Revisión de UserLock de IS Decisions – 5 *

Reseña de: Dave Mitchell

Proveedor: Decisiones IS

Sitio web: www.isdecisions.com

Precio: 500-999 sesiones de usuario simultáneas, 7,75 € por sesión (euros)

Puntuaciones

Rendimiento 5/5

Características 5/5

Valor por su dinero 4.5 / 5

Facilidad de uso 4.5 / 5

Apoyo 5/5

General 5/5

Veredicto: UserLock se asocia a la perfección con Windows Active Directory para ofrecer controles de inicio de sesión de usuario fácilmente administrados, administración esencial de sesiones simultáneas y una gran cantidad de información de auditoría.

Con el GDPR (Reglamento general de protección de datos) ahora en pleno vigor, las empresas deben proteger los datos confidenciales del acceso no autorizado. La administración estricta de las cuentas de usuario de Active Directory (AD) es esencial y, aunque la política de grupo es la herramienta preferida, los procesos como las políticas de inicio de sesión y acceso pueden ser tediosos de configurar, especialmente para las pymes con experiencia limitada en TI en el sitio.

UserLock de IS Decisions simplifica estos procesos al proporcionar administración en tiempo real de los inicios de sesión de los usuarios para múltiples tipos de sesiones, restricciones de acceso a estaciones de trabajo, monitoreo de sesiones y auditoría detallada. Un diferenciador importante de UserLock es que complementa AD y no requiere modificaciones en su esquema.

Otra característica destacada es la capacidad de UserLock para controlar los inicios de sesión de cuentas de usuarios simultáneos, algo que AD y la Política de grupo carecen notoriamente. La herramienta avanzada LoginLimit se actualizó recientemente para admitir servidores Windows 2012 R2 AD, pero solo es capaz de bloquear todas las sesiones simultáneas.

Instalación y despliegue

UserLock requiere un host que ejecute Windows Server 2008 en adelante y, para probarlo, lo cargamos en un sistema Windows Server 2016. El proceso tomó cinco minutos y fue ayudado por la abundante documentación en línea.

Para una redundancia esencial, UserLock se puede instalar en otro host como servidor de respaldo que toma el control automáticamente si falla el servidor primario. También puede instalar UserLock en un modo autónomo local para proteger los servidores de terminales.

El primer contacto con la consola de administración bien diseñada de UserLock activa un asistente que nos ayudó a declarar el servidor AD del laboratorio y configurar una cuenta de servicio con acceso administrativo a todas las computadoras protegidas. El siguiente paso es la implementación del agente, que puede configurarse en automático o puede ejecutarlo manualmente seleccionando equipos AD en el panel Distribución del agente.

Se requiere algún trabajo preparatorio ya que las computadoras con Windows requieren el servicio de registro remoto y el uso compartido de archivos e impresoras habilitado. También usamos MacBooks con macOS High Sierra y estos necesitaban SSH habilitado desde su panel de preferencias de uso compartido local.

Cargamos los agentes manualmente y descubrimos que cada tarea tomó alrededor de 20 segundos. Seleccione cualquier computadora protegida del panel de distribución de agentes y un menú desplegable ofrece opciones para reiniciar, apagar o reactivar y ejecutar sesiones RDP directas.

Detalle de protección cercana

UserLock comienza a auditar todas las sesiones tan pronto como se instala el agente para que pueda pasar directamente a la creación de cuentas protegidas. Las reglas y restricciones de conexión se pueden aplicar a cuentas de usuario y administrador de AD, grupos y unidades organizativas, y puede crear cuentas temporales por tiempo limitado para invitados y contratistas.

Las reglas son extremadamente versátiles, ya que puede establecer el número de puntos de acceso iniciales para controlar los puntos de entrada a la red. UserLock obtiene una alta puntuación por sus reglas de sesión concurrente, ya que podríamos definir la cantidad de estaciones de trabajo a las que un usuario puede iniciar sesión simultáneamente y aplicar restricciones a las sesiones de terminal, interactivas, inalámbricas / VPN e IIS.

Hay más, ya que puede restringir a los usuarios a computadoras AD específicas y rangos de direcciones IP, limitar el acceso con períodos de tiempo, establecer la duración de las sesiones y aplicar cuotas de tiempo. Las reglas proporcionan controles granulares, ya que se pueden aplicar a niveles de grupo de AD para la protección general de grandes bases de usuarios y se pueden aumentar con reglas de usuario individuales que tienen prioridad.

Una característica de seguridad valiosa que detendrá el uso compartido de contraseñas en el lugar de trabajo es la opción de advertir a los usuarios si su cuenta se está utilizando para iniciar sesión en otra computadora. Si esto ocurre, recibirán un mensaje emergente que muestra la computadora en uso y les aconseja que se comuniquen con su administrador, quien también habrá recibido una alerta por correo electrónico de UserLock.

Controles de usuario

Durante las pruebas, descubrimos que UserLock funcionaba a la perfección y, a diferencia de la política de grupo, las reglas entran en vigor inmediatamente después de su aplicación. Establecimos límites de sesiones simultáneas de estaciones de trabajo para varios usuarios y cuando intentaron iniciar sesión en otras computadoras y exceder sus límites, recibieron un mensaje emergente advirtiéndoles que esto no estaba permitido.

Los usuarios también recibieron advertencias emergentes en el instante en que otros empleados intentaron iniciar sesión en otro lugar con sus credenciales. La actividad de inicio de sesión puede clasificarse según la gravedad, en la que se pueden activar alertas de alto riesgo cuando UserLock o AD han denegado tantos inicios de sesión durante un período determinado.

Los administradores de UserLock pueden interactuar con sesiones seleccionadas haciendo clic en ellas en la consola y desconectando a los usuarios, bloqueando las estaciones de trabajo y restableciéndolas. Nos gustó especialmente la función de bloqueo, ya que podíamos bloquear instantáneamente a un usuario y evitar que se volviera a conectar a cualquier sistema mientras investigábamos sus actividades.

Controlar las sesiones inalámbricas / VPN requiere un poco más de trabajo, ya que los agentes NPS y RRAS deben implementarse en los servidores que alojan estos servicios. Del mismo modo, con las sesiones de IIS, ya que el filtro ISAPI de UserLock o el módulo HTTP deben instalarse en los servidores web.

Esto no fue un problema para nuestros servidores IIS, ya que aparecían como entidades separadas en la pantalla de distribución de agentes, por lo que los módulos se podían instalar con un solo clic. Después de habilitarlos manualmente localmente, podríamos monitorear todas las sesiones de ISS y administrar el acceso.

Consolas web e informes

La consola UserLock proporciona una vista en tiempo real de toda la acción con la página principal que muestra gráficos circulares de la sesión, la computadora y la actividad del agente. Con IIS ejecutándose en el host UserLock, también instalamos sus componentes de consola web y vimos la actividad de forma remota desde un navegador.

Algunas tareas de configuración no se pueden realizar desde la interfaz web, pero descubrimos que el nivel de detalle de la actividad era superior al de la consola principal. Las versiones para tabletas y móviles están incluidas y desde nuestro iPad, vimos toda la actividad de la sesión, vimos estadísticas históricas de la sesión y aplicamos acciones de bloqueo a los usuarios seleccionados.

Los informes son lo suficientemente buenos para satisfacer el cumplimiento de GDPR y los auditores externos. Desde la consola principal, tiene instalaciones para generar informes sobre cualquiera o todos los tipos de sesión para períodos de tiempo, usuarios y grupos seleccionados.

Los informes detallados están disponibles para las actividades de inicio y cierre de sesión, inicios de sesión denegados por AD y UserLock, inicios de sesión fallidos e historial de sesiones simultáneas. Pueden programarse para ejecutarse a intervalos regulares o activarse por un evento y exportarse a una variedad de formatos, incluidos PDF, XLS, CSV y HTML.

Conclusión

UserLock elimina la tensión de administrar el acceso de inicio de sesión de los usuarios de AD y obtiene una alta puntuación en sus controles granulares de sesiones simultáneas. A diferencia de la directiva de grupo, los cambios realizados en UserLock se propagan inmediatamente y todos los controles de inicio de sesión son accesibles desde una única interfaz.

La implementación de agentes es muy sencilla y con una estructura de precios basada en el máximo de sesiones de usuario simultáneas, es asequible tanto para pymes como para empresas. Agregue las amplias funciones de informes y auditoría de sesiones y tendrá el socio de seguridad de acceso perfecto para los entornos de Windows Active Directory.