Den hurtige udvikling af bærbar elektronik, især smartphones og tablets, har skabt mange nye udfordringer for virksomhedens informationssikkerhed. Faktisk, hvis hele cybersikkerheden tidligere var baseret på at opbygge en sikker perimeter og derefter beskytte den, er det nu blevet meget svært at kontrollere sikkerhedsperimeteret, når næsten hver medarbejder bruger sine egne mobile enheder til at løse arbejdsopgaver. Dette er især relevant for store virksomheder, hvor hver medarbejder har loginoplysninger til e-mail og andre virksomhedsmidler. Ofte, når medarbejderen køber en ny smartphone eller tablet, indtaster de deres loginoplysninger, ofte uden at logge ud fra den gamle enhed. Selv hvis der kun er 5% sådanne uansvarlige medarbejdere i virksomheden, vil manglende kontrol fra administratorens side gøre situationen problematisk med hensyn til adgangen for mobile enheder til e-mail. server det hurtigt udvikler sig til et rent kaos.
Desuden bliver mobile enheder ofte tabt eller stjålet og anvendes derefter til at finde kompromitterende oplysninger samt få adgang til virksomhedens ressourcer og data, der udgør forretningshemmeligheder. Som regel er den største trussel mod virksomhedens cybersikkerhed, når angribere får adgang til en medarbejders e-mail. Dette giver dem adgang til den globale adresse- og kontaktliste, til mødeplanen, som den uheldige medarbejder skulle have deltaget i, samt til deres korrespondance. Derudover får angriberne mulighed for at sende phishing- eller malware-inficerede e-mails fra en betroet e-mail-adresse. Alt dette samlet giver angriberne næsten ubegrænsede muligheder for at udføre cyberangreb samt anvende social engineering for at nå deres mål.
For monitoring mobile devices within the security perimeter, there is the ABQ technology, or Allow/Block/Quarantine. It enables the administrator to manage a list of mobile devices authorized to sync data with the mail server, and if necessary, block compromised devices and quarantine suspicious mobile devices.
However, as any administrator of the free version of Zimbra Collaboration Suite Open-Source Edition knows, its interaction capabilities with mobile devices are severely limited. Strictly speaking, users of the free version of Zimbra can only send and receive emails via the POP3 or IMAP protocols, without the built-in capability to sync calendar, address book, and notes data with the server. The ABQ technology is also not implemented in the free version of Zimbra Collaboration Suite, which automatically jeopardizes any attempts to create a closed information perimeter in the organization. In situations where the administrator is unaware of which devices are connecting to their server, information leaks may occur, and the risk of a cyber attack, as previously described, increases significantly.
The issue in Zimbra Collaboration Suite Open-Source Edition can be addressed with the modular extension Zextras Mobile. This extension allows the addition of full ActiveSync protocol support to the free version of Zimbra and thus opens up numerous opportunities for interaction between mobile devices and your mail server. Among various other functions, the Zextras Mobile extension fully supports ABQ.
We would like to warn that since incorrectly configured ABQ can result in some users being unable to sync data on their mobile devices with the server, one should approach its configuration with maximum care and caution. The ABQ is configured from the Zextras command line. It is specifically in the command line that the operation mode of ABQ in Zimbra is set up, and device lists are managed.
Det er implementeret på følgende måde: Efter at brugeren logger ind på firmaposten på sin mobile enhed, sender han loginoplysninger til serveren, samt identifikationsoplysninger fra sin enhed, som møder en forhindring i form af ABQ, der gennemgår identifikationsoplysningerne og sammenligner dem med dem, der findes på listen over tilladte, quarantæne og blokerede enheder. Hvis enheden ikke findes på nogen af listerne, handler ABQ i overensstemmelse med den driftsmode, den er indstillet til.
ABQ i Zimbra omfatter tre driftsmodi:
Tilladende (Permissive): I denne driftsmode, efter brugerens autentificering, sker synkronisering automatisk ved den første anmodning fra den mobile enhed. I denne driftsmode er der mulighed for at blokere enkelte enheder, men alle andre vil kunne synkronisere data med serveren uden restriktioner.
Interaktiv (Interactive): I denne driftsmode, straks efter brugerens autentificering, anmoder sikkerhedssystemet om enhedens identifikationsoplysninger og sammenligner dem med listen over tilladte enheder. Hvis enheden er på den tilladte liste, fortsætter synkroniseringen automatisk. Hvis enheden ikke er på 'hvidlisten', vil den automatisk blive placeret i karantæne, så administratoren senere kan beslutte, om enheden skal have tilladelse til at synkronisere med serveren eller blokkeres. Brugerens vil modtage en tilsvarende meddelelse. Administratoren informeres regelmæssigt, én gang hver indstillet periode. Hver ny meddelelse vil kun indeholde nye enheder, der er kommet i karantæne.
Streng (Strict): I denne driftsmode, efter brugerens autentificering, udføres der straks en kontrol af, hvorvidt enhedens identifikationsoplysninger er på listen over tilladte. Hvis enheden er der, fortsætter synkroniseringen automatisk. Hvis enheden ikke er på listen over tilladte, bliver den straks sat på listen over blokerede, og brugeren modtager en tilsvarende meddelelse via e-mail.
Hvis ønskes, kan Zimbra-administratoren helt deaktivere ABQ på sin mailserver. serveren.
Konfiguration af ABQ-arbejdsmodus udføres ved hjælp af kommandoer:
zxsuite config global set attribute abqMode value Permissive
zxsuite config global set attribute abqMode value Interactive
zxsuite config global set attribute abqMode value Strict
zxsuite config global set attribute abqMode value Disabled
Du kan finde ud af den aktuelle ABQ-arbejdsmodus ved hjælp af kommandoen zxsuite config global get attribute abqMode.
Hvis du bruger interaktive eller strenge ABQ-arbejdsmodi, skal du ofte arbejde med lister over tilladte og blokerede enheder samt enheder i karantæne. Antag, at vores server er blevet tilsluttet af to enheder: en iPhone og en Android med de relevante legitimationsoplysninger. Senere viser det sig, at iPhone blev købt af virksomhedens direktør for nylig, og han besluttede at arbejde med mailen på den, mens Android tilhører en almindelig leder, der ikke har ret til at bruge arbejdsmailen på sin smartphone af sikkerhedsmæssige årsager.
I tilfælde af den interaktive tilstand vil alle enheder blive sendt til karantæne, hvor administratoren skal flytte iPhone til listen over tilladte enheder og Android til listen over blokerede. For dette bruger han kommandoerne zxsuite mobile abq allow iPhone og zxsuite mobile abq block Android. Derefter vil direktøren kunne arbejde med mailen fra sine enheder, mens lederen stadig kun skal gennemse den fra sin arbejdsbærbar computer.
Det er værd at bemærke, at selvom lederen indtaster sit login og kodeord korrekt på sin Android-enhed i den interaktive tilstand, vil han stadig ikke få adgang til sin konto, men i stedet komme ind i en virtuel mailboks, hvor han vil modtage en meddelelse om, at hans enhed er blevet tilføjet til karantæne, og han vil ikke være i stand til at bruge mailen fra den.
I tilfælde af den strenge tilstand vil alle nye enheder blive blokeret, og efter at det er blevet afklaret, hvem de tilhørte, vil administratoren kun kunne tilføje direktørens iPhone til listen over tilladte enheder ved hjælp af kommandoen zxsuite mobile ABQ set iPhone Allowed, mens telefonen til lederen forbliver der.
Den tillåtna driftsmodellen är svagt kompatibel med några säkerhetsregler på företaget, men om det ändå uppstår behov av att blockera någon av de tillåtna mobila enheterna, till exempel om en chef plötsligt sagt upp sig i skandal, kan detta göras med kommandot zxsuite mobile ABQ set Android Blocked.
Om företaget för arbetet med e-post tillhandahåller tjänstegadgets till anställda, kan enheten vid nästa ägarbyte helt tas bort från ABQ-listorna, så att man senare kan besluta om den ska tillåtas synkronisering med servern eller inte. Detta görs med kommandot zxsuite mobile ABQ delete Android.
Som ni kan se, med Zextras Mobile-tillägget i Zimbra kan man implementera ett mycket flexibelt system för att kontrollera använda mobila enheter, vilket passar både för företag med ganska strikta riktlinjer för användning av företagsresurser utanför kontoret och för de företag som är ganska liberala i detta avseende.
Kilde: habr.com
