DYNAMIC ACCESS CONTROL Windows Server 2012

Objetivos de la Sesión Entender las capacidades de Dynamic Access Control y File Clasiffication en Server 2012 Conocer como preparar Windows para gestionar el acceso a la información y prevenir su fuga

Realidad en la Gestion de Información ? ?

Necesidades de Negocio Resultados Retener la data por 10 años Carpeta por proyecto Prevenir que información corporativa se filtre La complejidad incrementa la posibilidad de políticas poco efectivas Las necesidades son muy simples al principio Agregar políticas fragmenta la estructura

¿Que gestionar?

El Reto del Control de Acceso Gestionar quien accede a la información Administrar menos grupos de seguridad Proteger la información y garantizar cumplimiento

ACLs flexibles basadas en la clasificación de un documento u otras propiedades. ACLs centralizadas Auditoria dirigida basada en la clasificación de un documento y usuario. Despliegue centralizado de políticas de auditoria vía Global Audit Policies. Clasificar los documentos usando propiedades almacenadas en AD. Clasificar documentos automáticamente en función de su contenido Funcionalidades en WS 2012 DATA CLASSIFICATION ACCESS CONTROL

Clasificar la Información Administrar Información en Función del Valor para el Negocio Paso 1 Aplicar Políticas según Clasificación Paso 2

DATA CLASSIFICATION

¿Como se puede clasificar la información? En función de la carpeta donde se cree el archivo Gestionado por el responsable de la información (carpeta) Ubicación Definida por el usuario Plantillas pueden usarse para conservar configuraciones por defecto Manual Clasificación automática basada en contenido y características Solución ideal para clasificar altos volúmenes de información Automática Aplicativos que almacenan información en servidores de fichero Aplicaciones para gestión de información (DLP) Aplicación

Las APIs existentes se han conservado y extendido APIs para las funciones de clasificación Get/Set disponibles para roles no Administrador Arquitectura de FCI Set classification properties API for external applications Clasificación Almacén de Propiedades de Clasificación Windows Server File Classification Extensibility points Windows Server File Classification Extensibility points Aplica Política en Función de Clasificación Descubrimiento Extraen Propiedades de Clasificación Get classification properties API for external applications

File Classification Infrastructure: ¿Que hay de nuevo? Resource Property Definitions FCI Clasificador de Contenido Vendor Plugin Vendor Plugin Clasificación Continua Guarda Clasificación Power Shell Clasificación Continua Mejoras en el Clasificador Nuevo Clasificador en Power-Shell Dynamic namespace Global property definitions Cualquier usuario puede manualmente clasificar sus archivos El responsable de una carpeta puede usar Folder based classification with inheritance

Un Servidor de Archivos Windows 2012 Agregar el Rol de File Server Instalar la Característica de FSRM Requisitos para Clasificar Información

ACCESS CONTROL

ACLs /ACEs BASADAS EN EXPRESIONES PROPIEDADES Y REGLAS CENTRALIZADAS CONTROL DE ACCESO BASADO EN CLAIMS (CBAC)

Control de Acceso vía Expresiones Gestionar menos grupos de seguridad mediante expresiones condicionales x 50 País 50 Grupos Departamento x Grupos Secreto 2000 Grupos! 2000 grupos a solo 71 usando expresiones condicionales MemberOf(PAIS_SG) AND MemberOf(Dep_SG) AND MemberOf(Secreto_SG) x 2 ACLs flexibles basadas en la clasificación de un documento u otras propiedades. ACLs centralizadas

Políticas de Acceso Central para Archivos Habilitar a las organizaciones la definición de políticas de red que reflejen las intenciones de la empresa y permitan cumplir con regulaciones Proteger Información Sensible Identificar y proteger data critica mientras la información permanece en Windows Server 2012 pero también cuando deja este ambiente Remediación para Acceso Denegado Mejorar la experiencia del usuario cuando se recibe un acceso denegado Dynamic Access Control

Uno o mas DCs en Windows Server 2012 (para los claims) Un Servidor de Archivos Windows 2012 Clientes SMB Requisitos de Dynamic Access Control Access Denied Remediation solo soportado en clientes Win 8

Tipos de Claims Tipo de ClaimPropiedadesExtensión User Claim Usuario InetOrgPerson Sobre 255 atributos posibles Atributos custom agregados al esquema se pueden representar como claims Device Claim PC MSA gMSA Sobre 200 atributos posibles Atributos custom agregados al esquema se pueden representar como claims Resource Property Claim Msds- resourceproperty Gestionado por AD y descargado por un servidor de ficheros Cada claim puede tener múltiples valores Globales para todos los recursos Cada claim existe como un objeto en AD y tiene múltiples posibles valores Clientes Pre-Windows 8 no soportan Device Claims

User claims User.Department = Finance User.AccessLevel = High User claims User.Department = Finance User.AccessLevel = High Política de Acceso Applies = High Allow | Read, Write | if AND == True) Política de Acceso Applies = High Allow | Read, Write | if AND == True) Device claims Device.Department = Finance Device.Managed = True Device claims Device.Department = Finance Device.Managed = True Resource properties Resource.Department = Finance Resource.Impact = High Resource properties Resource.Department = Finance Resource.Impact = High AD DS 21 Central Access Policies File Server

Applies to: Exists(File.Country) Allow | Read, Write | if (User.MemberOf(US_SG)) AND (File.Country==US) Allow | Read, Write | if (User.MemberOf(JP_SG)) AND (File.Country==JP) Applies to: Exists(File.Country) Allow | Read, Write | if (User.MemberOf(US_SG)) AND (File.Country==US) Allow | Read, Write | if (User.MemberOf(JP_SG)) AND (File.Country==JP) 22 Central Access Policies Usando grupos de seguridad Applies to: Exists(File.Country) Allow | Read, Write | if (User.Country==File.Country) Applies to: Exists(File.Country) Allow | Read, Write | if (User.Country==File.Country) Usando user claims Applies to: Exists(File.Department) Allow | Read, Write | if (User.MemberOf(Finance_SG)) AND (File.Department==Finance) Allow | Read, Write | if (User.MemberOf(Operations_SG)) AND (File. Department==Operations)… Applies to: Exists(File.Department) Allow | Read, Write | if (User.MemberOf(Finance_SG)) AND (File.Department==Finance) Allow | Read, Write | if (User.MemberOf(Operations_SG)) AND (File. Department==Operations)… Applies to: Exists(File.Department) Allow | Read, Write | if (User.Department==File.Department) Applies to: Exists(File.Department) Allow | Read, Write | if (User.Department==File.Department)

En Resumen En Active Directory: Crear definición de propiedades para los recursos Configurar Políticas Centrales Configurar Claims En el Servidor de Archivos: Clasificar Información Asignar Política Central Active Directory 2012 Servidor de Archivos Windows 2012 Usuario Final Política de Acceso Resource Property Definitions User Claims

¿Preguntas?

Webcasts grabados

Más TechNet Webcasts grabados Registro en futuros webcasts Suscripción al boletín TechNet Flash TechCenters de TechNet (información de productos) Suscripciones TechNet

Sigue a TechNet España