Descripcion zscaler v.2
0 recomendaciones965 vistas
Zscaler ofrece acceso seguro a Internet a través de una arquitectura en la nube altamente escalable. Su infraestructura global distribuye componentes de proxy para crear una red global que actúa como un proxy único. Esto proporciona servicios como antivirus, filtrado de URLs y control de contenido. Zscaler incrementa la seguridad de sus clientes aplicando filtros en línea y escaneando el tráfico para detectar amenazas.
Descripcion zscaler v.2
- 1. Intr roducc ción Zscaleer provee accceso a Interneet de forma seegura y basadda en política as, para cualqquier empleaddo, en cualquier dispositivo y en cualqquier lugar a t través de su a arquitectura een la nube alt tamente escaalable. Es una solución de e seguridad SaaaS (Security as a Service) con el más bbajo costo de pertenencia (TCO) egrar servicio al inte os de anti‐viru us, anti‐spyw ware, Amenazas Avanzadas s, Filtrado de e URLs, Contrrol de Web 2.0, Control de Ancho de Banda, Cont trol de Flujo de correo eleectrónico, An ntispam y ant tivirus para ccorreo electróónico y Preve ención de Fugga de Datos (DLP, Data Los ss Prevention n). Infraestructur ra La inf fraestructura global de Zs scaler distrib buye los componentes de un proxy para crear una red e global gigante que actúa como un proxy ú e o único, de forma que cualquier usuario puede enviar su o tráfico o a cualquier ZEN (Nodo d de Procesamie ento Zscaler), , para acceso seguro a Inte ernet. Esta infraestructur ra está compu s componentes clave: uesta por tres Nodo de Procesam o miento Zscale (ZEN – Zsc er caler Enforce ement Node) Alrededor de 40 datace ): enters distrib buidos munddialmente, alltamente esccalables y M Multi‐Tenant (cualquiera puede atend el der tráfico o de cualquie er usuario del cliente). Confid dencial Zscaler 200 09‐2011.
- 2. Autorridad Central (CA – Cent tral Authority Infraestru y): uctura encarg gada de cont tener la polít tica a aplica y servirla al nodo d procesam ar a de miento. También encargada del mo onitoreo, sal lud y adminnistración de los nodos de procesamien nto o ZENs. Servi idores Nanoloog (NS – Nan nolog Servers rs): Servidores s encargadoss de guardar l los registros dde las transa acciones de lo os usuarios, a así como proc cesarlos para el reporteo e en tiempo rea al y análisis. Media ante la inteli igencia de Na anolog se log una redu gra ucción de 50:1 del tamañ de los mis ño smos, permitiéndonos gu uardar hasta 6 meses los registros por r defecto. Exttendible a añños en caso d de ser sario. neces as a la Tecnología de Nanolog, Zscaler da visibilidad Gracia d sin paraleloo, guardando la URL completa y todos los registros referentes a las transacciones del us s s suario, incluy yendo la laten al procesar la ncia transa acción en el pproxy de Zscaler: "No. ","Time","U User","SSL","URL","Policy Action","A y Application CClass","Appliication","Rec ceived Bytess","Sent Byt tes","Total Bytes","Prox Latency (milli‐sec)"," xy "Server Traans. Time ( (milli‐ sec)", ,"Client Trans Time (mill s. li‐sec)","URL Class","URL Supercatego ory","URL Cattegory","Mal lware Class" "Malwar ", re Categor ry","PageRiskk","Location"","Departmen nt","Client IP","Server IP", "Requuest", "Respo onse","Agent t","URL Categgorization Me ethod" Las em mpresas redirigen el trafic co web al Nod do de proces samiento más s cercano, el CA sirve la po olítica que g gobierna el acceso del us suario a Inter rnet y el Nod de proces do samiento la a aplica. El Nod de do Proceesamiento, Ze está cons en, struido sobre un sistema o operativo y u stack TCP/ personalizados un /IP para eentregar el 900% de las transacciones en n menos de 9 90 microsegundos. Todos los registros d de las transaacciones son guardados en n un servidor Nanolog cen ntralizado parra procesarless en tiempo real. s los componentes tienen múltiples niv Todos veles de redun ndancia para asegurar la a alta disponibil lidad. Confid dencial Zscaler 200 09‐2011.
- 3. Dife erenci iadore es. Seguridad Zscaler increment la Seguridad a sus clie ta entes, al aplic filtrado e línea, de las definiciones de car en segurridad (AV, AS,, Amenazas AAvanzadas, W Web Access Control, File T Type Control, Risk Index, e etc.) a todo el trafico web, escaneand do de forma p profunda el trafico (http h headers, http payload, tannto en tud como respuesta) a me solicit edida que pasa por su infra aestructura. Antivirus y Antispyware en línea. El tráfico generado po or los usuario os es escaneaado en tiempo o real por la as definicione es más actuale es y medidas de seguridad d para proteg gerles de Viru us y Spyware. Proteección de Amenazas Av A vanzadas. Pr rotección pr ropietaria coontra amena azas de sigu uiente gener ración como contenido ac ctivo malicios botnets, C so, Cross Site Scr ripting (XSS), Robo de Cookies, anoni imizadores, P Phishing y unaa nueva generación de am menazas hostiles a través d de web 2.0, gracias al esc caneo profun paquetes (http headers, http payload tanto en s ndo de los p d solicitud com en mo respuuesta). Zscale incorpora también protecciones d terceros ( er de (best of bree y de día cero al ge ed) a enerar protecciones en base a las vulnerabilidade compartida a través d partnerships con difer b es as de rentes prove eedores, por e ejemplo Micr rosoft en su pprograma MA APP, que com mparte las vulnerabilidadees que encueentran cada mmes y Zscaler r, para las rel lacionadas co on vulnerabili idades en la navegación, a aplica firmas s de proteccióón para prote eger automát ticamente a todos sus clientes, en cuesstión normalmmente de ho oras después d de recibir dicha informació ón. Contr rol de Acceso o a la Web. Zsscaler permitee el bloqueo d de browsers//versiones que el administtrador consid dere no seguras u obsolet tas. Por ejem mplo, bloqueaar Internet Ex xplorer versio ones 7 hacia a abajo, pero permitir las v versiones 8 y 9 al consider rarles más seguras. Ademá ás puede esccanear por plu ug‐ins ucos” o vulnerables. “cadu Contr de Tipo de Archivos ( rol d (File Type Coontrol). Zscale tiene la ca er apacidad de aplicar filtrad de do tipos de archivo en base a po e olíticas defin nidas por el a administrado Por ejemp no permitir la or. plo descaarga de ejecu utables de ca ategorías que el administrador considere de mayo riesgo (hacking, e or violen nce, etc). Riesgo de Web (web Risk). Adicionalme ente Zscaler calcula un índice de r riesgo en ba ase a conoccimiento del destino (por ejemplo sitio o de categorí ía de mayor riesgo, como o hacking, dominio regist trado recienteemente, domminio con histtorial de albe ergar código malicioso) y conocimient del to conteenido (por ejemplo sitio que utiliza o ofuscación de código, im e mágenes de c cero pixeles, etc.), determinando un í índice de ries sgo final de 0 a 100. El adm ministrador coontrola que ra ango de índicces de o permite. riesgo Confid dencial Zscaler 200 09‐2011.
- 4. Funcionalidades d de Seguridad SMTP (correo o empresaria al) Escan de Antivirus y Antisp neo pyware para SMTP en lín nea. Validar que el tráfico recibido po los o or usuarrios de EL CLIENTE sea esccaneado en tiempo real po or las definici iones para pr rotegerles de Virus y Spywware, amenazas de dia cero y phishing g intentando l la descarga de un archivo de virus valid dando los reportes/transaacciones. Filtrad de correo SPAM. Zsca provee e filtrado de correo spam mediante m do o aler el m multiples mét todos, como el filtrado in o nicial en base a reputació de conexiones y poste e ón erior el escan de los co neo orreos contra firmas de detección de SPAM. Adem agrega f a d más, flexibilidad para la aplicac ción de difer rentes umbrales de antisp pam en base al usuario/grupo Administrac ción. Filtrad do de URL. ZZscaler filtra c con alrededo ercategorías/categorías de URLs y el cliente or de 90 supe e puede e recategorizar los sitios p por url, dominio o keywor rd en la url e en las categor rías predefini idas o bien, crear categorrías propias. Adem más, agrega fle exibilidad par ra la aplicació ón de la políti ica en base a locaciones, identificadas por la IP hommologada Fijaa origen del t trafico y una locación especial, “Road Warrior”, parra la identific cación de los usuarios móviles, así co s omo la aplicación de cuot en base a MB consum tas a midos o tiemp de po naveg gación. Zscale er puede refo orzar la aplica ación del filtr ro safesearchh en los princ res de búsqueda y cipales motor youtu ube, indicando o a dichos sittios el no mosstrar resultad dos de búsquedas de contenido inapropiado o que e no vayan aco orde a las pollíticas de uso aceptable dee la empresa. Contr Zscaler permite controles adicionales a rol Web 2.0. Z al filtrado de c contenido, en n sitios de we eb 2.0 como autorizar/p o permitir archivos adjunto en webm os mail, post en redes sociales, upload en n ds stream ming, envío d de archivos en n WebIM. Contr rol de Ancho de Banda (Ba andwidth Control). Zscaleer permite “tr raffic shaping” mediante lí ímites de coonsumo de an ncho de band da por aplicaciones WEB predefinidas (denominada as “clases”), como streamming, redes sociales, de escarga de a archivos gran ndes y medi iante la crea ación de “cllases” persoonalizables po or EL CLIENTE E (definidas p por dominios/ /urls). Ademá ás permite el control de li imitar el anc de banda consumido mediante la aplicación d cuotas en Bytes/tiemp por usuar cho o a de n po, rios o grupo os. Contr de flujo SMTP Zscaler provee capa rol S r acidad para d definir reglas de flujo de correo (SMT en s TP) donde se pueden tomar acc e n ciones depen ndiendo del remitente, d destinatario, tipo de arcchivos adjun ntos, etc., incluida la entregga del correo o solamente a través de un n canal encripptado. Confid dencial Zscaler 200 09‐2011.
- 5. Alias y Redirecciónn. Zscaler pro ovee la capacidad para reddirigir y/o cop piar a otra cuenta de corre eo del usuarrio, correos qu ue cumplan laa condición e especificada d de remitente y destinatario. Cumplimien nto. Preve ención de fug ga de Datos (DDLP, Data Losss Prevention n). Zscaler puede escanear r el trafico saliente WEB yy SMTP, en bbúsqueda de i información s sensitiva (me ediante diccioonarios) que e envían los usu uarios y perm mite al administrador bloquearla/repo ortarlo si lo re equiere. El Administrador r puede defin nir sus propio os diccionario os y agruparlees en base a m motores que después puede aplicar en las reglas. er provee diccionarios pre Zscale edefinidos, po or ejemplo de e detección dde tarjetas de e crédito, núm meros de seg guro social dee USA, etc. Reporteo y a análisis. Gracia a la tecno as ología propietaria para re egistros y rep porteo a trav de los se vés ervidores Nannolog, Zscale er logra la consolidación yy correlación de la informa ación de los registros de l la actividad W WEB y SMTPP de los usuar rios alrededo or del mundo o y en tiempo o real, incluye endo todas laas locaciones de la empresa e incluye endo los usuaarios móviles de la misma, indicando el estado d seguridad de la s o de nización. organ Zscale provee re er eportes en b base a aplica aciones, locaaciones, departamentos, top de usu uarios, categorías de URLs s, y con múltiples filtros coomo mostrar rle en Transac cciones, Bytes consumidos s, con period dos de “Hoy” ”, “Ayer”, “Es sta Semana”, “Ultima Sem mana”, “Este MMes”, “Ultim mo Mes”. El adm ministrador aaccede a los r reportes en t tiempo real y y de forma dinámica a trav vés de selecccionar con el puntero las diferentes pa artes de las g gráficas, modifica de forma a inmediata la información que le es mostrada en otras gráfic en la mi n cas isma pantalla El adminis a. strador puede “guardar” algún e repor rte/vista que sabe va a esttar validandoo continuamente para su f facilidad y ahora solo acceederlo desde e un link. El clie ente puede programar el envío de los reportes salvados por medio de correo electrónic en p co, donde e se enviará u un correo conn un link, que e al ser visitad do, dará el miismo reporte dinámico en Flash que se e puede acceesar en la UI. Los re eportes gráfic cos en la UI, p pueden ser también export tados a formaato PDF. Confid dencial Zscaler 200 09‐2011.
- 6. Los re eportes transaccionales, ac ccesibles de f forma dinámi ica al dar dob ble click en las partes de innterés en la parte gráfica a, al igual quee aquellos geenerados desde el motor de análisis que permite b buscar regist tros específicos en base a diferentes c a condiciones, pueden expo ortarse a un archivo csv, hasta 100,0000 registros. Zscale es la única solución co visibilidad inmediata e base a cu er a on d en ualquier usuaario, al conta con ar reporrtes en tiempo real por us suario. Estos r reportes son el total de tipos de repor rte que se cue entan para lla compañía, pero a nivel d de usuario. Zscale Provee tam er mbién dentro de la UI, un motor de A o n Análisis de lo registros de la empresa por os a, defauult de los últim mos seis mes ses de historial. Extensible e sin problem ma a años por una subscri ipción adicio onal. Zscale Cuenta tam er mbién con el Reporteo en Base a Rol (RBR, Role Based Repor l l rting) en don El nde cliente puede dele egar el acceso o a los reporte es de acuerdoo a roles. Indica a que rep portes tiene acceso uario admin e el usu en la UI depen ndiendo de la a función (Sec curity, Manag ge, Comply) y y después asig gna el rol al administradoor, indicando ahora el alca ance dentro d de la empresa a, si es a nivel compañía, o o bien solo aa algunos dep partamentos o locaciones. Esta funcion nalidad será e extendida a A Administració ón en Base a Rol, pudienndo ahora delegar también la administración de políticas en base a las funcio ones y alcancce (organizacción, departam mentos, locac ciones). Confid dencial Zscaler 200 09‐2011.
- 7. Imp plementación. Zscale es un Serv er vicio de ultra baja latencia y muy alto desempeño que permite a las emp a o presas reduc el Costo Total de Prop cir T piedad (TCO) al aplicar la Política de Uso Aceptable (AUP) y filtrar ) a amen nazas en el trafico de navegación de los usu uarios, no immporta lo ddistribuida d su de infrae estructura, e i incluyendo lo os usuarios en n dispositivos móviles. ministrador d El Adm de la empresaa define la poolítica a aplica ar a través de e una interfaz en Web, y esta es aplica ada inmediattamente a ttodo del tráfico. El admministrador n tiene que preocupars de no e se admin os, actualizaciones, etc., so nistrar equipo olo por definiir la política a aplicar. Redirección Trafico Web b Zscale permite la implementación mediante diferente métodos de redirecció soportan er a es ón, ndo la ección de todo el tráfico de redire e El cliente. Z Zscaler puede e escanear tan nto el tráfico http como ht ttps al realizar intercepció ón del trafico o cifrado. Túnel les GRE y PBR R para re‐direeccionar el trááfico Web (pu uerto 80 y 443 3) a través dee dichos túneles. Archiv pac. Archivos de auto configuraci en donde el administ vos o ión e trador indica al browser d los de usuarrios a que pro oxy enviar el t tráfico Web (H HTTP, HTTPS)), en este casoo al servicio d de Zscaler. Confid dencial Zscaler 200 09‐2011.
- 8. Proxyy Chaining. Enn proxies ya e existentes en la infraestruc ctura del cliente, en donde se indica a dicho proxy no enviar el tráfico dire y e ecto a intern net, sino que hay un pro ascenden (el servic de e oxy nte cio Zscale er). Port Forwarding. Para lograr la redirecció del tráfico con puerto 80 reescribi ón o iendo la dire ección destin no a la direcci ión de los nod dos de acceso o. Aute entica ación. Serviddor LDAP. Zscaler cuenta con la funcio onalidad de p poder autenticar vía LDAP seguro a ser rvicios de Dirrectorio (AD entre ellos). E Esto permite al administra ador el aprov vechar los gru upos creados ya en el Dire ectorio para e el establecimiento de las ppolíticas. IP/Locación. Zscaler puede aut tenticar en ba ase a la IP orrigen del tráffico. Mediante el envío de e la IP origin en túnele GRE, se p nal es pueden estab blecer subloccaciones en base a este direccionam miento “interrno” y de iguaal forma que en las locacio ones, establec cer política enn base a éstas s. DB de e Usuarios ho osteada en Z Zscaler. En caaso de no con ntar con LDAP, Zscaler puede autenticar los usuarrios al hostea la base de datos de usuarios/contr ar e raseña, grupo y departamentos a los que os pertenece, que tam mbién utiliza para poder d dar la funciona alidad de polí ítica en base a usuario/gru upos. Es importante men ncionar que ssolo la primera transacció ón de navegac ción del usua ario es autentticada y al ser exitosa la autenticación, Zscaler uti ilizara cookie es persistente es para contin nuar autenticcando de forrma transparente el tráfico o del browser de los usuar rios. Auten nticación Transparente a t través de SAML. También n, mediante la a implementa ación de SAMML por parte de El cliente, , Zscaler pued de autenticar r de forma tra ansparente esta primera transacción. N NOTA: Aunque se utilice S SAML para el l proceso de autenticaciónn, aun es nec cesaria la inteegración con LDAP, o bien, el uso de la DB de u e usuarios para conocer los usuarios/gr a s rupos/depart tamentos y d la dar funcioonalidad de re eportes y política por usuaarios/grupos/ /departamentos. Token n/Password de un solo u d uso. Existen o otros método para auten os nticar la primer transacció del ón usuar final como el envío de un correo c un link que el usuario visita (One Time Token) y de rio o e con o ) forma a automática es autenticado, o el envío o de un corre eo con una contraseña de e uso de una única vez (O One Time Pas ssword). NOT TA: Aunque s se utilice esto os para el pro oceso de autenticación, aún es necessaria la integgración con LDAP, o bi ien, el uso de la DB d usuarios para conoce los de er usuarrios/grupos/d departamento os y dar la funcion nalidad de reportes y política por usuarrios/grupos/d departamento os. Confid dencial Zscaler 200 09‐2011.