Опыт внедрения Indeed AM на предприятии ПАО «Сегежа Групп»

Компания Индид в партнёрстве с ООО «Траст Технолоджиз» предоставляет возможность внедрения Indeed Access Manager — системы аутентификации и централизованного управления доступом для обеспечения безопасности корпоративных ресурсов. Знакомимся с кейсом из реального опыта.

Статья опубликована на портале https://www.anti-malware.ru/ Для вашего удобства часть материала мы опубликовали здесь.

Для эффективного и безопасного управления доступом к корпоративным ресурсам требуется специализированное централизованное решение, которое позволит удовлетворить следующие потребности:

• Собрать информацию по доступным пользователю информационным системам в одном месте.
• Реализовать механизм единого входа — Single Sign-On (SSO).
• Определять, какие технологии аутентификации должны быть использованы для входа в каждую информационную систему.
• Запрещать доступ к информационным системам.
• Вести журнал получения доступа.

В Indeed AM централизация достигается использованием различных технологий аутентификации пользователей и протоколов интеграции — в зависимости от того, что поддерживает целевая система. За счёт этого Indeed AM адаптируется к требуемым сценариям доступа и в каждом конкретном случае предлагает пользователям оптимальную технологию аутентификации в едином окне, которое может быть доработано под корпоративный стандарт каждого конкретного заказчика. Присутствует возможность организовать контролируемый доступ к информационным ресурсам как внутри сети компании, так и снаружи (почта, VPN, VDI и веб-порталы).

ПАО «Сегежа Групп» — крупный российский лесопромышленный холдинг. Основной целью внедрения Indeed AM являлось повышение общего уровня информационной безопасности за счёт строгой аутентификации пользователей с использованием второго фактора. Применение многофакторной аутентификации обусловлено необходимостью персонализировать сотрудников и подрядчиков, имеющих возможность удалённого подключения к инфраструктуре «Сегежа Групп».

Система многофакторной аутентификации охватывает более 2000 дистанционных пользователей компании, которые подключаются к корпоративным ресурсам с использованием VPN-клиента. К архитектуре системы и топологии размещения её компонентов предъявляются следующие требования:

• Система должна работать локально (on-premise).
• Система должна обеспечивать аутентификацию и доступ к приложениям для пользователей всех территориальных площадок компании.
• Выход из строя компонентов системы на одной из территориальных площадок не должен влиять на работу пользователей других таких площадок.
• Восстановление вышедшего из строя компонента или сервера должно выполняться без приостановки работы действующих элементов системы, компонентов службы каталогов и серверов приложений.

Интеграция системы Indeed AM в «Сегежа Групп» предполагала поддержку двухфакторной аутентификации с использованием протокола RADIUS, стандарта SAML и аппаратных токенов. В отношении второго фактора заказчик сделал акцент на использовании в первую очередь пуш-аутентификации (подтверждение входа на смартфоне) в собственном мобильном приложении Indeed Key.

Внедрение выполнила компания «Траст Технолоджиз» — системный интегратор, специализирующийся на информационной безопасности, защите объектов критической инфраструктуры и проектах построения локальных вычислительных сетей.

Специалисты «Траст Технолоджиз» провели предварительное обследование ИТ-инфраструктуры, разработали концепцию построения системы двухфакторной аутентификации в «Сегежа Групп».

В течение двух недель решение Indeed AM было развёрнуто, интегрировано со службой каталогов Active Directory и передано в опытную эксплуатацию. В дальнейшем специалисты настроили портал для самостоятельной регистрации второго фактора аутентификации и выполнили интеграцию с RADIUS. Инженеры «Траст Технолоджиз» разработали и применили политики доступа, основанные на группах пользователей из Active Directory.

Защита доступа к корпоративным ресурсам является одной из основных задач по обеспечению информационной безопасности любой компании. Проблему слабых паролей и украденных учётных записей возможно решить путём внедрения системы двухфакторной аутентификации. Специалисты «Траст Технолоджиз» успешно реализовали такую систему в ПАО «Сегежа Групп», что позволило заказчику снизить риски, связанные с несанкционированным доступом в инфраструктуру и утечкой конфиденциальной информации.