GIỚI THIỆU XMS SECURITY WHITEPAPER

Giới Thiệu

• XMS Cloud Management Platform cho phép truy cập và điều khiển từ xa từ bất kỳ vị trí nào của bạn. Barco quản lý các thiết bị ClickShare và wePresent, với độ bảo mật cao nhất. Các nền tảng sẽ cung cấp một bảng điều khiển đám mây trực tiếp với thông tin trạng thái và cho phép giám sát tất cả các thiết bị được kết nối của bạn, bên cạnh việc cung cấp cho bạn các tính năng bổ sung như bảo trì, cấu hình và giải quyết vấn đề. Quản trị viên hệ thống, nhà tích hợp và nhà cung cấp dịch vụ được quản lý (hoặc bất kỳ ai người đã được cấp quyền truy cập) có thể tận hưởng sự linh hoạt không giới hạn và khả năng dịch vụ được cải thiện.
• Cũng như các giải pháp Barco quản lý, bảo mật và quyền riêng tư là những yếu tố chính trong thiết kế và quyết định kiến ​​trúc của XMS Cloud Management Platform. Cân nhắc cẩn thận và các quyết định đã dẫn đến một hệ thống quản lý an toàn, nhưng vẫn dễ sử dụng.
• Technical Whitepaper này sẽ đi sâu về các mối đe dọa có thể xảy ra đối với các thành phần khác nhau và
  và các biện pháp đã được thực hiện để giảm thiểu những điều này. Sách trắng áp dụng cho
  cả trên các phiên bản tiền đề (XMS Edge) và XMS Cloud Management Platform.

Mô hình hóa các mối đe dọa XMS

Kể từ khi ra mắt dòng sản phẩm ClickShare, rất nhiều câu hỏi được khách hàng đặt ra về bảo mật, tình huống người dùng, phương pháp tích hợp, v.v. Mô hình hóa mối đe dọa là một trong những hoạt động kỹ thuật bảo mật mạnh mẽ nhất bởi vì nó tập trung vào các mối đe dọa thực tế hơn là chỉ các lỗ hổng thực tế. Một mối đe dọa là một bên ngoài sự kiện có thể làm hỏng hoặc xâm phạm tài sản hoặc mục tiêu, trong khi lỗ hổng bảo mật là điểm yếu trong một hệ thống có thể khai thác. Các mối đe dọa có thời hạn dài và có thể thay đổi theo thời gian, trong khi các lỗ hổng sẽ không còn tồn tại sau khi chúng được giải quyết. Mô hình mối đe dọa tạo điều kiện cho cách tiếp cận phát triển sản phẩm dựa trên rủi ro bằng cách phát hiện ra các rủi ro bên ngoài và khuyến khích sử dụng các phương pháp thiết kế và phát triển an toàn. Như mô hình mối đe dọa như vậy không chỉ tập trung vào phần mềm mà còn cả phần cứng và các nhà cung cấp bên thứ ba. Bài tập mở rộng này bao gồm tất cả các chủ đề cần thiết để tạo ra một sản phẩm an toàn ở mọi khía cạnh.

Hệ thống trông như thế nào?

XMS bao gồm một thành phần đám mây tùy chọn (XMS Cloud) và một thành phần tại chỗ (XMS Edge). Các thiết bị ClickShare và wePresent có thể giao tiếp thông qua phiên bản XMS Edge là một cổng tại chỗ, sẽ là liên kết duy nhất hướng tới các phiên bản XMS Cloud trong mạng công ty của khách hàng. Nếu khách hàng không muốn có
giao tiếp ra ngoài đối với XMS Cloud, giao diện quản lý cục bộ của XMS Edge có thể được sử dụng để quản lý cơ sở cài đặt ClickShare và wePresent. Sự lựa chọn giữa cả hai các kịch bản triển khai phụ thuộc vào thời hạn sử dụng đám mây của khách hàng. Barco không thể đảm bảo rằng các tính năng do XMS Cloud cung cấp sẽ ngang bằng với việc triển khai XMS đơn lẻ. Tùy thuộc vào kiến ​​trúc của mạng công ty, nhiều XMS Edge có thể được triển khai khi cơ sở cài đặt được trải dài trên nhiều trang web thực tế khác nhau về địa lý với giới hạn 500 đơn vị được quản lý cho mỗi XMS Edge. XMS Edge có thể được triển khai thành hai các cách khác nhau, ảo hoặc thông qua một thiết bị phần cứng.

Ai đang sử dụng và ai đang quản lý hệ thống?

Cả quản trị viên và người bán lại sẽ có thể quản lý ClickShare và wePresent đã cài đặt thiết bị thông qua XMS. Quản trị viên có thể xác định các vai trò khác nhau với các quyền truy cập cụ thể, ví dụ: địa phương quản trị viên trên mỗi trang web địa lý, để điều chỉnh việc quản lý các thiết bị theo cơ cấu công ty.

XMS Cloud cung cấp các tính năng sau:
• Quản lý cấu hình
• Quản lý cập nhật phần mềm
• Phân tích và chẩn đoán
Điều này sẽ cho phép quản trị viên quản lý cơ sở cài đặt đầy đủ từ một nơi kỹ thuật số duy nhất, nó sẽ giúp khám phá các mô hình sử dụng của các dịch vụ đã triển khai và tăng ROI.

XMS Edge

Dữ liệu nào cần được bảo vệ?
Tất cả dữ liệu được truyền giữa các thiết bị được quản lý và hệ thống quản lý (ví dụ: XMS Cloud, XMS Edge) cần được bảo vệ. Dữ liệu về hệ thống quản lý cũng cần được được bảo vệ chống lại sự truy cập trái phép.
Các giao diện và dịch vụ hệ thống vật lý nào có thể được phát hiện?
Phần này sẽ chỉ tập trung vào XMS Edge vật lý. Đối với các thiết bị được quản lý, vui lòng tham khảo thông tin sản phẩm có sẵn trên trang web của Barco.
XMS Edge

Có thể truy cập bên ngoài                                           

• Ethernet
• Giao diện người dùng web                                       

   • Giao tiếp với XMS Cloud

   • Giao tiếp với thiết bị được quản lý             

• USB

• Cổng nối tiếp bên ngoài

• Trưng bày

Có thể truy cập nội bộ

• USB
• SATA / M.2
• PCI-e

XMS Edge được đặt ở đâu?
XMS Edge chủ yếu được đặt trong một trung tâm dữ liệu được quản lý bởi bộ phận IT của Công ty. Điều này thường ngụ ý rằng quyền truy cập vật lý vào thiết bị bị hạn chế, tuy nhiên, các giao diện vật lý được mô tả trong phần trên cần được bảo vệ theo cách thích hợp.

XMS Cloud

Dữ liệu nào cần được bảo vệ?
Tất cả dữ liệu được chuyển giữa các thiết bị được quản lý và lớp quản lý (ví dụ: XMS Cloud, XMS Edge) cần được bảo vệ. Dữ liệu trên lớp quản lý cũng cần phải được bảo vệ chống lại sự truy cập trái phép.
Trên thực tế, XMS Cloud được đặt ở đâu?
Các dịch vụ XMS Cloud đang chạy trên các máy đặt tại Châu Âu.

Triển khai kỹ thuật

Cách tiếp cận theo lớp

Nguyên tắc nền tảng của bảo mật thông tin là bộ ba của CIA: Bảo mật, Chính trực và Khả dụng. Tất cả các bộ phận của sản phẩm hoặc hệ thống phải tôn trọng khái niệm này trong toàn bộ hệ thống vòng đời để đảm bảo một môi trường an toàn.
Hệ thống được kết nối mạng bao gồm một tập hợp các lớp khác nhau: vật lý, mạng, máy chủ lưu trữ và lớp ứng dụng. Ánh xạ các lớp này lên bộ ba CIA cho thấy những loại bảo mật nào các biện pháp được yêu cầu để hệ thống được coi là an toàn. Cách tiếp cận phân lớp này với nhiều các biện pháp bảo vệ tại chỗ đảm bảo rằng một hệ thống có thể không bị xâm phạm. Các biện pháp bảo vệ phải tương ứng với các mối đe dọa được xác định trong quá trình mô hình hóa mối đe dọa.
XMS Edge
Trong phần này, các lớp khác nhau cho Edge XMS (Virtual) sẽ được thảo luận lần lượt. 
Lớp vật lý
XMS Edge dựa trên bo mạch chủ PC thông thường và do đó nó chứa nhiều giao diện khác nhau cũng có mặt trên PC thông thường. Những giao diện này không được sử dụng nhưng có thể bị lạm dụng bởi ý đồ xấu.
Do đó, chúng tôi rất khuyến khích:
• Cài đặt XMS Edge trong một khu vực truy cập hạn chế, an toàn
• Tắt khởi động từ USB
• Bảo vệ BIOS bằng mật khẩu
Quyền truy cập vào giao diện Ethernet của XMS Edge cho phép kết nối với ngăn xếp mạng và dịch vụ, yêu cầu kiểm soát bổ sung ở Application Layer. 

Lớp OS
Edge XMS (Virtual) chạy các dịch vụ vi mô trong các vùng chứa được khởi chạy bởi một Linux tối thiểu Hệ điều hành. Các bản cập nhật cho hệ thống được cung cấp dưới dạng gói đã ký và mã hóa. Việc ký và mã hóa cung cấp tính toàn vẹn và bảo mật của phần mềm chạy trên XMS Edge. Để đảm bảo tính bảo mật của dữ liệu, đĩa cứng của XMS Edge được mã hóa bằng khóa mã hóa duy nhất của thiết bị. Hai biện pháp này đảm bảo rằng phần sụn không bị giả mạo và có nguồn gốc từ Barco.
Tất cả các vùng chứa chạy các dịch vụ quan trọng đang được theo dõi và khởi động lại khi có sự cố hoặc treo
dịch vụ đó được phát hiện.
Hệ điều hành Linux của XMS Edge chứa nhiều gói phần mềm mã nguồn mở. Danh sách của các gói này có sẵn trong thỏa thuận cấp phép người dùng cuối. Barco giám sát chặt chẽ các lỗ hổng được phát hiện trong các gói nguồn mở đã sử dụng. Nếu một lỗ hổng được phát hiện hoặc báo cáo, nó sẽ được phân tích và tùy thuộc vào mức độ nghiêm trọng và tác động, được lên kế hoạch trong tương lai giải phóng.

Lớp ứng dụng
Giao diện người dùng Web của XMS Edge cung cấp khả năng quản lý hệ thống một cách an toàn. Nó là chỉ được phân phát qua HTTPS để đảm bảo kết nối được xác thực và mã hóa với thiết bị.
Phiên bản và bộ mật mã TLS được định cấu hình để chống lại các cuộc tấn công mới nhất đã biết. Truy cập vào
phần quản trị được bảo vệ bằng thông tin đăng nhập mật khẩu. Các thông tin đăng nhập này được băm bằng cách sử dụng một thuật toán hiện đại, an toàn có thể chống lại các cuộc tấn công brute-ép và bảng cầu vồng. Các
các phiên quản trị bị ràng buộc với một cookie vẫn hợp lệ cho đến khi đăng xuất hoặc hết hạn.
Hơn nữa, tất cả các đầu vào đều được khử trùng và / hoặc xác nhận để ngăn chặn các lỗ hổng tiêm. Theo mặc định, XMS Edge sẽ sử dụng chứng chỉ tự ký để thiết lập kết nối TLS. Nếu muốn, có thể thay thế điều này bằng chứng chỉ tự chọn và khóa riêng.
XMS Cloud
Các phương pháp tiếp cận truyền thống đối với bảo mật trong môi trường doanh nghiệp luôn dựa trên kiểm soát các thiết bị, cơ sở hạ tầng hoặc thông tin và các quy trình bên trong doanh nghiệp có tường lửa chu vi. Trong môi trường doanh nghiệp không biên giới, thông tin nằm trong Đám mây và được truy cập từ nhiều thiết bị bên ngoài chu vi của doanh nghiệp truyền thống.
XMS Cloud là một cổng thông tin cho phép quản trị viên quản lý và định cấu hình ClickShare của họ và cơ sở cài đặt wePresent. Theo tùy chọn, cổng thông tin sẽ hiển thị thống kê sử dụng và chẩn đoán sẽ cung cấp thông tin chi tiết về cách cơ sở cài đặt được sử dụng trong công ty và nơi nó có thể được cải thiện hoặc mở rộng.
Network Layer
Nền tảng đám mây XMS một phần được lưu trữ trên Amazon Web Services và một phần trên Microsoft Azure.
Liên kết giữa XMS Edge và XMS Cloud dựa trên công nghệ Azure IoT Hub để kết nối, giám sát và quản lý cơ sở cài đặt ClickShare và wePresent một cách an toàn.
Application Layer
Quyền truy cập vào ứng dụng giao diện người dùng XMS diễn ra qua kết nối HTTPS an toàn. Tất cả HTTPS lưu lượng được cân bằng tải để phân phối lưu lượng đến một số máy chủ ứng dụng và cải thiện hiệu suất, khả năng mở rộng và độ tin cậy của ứng dụng.
Ứng dụng hoàn chỉnh đứng sau quyền truy cập được xác thực qua myBarco ADFS. Tất cả ClickShare thông tin được trình bày trong ứng dụng giao diện người dùng được thu thập thông qua Azure IoT Hub Công nghệ. Các quyền nhận dạng thiết bị IoT Hub và các tính năng kiểm soát truy cập được sử dụng để xác thực finetune và ủy quyền dữ liệu do người quản lý gửi lên ClickShare Cloud và wePresent thiết bị.
Khả năng tương tác với các sản phẩm ClickShare thế hệ đầu tiên?
Các sản phẩm ClickShare thế hệ đầu tiên (CSM, CSC) cũng được hỗ trợ đầy đủ trong XMS Cloud thông qua XMS Edge.
Các thiết bị của WePresent sẽ chỉ tải dữ liệu và số liệu thống kê lên XMS Cloud thông qua XMS Edge, cấu hình (quyền ghi) của các thiết bị wePresent từ XMS Cloud không khả dụng cho chốc lát.
Bảo mật theo thiết kế
Số lượng dữ liệu cá nhân được thu thập được giới hạn ở mức tối thiểu tuyệt đối. Tại thời gian đăng ký chỉ có tên, địa chỉ email và tên công ty sẽ phải được cung cấp. Các quản trị viên hệ thống có thể thêm người dùng vào Nền tảng quản lý đám mây XMS thông qua việc chỉ định địa chỉ email. Dữ liệu của các thiết bị được quản lý (ClickShare và wePresent) được tải lên XMS Cloud không chứa bất kỳ dữ liệu cá nhân nào.

Closing

Nền tảng quản lý đám mây XMS và XMS Edge được thiết kế chú trọng đến tính bảo mật trong
tất cả các giai đoạn của Vòng đời phát triển phần mềm. Barco cũng đảm bảo rằng không có cửa hậu hoặc
chuyển ẩn đã được triển khai vào giải pháp XMS.
Nếu có bất kỳ câu hỏi nào chưa được giải đáp, vui lòng cho chúng tôi biết qua
clickhare@barco.com.
Trong trường hợp bạn phát hiện ra lỗ hổng bảo mật trong XMS (Virtual) Edge hoặc XMS Cloud Platform, vui lòng
liên hệ với Barco thông qua quy trình tiết lộ có trách nhiệm tuân thủ những điều sau
hướng dẫn: https://www.barco.com/responsible-disclosure.