CyberArk ile HSM entegrasyonu

Cyberark Ayrıcalıklı Erişim Güvenliği (Privileged Access Security) çözümü, kuruluşların ayrıcalıklı hesap yönetimini kolaylaştırır ve güvenli bir yapı oluşturur. Ayrıcalıklı hesapların korunması, izlenmesi, aktivitelerinin tespiti ve olay müdahalesini tek bir merkezden yapılmasına olanak sağlar. Unix, Linux ve Windows tabanlı sistemler, veritabanları, sanal sistemler, ağ cihazları, SaaS, web siteleri ve sosyal medyalar da dahil olmak üzere bir çok ayrıcalıklı hesabın şifresini yönetir, RDP ve SSH Proxy’ler sayesinde oturumları kayıt altına alır, izole ve kontrol eder.

CyberArk Ayrıcalıklı Hesap Güvenliği çözümünün özünde, ayrıcalıklı hesap kimlik bilgilerini, erişim kontrol politikalarını, kimlik bilgisi yönetim politikalarını ve denetim bilgilerini saklayan oldukça güvenli bir veritabanı içeren CyberArk Dijital Vault bulunur. Cyberark, tüm hassas bilgileri Digital Vault’ta    saklar ve Digital Vault Cyberark çözümünün kalbidir. Ayrıcalıklı kullanıcı hesaplarının kötü amaçlı kullanımını önler ve ayrıcalıklı hesapların düzenini ve korunmasını sağlar. Digital Vault, ayrıcalıklı hesap güvenliği politikasına göre bu hesapların güvenliğini sağlayarak, kimlerin ne zaman, hangi şifrelere erişim sağlayabileceğini kontrol eder. Bu otomatikleştirilmiş süreç ayrıcalıklı hesapların manuel olarak yönetilmesindeki hataların ve güvenlik risklerinin önüne geçerek, operasyonel yükü ortadan kaldırır; denetim ve uyumluluk gereksinimlerinin karşılanmasını sağlar.

Hassas veriler sistemler arasında iletildikçe, ağ içinde gizlice dinleyen saldırganlara maruz kalabilir. Bu saldırganların ele geçirilen trafikten ayrıcalıklı hesap kimlik bilgilerini yakalamasını önlemek için CyberArk, Dijital Vault’a gelen ve giden tüm verilerin taşıma sırasında şifrelenmesini sağlar. Hem Digital Vault veritabanının kendisini hem de veritabanında depolanan verileri korumak için, FIPS 140-2 uyumlu kriptografik algoritmalar kullanan çok katmanlı bir şifreleme hiyerarşisi tasarlanmıştır. Simetrik şifreleme benzersiz bir AES-256 anahtarı kullanılarak ve asimetrik şifreleme için benzersiz bir RSA-2048 anahtar çifti kullanılarak tamamlanır. Bu şifreleme düzeyi uygulandığında, ağ içindeki saldırganlar CyberArk bileşenleri arasında akan trafiği görebilir, ancak trafik algılanamaz ve böylece saldırganlar için kullanılamaz.

Cyberark depolanan hassas verilerin şifrelenmesinde iki harici key grubu kullanmaktadır. Bu key hiyerarşisinin en üstünde Server Key yer alır. Safe Key’ler Server Key kullanılarak şifrelenir. Server Key olmadan Cyberark Vault sunucusunda saklanan bilgiler anlamsızdır, çünkü şifre çözme işlemine başlamak için Server Key gereklidir. Recovery Key’ler Digital Vault’un çalışmadığı durumlarda verileri kurtarabilmek için kullanılmaktadır. Bu anahtar çok nadir görülen arıza durumlarında kullanılmalıdır. Recovery Key, Public Recovery Key ve Private Recovery Key’den oluşan asimetrik bir anahtardır. Cyberark key hiyerarşisi aşağıdaki şekilde de görülmektedir.

Bu anahtarlar sunucuya ve içinde depolanan verilere erişimi sağladığından Cyberark Privileged Access Security çözümünün güvenliğini arttırmak için, Server Key’in FIPS 140-2 Level 3 standardını karşılayan; hardware ve software  güvenliği uluslararası otoriteler tarafından tescillenmiş Hardware Security Module (HSM)’ler üzerinde tutulması önerilmektedir. FIPS 140-2 sertifikalı bir HSM’yi kimlik yönetimi çözümüne dahil etmek, tüm altyapının güvenliğini en üst düzeye çıkarır ve kritik kurumsal verilerin gizliliğini, bütünlüğünü ve kullanılabilirliğini sağlar.

Hardware Security Module (HSM)’ler hassas kriptografik anahtarları fiziksel ortamda saklamak ve kriptografik işlemleri en güvenli şekilde gerçekleştirmek için üretilmiş özel güvenlik donanımlarıdır. Bu donanımlar uygulamaların güvenli bir şekilde çalışmasını sağlarlar.

Cyberark HSM entegrasyonu ile birlikte anahtar güvenliği katmanında oluşabilecek zaafiyetlerin önüne geçilmektedir. Server Key, fiziksel bir kasanın anahtarı gibi kasayı açmak için kullanılan anahtar olmasından dolayı, sunucu her başlatıldığında anahtara ihtiyaç olmaktadır. Dolayısıyla Cyberark HSM entegrasyonu ile birlikte sadece fiziksel bir donanımda saklamanın ötesinde Digital Vault’un Server Key’e her ihtiyacı olduğunda HSM üzerinden anahtara erişim sağlayarak farklı bir operasyonel işleme ihtiyaç olmadan kasa başlayabilmektedir. HSM’in Cyberark Privileged Access Security çözümünün topolojisindeki konumu aşağıdaki şekilde görüldüğü gibidir. Cyberark yapısında bulunan tüm Vault sunucular HSM cihazı ile haberleşebiliyor olmalıdır.

Bir HSM, Cyberark çözümü ile iki şekilde entegre edilebilir; var olan Server Key ilgili HSM cihazına yüklenebilir veya daha fazla güvenlik için, HSM cihazında yeni bir Server Key oluşturulabilmektedir.

• HSM üzerinde yeni bir Server Key oluşturuyorsanız, bir Network HSM olmalı ve tüm Vault sunucuların anahtarı alabilmesi için bu HSM’e erişimleri gerekmektedir.
• Var olan Server Key’i HSM’e yüklüyorsanız, her bir Vault sunucusu için Network veya Local HSM’e  ihtiyaç olmaktadır.

CyberArk Ayrıcalıklı Erişim Güvenlik Çözümünün HSM’lerle entegrasyonu;

• Kasalara veya dosyalara erişmek için kullanılan şifreleme anahtarlarını yönetmek için ek bir güvenlik katmanı sağlar.
• Kritik verilerin gizliliğini, bütünlüğünü ve kullanılabilirliğini sağlar.
• Kasa içinde kullanılan ve güvenli bir ortamda barındırılan kritik şifreleme anahtarlarını korur ve güvenli bir kasada korunarak açıkta kalması veya tehlikeye girmesi riskini azaltır.
• Anahtarların gerektiğinde her zaman erişilebilir olmasını sağlamak için gelişmiş anahtar yönetimi, depolama ve yedeklilik sağlar.
•  Denetimin ve veri güvenliği düzenlemelerine uyumu kolaylaştırarak operasyonel verimliliği artırır.

CyberArk Thales nShield, SafeNet Donanım Güvenlik Modülleri ve Utimaco CryptoServer gibi herhangi ir PKCS # 11 uyumlu HSM ile entegre edilebilmektedir.