Zimbra Collaboration Suite und die Verwaltung mobiler Geräte mit ABQ

Die rasante Entwicklung der tragbaren Elektronik, insbesondere von Smartphones und Tablets, hat eine Vielzahl neuer Herausforderungen für die Unternehmenssicherheit geschaffen. Tatsächlich war es früher so, dass die gesamte Cybersicherheit darauf beruhte, einen geschützten Perimeter zu schaffen und diesen anschließend zu sichern. Jetzt, da fast jeder Mitarbeiter eigene mobile Geräte für Arbeitsaufgaben verwendet, ist es sehr schwierig geworden, den Sicherheitsperimeter zu kontrollieren. Dies ist besonders für große Unternehmen relevant, in denen jeder Mitarbeiter über Anmeldedaten für E-Mail und andere Unternehmensressourcen verfügt. Oft gibt ein Mitarbeiter bei der Anschaffung eines neuen Smartphones oder Tablets seine Zugangsdaten ein, vergisst jedoch häufig, sich auf dem alten Gerät abzumelden. Selbst wenn nur 5 % solcher verantwortungslosen Mitarbeiter in einem Unternehmen tätig sind, kann ohne angemessene Kontrolle durch den Administrator die Situation mit dem Zugriff von mobilen Geräten auf E-Mail zu einem Server sehr schnell zu einem regelrechten Chaos werden.

Darüber hinaus gehen mobile Geräte häufig verloren oder werden gestohlen und werden anschließend für die Beschaffung von kompromittierenden Informationen sowie für den Zugriff auf Unternehmensressourcen und Daten, die ein Geschäftsgeheimnis darstellen, verwendet. In der Regel richtet sich der größte Schaden für die Unternehmenscybersicherheit gegen den Zugang von Angreifern zur E-Mail eines Mitarbeiters. Dadurch können sie auf die globale Adressliste und Kontakte, auf den Terminkalender, an dem der unglückliche Mitarbeiter teilnehmen sollte, sowie auf seine Korrespondenz zugreifen. Zudem ermöglicht der Zugriff auf die Unternehmens-E-Mail den Angreifern, Phishing- oder mit Malware infizierte E-Mails von einer vertrauenswürdigen E-Mail-Adresse zu versenden. All dies zusammen gibt Angreifern praktisch unbegrenzte Möglichkeiten zur Durchführung von Cyberangriffen und zur Nutzung sozialer Ingenieurtechniken, um ihre Ziele zu erreichen.

Um die Kontrolle über mobile Geräte innerhalb des Sicherheitsbereichs zu gewährleisten, gibt es die Technologie ABQ, oder Allow/Block/Quarantine. Sie ermöglicht es dem Administrator, die Liste der mobilen Geräte zu verwalten, die erlaubt sind, Daten mit dem Mailserver zu synchronisieren. Bei Bedarf können kompromittierte Geräte blockiert und verdächtige mobile Geräte in Quarantäne gestellt werden.

Wie jeder Administrator der kostenlosen Version der Zimbra Collaboration Suite Open-Source Edition weiß, sind die Möglichkeiten ihrer Interaktion mit mobilen Geräten stark eingeschränkt. Streng genommen können Benutzer der kostenlosen Version von Zimbra nur E-Mails über die Protokolle POP3 oder IMAP empfangen und senden, ohne über integrierte Funktionen zur Synchronisierung von Kalender, Adressbuch und Notizen mit dem Server zu verfügen. In der kostenlosen Version der Zimbra Collaboration Suite ist auch die ABQ-Technologie nicht implementiert, was automatisch alle Versuche, einen geschützten Informationsbereich im Unternehmen zu schaffen, zunichte macht. In Situationen, in denen der Administrator nicht weiß, welche Geräte sich mit seinem Server verbinden, können Informationslecks im Unternehmen auftreten, und die Wahrscheinlichkeit eines Cyberangriffs nach dem zuvor beschriebenen Szenario steigt erheblich.

Eine Lösung für dieses Problem in der Zimbra Collaboration Suite Open-Source Edition bietet das modulare Erweiterungsmodul Zextras Mobile. Diese Erweiterung ermöglicht es, der kostenlosen Version von Zimbra umfassende Unterstützung für das ActiveSync-Protokoll hinzuzufügen und eröffnet dadurch zahlreiche Möglichkeiten für die Interaktion zwischen mobilen Geräten und Ihrem Mailserver. Neben vielen weiteren Funktionen implementiert die Zextras Mobile-Erweiterung vollständige Unterstützung für ABQ.

Wir möchten darauf hinweisen, dass eine fehlerhaft konfigurierte ABQ dazu führen kann, dass einige Benutzer keine Daten auf ihren mobilen Geräten mit dem Server synchronisieren können. Daher sollte die Konfiguration mit höchster Sorgfalt und Vorsicht angegangen werden. Die ABQ-Konfiguration erfolgt über die Kommandozeile von Zextras. Hier wird der Betriebsmodus von ABQ in Zimbra konfiguriert sowie die Verwaltung der Geräteslisten durchgeführt.

Er wird wie folgt realisiert: Nachdem der Benutzer sich mit seinem Mobilgerät in die Unternehmens-E-Mail einloggt, sendet er die Authentifizierungsdaten sowie die Identifikationsdaten seines Geräts an den Server. Diese Daten treffen auf ein Hindernis in Form von ABQ, das die Identifikationsdaten überprüft und mit denjenigen abgleicht, die in den Listen der erlaubten, quarantänisierten und blockierten Geräte vorhanden sind. Wenn das Gerät in keiner der Listen aufgeführt ist, handelt ABQ gemäß dem Modus, in dem es arbeitet.

ABQ in Zimbra sieht drei Betriebsmodi vor:

Erlaubend (Permissive): In diesem Betriebsmodus erfolgt nach der Authentifizierung des Benutzers die Synchronisierung automatisch beim ersten Anfrage von dem mobilen Gerät. In diesem Modus besteht die Möglichkeit, einzelne Geräte zu sperren, während alle anderen frei Daten mit dem Server synchronisieren können.

Interaktiv (Interactive): In diesem Betriebsmodus fordert das Sicherheitssystem direkt nach der Benutzeranmeldung die Identifikationsdaten des Geräts an und vergleicht sie mit der Liste der erlaubten Geräte. Wenn das Gerät in der erlaubten Liste steht, wird die Synchronisierung automatisch fortgesetzt. Sollte sich das Gerät nicht auf der "Whitelist" befinden, wird es automatisch in Quarantäne gesetzt, damit der Administrator später darüber entscheiden kann, ob die Synchronisierung mit dem Server erlaubt oder das Gerät blockiert wird. Der Benutzer erhält in diesem Fall eine entsprechende Benachrichtigung. Der Administrator wird regelmäßig, einmal in einem einstellbaren Zeitraum, informiert. Jede neue Benachrichtigung enthält dabei nur neue Geräte, die in Quarantäne geraten sind.

Streng (Strict): In diesem Betriebsmodus wird direkt nach der Authentifizierung des Benutzers überprüft, ob die Identifikationsdaten des Geräts in der Liste der erlaubten Geräte vorhanden sind. Falls dies der Fall ist, wird die Synchronisierung automatisch fortgesetzt. Sollte das Gerät nicht auf der Liste der erlaubten Geräte stehen, landet es sofort auf der Liste der blockierten Geräte, und der Benutzer erhält eine entsprechende Benachrichtigung per E-Mail.

Auch auf Wunsch kann der Zimbra-Administrator ABQ vollständig in seinem Postfach deaktivieren. Server.

Die Konfiguration des ABQ-Betriebsmodus erfolgt über die Befehle:

zxsuite config global set attribute abqMode value Permissive
zxsuite config global set attribute abqMode value Interactive
zxsuite config global set attribute abqMode value Strict
zxsuite config global set attribute abqMode value Disabled

Den aktuellen ABQ-Betriebsmodus erfährt man mit dem Befehl zxsuite config global get attribute abqMode.

Wenn Sie den interaktiven oder strengen Betriebsmodus von ABQ verwenden, müssen Sie häufig mit den Listen der erlaubten und blockierten Geräte sowie den Geräten im Quarantäne-Modus arbeiten. Angenommen, zwei Geräte, ein iPhone und ein Android mit den entsprechenden Identifikationsdaten, haben sich mit unserem Server verbunden. Später stellt sich heraus, dass das iPhone kürzlich dem Geschäftsführer des Unternehmens gehörte, der damit auf seine E-Mails zugreifen möchte, während das Android einem gewöhnlichen Manager gehört, der aus Sicherheitsgründen keine Arbeits-E-Mails auf seinem Smartphone nutzen darf.

Im interaktiven Modus werden alle diese Geräte in Quarantäne geschickt, von wo aus der Administrator das iPhone in die Liste der erlaubten Geräte und das Android in die Liste der blockierten Geräte übertragen muss. Dafür verwendet er die Befehle zxsuite mobile abq allow iPhone und zxsuite mobile abq block Android. Danach kann der Geschäftsführer vollständig von seinen Geräten aus mit seinen E-Mails arbeiten, während der Manager weiterhin nur über sein Arbeitslaptop darauf zugreifen kann.

Es ist erwähnenswert, dass im interaktiven Modus, selbst wenn der Manager auf seinem Android-Gerät korrekt seinen Benutzernamen und sein Passwort eingibt, er trotzdem keinen Zugriff auf sein Konto erhält, sondern in das virtuelle Postfach gelangt, in dem er die Benachrichtigung erhält, dass sein Gerät in Quarantäne gesetzt wurde und er nicht auf seine E-Mails von diesem Gerät aus zugreifen kann.

Im strengen Modus werden alle neuen Geräte blockiert, und nachdem festgestellt wurde, wem sie gehören, muss der Administrator nur noch das iPhone des Geschäftsführers mit dem Befehl zxsuite mobile ABQ set iPhone Allowed, in die Liste der erlaubten Geräte aufnehmen und das Telefon des Managers dort belassen.

Ein Genehmigungsbetrieb ist jedoch nur schlecht mit Sicherheitsregeln im Unternehmen vereinbar. Sollte dennoch die Notwendigkeit bestehen, ein genehmigtes mobiles Gerät zu sperren, beispielsweise wenn der Manager plötzlich mit einem Skandal entlassen wurde, kann dies mit dem Befehl erfolgen. zxsuite mobile ABQ set Android Blocked.

Wenn im Unternehmen für die Arbeit mit E-Mails Dienstgeräte an die Mitarbeiter ausgegeben werden, kann das Gerät bei einem Wechsel des Eigentümers vollständig aus den ABQ-Listen entfernt werden, um später erneut zu entscheiden, ob die Synchronisierung mit dem Server erlaubt wird oder nicht. Dies erfolgt mit dem Befehl. zxsuite mobile ABQ delete Android.

Wie Sie sehen können, ermöglicht das Zextras Mobile-Plugin in Zimbra ein sehr flexibles System zur Kontrolle der verwendeten mobilen Geräte, das sowohl für Unternehmen mit einer strengen Richtlinie hinsichtlich der Nutzung von Unternehmensressourcen außerhalb des Büros als auch für solche geeignet ist, die in dieser Hinsicht recht liberal sind.

Quelle: habr.com