Zimbra Collaboration Suite och kontroll över mobila enheter med hjälp av ABQ

Den snabba utvecklingen av bärbar elektronik, särskilt smartphones och surfplattor, har skapat många nya utmaningar för företagsinformationssäkerhet. Tidigare byggdes all cybersäkerhet på att skapa en skyddad perimeter och att senare skydda den, men nu, när nästan varje anställd använder sina egna mobila enheter för att lösa arbetsuppgifter, har det blivit mycket svårt att kontrollera säkerhetsperimetrarna. Detta är särskilt aktuellt för stora företag där varje medarbetare har inloggningsuppgifter till både e-post och andra företagsresurser. Ofta, när en anställd köper en ny smartphone eller surfplatta, loggar de in med sina uppgifter och glömmer ofta att logga ut från den gamla enheten. Även om sådana oansvariga anställda endast utgör 5 % av personalen, kan avsaknaden av lämplig kontroll från administratorns sida leda till allvarliga problem med mobila enheters åtkomst till e-post servern det kan snabbt förvandlas till en verklig röra.

Dessutom försvinner mobila enheter ganska ofta eller stjäls, och används sedan för att söka efter känslig information samt för att få tillgång till företagsresurser och data som är affärshemligheter. Vanligtvis orsakar skadliga aktörer mest skada på företags cybersäkerhet genom att få tillgång till en anställds e-post. Genom detta kan de få tillgång till den globala adressboken och kontakterna, till möten som den olycklige anställde skulle ha deltagit i, samt till hans korrespondens. Dessutom får de som får tillgång till företags-e-posten möjlighet att skicka phishing- eller infekterade skräppostmeddelanden från en betrodd e-postadress. Tillsammans ger detta angriparna praktiskt taget oändliga möjligheter för att genomföra cyberattacker samt att använda social ingenjörskonst för sina syften.

För att övervaka de mobila enheter som ingår i säkerhetsperimeter finns det teknologin ABQ, eller Allow/Block/Quarantine. Denna teknologi gör det möjligt för administratören att kontrollera listan över mobila enheter som får synkronisera data med e-postservern, samt, vid behov, blockera komprometterade enheter och sätta misstänkta mobila enheter i karantän.

Men som varje administratör av den kostnadsfria versionen av Zimbra Collaboration Suite Open-Source Edition vet, är dess möjligheter att interagera med mobila enheter kraftigt begränsade. Rent strikt kan användare av den kostnadsfria versionen av Zimbra endast ta emot och skicka e-post via protokollen POP3 eller IMAP, utan att ha möjlighet att synkronisera kalenderdata, adressböcker och anteckningar med servern. Teknologin ABQ är inte implementerad i den kostnadsfria versionen av Zimbra Collaboration Suite, vilket automatiskt omöjliggör alla försök att skapa en stängd informationsperimeter på företaget. I en situation där administratören inte vet vilka enheter som ansluter till hans server, kan informationsläckor uppstå och risken för cyberattacker ökar kraftigt enligt det tidigare beskrivna scenariot.

För att lösa detta problem i Zimbra Collaboration Suite Open-Source Edition kan man använda det modulära tillägget Zextras Mobile. Detta tillägg gör det möjligt att lägga till fullständig stöd för ActiveSync-protokollet i den kostnadsfria versionen av Zimbra och öppnar därmed en mängd möjligheter för interaktion mellan mobila enheter och din e-postserver. Förutom andra olika funktioner har tillägget Zextras Mobile fullt stöd för ABQ.

Vi vill genast varna för att en felkonfigurerad ABQ kan leda till att vissa användare inte kan synkronisera data på sina mobila enheter med servern, så frågan om dess konfiguration bör hanteras med största noggrannhet och försiktighet. Konfigurationen av ABQ görs från kommandoraden i Zextras. Det är på kommandoraden som ABQs arbetsläge i Zimbra konfigureras samt hanteringen av enhetslistor utförs.

Det implementeras på följande sätt: Efter att användaren loggar in på företags-e-posten på en mobil enhet skickar den autentiseringsuppgifter samt identifieringsdata för enheten till servern. Dessa möter ett hinder i form av ABQ, som granskar identifieringsdata och jämför dem med de som finns i listorna över tillåtna, karantän och blockerade enheter. Om enheten inte finns i någon av listorna så hanterar ABQ den enligt det läge som den arbetar i.

ABQ i Zimbra erbjuder tre arbetslägen:

Tillåtande (Permissive): I detta arbetsläge, efter att användaren har autentiserats, utförs synkroniseringen automatiskt vid den första förfrågan från den mobila enheten. I detta läge finns möjlighet att blockera enskilda enheter, men alla andra kan fritt synkronisera data med servern.

Interaktiv (Interactive): I detta arbetsläge begär säkerhetssystemet omedelbart efter användarens autentisering identifieringsdata för enheten och jämför dem med listan över tillåtna enheter. Om enheten finns med på den tillåtna listan fortsätter synkroniseringen automatiskt. Om enheten inte finns på "vita listan" kommer den automatiskt att placeras i karantän, så att administratören senare kan besluta om den ska få synkronisera med servern eller blockeras. Användaren får ett motsvarande meddelande. Administratören informeras regelbundet, en gång per inställningsbar tidsperiod, och varje nytt meddelande kommer att innehålla endast de nya enheterna som hamnat i karantän.

Strikt (Strict): I detta arbetsläge, efter att användaren har autentiserats, kontrolleras om identifieringsdata för enheten finns på den tillåtna listan. Om den finns där fortsätter synkroniseringen automatiskt. Om enheten inte finns på den tillåtna listan hamnar den omedelbart på den blockerade listan, och användaren får ett motsvarande meddelande via e-post.

Om så önskas kan Zimbra-administratören helt stänga av ABQ i sin e-post. servern.

Inställningen för ABQ:s driftläge görs med hjälp av kommandon:

zxsuite config global set attribute abqMode value Permissive
zxsuite config global set attribute abqMode value Interactive
zxsuite config global set attribute abqMode value Strict
zxsuite config global set attribute abqMode value Disabled

Den aktuella driftläget för ABQ kan kontrolleras med kommandot zxsuite config global get attribute abqMode.

Om du använder interaktivt eller strikt driftläge för ABQ måste du ofta arbeta med listor över tillåtna och blockerade enheter, samt enheter som är i karantän. Anta att två enheter ansluter till vår server: en iPhone och en Android med motsvarande identifieringsuppgifter. Det visar sig senare att iPhone nyligen köptes av företagets VD, som ville arbeta med sin e-post på den, medan Android tillhör en vanlig chef som inte har rätt att använda arbets-e-posten på sin smartphone av säkerhetsskäl.

I det interaktiva läget kommer alla enheter att hamna i karantän, varifrån administratören måste flytta iPhone till listan över tillåtna enheter och Android till listan över blockerade. För detta använder han kommandona zxsuite mobile abq allow iPhone och zxsuite mobile abq block Android. Efter detta kan VD:n arbeta fullt ut med sin e-post från sina enheter, medan chefen fortfarande måste se den enbart från sin arbetslaptop.

Det är värt att notera att i det interaktiva läget, även om chefen på sin Android-enhet korrekt anger sina inloggningsuppgifter, kommer han ändå inte att få tillgång till sitt konto, utan att logga in på en virtuell postlåda, där han får en avisering om att hans enhet har lagts i karantän och att han inte kan använda e-posten från den.

I det strikta läget kommer alla nya enheter att blockeras och efter att det har fastställts vem de tillhör kommer administratören bara att kunna lägga till i listan över tillåtna enheter iPhone från VD:n med kommandot zxsuite mobile ABQ set iPhone Allowed, medan chefens telefon förblir blockerad.

Den tillåtna driftsmodellen är svagt kompatibel med några som helst säkerhetsregler inom företaget, men om det ändå skulle uppstå behov av att blockera någon av de tillåtna mobila enheterna, till exempel om en chef plötsligt får sparken efter ett bråk, kan detta göras med hjälp av kommandot zxsuite mobile ABQ set Android Blocked.

Om företaget tillhandahåller tjänsteenheter för att arbeta med e-post, kan enheten, vid ägarbytet, helt tas bort från ABQ-listorna, så att man senare kan fatta beslut om huruvida man ska tillåta synkronisering med servern eller inte. Detta görs med kommandot zxsuite mobile ABQ delete Android.

Som ni kan se, med hjälp av Zextras Mobile-tillägget i Zimbra kan man implementera ett mycket flexibelt system för kontroll av de använda mobila enheterna, som passar både företag med ganska strikta policyer angående användning av företagsresurser utanför kontoret och för de företag som är ganska liberala i detta avseende.

Källa: habr.com