Zimbra Collaboration Suite und Mobile Device Management mit ABQ

Die rasante Entwicklung tragbarer Elektronik, insbesondere von Smartphones und Tablets, hat eine Vielzahl neuer Herausforderungen für die Unternehmenssicherheit mit sich gebracht. Früher basierte die gesamte Cybersecurity auf dem Aufbau eines sicheren Perimeters und dessen anschließender Überwachung. Nun, da praktisch jeder Mitarbeiter für seine Arbeitsaufgaben eigene mobile Geräte nutzt, ist es äußerst schwierig geworden, den Sicherheits perimeter zu kontrollieren. Dies gilt insbesondere für große Unternehmen, in denen jeder Mitarbeiter Zugangsdaten für E-Mails und andere Unternehmensressourcen besitzt. Oft gibt ein Mitarbeiter beim Erwerb eines neuen Smartphones oder Tablets seine Anmeldedaten ein und vergisst dabei häufig, sich von dem alten Gerät abzumelden. Selbst wenn nur 5 % der Mitarbeiter so verantwortungslos agieren, verwandelt sich die Zugriffskontrolle mobiln Geräte schnell in ein echtes Chaos. Server Die Situation eskaliert sehr schnell und wird unübersichtlich.

Zudem gehen mobile Endgeräte ziemlich häufig verloren oder werden gestohlen, und anschließend können sie zum Sammeln von Kompromat sowie zum Zugriff auf Unternehmensressourcen und Daten, die Geschäftsgeheimnisse darstellen, verwendet werden. In der Regel liegt die größte Gefährdung für die Cybersecurity eines Unternehmens darin, dass Angreifer Zugang zur E-Mail eines Mitarbeiters erhalten. Dadurch können sie auf das globale Adressbuch und die Kontakte, den Kalender mit anstehenden Meetings des unglücklichen Mitarbeiters sowie auf seine Korrespondenz zugreifen. Darüber hinaus haben Angreifer, die Zugriff auf die Unternehmens-E-Mail erhalten haben, die Möglichkeit, Phishing-E-Mails oder mit Malware infizierte Nachrichten von einer vertrauenswürdigen E-Mail-Adresse zu versenden. All dies zusammen gibt Angreifern nahezu unbegrenzte Möglichkeiten, Cyberangriffe durchzuführen und soziale Ingenieurtechniken zu nutzen, um ihre Ziele zu erreichen.

Um die Kontrolle über mobile Geräte im Sicherheitsbereich zu gewährleisten, gibt es die Technologie ABQ, also Allow/Block/Quarantine. Sie ermöglicht es dem Administrator, die Liste der mobilen Geräte zu steuern, die berechtigt sind, Daten mit dem Mailserver zu synchronisieren, und bei Bedarf kompromittierte Geräte zu blockieren sowie verdächtige mobile Geräte in Quarantäne zu stellen.

Allerdings sind die Interaktionsmöglichkeiten der kostenlosen Version des Zimbra Collaboration Suite Open-Source Edition, wie jeder Administrator weiß, stark eingeschränkt. Genau genommen können Nutzer der kostenlosen Version von Zimbra lediglich E-Mails über das Protokoll POP3 oder IMAP senden und empfangen, ohne dabei über die eingebaute Funktion zur Synchronisierung von Kalenderdaten, Adressbüchern und Notizen mit dem Server zu verfügen. Die Technologie ABQ ist in der kostenlosen Version der Zimbra Collaboration Suite ebenfalls nicht implementiert, was alle Versuche, einen geschützten Informationsperimeter im Unternehmen zu schaffen, automatisch zunichte macht. In Situationen, in denen der Administrator nicht weiß, welche Geräte mit seinem Server verbunden sind, können Datenlecks im Unternehmen auftreten, und das Risiko eines Cyberangriffs nach dem zuvor beschriebenen Szenario steigt erheblich.

Um dieses Problem in der Zimbra Collaboration Suite Open-Source Edition zu lösen, hilft das modulare Erweiterungsmodul Zextras Mobile. Dieses Modul bietet der kostenlosen Version von Zimbra eine vollständige Unterstützung des ActiveSync-Protokolls und eröffnet dadurch zahlreiche Möglichkeiten für die Interaktion zwischen mobilen Geräten und Ihrem Mailserver. Neben verschiedenen anderen Funktionen bietet das Zextras Mobile-Erweiterungsmodul umfassende Unterstützung für ABQ.

Wir möchten gleich darauf hinweisen, dass eine fehlerhafte Konfiguration von ABQ dazu führen kann, dass einige Benutzer ihre Daten auf mobilen Geräten nicht mit dem Server synchronisieren können. Daher ist es wichtig, bei der Einrichtung größtmögliche Sorgfalt und Vorsicht walten zu lassen. Die Konfiguration von ABQ erfolgt über die Kommandozeile von Zextras. Hier wird sowohl der Betriebsmodus von ABQ in Zimbra festgelegt als auch die Verwaltung der Geräteslisten vorgenommen.

Es wird wie folgt umgesetzt: Nachdem der Benutzer in die Unternehmens-E-Mail auf einem mobilen Gerät eingeloggt hat, sendet er die Anmeldedaten sowie die Identifikationsdaten seines Geräts an den Server, die auf ihrem Weg durch das ABQ auf ein Hindernis stoßen. Dieses überprüft die Identifikationsdaten und vergleicht sie mit denen, die in den Listen für erlaubte, quarantänisierte und blockierte Geräte vorhanden sind. Wenn das Gerät in keiner der Listen aufgeführt ist, wird das ABQ gemäß dem Modus, in dem es arbeitet, mit dem Gerät verfahren.

ABQ in Zimbra sieht drei Betriebsarten vor:

Erlaubend (Permissive): Bei diesem Betriebsmodus erfolgt nach der Authentifizierung des Benutzers die Synchronisierung automatisch bei der ersten Anfrage von dem mobilen Gerät. In diesem Modus besteht die Möglichkeit, einzelne Geräte zu sperren, jedoch können alle anderen weiterhin problemlos Daten mit dem Server synchronisieren.

Interaktiv (Interactive): Im Betriebsmodus fragt das Sicherheitssystem sofort nach der Authentifizierung des Benutzers die Identifikationsdaten des Geräts ab und vergleicht sie mit der Liste der autorisierten Geräte. Wenn das Gerät auf der Liste steht, wird die Synchronisierung automatisch fortgesetzt. Ist das Gerät nicht auf der „Whitelist“, wird es automatisch in Quarantäne gestellt, sodass der Administrator später entscheiden kann, ob die Synchronisierung mit dem Server zugelassen oder blockiert wird. Der Benutzer erhält eine entsprechende Benachrichtigung. Der Administrator wird regelmäßig informiert, einmal in einem einstellbaren Zeitraum. In jeder neuen Benachrichtigung werden nur neue Geräte aufgeführt, die in Quarantäne gestellt wurden.

Streng: In diesem Betriebsmodus erfolgt nach der Benutzeranmeldung sofort eine Überprüfung, ob die Identifikationsdaten des Geräts in der Liste der erlaubten Geräte vorhanden sind. Wenn dies der Fall ist, wird die Synchronisation automatisch fortgesetzt. Falls das Gerät nicht in der Liste der erlaubten Geräte steht, wird es sofort in die Liste der blockierten Geräte aufgenommen, und der Benutzer erhält eine entsprechende Benachrichtigung per E-Mail.

Außerdem kann der Zimbra-Administrator auf Wunsch das ABQ vollständig deaktivieren. Server.

Der Betriebsmodus des ABQ wird mit den folgenden Befehlen konfiguriert:

zxsuite config global set attribute abqMode value Permissive
zxsuite config global set attribute abqMode value Interactive
zxsuite config global set attribute abqMode value Strict
zxsuite config global set attribute abqMode value Disabled

Den aktuellen Betriebsmodus des ABQ erfahren Sie mit dem Befehl zxsuite config global get attribute abqMode.

Wenn Sie die interaktiven oder strikten Betriebsmodi von ABQ verwenden, müssen Sie häufig mit Listen zugelassener und blockierter Geräte sowie mit quarantänierten Geräten arbeiten. Angenommen, zwei Geräte haben sich mit unserem Server verbunden: ein iPhone und ein Android-Gerät mit den entsprechenden Identifikationen. Später stellt sich heraus, dass das iPhone vor kurzem von dem Geschäftsführer des Unternehmens erworben wurde, der beschloss, seine E-Mails damit zu bearbeiten, während das Android-Gerät einem gewöhnlichen Mitarbeiter gehört, der aus Sicherheitsgründen nicht berechtigt ist, die geschäftliche E-Mail auf seinem Smartphone zu verwenden.

Im interaktiven Modus werden beide in Quarantäne geschickt, aus der der Administrator das iPhone in die Liste der zugelassenen Geräte und das Android in die Liste der blockierten Geräte übertragen muss. Dazu verwendet er die Befehle zxsuite mobile abq allow iPhone und zxsuite mobile abq block Android. Danach kann der Geschäftsführer seine E-Mails vollständig von seinen Geräten aus bearbeiten, während der Mitarbeiter sie weiterhin ausschließlich über seinen Arbeitslaptop einsehen muss.

Es ist erwähnenswert, dass bei der Nutzung des interaktiven Modus, selbst wenn der Manager auf seinem Android-Gerät korrekt seinen Benutzernamen und Passwort eingibt, er dennoch keinen Zugriff auf sein Konto erhält. Stattdessen wird er in das virtuelle Postfach weitergeleitet, in dem er eine Benachrichtigung erhält, dass sein Gerät quarantänegestellt wurde und er von diesem keine E-Mails abrufen kann.

Im Falle des strengen Modus werden alle neuen Geräte blockiert. Nachdem festgestellt wurde, wem sie gehörten, bleibt dem Administrator nur noch, das iPhone des Geschäftsführers mit dem Befehl zxsuite mobile ABQ set iPhone Allowed, dabei das Telefon des Managers beizubehalten.

Der Erlaubte Modus ist jedoch nur schwach mit irgendwelchen Sicherheitsrichtlinien im Unternehmen kompatibel. Dennoch, falls es notwendig wird, eines der erlaubten Mobilgeräte zu sperren, beispielsweise wenn der Manager plötzlich unter Skandal entlassen wird, kann dies mit dem Befehl erfolgen zxsuite mobile ABQ set Android Blocked.

Wenn Mitarbeitern im Unternehmen dienstliche Geräte für die Arbeit mit E-Mails zur Verfügung gestellt werden, kann das Gerät bei einem Wechsel des Eigentümers vollständig aus den ABQ-Listen entfernt werden, um später die Entscheidung zu treffen, ob die Synchronisierung mit dem Server erlaubt werden soll oder nicht. Dies geschieht mit dem Befehl zxsuite mobile ABQ delete Android.

Wie Sie sehen können, ermöglicht das Zextras Mobile-Plugin in Zimbra eine sehr flexible Kontrolle über die verwendeten mobilen Geräte, die sowohl für Unternehmen mit einer eher strengen Richtlinie zur Nutzung von Unternehmensressourcen außerhalb des Büros geeignet ist, als auch für Unternehmen, die in dieser Hinsicht eher liberal sind.

Quelle: habr.com