Lo sviluppo rapido dell'elettronica portatile e, in particolare, di smartphone e tablet, ha creato una moltitudine di nuove sfide per la sicurezza informatica aziendale. Infatti, se un tempo tutta la cyber sicurezza si basava sulla creazione di un perimetro sicuro e sulla sua successiva protezione, ora, dato che praticamente ogni dipendente utilizza i propri dispositivi mobili per svolgere compiti lavorativi, controllare il perimetro di sicurezza è diventato molto difficile. Questo è particolarmente rilevante per le grandi aziende, dove ogni lavoratore ha tra le mani login e password della propria posta elettronica e di altre risorse aziendali. Spesso, acquistando un nuovo smartphone o tablet, un dipendente inserisce le proprie credenziali, dimenticando frequentemente di disconnettersi dal vecchio dispositivo. Anche se solo il 5% dei dipendenti si comporta in modo irresponsabile, senza un adeguato controllo da parte dell'amministratore, la situazione riguardante l'accesso dei dispositivi mobili alla posta elettronica server diventa rapidamente un vero disastro.
Inoltre, molto spesso i dispositivi mobili vengono smarriti o rubati e successivamente utilizzati per ottenere informazioni compromettenti, oltre che per accedere a risorse e dati aziendali che rappresentano un segreto commerciale. Di norma, il maggior danno alla sicurezza informatica aziendale deriva dall'accesso degli aggressori alla posta elettronica di un dipendente. Grazie a questo, possono accedere a un elenco globale di indirizzi e contatti, agli appuntamenti che il malcapitato doveva sostenere e alla sua corrispondenza. Inoltre, gli aggressori che accedono alla posta aziendale hanno la possibilità di inviare email di phishing o infette con malware da un indirizzo di posta fidato. Tutto questo insieme fornisce agli attaccanti praticamente opportunità illimitate per condurre attacchi informatici e per utilizzare la social engineering per raggiungere i propri obiettivi.
Per controllare i dispositivi mobili che fanno parte del perimetro di sicurezza, esiste la tecnologia ABQ, o Allow/Block/Quarantine. Essa consente all'amministratore di gestire l'elenco dei dispositivi mobili che possono sincronizzare i dati con il server di posta, e, se necessario, di bloccare i dispositivi compromessi e mettere in quarantena i dispositivi mobili sospetti.
Tuttavia, come sa qualsiasi amministratore della versione gratuita di Zimbra Collaboration Suite Open-Source Edition, le possibilità di interazione con i dispositivi mobili sono fortemente limitate. A dire il vero, gli utenti della versione gratuita di Zimbra possono solo ricevere e inviare email tramite i protocolli POP3 o IMAP, senza avere la possibilità integrata di sincronizzare i dati del calendario, delle rubriche e delle note con il server. La tecnologia ABQ non è implementata nella versione gratuita di Zimbra Collaboration Suite, il che mette automaticamente fine a qualsiasi tentativo di creare un perimetro informativo chiuso nell'azienda. In situazioni in cui l'amministratore non sa quali dispositivi si connettono al suo server, possono verificarsi perdite di informazioni e la probabilità di attacchi informatici secondo lo schema descritto in precedenza aumenta significativamente.
Risolvere questo problema nella Zimbra Collaboration Suite Open-Source Edition è possibile grazie all'estensione modulare Zextras Mobile. Questa estensione consente di aggiungere alla versione gratuita di Zimbra un supporto completo per il protocollo ActiveSync e, grazie a ciò, apre un ampio ventaglio di possibilità di interazione tra i dispositivi mobili e il proprio server di posta. Oltre ad altre varie funzionalità, nell'estensione Zextras Mobile è implementato un supporto completo per ABQ.
Avvisiamo fin da subito che una configurazione errata di ABQ può comportare l'impossibilità per alcuni utenti di sincronizzare i dati sui propri dispositivi mobili con il server, quindi è necessario affrontare la questione con la massima attenzione e cautela. La configurazione di ABQ avviene tramite la riga di comando di Zextras. È proprio nella riga di comando che si configura la modalità di funzionamento di ABQ in Zimbra, oltre alla gestione delle liste dei dispositivi.
È realizzato nel seguente modo: Dopo che l'utente accede alla posta aziendale sul dispositivo mobile, invia al server i dati di accesso insieme ai dati identificativi del proprio dispositivo, che incontrano un ostacolo rappresentato dall'ABQ, il quale esamina i dati identificativi e li confronta con quelli presenti nelle liste di dispositivi autorizzati, in quarantena e bloccati. Se il dispositivo non è presente in nessuna delle liste, l'ABQ si comporta in base alla modalità con cui è configurato.
L'ABQ in Zimbra prevede tre modalità operative:
Autorizzativa (Permissive): In questa modalità, dopo l'autenticazione dell'utente, la sincronizzazione avviene automaticamente al primo tentativo dal dispositivo mobile. In questa modalità è possibile bloccare dispositivi specifici, ma tutti gli altri possono sincronizzare liberamente i dati con il server.
Interattiva (Interactive): In questa modalità, subito dopo l'autenticazione dell'utente, il sistema di sicurezza richiede i dati identificativi del dispositivo e li confronta con l'elenco dei dispositivi autorizzati. Se il dispositivo è nell'elenco autorizzato, la sincronizzazione continua automaticamente. Se invece il dispositivo non è presente nella "lista bianca", verrà automaticamente collocato in quarantena, affinché l'amministratore possa decidere in seguito se autorizzare la sincronizzazione con il server o bloccarlo. L'utente riceverà una notifica a riguardo. L'amministratore verrà informato regolarmente, una volta nel periodo di tempo impostato. Ogni nuova notifica conterrà solo i nuovi dispositivi collocati in quarantena.
Strica (Strict): In questa modalità, dopo l'autenticazione dell'utente, viene immediatamente verificata la presenza dei dati identificativi del dispositivo nell'elenco autorizzato. Se è presente, la sincronizzazione continua automaticamente. Se il dispositivo non è nell'elenco autorizzato, viene subito incluso nell'elenco dei bloccati, e l'utente riceve una notifica via email.
Inoltre, se desiderato, l'amministratore di Zimbra può disattivare completamente l'ABQ sulla propria email. server.
La configurazione della modalità di funzionamento dell'ABQ avviene tramite i comandi:
zxsuite config global set attribute abqMode value Permissive
zxsuite config global set attribute abqMode value Interactive
zxsuite config global set attribute abqMode value Strict
zxsuite config global set attribute abqMode value Disabled
Per conoscere l'attuale modalità di funzionamento dell'ABQ, è possibile utilizzare il comando zxsuite config global get attribute abqMode.
Nel caso in cui si utilizzi una modalità interattiva o rigorosa dell'ABQ, sarà necessario lavorare frequentemente con le liste di dispositivi autorizzati e bloccati, nonché con i dispositivi in quarantena. Supponiamo che al nostro server si siano connessi due dispositivi: un iPhone e un Android con le relative credenziali. Successivamente si scopre che l'iPhone è stato recentemente acquistato dal CEO dell'azienda, che ha deciso di gestire la posta da esso, mentre l'Android appartiene a un normale manager, che non ha il diritto di usare la posta di lavoro sullo smartphone per motivi di sicurezza.
Nel caso della modalità interattiva, tutti questi dispositivi verranno messi in quarantena, da dove l'amministratore dovrà spostare l'iPhone nella lista dei dispositivi autorizzati e l'Android nella lista di quelli bloccati. Per fare ciò, utilizzerà i comandi zxsuite mobile abq allow iPhone e zxsuite mobile abq block Android. Dopo di che, il CEO potrà lavorare completamente con la posta dai propri dispositivi, mentre il manager dovrà continuare a visualizzarla esclusivamente dal computer portatile aziendale.
È importante notare che, utilizzando la modalità interattiva, anche se il manager inserisce correttamente il proprio nome utente e password sul proprio dispositivo Android, non avrà ancora accesso al proprio account, ma entrerà in una casella di posta virtuale, in cui riceverà una notifica che informa che il suo dispositivo è stato aggiunto in quarantena e non potrà utilizzare la posta da esso.
Nel caso della modalità rigorosa, tutti i nuovi dispositivi saranno bloccati e, dopo aver verificato a chi appartenevano, all'amministratore non resterà che aggiungere alla lista dei dispositivi autorizzati l'iPhone del CEO mediante il comando zxsuite mobile ABQ set iPhone Allowed, mantenendo bloccato il telefono del manager.
Il regime di autorizzazione al lavoro è poco compatibile con qualsiasi norma di sicurezza in azienda, tuttavia, se si presenta la necessità di bloccare uno dei dispositivi mobili autorizzati, ad esempio, se un manager si dimette improvvisamente con uno scandalo, è possibile farlo mediante il comando zxsuite mobile ABQ set Android Blocked.
Nel caso in cui in azienda vengano forniti dispositivi per lavoro con la posta ai dipendenti, al successivo cambio di proprietario del dispositivo, questo può essere completamente rimosso dalle liste ABQ, per poter successivamente decidere se autorizzare o meno la sincronizzazione con il server. Si fa questo mediante il comando zxsuite mobile ABQ delete Android.
Pertanto, come si può vedere, con l'estensione Zextras Mobile in Zimbra è possibile implementare un sistema di controllo molto flessibile dei dispositivi mobili utilizzati, adatto sia per le aziende con politiche piuttosto rigorose riguardo all'uso delle risorse aziendali al di fuori dell'ufficio, sia per quelle che sono più liberali in questo ambito.
Fonte: habr.com
