«Аванпост» объявила о выпуске нового программного продукта Avanpost FAM (Federated Access Manager), не имеющего аналогов на российском рынке. Это ПО представляет первостепенный интерес для любых крупных организаций, включая министерства, ведомства и другие органы власти, госкомпании, муниципальные образования, вертикально-интегрированные предприятия, холдинговые структуры, компании, являющиеся центрами или участниками партнерских кластеров, обычные и сетевые коммерческие предприятия.
Сегодня любой такой организации, каковы бы ни были масштаб и профиль ее деятельности, специфические требования к процессам аутентификации пользователей всех уровней полномочий в корпоративной ИС, а также особенности ИТ-ландшафта, необходима надежная, гибкая масштабируемая система единого входа (SSO), распространяющаяся на все виды ПО. — от самого современного до унаследованного. Avanpost FAM позволяет создавать такие системы, совмещая самые жесткие требования к ИБ с удобством для пользователей и повышением продуктивности их работы. При этом надобность в других решениях класса SSO отпадает.
Avanpost FAM обеспечивает однократную аутентификацию для ПО, предоставляемого как самой организацией, так и ее доверенными партнерами. В обоих случаях аутентификационные данные сотрудников не выходят за периметр организации.
Avanpost FAM — это импортонезависимое ПО, позволяющее организации-заказчику выполнить все требования центральных и отраслевых регуляторов. В частности, исключить размещение персональных данных пользователей на зарубежных серверах при использовании иностранных SaaS-решений.
Система единого входа, созданная с помощью Avanpost FAM, охватывает все применяемые сегодня архитектуры Enterprise-ПО, включая: размещаемые на собственных мощностях (on-premise) и «облачные» (SaaS) Web-приложения, мобильные приложения, а также традиционное корпоративное ПО с устанавливаемыми десктопными клиентскими приложениями (как с толстыми, так и с тонкими клиентами), унаследованное программное обеспечение любой архитектуры.
Универсальная инфраструктура SSO, на основе которой предприятие-заказчик предоставляет своим сотрудникам единый сервис однократной аутентификации, бесшовно вписывается в ИТ-ландшафт современных ИС, гладко взаимодействуя с системами управления каталогами MS Active Directory (AD) или аналогичными решениями на основе ПО Open Source. При этом Avanpost FAM значительно повышает надежность аутентификации за счет совместного применения многофакторной аутентификации и сложных политик аутентификации. С помощью таких политик организация может решать множество задач, например, предусмотреть разные процедуры и наборы факторов аутентификации для разных категорий сотрудников, ввести корпоративные стандарты аутентификации и обеспечить их соблюдение, выполнить требования регуляторов и др.
Avanpost FAM умеет работать практически с любыми факторами аутентификации, включая: физические факторы (ключевые носители, смарт-карты считыватели биометрических данных, и считыватели меток); одноразовые коды (SMS, TOTP, HOTP, messengers); сертификаты и ЭП (электронную подпись); данные среды, полученные от сетевого окружения, СКУД и из других источников; и аутентификацию средствами домена (SPNEGO/Kerberos). Отметим, что Avanpost FAM позволяет компании внедрить единые пропуска сотрудников, которые можно использовать как для контроля прохода на территорию предприятия, так и в качестве дополнительного фактора аутентификации в корпоративных ИС и в прикладном ПО.
До появления Avanpost FAM крупным организациям для реализации функций SSO приходилось создавать и сопровождать сложный набор ИБ-решений. В итоге, подавляющее большинство организаций останавливалось на уровне аутентификации с помощью домена MS AD, что плохо, как минимум, ввиду большого штата администраторов, имеющих практически неограниченные права в информационных системах. Применение же многофакторной аутентификации на основе проприетарных западных ИБ-решений требовало неприемлемых для большинства российских организаций эксплуатационных расходов, а также приводило к размещению аутентификационных данных сотрудников за пределами РФ, что является грубым нарушением действующей нормативной базы РФ и неустранимым источником санкционных и иных рисков.
Avanpost FAM устраняет все эти проблемы. Один программный продукт дает организации-заказчику самые совершенные технологии аутентификации (для всех видов ПО), позволяет значительно снизить расходы и устранить наиболее опасные уязвимости в системе SSO, а также выполнить требования регуляторов (ФСТЭК РФ, ФСБ РФ, ЦБ РФ и др.) в части парольных политик и аутентификации. Одновременно повышается не только уровень информационной безопасности, но и удобство пользователей. А финансово-экономические показатели подсистемы SSO и всей системы ИБ существенно улучшаются.
В Avanpost FAM функцию SSO для всех видов корпоративного ПО обеспечивает единое ядро аутентификации, использующее современные протоколы аутентификации (OpenID, OpenID Connect, OAuth и SAML) и архитектуру IdP (identity provider). В роли IdP Avanpost FAM принимает разрешающие или отклоняющие решения по запросам на аутентификацию, поступающих от всех видов ПО. Сложившиеся долгосрочные тренды в создании нового корпоративного ПО и миграции с унаследованного ПО показывают, что именно такой подход намного выгоднее и перспективнее для организации-заказчика, чем сохранение приверженности технологиям, сложившимся в сфере Enterprise SSO в доинтернетовскую эпоху.
Современные корпоративные web-приложения и SaaS-сервисы изначально поддерживают архитектуру IdP и указанные протоколы аутентификации. В таком ПО очень просто указать Avanpost FAM в качестве IdP. Причем настроить аутентификацию через Avanpost FAM можно не только для ИС на базе ПО, размещенного на собственных серверах организации-заказчика, но и в SaaS-приложениях. Средствами Avanpost FAM можно обеспечить аутентификацию с должными уровнями защиты, контроля и гарантии в условиях распределенной инфраструктуры, часто предоставляемой сотрудникам организации-партнера и/или другими предприятиями, входящими в холдинговую структуру. Как при обычной, так и при федеративной аутентификации (два последних сценария) Avanpost FAM сделает все необходимые проверки, применит принятые в организации политики ИБ, запросит от пользователя нужные в данном случае факторы аутентификации, проверит их и примет окончательное решение по поступившему запросу. Результат аутентификации пользователя будет возвращен той ИС, от которой поступил запрос на аутентификацию. И в зависимости от результата аутентификации, ИС будет принимать решение о предоставлении ресурсов ИС пользователю.
Новое корпоративное ПО, имеющее традиционную архитектуру, также зачастую использует инструменты аутентификации, пришедшие из Интернет. Это устойчивый тренд. Но если поддержки этих стандартов нет, ее нетрудно реализовать, доработав функцию аутентификации данного ПО с использованием библиотек, существующих для всех популярных языков программирования.
С помощью Avanpost FAM к системе единого входа не трудно подключить и унаследованное ПО. Здесь имеются две возможности. С унаследованными web-приложениями Avanpost FAM может работать в режиме Reverse Proxy — в этом случае система выступает в роли посредника, модифицирующего запросы от пользователя к приложению и обратно по настроенным для этого приложения сценариям. Для аутентификации в десктопной программе на АРМ используется легковесный Агент из состава Avanpost FAM. Агент позволяет обеспечить и реализовать многофакторную аутентификацию как при входе в ОС, так и при работе пользователя в сеансе ОС. При запуске десктопного приложения Агент идентифицирует и перехватит окно входа программы, которая подключена к Avanpost FAM, и проверит достаточность предоставленной пользователем цепочки факторов аутентификации. Если пользователь аутентифицирован по требуемому набору факторов в соответствии с политиками и может получить доступ к приложению — Агент безопасно загрузит и подставит данные в окно приложения за пользователя, тем самым выполнив аутентификацию. Для манипуляций с этим окном агент использует компактные шаблоны, настраиваемые для каждого приложения прямо в административном интерфейсе Avanpost FAM. Соответственно, подключение десктопного приложения обычно сводится к настройке шаблона и не требует программирования.
