[KB6298] Installere og konfigurere ESET Secure Authentication med Microsoft Outlook Web Access (OWA)

• Integrere ESET Secure Authentication med OWA
• Beste praksis for å sikre tilgang til Microsoft Exchange-tjenester

Forutsetninger

Instruksjonene nedenfor krever følgende forutsetninger:

• Et fungerende OWA-miljø
• Tilgang til en konto med "Domain Administrator"-rettigheter
• En gyldig lisens for ESET Secure Authentication

For mer informasjon, se ESET Secure Authentication (ESA) Setup Checklist og installasjonshåndboken for ESET Secure Authentication.

Installer

1. Last ned installasjonsfilen for ESET Secure Authentication.

2. Kjør installasjonsfilen med administratorrettigheter på systemet som leverer OWA-miljøet.

3. Les gjennom lisensavtalen, og klikk på Jeg godtar.

Figur 1-1

4. Velg riktig distribusjonstype for installasjonen, og klikk på Neste.
   
   

   

   Figur 1-2

5. Kontroller at alle oppstartskontrollene er fullført, og klikk deretter på Neste.

Figur 1-3

6. Velg hvilke komponenter du vil installere, og klikk på Neste. Følgende komponenter er påkrevd:
   
   
   • Autentiseringsserver
     

     Ikke installer autentiseringsserveren med mindre det aktuelle systemet også er det systemet som leverer ESA-tjenester til andre systemer i nettverket

   • Microsoft Exchange-server

Figur 1-4

7. Klikk på Lukk når installasjonen er fullført.

Figur 1-5

Konfigurer

1. Åpne nettkonsollen for ESET Secure Authentication.
   
2. Klikk på Innstillinger > Lisens, og velg deretter den aktuelle lisenstypen.

3. Skriv inn lisensnøkkelen, og klikk på Aktiver (eller Reaktiver).

4. Klikk på Innstillinger > Mobilapplikasjon, angi et tokennavn, og klikk på Lagre.
   

   Tokennavnet vil vises til brukere som bruker ESET Secure Authentication-appen på sine mobile enheter

   I dette eksemplet brukes "Demo Company".

Figur 2-3

5. Klikk på Komponenter og kontroller at bryteren ved siden av 2FA er aktivert er aktivert for både Exchange Control Panel og Outlook Web App.
   
   For økt sikkerhet anbefaler vi at du fjerner merket i avmerkingsboksen ved siden av Allow NON-2FA for både Exchange Control Panel og Outlook Web App.

Figur 2-4

6. Klikk på Innstillinger > IP-hvitelisting , og merk av i avmerkingsboksen ved siden av Aktiver IP-hvitelisting per funksjon og Outlook Web App. Skriv inn følgende to adresser (for IPv6 og IPv4) for å sikre at IT-administratorer ikke kan bli helt utestengt fra systemet hvis de ikke har mulighet til å bruke MFA
   • ::1
   • 127.0.0.1

7. Merk av i avmerkingsboksen ved siden av Exchange Control Panel for å aktivere det.

Figur 2-5

Registrer brukere

For å gi tilgang til ESET Secure Authentication må brukerne konfigureres for en av de tilgjengelige token-typene. Den mest grunnleggende token-typen er SMS-basert OTP. For å aktivere dette tokenet må du sørge for at alle brukere har et mobiltelefonnummer konfigurert for kontoen sin.

Hvis alle brukere har et mobiltelefonnummer, følger du instruksjonene nedenfor.

1. Klikk på Brukere, og velg det aktuelle området.
   
2. Klikk på brukernavnet du vil registrere.
   
   

   

   Figur 3-1

3. Bekreft at et gyldig telefonnummer er oppgitt, klikk på vippeknappen ved siden av token-typen du vil sende for å aktivere den, klikk deretter på Handlinger og velg Send søknad.
   
   

   

   Figur 3-2

Denne brukeren er nå konfigurert til å bruke den tildelte OTP-en. Når brukeren forsøker å logge på OWA, vil ESET Secure Authentication be om brukerens OTP.

Aktivere push-token på Android-mobilenheter

Hvis du vil bruke et push-token i stedet for SMS-basert OTP, følger du instruksjonene nedenfor.

1. Klikk på Brukere, og velg det aktuelle området.
   
2. Merk av i avmerkingsboksen ved siden av hvert brukernavn du vil aktivere push-token for.
   
   
3. Klikk på 2FA, og velg Aktiver > Applikasjonspush.
   
   

   

   Figur 4-1

ESET Secure Authentication viser en tilfeldig generert påloggings-ID, og på den aktuelle enheten vil brukeren motta et push-varsel der han eller hun blir bedt om å godkjenne eller avvise autentiseringsforsøket.

Hindre Exchange-tjenester

Denne delen inneholder noen beste sikkerhetsrutiner.

En standardinstallasjon av Microsoft Exchange Server vil også tilby en rekke andre tjenester til Internett, inkludert ActiveSync og Exchange Web Services (EWS). Forskning viser at noen av disse tjenestene kan brukes til å omgå MFA-løsninger som ESET Secure Authentication. For å forhindre dette anbefaler vi på det sterkeste at du begrenser tilgangen til disse tjenestene fra utenfor bedriftens nettverk.

ActiveSync

Microsoft ActiveSync gjør det enkelt for mobile enheter å koble seg til Microsoft Exchange. ESET Secure Authentication støtter ikke Microsoft ActiveSync, og vi anbefaler derfor at du begrenser tilgangen til denne tjenesten.

Vi anbefaler at du angir at bare visse enheter (for eksempel firmatelefoner) skal kunne koble seg til via ActiveSync. Dette kan gjøres via Exchange Control Panel og Exchange Management Shell.

Exchange-tjenester

For alle offentlig tilgjengelige tjenester anbefaler vi at du begrenser tilgangen til følgende tjenester basert på IP-adresser:

• Autodiscover
• EWS
• mapi
• Microsoft-Server-ActiveSync
• OAB
• PowerShell
• Rpc

1. Hvis du vil angi disse begrensningene, åpner du OWA-nettstedet i Internet Information Services (IIS) Manager og navigerer til IP-adresse- og domenebegrensninger for hver av tjenestene som er oppført ovenfor.

2. Klikk på Rediger funksjonsinnstillinger i vinduet Handlinger .
   
3. Velg Avslå i rullegardinmenyen Tilgang for uspesifiserte klienter.
   
4. Velg Ikke funnet i rullegardinmenyen Avslå handlingstype .
   

   Beste praksis for sikkerhet

   Av sikkerhetsmessige årsaker anbefaler vi at du endrer "Deny Action Type" til "Not Found". Dette kan avskrekke automatiserte skannere og uerfarne angripere som leter etter Microsoft Exchange-servere å angripe.

Figur 5-1

5. Klikk på Add Allow Entry, og legg til følgende adresser i feltet Specific IP address (for å forhindre at systemet selv ikke får tilgang til visse ressurser som det kan trenge under drift):

   • ::1
   • 127.0.0.1

6. Gjenta trinn 1-5 for alle tjenester.