RSA AUTHENTICATION MANAGER EXPRESS

Transcrição

1 RSA AUTHENTICATION MANAGER EXPRESS Solution Brief

2 Os riscos associados ao uso de autenticação feita exclusivamente por senha não são novidade. Apesar disso, 44% das empresas confiam em senhas para proteger o acesso remoto de funcionários e terceirizados 1. Um panorama de ameaças sofisticadas e o aumento contínuo nas violações de dados fazem com que os sistemas que se baseiam em senhas fixas para a segurança fiquem vulneráveis e à mercê de acesso não autorizado. A autenticação sólida é a solução amplamente aceita para proteger o acesso a dados e aplicativos essenciais. No entanto, para as SMBs (Small and Mid-sized Businesses, empresas de pequeno e médio porte), a implementação de soluções de segurança é muitas vezes um desafio, porque elas não dispõem dos recursos necessários para proteger completamente sua rede e, até mesmo, podem pensar que não são um alvo provável para violação de dados. Contudo, de acordo com um estudo recente realizado pela National Cyber Security Alliance, 85% das SMBs acreditam que são menos propícias a sofrer um ataque virtual que as grandes empresas 2. Infelizmente, os criminosos cibernéticos sabem que muitas das SMBs não têm controles de segurança sofisticados e cada vez mais atacam seus sistemas para roubar dados confidenciais. Superando os obstáculos à autenticação sólida As empresas de pequeno e médio porte devem superar vários obstáculos para justificar a autenticação de dois fatores. Os três maiores problemas que impedem muitas SMBs de implementar uma solução de autenticação sólida são: Custos altos Incômodo para os usuários Complexidade de implementação e gerenciamento Custos O custo das soluções existentes é citado muitas vezes pelas SMBs como o principal problema que as impede de adotar a autenticação sólida. Por exemplo, a implementação de uma solução de senha de uso único exige investimentos em hardware, como os dispositivos para o usuário final e o servidor de autenticação. Além disso, existem as taxas de manutenção relacionadas ao atendimento ao cliente e às atualizações do software. Com orçamentos de TI limitados, a maioria das SMBs recorre à proteção do acesso com um log-in básico, com nome de usuário e senha. Incômodo para os usuários Ao implementar a autenticação sólida, uma importante consideração é a praticidade para o usuário. As empresas devem considerar se a segurança adicional obstruirá a produtividade de seus funcionários e se haverá resistência dos usuários ao impor a adoção da nova tecnologia. Isso também pode afetar o custo total da solução quando há um aumento de chamados de suporte técnico decorrente de usuários que precisam de ajuda extra. Implementação e gerenciamento A implementação inicial de uma solução de autenticação sólida pode exigir um investimento significativo em recursos do departamento de TI. Além disso, é preciso considerar aspectos como o gerenciamento contínuo da solução, o que pode incluir tarefas como provisionar e desprovisionar novos usuários e distribuir hardware ou software. Os recursos de TI das SMBs já são limitados. Portanto, o tempo e os recursos adicionais necessários para gerenciar adequadamente uma estratégia de autenticação sólida podem parecer intimidantes para uma equipe já sobrecarregada. 1 Forrester Research, "Best Practices: Implementing Strong Authentication in Your Enterprise", julho de NCSA/Visa Inc. Estudo sobre pequenas empresas PÁGINA 2

3 Autenticação sólida para pequenas e médias empresas O RSA Authentication Manager Express trata do custo, da praticidade do usuário e das restrições ao gerenciamento de TI das SMBs, entregando uma solução econômica e conveniente, sem comprometer a segurança. A solução é uma plataforma sólida de autenticação de multifatores que oferece autenticação remota segura para até usuários. O RSA Authentication Manager Express funciona com as principais VPNs SSL e aplicativos baseados na Web, permitindo que as SMBs implementem autenticação sólida e acesso seguro a aplicativos e dados protegidos. O RSA Authentication Manager Express conta com a tecnologia RSA de autenticação baseada em risco. Em seu núcleo está o RSA Risk Engine, um sistema sofisticado que avalia cada tentativa de log-in e atividade em tempo real, rastreando inúmeros indicadores de risco, e atribui um nível de risco a cada solicitação do usuário. O RSA Authentication Manager Express considera vários fatores para determinar o risco associado a cada solicitação de acesso, inclusive: Algo que o usuário sabe, como nome de usuário e senha Algo que o usuário tem, como um laptop ou desktop Algo que o usuário faz, como atividade recente de autenticação e de conta O RSA Risk Engine permite que as empresas atribuam políticas personalizadas, que serão estabelecidas de acordo com um limite de risco. A empresa pode atribuir vários níveis, de alto a baixo. O RSA Authentication Manager Express também permite que os níveis de risco sejam definidos por grupos de usuários. As empresas podem considerar diferentes políticas de autenticação para diferentes perfis de usuários com base em sua relação com a empresa. Por exemplo, as empresas podem ter uma tolerância maior ao risco para o acesso dos funcionários do que para o acesso de clientes ou parceiros. Se o RSA Risk Engine determinar que o nível de risco de uma solicitação de acesso está abaixo do limite permitido, o usuário será autenticado sem problemas. No entanto, se o RSA Risk Engine determinar que uma solicitação de acesso está acima do limite permitido, o usuário poderá ser convidado a apresentar outras provas de sua identidade. Definição de perfis de dispositivo: algo que o usuário tem O RSA Risk Engine analisa informações sobre cada solicitação de acesso do usuário em duas categorias principais: definição de perfis de dispositivo e definição de perfis de comportamento. O primeiro componente, a definição de perfis de dispositivo, permite que a grande maioria dos usuários seja autenticada por meio da análise do perfil do laptop ou do desktop físico, que eles normalmente usam para solicitar o acesso, e da verificação de que o dispositivo já foi associado ao usuário antes. Os dois principais componentes da definição de perfis de dispositivo são a identificação do dispositivo por exclusividade e a identificação do dispositivo por estatística. A identificação do dispositivo por exclusividade consiste em identificar um usuário incorporando dois elementos principais no dispositivo do usuário: (a) cookies seguros do próprio fabricante (b) objetos compartilhados em Flash (também conhecidos como "Flash cookies"). Os cookies seguros do próprio fabricante desempenham um papel importante na identificação de laptops e PCs. Eles envolvem a colocação de um identificador criptográfico exclusivo no dispositivo do usuário e são o mecanismo inicial usado normalmente para identificar um usuário. Os Flash cookies são usados em conjunto com os cookies do fabricante para fornecer uma dupla camada de confiabilidade. O RSA Authentication Manager Express usa os Flash cookies para marcar o computador do usuário da mesma maneira que os cookies do fabricante armazenam informações para recuperação futura. A vantagem de usar Flash cookies é que eles não são excluídos com tanta frequência quanto os cookies do fabricante, já que a maioria dos usuários não sabe que eles existem. Mesmo os usuários cientes de sua existência nem sempre sabem como removê-los. PÁGINA 3

4 A identificação do dispositivo por estatística é uma tecnologia que usa as características de um dispositivo para identificá-lo e associá-lo estatisticamente a um usuário. Também conhecida como perícia forense em dispositivo, análise forense ou análise de impressão digital de dispositivo, a identificação do dispositivo por estatística é normalmente usada como um mecanismo de apoio na falta de um identificador criptográfico exclusivo (que pode ser excluído do dispositivo). Entre os elementos avaliados no processo de identificação do dispositivo por estatística estão os dados coletados de cabeçalhos HTTP e por meio de scripts Java, por exemplo, versões de sistemas operacionais, níveis de patch do sistema operacional, resolução da tela, versão do navegador, dados do agente de usuário, versões de software, parâmetros do monitor (tamanho e intensidade de cor), idiomas, configurações de fuso horário, objetos de navegador instalados, software instalado, configurações regionais e de idioma e informações de endereço IP. Definição de perfis de comportamento: algo que o usuário faz Além da definição de perfis de dispositivo, o RSA Authentication Manager Express considera o comportamento de um usuário antes de atribuir um nível de risco a cada solicitação de acesso. A definição de perfis comportamentais é usada para identificar um log-in de alto risco por meio da avaliação de elementos como velocidade, informações de endereço IP e atividade de autenticação e de conta (por exemplo, alterações recentes no perfil de usuário ou muitas tentativas frustradas de autenticação). Por exemplo, se um usuário que normalmente faz log-in de um escritório em Nova York tentar se conectar de Moscou, o sistema poderá considerar que isso é um comportamento incomum. No entanto, se o usuário viaja com frequência e faz log-in de diferentes partes do mundo regularmente, isso pode não ser considerado um comportamento incomum. Figura 1: O RSA Risk Engine considera inúmeros elementos ao atribuir um nível de risco a cada solicitação do usuário Informações sobre IP Tokens de dispositivos específicos Padrões de comportamento Perfil de dispositivo Histórico de conta PÁGINA 4

5 Autenticação adicional para solicitações de acesso de alto risco O RSA Authentication Manager Express pode usar métodos de autenticação adicional caso uma solicitação de acesso exceda o limite de risco estabelecido por uma empresa. Isso é comum especialmente quando um usuário remoto faz log-in de um dispositivo que não é reconhecido e que não foi usado previamente para acessar a rede. O RSA Authentication Manager Express permite que as empresas selecionem entre dois métodos: SMS de banda externa (texto) e perguntas de segurança. Mensagem SMS de banda externa A mensagem de texto SMS de banda externa de segurança será iniciada quando o nível de risco associado à solicitação de acesso for alto. Quando isso acontece, o RSA Authentication Manager Express desafia o usuário a fornecer mais uma prova de sua identidade por meio de um processo de fácil compreensão. Primeiro, o sistema pedirá que o usuário digite o PIN secreto que selecionou no momento da inscrição. Em seguida, o sistema envia uma mensagem SMS automatizada ao celular que o usuário registrou para receber mensagens. A mensagem SMS contém um código exclusivo de oito dígitos que o usuário deve digitar no navegador. Assim que o sistema verificar o código, o usuário receberá acesso imediato. O RSA Authentication Manager Express também pode enviar o código por . Os principais benefícios oferecidos pela autenticação por SMS de banda externa são: ele ode ser usado com qualquer telefone celular e não exige que o usuário final compre hardware novo nem instale software. Perguntas de segurança As perguntas de segurança são questões que o usuário seleciona em uma lista e responde durante o processo inicial de inscrição ou quando uma empresa decide implementar a autenticação sólida para seus usuários. O usuário só precisa responder a um subconjunto de perguntas durante o processo de autenticação para minimizar o risco de que uma pessoa não autorizada obtenha as perguntas secretas do usuário e suas respostas. Em outros casos, as empresas podem personalizar seu próprio conjunto de perguntas em vez de usar o conjunto de perguntas predefinido fornecido pelo RSA Authentication Manager Express. Implementação e gerenciamento O RSA Authentication Manager Express é um utilitário plug-and-play que vem de fábrica com compatibilidade com as principais VPNs SSL e os principais servidores da Web. Além disso, com o RSA Quick Setup, o servidor pode entrar em funcionamento com poucos passos. A implementação para os usuários finais também é simples e direta. O RSA Authentication Manager Express pode ser conectado diretamente a um servidor de diretórios existente, e os usuários serão guiados automaticamente pelo processo de autoinscrição na próxima vez que fizerem autenticação. Como o processo de inscrição é completamente automatizado, os administradores podem evitar o tempo de provisionamento exigido por outros métodos de autenticação. PÁGINA 5

6 Principais benefícios O RSA Authentication Manager Express foi desenvolvido para satisfazer os requisitos de autenticação sólida das empresas de pequeno e médio porte. Economia. O RSA Authentication Manager Express foi projetado e cotado para atender às necessidades de empresas com até usuários. Praticidade para o usuário. O RSA Authentication Manager Express permite que a maioria dos usuários seja autenticada com seus nomes de usuário e senhas normais. Nesses casos, a autenticação de multifatores é imperceptível para o usuário, porque o RSA Risk Engine trabalha nos bastidores. O usuário só será desafiado se uma solicitação de acesso tiver sido considerada de alto risco pelo RSA Risk Engine. Fácil implementação e gerenciamento. O RSA Authentication Manager Express é oferecido em um utilitário plug-and-play que vem de fábrica com compatibilidade com as principais VPNs SSL e os principais servidores da Web. Além disso, o processo de inscrição é completamente automatizado, reduzindo o tempo que os administradores despendem para provisionar e desprovisionar usuários. Tecnologia comprovada. O RSA Authentication Manager Express emprega a mesma tecnologia de autenticação baseada em risco que foi implementada em mais de empresas de vários setores, como serviços financeiros, assistência médica, seguros, varejo e governo. Atualmente, a tecnologia RSA de autenticação baseada em risco é usada para proteger mais de 250 milhões de identidades de usuários, bem como o acesso a uma série de aplicativos e sistemas, inclusive sites, portais e aplicativos de VPN SSL. Conclusão O RSA Authentication Manager Express permite que as empresas de pequeno e médio porte mudem para uma autenticação sólida, econômica e prática para os usuários finais e para os administradores de TI. Com o RSA Authentication Manager Express, as SMBs podem impedir o acesso não autorizado, reduzir o risco de violação de dados, tratar dos requisitos de conformidade de um jeito que cabe no orçamento e estender com segurança os privilégios de acesso remoto a novos usuários. PÁGINA 6

7 Desbancando os mitos da autenticação sólida Mito Realidade Minha empresa usa senhas seguras, e exige-se que nossos funcionários as alterem regularmente, o que diminui os riscos. Senhas seguras que incluem números, letras maiúsculas ou caracteres especiais podem ser difíceis de adivinhar (para um hacker), mas também são difíceis de lembrar (para os funcionários). Isso pode fazer com que os funcionários escrevam suas senhas em papel ou incorram em outras atividades que aumentem o risco. Uma autenticação realmente sólida exige mais de um fator algo além de uma simples senha. Minha empresa não tem dinheiro para bancar a autenticação sólida. A autenticação sólida pode ser muito econômica, não só para grandes empresas. Por exemplo, o RSA Authentication Manager Express foi desenvolvido e cotado especificamente para empresas com um número pequeno de usuários e um orçamento de TI limitado. O custo da autenticação sólida supera os benefícios. O custo da autenticação sólida é muito inferior ao custo que sua empresa teria no caso de uma violação de dados ou com as multas e penas por não conformidade. Além disso, a autenticação sólida pode ajudar a criar oportunidades de negócios que geram mais receita e simplificam os processos de negócios, fazendo com que os custos de manter uma segurança mais sólida pareçam insignificantes. As ameaças cibernéticas visam somente a grandes empresas e agências do governo. Ao contrário. Os criminosos cibernéticos estão atacando empresas de pequeno e médio porte frequentemente, porque as SMBs normalmente têm controles de segurança limitados, o que as torna mais vulneráveis a um ataque. PÁGINA 7

8 Sobre a RSA RSA é a melhor fornecedora de soluções de segurança, risco e conformidade, ajudando as principais empresas do mundo a ter sucesso por solucionar seus desafios de segurança mais complexos e confidenciais. Entre esses desafios está gerenciar o risco organizacional, manter seguros a colaboração e o acesso móvel, fornecer conformidade e proteger ambientes virtuais e em nuvem. Combinando controles essenciais aos negócios para garantia de identidade, prevenção contra perda de dados, criptografia e tokenization, proteção contra fraudes e SIEM com os principais recursos de egrc e serviços de consultoria, a RSA leva confiabilidade e visibilidade a milhões de identidades de usuários, às transações que eles executam e aos dados que são gerados. RSA, o logotipo RSA, EMC², EMC e where information lives são marcas registradas ou comerciais da EMC Corporation nos Estados Unidos e em outros países. Todas as outras marcas comerciais utilizadas neste documento pertencem a seus respectivos proprietários EMC Corporation. Todos os direitos reservados. Publicado no Brasil. AMX SB 0111