Funcionamento
Componentes
A solução tem três partes.
| Componente | Onde fica | O que faz |
|---|---|---|
| Portal | Publicado para os usuários, na mesma rede de saída do sistema protegido | Login com senha e código do autenticador, cadastro do autenticador e criação das liberações |
| Serviço de decisão | No próprio Bastion Pass | Responde, a cada conexão, se o acesso pode seguir. Guarda as liberações em banco de dados próprio |
| Módulo de integração | Junto ao sistema protegido | Informa cada nova conexão ao serviço de decisão e encerra as que forem recusadas |
O Bastion Pass é o único componente que fala com o diretório da empresa (Active Directory ou outro LDAP), com o Auth Bastion e com o Auth Security. O módulo de integração conversa apenas com o Bastion Pass, por um canal autenticado e aceito somente a partir dos servidores autorizados.
Portal e sistema protegido ficam lado a lado para que o IP visto pelo portal seja o mesmo IP visto pelo sistema quando o usuário conectar.
Login no portal
Quando o usuário entra no portal, o Bastion Pass executa estas verificações, nesta ordem:
- Proteção do formulário com GKTinc: o navegador resolve um desafio de prova de trabalho, mais difícil para IPs com má reputação. Robôs e tentativas de força bruta param aqui.
- Senha do usuário, conferida no diretório da empresa.
- Análise de risco do login no Auth Security. Um login classificado como bloqueio é recusado.
- Políticas de IP e de usuário do Auth Bastion. Usuários e redes bloqueados são recusados. Usuários e redes isentos são informados de que não precisam de liberação.
- Código do aplicativo autenticador. No primeiro acesso, o portal mostra o QR code para o cadastro e pede o primeiro código.
- Criação da liberação para o usuário e o IP de origem.
Depois que o autenticador é cadastrado, o portal não gera um novo QR code. Para trocar de celular, o usuário pede ao administrador, que faz o reset no painel do Auth Bastion.
Verificação em cada conexão
A cada nova conexão ao sistema protegido, o módulo de integração envia ao Bastion Pass o usuário e o IP de origem. A decisão segue este fluxo:
Usuários e redes isentos também passam pela análise de risco. Nesse caso o resultado é registrado e gera alerta, mas não bloqueia a conexão.
Validade das liberações
| Opção no portal | Validade padrão |
|---|---|
| "Confiar neste IP" marcado | 30 dias |
| "Confiar neste IP" desmarcado | 12 horas, renovadas a cada conexão aceita, até no máximo 24 horas desde a criação |
Os prazos são definidos na configuração do Bastion Pass. Quando a liberação expira, a próxima conexão é encerrada e o usuário passa pelo portal de novo.
Administração e auditoria
O Bastion Pass não tem tela administrativa. O administrador usa o painel do Auth Bastion para:
- isentar ou bloquear usuários e redes, pelas políticas de usuário e de IP;
- fazer o reset do autenticador de um usuário;
- acompanhar os eventos de risco no Auth Security.
Cada decisão do Bastion Pass, no portal ou em uma conexão, é gravada em trilha de auditoria com usuário, IP, origem, resultado e motivo. Situações que pedem atenção da operação, como uma API externa sem resposta ou uma conexão que não pôde ser encerrada, geram alerta no log.
Personalização
O portal aceita a identidade visual do cliente sem alteração de código: nome do produto, logotipo, ícone, cores e link de suporte.
Disponibilidade
As instâncias do Bastion Pass não guardam estado. Todo o estado fica no banco de dados. Assim, é possível executar várias instâncias atrás de um balanceador e usar banco com replicação. O módulo de integração aceita um Bastion Pass primário e um secundário.