Lo sviluppo rapido dell'elettronica portatile, in particolare di smartphone e tablet, ha generato una serie di nuove sfide per la sicurezza informatica aziendale. Infatti, se un tempo tutta la cybersecurity si basava sulla creazione di un perimetro sicuro e sulla sua successiva protezione, ora che praticamente ogni dipendente utilizza i propri dispositivi mobili per svolgere compiti lavorativi, controllare il perimetro di sicurezza è diventato molto difficile. Questo è particolarmente vero per grandi aziende, in cui ogni lavoratore ha accesso al proprio login e password per le email e altre risorse aziendali. Spesso, quando un dipendente acquista un nuovo smartphone o un tablet, inserisce i propri dati di accesso, dimenticando di disconnettersi dal vecchio dispositivo. Anche se solo il 5% dei dipendenti si comporta in modo irresponsabile, senza un adeguato controllo da parte dell'amministratore la situazione riguardante l'accesso dei dispositivi mobili alla posta elettronica server può rapidamente trasformarsi in un vero caos.
Inoltre, abbastanza spesso i dispositivi mobili vengono smarriti o rubati e successivamente utilizzati per cercare informazioni compromettenti o per accedere a risorse aziendali e dati che rappresentano un segreto commerciale. Generalmente, il danno maggiore alla cybersecurity aziendale deriva dall'accesso degli aggressori all'email di un dipendente. Con questo accesso, possono ottenere l'accesso all'elenco globale degli indirizzi e ai contatti, al calendario degli incontri a cui il malcapitato dipendente avrebbe dovuto partecipare, così come alla sua corrispondenza. Inoltre, chi accede alla posta elettronica aziendale ha la possibilità di inviare email di phishing o infettate da malware utilizzando un indirizzo email di fiducia. Tutto ciò offre agli aggressori praticamente opportunità illimitate per attuare cyber attacchi e utilizzare ingegneria sociale per raggiungere i propri obiettivi.
Per monitorare i dispositivi mobili all'interno del perimetro di sicurezza, esiste la tecnologia ABQ, o Allow/Block/Quarantine. Questa consente all'amministratore di controllare l'elenco dei dispositivi mobili autorizzati a sincronizzare i dati con il server di posta e, se necessario, di bloccare i dispositivi compromessi e mettere in quarantena i dispositivi mobili sospetti.
Tuttavia, come sa chiunque utilizzi la versione gratuita di Zimbra Collaboration Suite Open-Source Edition, le sue capacità di interazione con dispositivi mobili sono molto limitate. A dire il vero, gli utenti della versione gratuita di Zimbra possono solo ricevere e inviare email tramite il protocollo POP3 o IMAP, senza avere la possibilità integrata di sincronizzare dati del calendario, elenchi di contatti e note con il server. Nella versione gratuita di Zimbra Collaboration Suite non è implementata neppure la tecnologia ABQ, il che rende vano qualsiasi tentativo di creare un perimetro informativo sicuro in azienda. In una situazione in cui l'amministratore non sa quali dispositivi si connettano al suo server, possono verificarsi perdite di dati e aumenta drasticamente la probabilità di un attacco informatico secondo lo scenario descritto in precedenza.
Per risolvere questo problema nella Zimbra Collaboration Suite Open-Source Edition, è possibile utilizzare l'estensione modulare Zextras Mobile. Questa estensione consente di aggiungere alla versione gratuita di Zimbra un supporto completo per il protocollo ActiveSync e, grazie a ciò, apre numerose opportunità per l'interazione tra dispositivi mobili e il proprio server di posta. Oltre ad altre varie funzionalità, l'estensione Zextras Mobile implementa un supporto completo per ABQ.
Vogliamo avvisare subito che poiché un ABQ configurato in modo errato può portare al fatto che alcuni utenti non possano sincronizzare i dati sui loro dispositivi mobili con il server, è necessario affrontare la questione della sua configurazione con la massima attenzione e cautela. La configurazione di ABQ avviene dalla riga di comando di Zextras. Proprio dalla riga di comando si imposta la modalità operativa di ABQ in Zimbra, insieme alla gestione delle liste dei dispositivi.
È implementato nel seguente modo: Dopo che un utente accede alla mail aziendale su un dispositivo mobile, invia al server le credenziali di autenticazione e i dati identificativi del dispositivo, che si imbattono in un ostacolo sotto forma di ABQ, che controlla i dati identificativi e li confronta con quelli inclusi nelle liste di dispositivi autorizzati, in quarantena e bloccati. Se il dispositivo non è presente in nessuna di queste liste, ABQ agisce in base alla modalità in cui opera.
ABQ in Zimbra prevede tre modalità operative:
Permissiva (Permissive): In questa modalità, dopo l'autenticazione dell'utente, la sincronizzazione avviene automaticamente al primo tentativo dal dispositivo mobile. In questa modalità è possibile bloccare dispositivi singoli, ma tutti gli altri potranno sincronizzare liberamente i dati con il server.
Interattiva (Interactive): In questa modalità, subito dopo l'autenticazione dell'utente, il sistema di sicurezza richiede i dati identificativi del dispositivo e li confronta con la lista dei dispositivi autorizzati. Se il dispositivo risulta nella lista autorizzata, la sincronizzazione continua automaticamente. Se il dispositivo non è presente nella "lista bianca", verrà automaticamente messo in quarantena, in modo che l'amministratore possa successivamente decidere se consentire la sincronizzazione con il server o bloccarlo. L'utente riceverà una notifica a riguardo. L'amministratore verrà informato regolarmente, una volta in un periodo di tempo configurabile. Ogni nuova notifica conterrà solo i nuovi dispositivi messi in quarantena.
Severa (Strict): In questa modalità, dopo l'autenticazione dell'utente, viene immediatamente verificata la presenza dei dati identificativi del dispositivo nella lista autorizzata. Se il dispositivo è presente, la sincronizzazione continua automaticamente. Se il dispositivo non è nella lista autorizzata, verrà immediatamente bloccato, e l'utente riceverà una notifica a riguardo via email.
Inoltre, su richiesta, l'amministratore di Zimbra può disattivare completamente l'ABQ sulla propria posta. server.
La configurazione della modalità operativa di ABQ avviene tramite i comandi:
zxsuite config global set attribute abqMode value Permissive
zxsuite config global set attribute abqMode value Interactive
zxsuite config global set attribute abqMode value Strict
zxsuite config global set attribute abqMode value Disabled
È possibile conoscere l'attuale modalità operativa di ABQ tramite il comando zxsuite config global get attribute abqMode.
Nel caso in cui utilizzi le modalità interattiva o severa di ABQ, ti capiterà frequentemente di dover gestire le liste dei dispositivi autorizzati e bloccati, così come dei dispositivi in quarantena. Supponiamo che al nostro server si siano connessi due dispositivi: un iPhone e un Android con i rispettivi dati identificativi. Successivamente, si scoprirà che l'iPhone è stato recentemente acquistato dal CEO dell'azienda, che ha deciso di utilizzare la mail su di esso, mentre l'Android appartiene a un manager comune che non ha il diritto di utilizzare la mail aziendale sullo smartphone per motivi di sicurezza.
Nel caso della modalità Interattiva, entrambi i dispositivi verranno messi in quarantena, da dove l'amministratore dovrà trasferire l'iPhone nella lista dei dispositivi autorizzati e l'Android nella lista dei dispositivi bloccati. A questo scopo utilizzerà i comandi zxsuite mobile abq allow iPhone e zxsuite mobile abq block Android. Dopo di che, il CEO potrà lavorare pienamente con la propria posta sui suoi dispositivi, mentre il manager dovrà continuare a consultarla esclusivamente dal proprio laptop aziendale.
È importante notare che utilizzando la modalità Interattiva, anche se il manager inserisce correttamente il proprio nome utente e password sul proprio dispositivo Android, non avrà comunque accesso al suo account; entrerà in una casella di posta virtuale, dove riceverà una notifica che lo informa che il suo dispositivo è stato messo in quarantena e che non potrà utilizzarlo per accedere alla mail.
Nel caso della modalità Severissima, tutti i nuovi dispositivi saranno bloccati e, una volta identificati i proprietari, all'amministratore rimarrà solo da aggiungere l'iPhone del CEO alla lista dei dispositivi autorizzati tramite il comando zxsuite mobile ABQ set iPhone Allowed, mantenendo bloccato il telefono del manager.
Il regime di autorizzazione è poco compatibile con le norme di sicurezza aziendale, ma se si presenta la necessità di bloccare uno dei dispositivi mobili autorizzati, ad esempio se un manager è stato licenziato con un litigio, è possibile farlo tramite il comando zxsuite mobile ABQ set Android Blocked.
Nel caso in cui vengano forniti dispositivi aziendali ai dipendenti per lavorare con la posta, al successivo cambio di proprietario del dispositivo, è possibile rimuoverlo completamente dalle liste ABQ, per poi decidere se autorizzare nuovamente la sincronizzazione con il server o meno. Questo si fa attraverso il comando zxsuite mobile ABQ delete Android.
Come potete vedere, grazie all'estensione Zextras Mobile in Zimbra è possibile implementare un sistema di controllo molto flessibile dei dispositivi mobili utilizzati, adatto sia per aziende con politiche piuttosto rigide riguardo all'uso delle risorse aziendali al di fuori dell'ufficio, sia per quelle più liberali in questo senso.
Fonte: habr.com
