Fernwartung, bei der der Server nicht allein handeln kann.
Prismara Reach ist Remote Monitoring and Management für Windows, Linux und macOS. Agents führen nur Aktionen aus, die mit dem Sicherheitsschlüssel einer berechtigten Person signiert sind, und Fernsitzungen sind Ende-zu-Ende verschlüsselt – ein kompromittierter Server kann Ihre Geräte weder steuern noch eine Sitzung mitverfolgen. Patches, geplante Skripte und Softwareverteilung werden einmal signiert und von den Agents selbst umgesetzt.
Demo mit Beispieldaten unter reach-demo.prismara.eu, getrennt vom Produktivbetrieb.
So sieht es aus
Mit Beispieldaten dargestellt.
Was Prismara Reach leistet
Signierte Aktionen
Jede Aktion trägt eine WebAuthn-Signatur eines Operator-Schlüssels, der in einer von Ihrem Offline-Root-Schlüssel signierten Richtlinie freigegeben ist – dafür braucht es zwei von drei Schlüsselinhabern.
Daueraufträge
Geplante Skripte, Patch-Richtlinien und Soll-Zustände für Software werden einmal signiert und von jedem Agent nach eigenem Zeitplan ausgeführt, mit begrenzter Laufzeit und Sperrliste.
Vertrauenswürdige Softwareverteilung
Installation über winget, apt, dnf, zypper oder Homebrew als signierte Aktion. Der Agent verweigert, sofern der Paketmanager nicht genau das signierte Paket installieren würde.
Allow-List und geschützte Software
Eine root-signierte Allow-List bestimmt, was installiert werden darf, eine Schutzliste sichert, was bleiben muss, und jede Deinstallation braucht zwei Signaturen.
Ende-zu-Ende-verschlüsselte Sitzungen
Fernsitzungen sind zwischen Ihrem Browser und dem Gerät mit einem hybriden Schlüssel aus ML-KEM-768 und X25519 verschlüsselt, und das Gerät signiert die Zustimmung der Benutzerin oder des Benutzers.
Aufzeichnungen nur für Auditoren
Sitzungsaufzeichnungen sind mit einem Schlüssel verschlüsselt, den Ihre Auditoren offline verwahren.
Vier-Augen-Prinzip
Destruktive und Massenaktionen brauchen eine zweite Freigabe.
Berichte und Alarme
CSV-Berichte über Ihre Geräteflotte und Alarme an Prismara SOC oder Ihre eigenen Werkzeuge.
So ist es abgesichert
Prismara Reach folgt den gemeinsamen Engineering-Regeln der Suite und ergänzt sie um diese produktspezifischen Massnahmen.
Der Server vermittelt nur
Der Controller kann keine Aktion fälschen, erweitern, umleiten, verlängern oder wiederholen und eine laufende Sitzung weder lesen noch steuern.
Gerätevertrauen aus Ihrem Root
Die Identität jedes Geräts ist im Offline-Root-Schlüssel Ihres Mandanten verankert, nicht im Server.
Eigene Origin für die Konsole
Die Konsole wird von einer eigenen Origin ausgeliefert, sodass ein kompromittierter Controller keine gefälschte Konsole ausliefern kann.
Post-Quanten-Transport
TLS 1.3 mit hybridem X25519MLKEM768 und Mutual TLS pro Gerät.
Soll SovSec den Betrieb für Sie übernehmen?
SovSec erbringt Managed-Security-, SOC- und Microsoft-365-Services für Organisationen in Grossbritannien und der DACH-Region und kann Prismara als Teil dieser Services betreiben.