[KB6298] Εγκατάσταση και ρύθμιση του ESET Secure Authentication με το Microsoft Outlook Web Access (OWA)

• Ενσωμάτωση του ESET Secure Authentication με το OWA
• Βέλτιστες πρακτικές για την εξασφάλιση της πρόσβασης σε υπηρεσίες Microsoft Exchange

Προϋποθέσεις

Οι παρακάτω οδηγίες απαιτούν τις ακόλουθες προϋποθέσεις:

• Ένα λειτουργικό περιβάλλον OWA
• Πρόσβαση σε λογαριασμό με δικαιώματα "Διαχειριστή τομέα"
• Μια έγκυρη άδεια χρήσης ESET Secure Authentication

Για περισσότερες πληροφορίες, ανατρέξτε στο ESET Secure Authentication (ESA) Setup Checklist και στο Εγχειρίδιο εγκατάστασης ESET Secure Authentication.

Εγκατάσταση

1. Πραγματοποιήστε λήψη του αρχείου εγκατάστασης του ESET Secure Authentication.

2. Στο σύστημα που παρέχει το περιβάλλον OWA, εκτελέστε το αρχείο εγκατάστασης με δικαιώματα διαχειριστή.

3. Ελέγξτε τη συμφωνία άδειας χρήσης και κάντε κλικ στο κουμπί Αποδέχομαι.

Εικόνα 1-1

4. Επιλέξτε τον κατάλληλο τύπο εγκατάστασης για την εγκατάσταση και κάντε κλικ στο κουμπί Next (Επόμενο).
   
   

   

   Εικόνα 1-2

5. Βεβαιωθείτε ότι όλοι οι έλεγχοι εκκίνησης είναι Επιτυχείς και στη συνέχεια κάντε κλικ στο κουμπί Επόμενο.

Εικόνα 1-3

6. Επιλέξτε τα στοιχεία που θέλετε να εγκαταστήσετε και κάντε κλικ στο κουμπί Next (Επόμενο). Απαιτούνται τα ακόλουθα στοιχεία:
   
   
   • Διακομιστής ελέγχου ταυτότητας
     

     Μην εγκαταστήσετε τον Authentication Server εκτός εάν το τρέχον σύστημα είναι επίσης το σύστημα που παρέχει υπηρεσίες ESA σε άλλα συστήματα του δικτύου

   • Διακομιστής Microsoft Exchange Server

Εικόνα 1-4

7. Κάντε κλικ στο κουμπί Close (Κλείσιμο ) όταν ολοκληρωθεί η εγκατάσταση.

Εικόνα 1-5

Ρύθμιση παραμέτρων

1. Ανοίξτε την διαδικτυακή κονσόλα ESET Secure Authentication.
   
2. Κάντε κλικ στην επιλογή Ρυθμίσεις > Άδεια χρήσης και, στη συνέχεια, επιλέξτε τον κατάλληλο τύπο άδειας χρήσης.

3. Εισάγετε το κλειδί άδειας χρήσης και κάντε κλικ στο κουμπί Ενεργοποίηση (ή Επαναενεργοποίηση).

4. Κάντε κλικ στις Ρυθμίσεις > Εφαρμογή για κινητά, καθορίστε ένα όνομα κουπονιού και κάντε κλικ στο κουμπί Αποθήκευση.
   

   Το όνομα token θα εμφανίζεται στους χρήστες που χρησιμοποιούν την εφαρμογή ESET Secure Authentication στις κινητές συσκευές τους

   Για αυτό το παράδειγμα, χρησιμοποιείται το "Demo Company".

Εικόνα 2-3

5. Κάντε κλικ στην επιλογή Components (Στοιχεία ) και βεβαιωθείτε ότι η εναλλαγή δίπλα στην επιλογή 2FA is enabled (Ενεργοποίηση 2FA ) είναι ενεργοποιημένη τόσο για τον πίνακα ελέγχου του Exchange όσο και για την εφαρμογή Outlook Web App.
   
   Για αυξημένη ασφάλεια, συνιστούμε να καταργήσετε την επιλογή του πλαισίου ελέγχου δίπλα στην επιλογή Allow NON-2FA for both Exchange Control Panel and Outlook Web App.

Εικόνα 2-4

6. Κάντε κλικ στις Ρυθμίσεις > IP Whitelisting και ενεργοποιήστε το πλαίσιο ελέγχου δίπλα στην επιλογή Enable per feature IP whitelisting and Outlook Web App. Πληκτρολογήστε τις ακόλουθες δύο διευθύνσεις (για IPv6 και IPv4) για να διασφαλίσετε ότι οι διαχειριστές IT δεν μπορούν να αποκλειστούν εντελώς από το σύστημα εάν δεν είναι σε θέση να χρησιμοποιήσουν MFA
   • ::1
   • 127.0.0.1

7. Ενεργοποιήστε το πλαίσιο ελέγχου δίπλα στο Exchange Control Panel για να το ενεργοποιήσετε.

Εικόνα 2-5

Εγγραφή χρηστών

Για να επιτραπεί η πρόσβαση στο ESET Secure Authentication, οι χρήστες πρέπει να ρυθμιστούν για έναν από τους διαθέσιμους τύπους Token. Ο πιο βασικός Τύπος Token είναι το SMS-Based OTP. Για να ενεργοποιήσετε αυτό το token, βεβαιωθείτε ότι όλοι οι χρήστες έχουν διαμορφώσει έναν αριθμό κινητού τηλεφώνου για το λογαριασμό τους.

Εάν όλοι οι χρήστες έχουν ρυθμίσει τον αριθμό κινητού τηλεφώνου τους, ακολουθήστε τις παρακάτω οδηγίες.

1. Κάντε κλικ στην επιλογή Users και επιλέξτε το κατάλληλο Realm.
   
2. Κάντε κλικ στο όνομα χρήστη που θέλετε να εγγράψετε.
   
   

   

   Εικόνα 3-1

3. Επιβεβαιώστε ότι έχει εισαχθεί ένας έγκυρος αριθμός τηλεφώνου, κάντε κλικ στην εναλλαγή δίπλα από τον τύπο κουπονιού που θέλετε να στείλετε για να τον ενεργοποιήσετε και, στη συνέχεια, κάντε κλικ στο κουμπί Ενέργειες και επιλέξτε Αποστολή αίτησης.
   
   

   

   Εικόνα 3-2

Αυτός ο χρήστης έχει πλέον ρυθμιστεί για να χρησιμοποιεί το εκχωρημένο OTP. Όταν ο χρήστης επιχειρήσει να συνδεθεί στο OWA, η ESET Secure Authentication θα ζητήσει το OTP του χρήστη.

Ενεργοποίηση του Push token σε κινητές συσκευές Android

Εάν θέλετε να χρησιμοποιήσετε ένα push token αντί του SMS-Based OTP, ακολουθήστε τις παρακάτω οδηγίες.

1. Κάντε κλικ στην επιλογή Users (Χρήστες ) και επιλέξτε το αντίστοιχο Realm.
   
2. Επιλέξτε το πλαίσιο ελέγχου δίπλα σε κάθε όνομα χρήστη για το οποίο θέλετε να ενεργοποιήσετε το push token.
   
   
3. Κάντε κλικ στην επιλογή 2FA, επιλέξτε Ενεργοποίηση > Application Push.
   
   

   

   Εικόνα 4-1

Το ESET Secure Authentication θα εμφανίσει ένα τυχαία δημιουργημένο αναγνωριστικό σύνδεσης και στην τρέχουσα εγγεγραμμένη συσκευή, ο χρήστης θα λάβει μια ειδοποίηση push που θα του ζητά να εγκρίνει ή να απορρίψει την προσπάθεια ελέγχου ταυτότητας.

Σκλήρυνση των υπηρεσιών Exchange

Αυτή η ενότητα παρέχει ορισμένες βέλτιστες πρακτικές ασφαλείας.

Μια προεπιλεγμένη εγκατάσταση του Microsoft Exchange Server θα παρέχει επίσης μια σειρά άλλων υπηρεσιών στο διαδίκτυο, συμπεριλαμβανομένων του ActiveSync και των Exchange Web Services (EWS). Έρευνες δείχνουν ότι ορισμένες από αυτές τις υπηρεσίες μπορούν να χρησιμοποιηθούν για την παράκαμψη λύσεων MFA, όπως η ESET Secure Authentication. Για να το αποτρέψετε αυτό, σας συνιστούμε να περιορίσετε την πρόσβαση σε αυτές τις υπηρεσίες από το εξωτερικό δίκτυο της εταιρείας.

ActiveSync

Το Microsoft ActiveSync επιτρέπει στις κινητές συσκευές να συνδέονται εύκολα με το Microsoft Exchange. Το ESET Secure Authentication δεν υποστηρίζει το Microsoft ActiveSync και, ως εκ τούτου, συνιστούμε να περιορίσετε την πρόσβαση σε αυτή την υπηρεσία.

Συνιστούμε να καθορίσετε μόνο ορισμένες συσκευές (π.χ. τηλέφωνα της εταιρείας) για σύνδεση μέσω ActiveSync. Αυτό μπορεί να γίνει μέσω του πίνακα ελέγχου Exchange Control Panel καθώς και του Exchange Management Shell.

Υπηρεσίες Exchange

Για όλες τις δημόσια διαθέσιμες υπηρεσίες, συνιστούμε να περιορίσετε την πρόσβαση στις ακόλουθες υπηρεσίες με βάση τις διευθύνσεις IP:

• Αυτόματη ανακάλυψη
• EWS
• mapi
• Microsoft-Server-ActiveSync
• OAB
• PowerShell
• Rpc

1. Για να ορίσετε αυτούς τους περιορισμούς, ανοίξτε τον ιστότοπο OWA στη Διαχείριση Υπηρεσιών Internet Information Services (IIS) και μεταβείτε στην ενότητα Περιορισμοί διευθύνσεων IP και τομέων για κάθε μία από τις υπηρεσίες που αναφέρονται παραπάνω.

2. Στο παράθυρο Ενέργειες , κάντε κλικ στην επιλογή Edit Feature Settings (Επεξεργασία ρυθμίσεων χαρακτηριστικών).
   
3. Από το αναπτυσσόμενο μενού Access for unspecified clients (Πρόσβαση για μη καθορισμένους πελάτες ), επιλέξτε Deny (Άρνηση).
   
4. Από το αναπτυσσόμενο μενού Τύπος ενέργειας Άρνηση , επιλέξτε Δεν βρέθηκε.
   

   Βέλτιστη πρακτική ασφάλειας

   Για λόγους ασφαλείας, συνιστούμε να αλλάξετε το "Deny Action Type" σε "Not Found" (Δεν βρέθηκε). Αυτό μπορεί να αποτρέψει τους αυτοματοποιημένους σαρωτές και τους άπειρους επιτιθέμενους που αναζητούν διακομιστές Microsoft Exchange για να επιτεθούν.

Εικόνα 5-1

5. Κάντε κλικ στην επιλογή Add Allow Entry ( Προσθήκη επιτρεπόμενης καταχώρησης ) και στο πεδίο Specific IP address (Συγκεκριμένη διεύθυνση IP ) προσθέστε τις ακόλουθες διευθύνσεις (για να αποτρέψετε το ίδιο το σύστημα να μην μπορεί να έχει πρόσβαση σε ορισμένους πόρους που μπορεί να χρειαστεί κατά τη λειτουργία του):

   • ::1
   • 127.0.0.1

6. Επαναλάβετε τα βήματα 1- 5 για όλες τις υπηρεσίες.