスの2要素認証メカニズムをロールアウトします。このメカニズムでは、1回限りのパスコードがモバイルアプリによって生成されます。

ユーザごとに複数のセッション

• リモート ユーザが複数のリモート アクセス セッションを起動できるようにします。

• リモート ユーザは、ノートパソコンとスマートフォンから同時に VPN にアクセスするときなど、複数の認証セッションを同時に開くことができます。

ユーザ レコード同期

• さまざまな Ivanti アプライアンス間でユーザ ブックマークなどのユーザ レコードの同期をサポートします。

• 多くの場合、ある地域から別の地域に移動し、Ivanti Connect Secure を実行しているさまざまな Ivanti アプライアンスに接続する必要があるユーザに、一貫したエクスペリエンスを提供します。

モバイル対応 SSL VPN ログイン ページ

• Apple iPhone、iPad、Google Android などのモバイル デバイス用にカスタマイズされた定義済み HTML ページを提供します。

• モバイル デバイス ユーザに、デバイス タイプに合わせてカスタマイズした、簡素化され強化されたユーザ エクスペリエンスと Web ページを提供します。

強力な認証、ID、アクセス管理との統合
(IAM) プラットフォーム

• SecurID、標準ベースのSAML v2.0サポートを含むセキュリティアサーションマークアップ言語（SAML）、公開鍵インフラストラクチャ（PKI）/デジタル証明書をサポートする機能。
• OAuth/OpenID Connect サポート。

• 既存の企業認証方法を活用して、管理を簡素化します。

セキュア アクセスのための Neurons

• Ivanti Connect Secure 配布用の任意の集中管理、分析、およびレポート プラットフォーム。
• 完全な構成管理、ワンクリック アップグレード、集中ロギング、カスタム レポート、トラブルシューティング。
• 「構成テンプレートとマルチノード構成管理による」リフトとシフト「構成」。

• 一元的な構成とゲートウェイ ライフスタイル管理により、時間とコストを節約できます。
• 強化された動作分析は、問題になる前に、危険なユーザ動作を特定し、自動的に処理します。
• マルチノードまたはグローバル配布の管理を簡素化します。

モバイル デバイス管理 (MDM) 統合

• 統合されたレポートとダッシュボードを有効にし、管理を簡素化します。
• MDM属性を活用して、よりインテリジェントで一元化されたポリシー作成を実現します。
• iOS および Android デバイスへの Ivanti クライアントの透過的な「タッチ」なしの MDM ベースの配布を促進します。

• MDM 投資を拡張し、包括的な エンドポイントの可視性を確保し、追加のモバイル ユース ケースをサポートします。

Bridge 認証機関 (BCA) サポート

• Bridge CA は、アンカー (ルート CA) をクロス認証する PKI 拡張です。
• クライアント証明書認証で連携 PKI 配布をサポートします。
• 証明書検証中に強制されるように、管理 UI でポリシー拡張を構成できます。

• 高度な PKI 配布を使用して Ivanti Appliance を配布するお客様は、データとアプリケーションを組織とユーザ間で共有する前に、厳格な標準準拠の証明書検証を実行できます。

複数のホスト名のサポート

• 1つのアプライアンスから異なる仮想エクストラネット Web サイトをホストする機能。

• 管理オーバーヘッドを緩和します。

カスタマイズ可能なユーザ インターフェイス

• 完全にカスタマイズされたサインオン ページの作成。

• 指定されたロールを個別に検索し、ユーザ エクスペリエンスを合理化します。

クラウドおよびWebアプリケーションアクセス用のSAMLシングルサインオン

• SAML 2.0 ベースの SSO から、今日の最も人気のあるサービスとしてのソフトウェア (SaaS) アプリケーションを含むさまざまな Web アプリケーションへの SSO。
• Ivanti Connect Secure Layer 3 VPN トンネル経由で接続する場合でも、SSO 機能が含まれます。
• Ivanti Connect Secure は、SAML ID プロバイダ (IdP) と SAML サービス プロバイダ (SP) の両方で配布をサポートします。

• ユーザの Web およびクラウドベースのアプリケーションへのシングル サインオンにより、ユーザ接続エクスペリエンスが簡素化されます。

Kerberos 制約された委譲

• Kerberos Constrained Delegation (KCD) プロトコルのサポート。
• Exchange Active Sync トラフィックに KCD を適用し、クライアント証明書、信頼できる CA 証明書、および認証のための適切な委任ポリシーを要求します。

• 企業が静的パスワードを管理する必要がなくなり、管理時間とコストを削減します。

Kerberos SSO および NT LAN マネージャ
(NTLMv2) サポート

• Ivanti Connect Secure は、ユーザ認証資格情報を使用して、Kerberos または NTLMv2 経由でリモート ユーザを自動的に認証します。

• 認証資格情報を複数回入力し、異なるアプリケーションにアクセスする必要がなくなるため、ユーザ エクスペリエンスが簡素化されます。

パスワード管理統合

• ディレクトリ ストア (LDAP、AD など) のパスワード ポリシーと広範囲に統合するための標準ベースのインターフェイス。

• 既存のサーバを活用してユーザを認証します。
• ユーザは、Ivanti Connect Secure インターフェイスから直接パスワードを管理できます。

Web ベースの SSO 基本認証と NTLM

• ユーザは、ログイン認証資格情報を再入力せずに、別のアクセス管理システムによって保護された他のアプリケーションまたはリソースにアクセスできます。

• Web ベースおよび Microsoft アプリケーションの複数の認証資格情報セットをユーザが入力および維持する必要が軽減されます。

Web ベースの SSO フォームベース、ヘッダー変数ベース、SAML ベース

• ユーザ名、認証資格情報、およびその他の顧客定義属性を、他の製品の認証フォームに、ヘッダー変数として渡す機能。

• ユーザの生産性を高め、カスタマイズされたエクスペリエンスを提供します。

OAuth/OpenID Connect

• OAuth/OpenID Connect サポートにより、Google、Okta、Azure AD などの標準の OpenID プロバイダーとの統合が可能になり、Connect Secure (中継当事者として動作) に接続できます。

• 既存の OAuth 配布に統合し、ユーザ ID フェデレーションを容易にします。

Ivanti Secure Access Client

• リモート ユーザに LAN アクセス制御と動的 VPN 機能も提供できる統合、統合、リモート アクセス クライアント。

• Ivanti Secure Access Client は、VPN や LAN アクセス 制御などのさまざまな機能に対して、複数の個別のクライアントを配布および維持する必要性をなくします。
• エンド ユーザは、必要な接続をクリックして接続するだけです。

クライアントレス コア Web アクセス

• Outlook Web Access、SharePoint など、現在最も一般的なアプリケーションを含む、さまざまなのタイプ Web ベースのアプリケーションへのセキュア アクセス。
• Ivanti Connect Secure のリモート デスクトップ プロトコル (RDP) アクセスは、サードパーティの RDP 経由で HTML5 経由で配信できます。

• 非常に粒度の細かいセキュリティ 制御 オプションにより、さまざまなエンドユーザ デバイスから最も簡単にアクセスできるアプリケーションとリソース アクセスの形式を提供します。
• Web ブラウザのみを使用した完全にクライアントレスなアプローチ。

モバイル デバイスの IKEv2 サポート

• リモート ユーザは、Internet Key Exchange (IKEv2) VPN 接続をサポートする任意のモバイル デバイスから接続できます。
• 管理者は IKEv2 経由でアクセスするための厳密な証明書またはユーザ名/パスワード認証を有効にできます。

• IKEv2 をサポートしているが、クライアントがまだ利用できない新しいデバイスに対する L3 VPN の完全なサポート。

仮想デスクトップ インフラストラクチャ (VDI) サポート

• VMware 表示 Manager および Citrix Xen Desktop との相互運用性を許可します。

• リモート ユーザは、VMware および Citrix サーバでホストされている仮想デスクトップにシームレスにアクセスできます。

ゼロ タッチ プロビジョニング

• OpenStack KVM、VMWare、Hyper V、クラウド (GCP、Azure、AWS) を使用して ICS を配布します。
• 手動データ入力なしで、ローカル DHCP サーバから初期構成を取得します。
  REST API 経由で 構成および管理します。

• 管理者の生産性を高め、カスタマイズされたエクスペリエンスを提供します。

ActiveSync プロキシ

• セキュア アクセス接続を提供 (強力な暗号化 + 証明書
  認証) をモバイル デバイス (iOS や Android など) からプロキシ経由で Exchange Server に送信します。クライアント ソフトウェアがインストールされていません。最大 5,000 の同時セッションを有効にします。

• 多くのユーザ (従業員、請負業者、パートナーを含む) が ActiveSync 経由で携帯電話経由で企業リソースにアクセスすることを許可できます。

Secure Application Manager (SAM)

• クライアント/サーバ アプリケーションへのアクセスを可能にする軽量アプリケーション ダウンロード。

• Web ブラウザのみを使用して、クライアント/サーバ アプリケーションへのアクセスを有効にします。
• また、クライアントをプレインストールしなくても、ターミナル サーバ アプリケーションへのネイティブ アクセスを提供します。