Rychlý rozvoj přenosné elektroniky, a zejména chytrých telefonů a tabletů, přinesl celou řadu nových výzev pro firemní informační bezpečnost. Opravdu, zatímco dříve byla veškerá kybernetická bezpečnost postavena na vytváření zabezpečeného perimetru a jeho následné ochraně, nyní, když prakticky každý zaměstnanec používá k pracovním úkolům své vlastní mobilní zařízení, se kontrola bezpečnostního perimetru stala velmi složitou. To je obzvlášť relevantní pro velké podniky, kde má každý pracovník přístupové údaje k e-mailu a dalším firemním zdrojům. Často, když si zaměstnanec pořídí nový smartphone nebo tablet, zadá na něm své přihlašovací údaje, přičemž často zapomíná se odhlásit na starém zařízení. I když takoví nezodpovědní zaměstnanci tvoří pouze 5 % z celkového počtu, bez řádné kontroly ze strany administrátora se stav s přístupem mobilních zařízení k e-mailu serveru velmi rychle mění v opravdový chaos.
Kromě toho se mobilní zařízení poměrně často ztrácejí nebo jsou kradena, a poté se používají k hledání kompromitujících materiálů, jakož i k přístupu k firemním zdrojům a datům, která představují obchodní tajemství. Obecně platí, že největší škody na firemní kybernetické bezpečnosti způsobuje získání přístupu k e-mailu zaměstnance zločinci. Díky tomu mohou získat globální seznam adres a kontaktů, kalendář schůzek, kterých se nešťastný zaměstnanec měl zúčastnit, stejně jako jeho korespondenci. Kromě toho ti, kdo získali přístup k firemnímu e-mailu, mají možnost rozesílat phishingové nebo zavirované e-maily z důvěryhodné e-mailové adresy. To vše dohromady poskytuje útočníkům prakticky neomezené možnosti k provádění kybernetických útoků, jakož i využívání sociálního inženýrství k dosažení svých cílů.
Aby bylo možné monitorovat mobilní zařízení, která spadají do bezpečnostního perimetru, existuje technologie ABQ, nebo Allow/Block/Quarantine. Ta umožňuje administrátorovi kontrolovat seznam mobilních zařízení, která mají povoleno synchronizovat data s poštovním serverem, a v případě potřeby blokovat kompromitovaná zařízení a umisťovat podezřelá mobilní zařízení do karantény.
Jak ale ví každý administrátor bezplatné verze Zimbra Collaboration Suite Open-Source Edition, možnosti její interakce s mobilními zařízeními jsou velmi omezené. Přísně vzato, uživatelé bezplatné verze Zimbra mohou pouze přijímat a odesílat e-maily pomocí protokolu POP3 nebo IMAP, aniž by měli vestavěnou možnost synchronizovat s serverem data kalendáře, adresářů a poznámek. Technologie ABQ není v bezplatné verzi Zimbra Collaboration Suite implementována, což automaticky znemožňuje jakékoli pokusy vytvořit uzavřený informační perimetr ve společnosti. V situaci, kdy administrátor neví, jaká zařízení se připojují k jeho serveru, mohou ve firmě vzniknout úniky informací a výrazně se zvyšuje pravděpodobnost provedení kybernetického útoku podle dříve popsaného scénáře.
Tento problém v Zimbra Collaboration Suite Open-Source Edition vyřeší modulární rozšíření Zextras Mobile. Toto rozšíření umožňuje přidat do bezplatné verze Zimbra plnou podporu protokolu ActiveSync a tím otevírá spoustu možností pro interakci mezi mobilními zařízeními a vaším poštovním serverem. Kromě dalších různých funkcí rozšíření Zextras Mobile obsahuje plnou podporu ABQ.
Okamžitě upozorníme, že špatně nakonfigurovaný ABQ může vést k tomu, že někteří uživatelé nebudou schopni synchronizovat data na svých mobilních zařízeních se serverem, a proto je třeba k nastavení přistupovat s maximální pozorností a opatrností. Nastavení ABQ se provádí z příkazového řádku Zextras. Právě v příkazovém řádku se nastavuje režim práce ABQ v Zimbře a také se spravují seznamy zařízení.
Je realizován následujícím způsobem: Poté, co se uživatel přihlásí do firemní e-mailové schránky na mobilním zařízení, odešle serveru autentifikační údaje a také identifikační údaje svého zařízení, které narazí na překážku v podobě ABQ. Ta zkontroluje identifikační údaje a porovná je s těmi, které jsou v seznamech povolených, karanténních a blokovaných zařízení. Pokud zařízení není v žádném z těchto seznamů, ABQ postupuje podle režimu, ve kterém operuje.
ABQ v Zimbře předpokládá tři provozní režimy:
Povolený (Permissive): V tomto režimu po autentizaci uživatele probíhá synchronizace automaticky při prvním požadavku z mobilního zařízení. V tomto režimu je možné blokovat jednotlivá zařízení, ale ostatní budou moci volně synchronizovat data se serverem.
Interaktivní (Interactive): V tomto režimu ihned po autentizaci uživatele systém bezpečnosti požaduje identifikační údaje zařízení a porovnává je se seznamem povolených zařízení. Pokud je zařízení uvedeno v seznamu povolených, synchronizace automaticky pokračuje. Pokud však zařízení není na „bílém seznamu“, bude automaticky umístěno do karantény, aby administrátor později mohl rozhodnout, zda povolit tomuto zařízení synchronizaci se serverem, nebo jej zablokovat. Uživatelovi bude zároveň zasláno příslušné oznámení. Informování administrátora probíhá pravidelně, jednou v nastavitelné době. V každém novém oznámení budou obsažena pouze nová zařízení, která se dostala do karantény.
Přísný (Strict): V tomto režimu po autentizaci uživatele probíhá okamžitě kontrola existence identifikačních údajů zařízení v seznamu povolených. V případě, že je tam uvedeno, synchronizace automaticky pokračuje. Pokud zařízení není v seznamu povolených, ihned se dostane do seznamu blokovaných a uživatelovi přijde odpovídající oznámení e-mailem.
Také má administrátor Zimbra možnost zcela vypnout ABQ na svém poštovním serveru. serveru.
Nastavení provozního režimu ABQ se provádí pomocí příkazů:
zxsuite config global set attribute abqMode value Permissive
zxsuite config global set attribute abqMode value Interactive
zxsuite config global set attribute abqMode value Strict
zxsuite config global set attribute abqMode value Disabled
Aktuální provozní režim ABQ lze zjistit pomocí příkazu zxsuite config global get attribute abqMode.
V případě, že používáte interaktivní nebo přísné režimy provozu ABQ, budete často muset pracovat s seznamy povolených a blokovaných zařízení, stejně jako se zařízeními v karanténě. Předpokládejme, že se k našemu serveru připojily dva zařízení: jedno iPhone a jedno Android s odpovídajícími identifikačními údaji. Později se ukáže, že iPhone si nedávno pořídil generální ředitel a rozhodl se s ním pracovat s e-mailem, zatímco Android patří obyčejnému manažerovi, který nemá právo používat pracovní e-mail na svém telefonu z důvodů bezpečnosti.
V případě interaktivního režimu všechna tato zařízení skončí v karanténě, odkud bude muset administrátor převést iPhone do seznamu povolených zařízení a Android do seznamu blokovaných. K tomu použije příkazy zxsuite mobile abq allow iPhone a zxsuite mobile abq block Android. Po tomto kroku bude generální ředitel moci plně pracovat se svou poštou ze svých zařízení, zatímco manažer bude muset stále přistupovat pouze k pracovním e-mailům ze svého pracovního notebooku.
Je důležité si uvědomit, že při používání interaktivního režimu, i když manažer na svém Android zařízení správně zadá své přihlašovací údaje, stejně nebude mít přístup ke svému účtu, ale vstoupí do virtuální schránky, kde dostane upozornění, že jeho zařízení bylo přidáno do karantény a nebude mít možnost s ním používat poštu.
V případě přísného režimu budou všechna nová zařízení zablokována a po zjištění, komu patřila, administrátorovi zůstane pouze přidat iPhone generálního ředitele do seznamu povolených zařízení pomocí příkazu zxsuite mobile ABQ set iPhone Allowed, zatímco telefon manažera zůstane v seznamu blokovaných.
Režim povoleného používání je slabě kompatibilní s jakýmikoliv bezpečnostními pravidly na pracovišti, nicméně pokud je potřeba zablokovat některé z povolených mobilních zařízení, například pokud manažer náhle odešel v hněvu, lze to provést pomocí příkazu zxsuite mobile ABQ set Android Blocked.
Pokud jsou zaměstnancům na pracovišti poskytována služební zařízení pro práci s e-mailem, je možné při každé změně vlastníka zařízení úplně odebrat záznam z ABQ, aby se později rozhodlo, zda mu povolit synchronizaci se serverem nebo ne. To se provádí pomocí příkazu zxsuite mobile ABQ delete Android.
Jak můžete vidět, s pomocí rozšíření Zextras Mobile v Zimbře lze realizovat velmi flexibilní systém kontroly používání mobilních zařízení, který je vhodný jak pro podniky s velmi přísnou politikou používání firemních zdrojů mimo kancelář, tak i pro ty společnosti, které jsou v této věci velmi liberální.
Zdroj: habr.com
