|
|
|
|
|
Die folgenden Sicherheitsfunktionen sind im Leistungsumfang der MOVEit-Software enthalten und bestehen neben der Härtung des Betriebssystems und den zugehörigen Anwendungsdiensten.
Während der Dateiübertragung verwendet MOVEit SSL oder SSH zur Verschlüsselung der Kommunikation. Die während der Übertragung im Web verwendete Mindestverschlüsselungsstärke kann in der MOVEit-Schnittstelle konfiguriert werden.
Dieser Wert ist für jede Organisation gesondert einstellbar. Für die Konfiguration dieses Werts für eine bestimmte Organisation melden Sie sich als Systemadministrator an, zeigen die Organisation an, für die dieser Wert eingestellt werden soll, und klicken auf den Link „Change Req“ (Änderungsanforderung), um den Wert festzulegen.
Hinweis: Die Mindestverschlüsselungsstärke, die Sie für die Systemorganisation (Nr. 0) festlegen, können Sie auch auf alle anderen Organisationen Ihres Systems übertragen.
MOVEit speichert alle Dateien gemäß FIPS 140-2-validiertem 256-Bit-AES (http://csrc.nist.gov/encryption/aes), dem Verschlüsselungsstandard der US-Regierung, auf Festplatte. MOVEit Crypto, die Verschlüsselungsengine von MOVEit, wurde von den Regierungen der USA und Kanadas nach den Richtlinien von FIPS 140-2 für seine kryptografische Eignung zertifiziert.
Darüber hinaus überschreibt MOVEit gelöschte Dateien mit nach dem Zufallsprinzip generierten Bytes, um zu verhindern, dass verschlüsselte Dateien auf einem physischen Datenträger verbleiben, von denen der Benutzer annimmt, dass sie gelöscht und vollständig entfernt wurden.
Wenn die von MOVEit empfangenen Dateien in einen großen unverschlüsselten Klartext-Speicherpuffer kopiert werden, haben Trojaner theoretisch Zugriff auf die vertraulichen Dateien in diesen Speicherbereichen.
Daher spult MOVEit Teile der empfangenen Dateien in wesentlich kleinere Puffer, verschlüsselt diese und schreibt sie nahezu sofort auf die Festplatte. Dadurch reduziert sich das Risiko eines Datenleaks in zweierlei Hinsicht: 1.) Die Menge der gefährdeten Informationen wird reduziert. 2.) Die Zeit, während der die Informationen dem Risiko ausgesetzt sind, wird reduziert. (Ganz zu schweigen davon, dass diese Methode hinsichtlich der Leistung mit Sicherheit vorteilhaft ist.)
(In diesem Zusammenhang wird häufig die Frage gestellt, warum die Datei nicht einfach mit SSL oder SSH gespeichert wird. Dies lässt sich sehr schnell wie folgt beantworten: SSL und SSH verwenden temporäre Schlüssel, die bei jedem durch einen Client veranlassten Verbindungsaufbau neu ausgehandelt werden müssen. Für die Speicherung sind dagegen „dauerhaftere“ Schlüssel erforderlich.)
Bei Verwendung bestimmter Dateiübertragungsclients in Verbindung mit einem MOVEit-Server wird die Integrität der übertragenen Dateien überprüft. Alle sicheren FTP-, API- und webbasierten MOVEit-Clients (einschließlich des Upload-/Download-Assistenten) unterstützen die Integritätsprüfung. Auch andere FTP-Clients können die Integritätsprüfung nutzen. Nähere Informationen hierzu finden Sie im Abschnitt FTP – Interoperabilität – Integritätsprüfung – Verfahren.
Zur Durchführung einer Integritätsprüfung erhalten sowohl der Client als auch der Server im Zuge des letzten Übertragungsschritts einen kryptografischen Hash-Wert der übertragenen Datei. Wenn beide Werte übereinstimmen, „wissen“ beide Seiten, dass die übertragene Datei mit dem Original identisch ist. Das Ergebnis einer Integritätsprüfung wird nicht nur dem Benutzer des Dateiübertragungsclients angezeigt, sondern auch für den sofortigen Zugriff auf dem MOVEit-Server gespeichert.
Alle sicheren FTP-, API- und webbasierten MOVEit-Clients (einschließlich des Upload-/Download-Assistenten) unterstützen die Integritätsprüfung.
Hinweis: Bei Verwendung des JavaScript-Assistenten ist die Integritätsprüfung ein separater Schritt.
In Verbindung mit MOVEit Automation unterstützt MOVEit „ereignisgesteuerte“ Übertragungen, so dass das Spooling der Dateien an interne Server beginnen kann, sobald diese auf einem mit dem Internet verbundenen MOVEit-Server eingehen. Selbst verschlüsselte Dateien verbleiben so nicht länger als notwendig auf dem Server.
MOVEit unterstützt sowohl an seiner HTTPS- als auch an seiner FTPS-Schnittstelle die Wiederaufnahme von Übertragungen. Dieses Feature ist nicht nur für die Übertragung von Dateien mit Größen von mehreren Gigabyte praktisch, sondern auch eine Sicherheitsvorkehrung in dem Sinne, dass große Dateiübertragungen dadurch weniger anfällig für DoS-Angriffe (Denial-of-Service) sind.
Für verschiedene Ordner können Größenbeschränkungen festgelegt werden, durch die ein Erschöpfen der Systemspeicherkapazitäten verhindert wird.
Für verschiedene Benutzer können erzwingbare Größenbeschränkungen festgelegt werden, durch die ein Erschöpfen der Systemspeicherkapazitäten verhindert wird.
Einzelne Endbenutzer einer Benutzergruppe können als Gruppenadministratoren festgelegt werden. Diese Benutzer können dann – vorbehaltlich der von den Organisationsadministratoren festgelegten Parameter – die Benutzer, Ordnerberechtigungen und Adressbücher ihrer Gruppe verwalten.
Administratoren erhalten in vielen Fällen, beispielsweise wenn Benutzer ausgesperrt werden oder die interne Konsistenzprüfung ein Problem in der Datenbank feststellt, E-Mail-Benachrichtigungen.
MOVEit kann so konfiguriert werden, dass Benutzer die Dateien, die sie auf das System hochladen, nicht mehr herunterladen können. Dadurch wird verhindert, dass Benutzer MOVEit als Repository für persönliche oder eingeschränkte Materialien missbrauchen. (Das Gleiche erreichen Sie auch durch IP-Einschränkungen.)
Durch die Kennwortablauffunktionen von MOVEit können die Benutzer zum regelmäßigen Ändern ihrer Kennwörter gezwungen werden. In diesem Fall erhalten die Benutzer mehrere Tage vor Ablauf ihres Kennworts sowie bei Eintreten des Kennwortablaufs eine E-Mail-Benachrichtigung.
MOVEit kann so konfiguriert werden, dass es sich eine bestimmte Anzahl vergangener Kennwörter „merkt“ und eine Wiederverwendung dieser Kennwörter unterbindet.
In MOVEit können für Kennwörter verschiedene Komplexitätsstufen bezüglich der Verwendung von Ziffern und Buchstaben oder Wörtern aus dem Wörterbuch sowie der Kennwortlänge festgelegt werden.
Versucht ein Benutzer zu oft, sich mit einem falschen Kennwort bei einem gültigen Konto anzumelden, kann dieses Konto gesperrt werden. Administratoren werden in diesem Fall per E-Mail benachrichtigt.
Administratoren von Ressourcen, für die eine Authentifizierung mittels Kennwort erforderlich ist und die Kontosperren unterstützen, sind angesichts der Vorstellung, dass sich jemand eine Liste gültiger Benutzernamen beschaffen könnte und kurzerhand alle Benutzer aussperrt, zu Recht beunruhigt. Zur Minderung dieses Risikos stellt MOVEit eine Funktion bereit, die einen Computer mit einer bestimmten IP-Adresse daran hindert, weitere Anfragen von diesem System zu stellen, wenn MOVEit zu viele fehlgeschlagene Anmeldeversuche feststellt. Auch in diesem Fall erhalten Administratoren eine E-Mail-Benachrichtigung.
Benutzer oder Benutzerklassen können auf bestimmte IP-Adressbereiche und/oder Hostnamen beschränkt werden.
MOVEit zeichnet nicht nur An- und Abmeldungen, sondern auch Berechtigungsänderungen, das Hinzufügen neuer Benutzer und andere Aktionen auf, die sich unmittelbar auf die Sicherheit des Systems auswirken. Echtzeitansichten dieses Prüfpfads wie auch Tools zur Abfrage von Details stehen auf den Protokoll- und Berichtsseiten zur Verfügung. Alle Protokolleinträge sind kryptografisch verkettet, so dass eine Manipulierung (Hinzufügen, Löschen, Ändern) der Überwachungsprotokolle nachweisbar ist.
Der RADIUS- und der LDAP-Client von MOVEit unterstützen jeden RADIUS- und LDAP-Standardserver, darunter auch Microsoft Internet Authentication Server, Novell BorderManager, Microsoft Active Directory, Novell eDirectory, Sun iPlanet und IBM Tivoli Access Manager (SecureWay).
Für nicht autorisierte Benutzer ist der Produktname von MOVEit auf seinen SSH- und FTP-Schnittstellen nicht ersichtlich, und je nach Konfiguration kann diese Information auch generell vor allen Webbenutzern verborgen werden. Auch die Versionsnummern werden nur autorisierten Benutzern angezeigt. Eventuellen Hackern wird dadurch die Identifizierung ihres möglichen Angriffsziels erschwert.
Alle Hauptschnittstellen von MOVEit (SFTP, FTPS, HTTPS) unterstützen die Verwendung von SSL (X.509)-Clientzertifikaten und SSH-Clientschlüsseln. In der Regel werden auf Computern SSL-Clientzertifikate und SSH-Clientschlüssel installiert, wobei SSL-Clientzertifikate auch als Hardwaretokens zur Verfügung stehen.
In Verbindung mit Benutzernamen ermöglichen IP-Adressen, Kennwörter und Clientschlüssel bzw. Clientzertifikate eine Ein-, Zwei- oder Dreifaktor-Authentifizierung.
Organisationen, die meinen, dass ein Speichern ihrer Benutzernamen-/Hash-Kombinationen in der geschützten Datenbank von MOVEit nicht sicher genug ist, können auch die externe Authentifizierungsfunktion verwenden und alle nicht administrativen Benutzernamen und Kennwörter auf RADIUS- oder LDAP-Server übertragen. (Der Zugriff auf die verbleibenden administrativen Benutzernamen kann auf bestimmte interne IP-Adressen eingeschränkt werden.)
Verschlüsselte MOVEit-Dateien können auch außerhalb einer Demilitarized Zone (DMZ) gespeichert werden. Dazu muss MOVEit in einem Bereich eines existierenden Storage Area Networks (SAN) implementiert werden.
Um die Erfassung der Tastenanschläge bei der Anmeldung bei MOVEit über einen Webbrowser durch Keystroke-Logging-Software und -Hardware zu verhindern, wird als alternative Dateneingabemethode eine Bildschirmtastatur bereitgestellt. Auch andere Kennwortfelder innerhalb der Anwendung, durch die Benutzer geschützt werden, werden durch diese Tastatur geschützt.
Zum Schutz vor Cross-Frame-Scripting-Angriffen auf MOVEit lässt sich die Webschnittstelle nicht in einem frame- oder iframe-Fenster laden. Wenn MOVEit in eine bestehende Portalanwendung integriert werden soll, die Frames verwendet, kann diese Einstellung mit dem Flag „contentonly“ außer Kraft gesetzt werden. Weitere Informationen finden Sie im Abschnitt URL Crafting (URL-Bildung) der Dokumentation.
See Also |