Lesen und beachten Sie die Automation Anywhere-Dokumentation

Automation Anywhere

Inhalt schließen

Inhalte

Inhalt öffnen

Sicherheitsarchitektur

  • Aktualisiert: 5/10/2019
    • 11.3.x
    • Erkunden
    • Enterprise
    • Prozessfluss

Sicherheitsarchitektur

Viele der weltweit größten Finanzunternehmen verlassen sich bei der Automatisierung sicherheitsrelevanter Vorgänge auf die sichere Digital-Workforce-Plattform von Automation Anywhere.

Die Sicherheitsarchitektur der Plattform basiert auf den Prinzipien von geringstmöglichen Berechtigungen und einem strengen Aufgabentrennungsmodell mit 41 technischen Kontrollen, die in sieben NIST 800-53r4 Control Families implementiert sind. Die Kontrollen werden über drei Komponenten hinweg angewendet: Control Room (CR), ein Windows-basierter Server und Bot Creators (Entwicklungssysteme) und Bot Runners (Bot-Ausführungslaufzeiten) über den gesamten Bot-Lebenszyklus von der Erstellung bis zur Außerbetriebnahme. Diese Sicherheitsarchitektur und die zugrunde liegenden Kontrollen sind entsprechend NIST-Definition den Best Practices der Branche zugeordnet und können problemlos anderen Frameworks wie CoBIT (SOX) und ISO 27002 zugeordnet werden.

Zugriffssteuerung. Automation Anywhere Enterprise (AAE)

Zugriffssteuerung. Automation Anywhere Enterprise (AAE) beschränkt und steuert komponentenübergreifend den Zugriff von Personen und Bots auf logische Ressourcen.

  • Zwei unabhängige Kontrollebenen erzwingen die geringstmöglichen Berechtigungen. Nur Entwickler können Automatisierungen lesen oder schreiben, während nur autorisierte CR-Nutzer Automatisierungen ausführen können, die detaillierten rollenbasierten Zugriffssteuerungen (Role Based Access Control, RBAC) bis hin zu einzelnen Automatisierungen (Bot), Bot Runners und Domänen unterliegen (die CR autorisiert und ausführt).
  • Die Aufgabentrennung auf Bot-Ebene wird erzwungen. Jeder Bot wird verschleiert und durch seine(n) entsprechenden autorisierten Bot Runner(s) ausgeführt. Manipulationen bei der Ausführung werden durch den geschützten Modus und die vollständige Deaktivierung der Nutzeroberfläche verhindert.
  • Die Bot-Ausführung wird über RBAC gesteuert. Domänenberechtigungen werden gruppenübergreifend von Bot und Bot Runners definiert.
  • Sicherheit im Ruhezustand und während der Übertragung. Alle Zugriffsdaten werden im Ruhezustand über einen zentralen Anmeldedatentresor gesichert, der auch Drittanbieter-Anmeldedaten wie CyberArk unterstützt. Die gesamte Kommunikation wird während der Übertragung über SSL und TLS gesichert.

Konfigurationsverwaltung

Die Konfigurationsverwaltung wird sowohl auf Bots‑ als auch Bot Runner-Ebene gesteuert.

  • CR autorisiert, erzwingt und protokolliert Änderungen an allen Bot Creators und Bot Runners
  • Bots werden über ein robustes Versionierungssystem für Rollback und vollständige Ereignisprotokollierung gesteuert
  • Bot-Änderungskontrolle bei der Ausführung wird durch Verschlüsselung und Authentifizierung erzwungen

Identifizierung und Authentifizierung

Identifizierung und Authentifizierung werden über Windows-Authentifizierungsdienste gesteuert.

  • Bot Creators verwenden Active Directory für die Authentifizierung
  • Bot Runners haben zwei Authentifizierungsebenen: für die automatische Anmeldungsinitiierung des Runners und Ausführung von Bots.
  • Anmeldedaten werden im Ruhezustand und während der Übertragung durch den Credential Vault oder die Integration von Drittanbieterprodukten gesichert.

Risikobewertung

Die Risikobewertung erfolgt im Rahmen statischer, dynamischer und netzwerkbasierter Schwachstellenanalysen. Audit und Zuständigkeit werden durch Ereigniserfassung, Protokollierung und Überwachung aller drei Komponenten mit detaillierter Ereigniserfassung auf der Bot-Ebene und Nachweisbarkeit hergestellt. Leistungsstarke Bot Insight-Analysen bieten eine Reaktion auf Vorfälle in Beinahe-Echtzeit und Integration mit SIEM-Systemen (Security Information and Event Management).

Feedback senden