Als Ausgründung des führenden Netzwerkinfrastruktur-Anbieters Juniper Networks bietet Ivanti Policy Secure eine effektive Netzwerkzugangskontrolle auf Grundlage eines tiefen Netzwerkverständnisses. Nach drei Umbenennungen seit 2014 erkennen viele potenzielle Kunden das Produkt jedoch möglicherweise nicht als langjährigen Wettbewerber auf dem NAC-Markt. Dieser Artikel untersucht das Produkt eingehend und beleuchtet die Funktionen, Vor- und Nachteile, Preise sowie weitere wichtige Aspekte der NAC-Lösung von Ivanti.
Um Ivanti Policy Secure mit den Wettbewerbern zu vergleichen, finden Sie hier die vollständige Liste der führenden Lösungen zur Netzwerkzugangskontrolle (NAC).
Wer ist Ivanti?
Der Ivanti-Konzern entstand durch eine Reihe von Fusionen und Übernahmen von Unternehmen wie AppSense, Cherwell, MobileIron, Pulse Secure, RiskSense und Wavelink. Unter der Marke Ivanti vereint, bieten die Technologien dieser Unternehmen Lösungen für einheitliches Endpoint-Management, Servicemanagement, Asset-Management, Lieferkettenprozesse, Patch-Management und Zero-Trust-Konzepte. Ivanti unterhält weltweit 36 Niederlassungen in 23 Ländern und beschäftigt 3.100 Mitarbeiter, die mit Unterstützung von mehr als 4.000 Partnern über 38.000 Kunden betreuen.
Policy Secure
Ivanti übernahm Pulse Secure am 1. Dezember 2020 von Siris Capital. Zuvor hatte Siris Capital Pulse Secure als eigenständiges Unternehmen ausgegründet und das Unternehmen zuvor vom führenden Anbieter für Unternehmensnetzwerke, Juniper Networks, übernommen.
Die NAC-Lösung von Ivanti besteht aus vier Hauptkomponenten:
- Policy Secure: zentraler Server für die Richtlinienverwaltung
- Enforcer: Durchsetzungspunkte für die Benutzerauthentifizierung
- Secure Access Client: Benutzerauthentifizierung am Endpunkt, Geräte-Compliance und Verbindungen über virtuelle private Netzwerke (VPN)
- Profiler: Möglichkeit zur Identifizierung und Klassifizierung von Endpunkten
Darüber hinaus lässt sich Policy Secure mit anderen Ivanti-Tools integrieren und bietet so zusätzliche Funktionen für die Netzwerksicherheit, darunter:
- Analysen des Benutzerverhaltens (UEBA) zur Erfassung von Netzwerkdatenflüssen, Benutzerdaten und Geräteinformationen, die über Integrationen mit der Ivanti-One-Management-Lösung verfügbar sind
- Sicherer Zugriff über virtuelle private Netzwerke (VPN) über Connect Secure
- Zero-Trust-Netzwerkzugriff über Ivanti Neurons
Agents
Agenten- und agentenlose Optionen sind bei Ivanti verfügbar. Für agentenlose Verbindungen müssen Webbrowser verwendet werden, um sichere Netzwerkverbindungen mithilfe von Kontrollen auf Schicht 3 herzustellen.
Agenten können so konfiguriert werden, dass sie automatisch auf Geräte mit Microsoft Windows heruntergeladen werden. Die Host-Bewertungen durch Policy Secure erfolgen über den auf den Endpunkten installierten Endpoint Security Assessment Plug-in (ESAP)-Agenten.
Relevante Kennzahlen
Die maximale Zahl gleichzeitig verbundener Benutzer variiert je nach den Fähigkeiten der Appliance. Physische und virtuelle Appliances der Einstiegsklasse unterstützen bis zu 200 gleichzeitig verbundene Benutzer, High-End-Appliances bis zu 50.000.
Ebenso bestimmen die Appliance-Größe die erwartete Anmelderate und der maximale Tunnel-Durchsatz. Benutzer können zwischen 20 und 122 Anmeldungen pro Sekunde durchführen. Der maximale Tunnel-Durchsatz hängt vom Modus ab: Im Tunnelmodus für die Kapselung von Sicherheitspaketen (ESP) liegt das Maximum zwischen 200 Mbit/s und 4,2 Gbit/s, im Secure-Socket-Layer-Modus (SSL) zwischen 100 Mbit/s und 2,8 Gbit/s.
Appliances können für Hochverfügbarkeit (synchronisierte aktive und passive Geräte) oder Lastausgleich (alle Geräte aktiv) zu Clustern zusammengefasst werden. Mithilfe eines Lizenzmanagers, durch Clustering und den Einsatz mehrerer Geräte lässt sich eine große Instanz mit hohem Volumen erstellen. Ivanti macht keine Angaben zur maximalen Zahl der Endpunkte, die eine solche Infrastruktur unterstützen kann.
Sicherheitszertifizierungen
Ivanti Policy Secure unterstützt FIPS Level 1 (FIPS 140-1 und 140-2) und verfügt über Sicherheitszertifizierungen, die die Einhaltung von HIPAA, PCI DSS, ISO 27001 und anderen Sicherheitsstandards unterstützen.
Funktionen
- Automatisierte Reaktionen auf Bedrohungen auf Kompromittierungsindikatoren
- Zentralisierte Transparenz und Richtlinienverwaltung für alle Endpunkte – Workstations, Laptops und Geräte des Internets der Dinge (IoT)
- Bidirektionale Integration von Drittanbietern zur Verbesserung von Sicherheit und Auditing
- Firewalls: Checkpoint, Fortinet, Juniper, Palo Alto Networks usw.
- Sicherheitsinformations- und Ereignismanagement (SIEM): IBM QRadar, Splunk usw.
- Und mehr: Nozomi Guardian (Überwachung industrieller IoT- und Betriebstechnologie), Trellix ePolicy Orchestrator usw.
- Integrierte Verhaltensanalysen die während der Lernphase von Policy Secure trainiert werden
- BYOD-Onboarding mit der Integration eines mobilen Unternehmensmanagements von Drittanbietern oder eines virtuellen Application Delivery Controllers (vADC)
- Anpassbare Benutzeroberfläche mit Optionen wie benutzerdefinierten Logos, Hintergrundfarben, personalisierten Begrüßungen für Benutzer usw.
- Dynamische Netzwerksegmentierung auf Grundlage der Benutzerrolle und Geräteklassifizierung
- Granulare Bewertung der Sicherheitslage von Endpunkten vor der Zugriffsgenehmigung
- NAC-Durchsetzung auf Schicht 2 über 802.1x, MAC-Authentifizierung, Simple Network Management Protocol (SNMP) und Secure-Shell-Protokoll (SSH)
- NAC-Durchsetzung auf Schicht 3 durch Integration mit Firewalls, Lösungen zur Erkennung und Abwehr von Angriffen sowie Ethernet-Switches
- RADIUS- und TACACS+-Unterstützung für Geräte und andere Geräte zur Multi-Faktor-Authentifizierung
- Self-Service-Onboarding für Geräte und Benutzer in bekannten Identitäts- und Zugriffsverwaltungssystemen
Vorteile
- Anpassbare Berichte zur Verfolgung von Leistungskennzahlen, für Audits und Compliance
- Gast-Onboarding in der Basislizenz enthalten statt als Zusatzmodul
- Mehr als 2,3 Millionen IoT-Geräteprofile enthalten
- Potentiell niedrigere Gesamtbetriebskosten (TCO) für Unternehmen mit weniger komplexen Anforderungen im Vergleich zu bekannteren Wettbewerbern
- Sichere Verbindungen für lokale und externe Benutzer
- Einfache Implementierung und Verbindung für Server und Netzwerkgeräte
- Breite Kompatibilität mit Betriebssystemen – Windows, macOS, Linux, Android und iOS
- Assistentengestützte Bereitstellung und Einrichtung gewährleisten eine einfache Implementierung ohne ausgelassene Schritte
Nachteile
- Langwierige Verbindungsprozesse laut Kunden
- Unübersichtliche Lizenzierung auf Grundlage reservierter Lizenzen, Mietlaufzeiten, Verfahren zum Zurückfordern von Lizenzen und der Rückgabe von Lizenzen erschwert die Kostenprognose bei variabler Nutzung
- Instabilität für einige Benutzer virtueller privater Netzwerke (VPN); dies kann jedoch durch eine fehlerhafte Einrichtung verursacht werden, bei der Konflikte zwischen inkompatiblen Intervallen für Sitzungs-Heartbeats und Host-Checker-Intervallen zu Verbindungsabbrüchen führen
- Die Funktionen zur Host-Prüfung sind erheblich eingeschränkt auf Geräten mit Linux, Solaris und mobilen Betriebssystemen und bei macOS teilweise eingeschränkt
- Weniger umfangreich und leistungsfähig als bei bekannteren Wettbewerbern
- Geringe Markenbekanntheit im Vergleich zu den Wettbewerbern
Threat Intelligence
Ivanti Policy Secure kann nach einer Lernphase grundlegende Verhaltensanalysen durchführen. Secure verarbeitet außerdem Bedrohungsinformationen aus Quellen von Drittanbietern wie Firewalls und IDS-Systemen oder über zusätzliche Ivanti-Module und -Produkte. Diese Informationen können für automatisierte Sicherheitsreaktionen genutzt werden.
Bereitstellung
Ivanti Policy Secure kann als physische Appliance bereitgestellt oder als virtuelle Maschine in lokalen Rechenzentren beziehungsweise in der Cloud installiert werden. Geräte können zu Clustern aus zwei oder mehr Einheiten zusammengefasst werden, um Vorteile durch Lastausgleich (alle aktiv) oder Hochverfügbarkeit (einige passiv) zu bieten.
Wide-Area-Network-(WAN-)Cluster sind möglich, jedoch nur auf bestimmten Appliances. Geräte können mit angehängten Lizenzen bereitgestellt werden, oder es kann ein Server zur Lizenzverwaltung über mehrere Appliances hinweg eingerichtet werden.
Preise
Unternehmen müssen Appliances (virtuelle oder physische), Serverlizenzen auf Grundlage der erwarteten Benutzerzahl sowie zusätzliche Lizenzen für optionale Module erwerben. Paketpreise, Mengenrabatte und Preisnachlässe sind wahrscheinlich, Ivanti veröffentlicht jedoch keine offiziellen Preise. Daher sollten sie Ivanti kontaktieren, um Angebote einzuholen.
Einige Beispielpreise von Partnern sind aufgeführt. Unternehmen sollten jedoch sicherstellen, dass die Währung (z. B. US-Dollar oder kanadische Dollar) stimmt und die Konfigurationen identisch sind, da einige Wiederverkäufer Appliances im Paket mit Dienstleistungen anbieten, während andere die Produkte separat verkaufen.
Ivanti verkauft derzeit fünf verschiedene Hardwaremodelle und drei virtuelle Appliancekonfigurationen.
- PSA300 Mini Appliance: maximal 200 Benutzer für kleinste Anforderungen
- PSA3000 Rack Mountable Server (1RU): maximal 200 Benutzer für kleinste Anforderungen
- PSA5000 Rack Mountable Server (1RU): maximal 2.500 Benutzer für kleine und mittlere Unternehmen
- PSA7000c Rack Mountable Server (2RU): maximal 25.000 Benutzer für Anforderungen von Großunternehmen, Kupferport-Verbindungen
- PSA7000f Rack Mountable Server (2RU): maximal 25.000 Benutzer für Anforderungen von Großunternehmen, Glasfaserport-Verbindungen
- PSA3000-V Virtual Server: maximal 200 Benutzer für kleinste Anforderungen
- PSA5000-V Virtual Server: maximal 2.500 Benutzer für kleine und mittlere Unternehmen
- PSA7000-V Virtual Server: maximal 10.000 Benutzer für Anforderungen von Großunternehmen
Benutzer können Lizenzen im Software Download Center mit denselben Anmeldedaten wie auf der Ivanti Community siteherunterladen. Lizenzen können von bestimmten Appliances heruntergeladen und verwaltet oder von einem Lizenzserver verwaltet werden.
Die Appliances unterstützen vier verschiedene Lizenztypen:
- Pulse Secure-Evaluierungslizenz
- Dauerlizenz von Pulse Secure (erfordert ein Supportabonnement für zukünftige Updates)
- Abonnementlizenzen von Pulse Secure
- Pulse Secure In-Case-of-Emergency-(ICE-)Lizenzen zur Abdeckung vorübergehender Spitzen beim Lizenzbedarf
Dauerlizenzen umfassen 12 Monate Wartung und Support. Für zukünftige Updates und Support, einschließlich Patches, Aktualisierungen, Upgrades und Content-Feeds wie IoT-Profilen, müssen weitere Wartungsverträge erworben werden. Nach Ablauf der Wartung kann die Appliance ohne Upgrades im bestehenden Zustand weiterverwendet werden.
Abonnement- oder Laufzeitlizenzen können für ein, zwei oder drei Jahre erworben werden und umfassen Software, Updates und Support. Nach Ablauf eines Abonnements darf die Appliance nicht mehr verwendet werden.
Abgelaufene Lizenzen erfordern eine Wiedereinsetzungsgebühr auf Grundlage der Jahresgebühr. Die Verlängerungsgebühren steigen in der Regel jährlich um 5 %.
Ivanti bietet vier Supportstufen: Standard, Premium, Enterprise und Success Squad. Alle Kunden werden automatisch für den Standardsupport registriert. Dieser umfasst die Kundengemeinschaft, eine Wissensdatenbank und eine Support-Reaktionszeit von 2 Stunden (24×7) über das Onlineportal oder per Telefon. Premium umfasst selbstgesteuerte Ressourcen, eine Advantage Learning License, einen persönlichen Supportmanager und eine Support-Reaktionszeit von einer Stunde.
Der Enterprise-Support umfasst zusätzlich einen zuständigen Kundenservicemanager, einen Erfolgsplan, Programme für Experten-Coaching, vierteljährliche Geschäftsbesprechungen, einen virtuellen Kurs mit Dozenten sowie einen zuständigen Enterprise-Supportingenieur. Success Squad bietet zusätzlich personalisierte Erfolgspläne, technische Beratung und Validierung bei Upgrades, weitere Lernlizenzen und virtuelle Kurse mit Dozenten, Unterstützung beim Go-Live sowie Zustandsprüfungen.
Fazit: Die beste Alternative zu teureren Lösungen
Ivanti Policy Secure verfügt im Vergleich zu bekannteren Wettbewerbern auf dem Markt für NAC-Lösungen weder über eine ebenso umfassende IoT-Datenbank noch über eine ebenso lange Integrationsliste. Policy Secure kann jedoch mit der Basislizenz ein automatisiertes Gast-Onboarding bereitstellen, während viele größere und teurere Wettbewerber dafür Zusatzmodule benötigen.
Obwohl das Lizenzmodell von Ivanti verwirrend sein kann, bietet Policy Secure das Potenzial für eine leistungsfähige grundlegende Netzwerkzugangskontrolle bei niedrigeren Gesamtbetriebskosten. Unternehmen mit weniger komplexen Anforderungen und Netzwerken sollten Ivanti Policy Secure in ihre Auswahlliste aufnehmen, um einen kostengünstigen Vergleich mit anderen Marken zu ermöglichen.
Dieser Artikel wurde ursprünglich von Drew Robb am 7. Juli 2017 verfasst und von Chad Kime am 14. April 2023 aktualisiert.