Sorun
- ESET Secure Authentication'ı OWA ile tümleştirme
- Microsoft Exchange hizmetlerine erişimi güvence altına almak için en iyi uygulamalar
Çözüm
Ön Koşullar
Aşağıdaki talimatlar aşağıdaki önkoşulları gerektirir:
- Çalışan bir OWA ortamı
- "Domain Administrator" ayrıcalıklarına sahip bir hesaba erişim
- Geçerli bir ESET Secure Authentication lisansı
Daha fazla bilgi için ESET Secure Authentication (ESA) Kurulumu Denetim Listesi ve ESET Secure Authentication Yükleme Kılavuzu'na bakın.
Yükleme
-
OWA ortamını sağlayan sistemde, yükleyici dosyasını Yönetici haklarıyla çalıştırın.
-
Lisans sözleşmesini gözden geçirin ve Kabul ediyorum'a tıklayın.
Şekil 1-1
- Kurulum için uygun dağıtım türünü seçin ve İleri'ye tıklayın.
Şekil 1-2
- Tüm başlangıç kontrollerinin Başarılı olduğundan emin olun ve ardından İleri'ye tıklayın.
Şekil 1-3
- Hangi bileşenleri yüklemek istediğinizi seçin ve İleri'ye tıklayın. Aşağıdaki bileşenler gereklidir:
- Kimlik Doğrulama Sunucusu
- Microsoft Exchange Sunucusu
- Kimlik Doğrulama Sunucusu
Şekil 1-4
- Yükleme tamamlandığında Kapat 'a tıklayın.
Şekil 1-5
Yapılandırma
- ESET Secure Authentication web konsolunu açın.
- Ayarlar > Lisans'a tıklayın ve ardından geçerli lisans türünü seçin.
- Lisans Anahtarını girin ve Etkinleştir (veya Yeniden Etkinleştir ) öğesine tıklayın.
- Ayarlar > Mobil Uygulama'ya tıklayın, bir belirteç adı belirleyin ve Kaydet'e tıklayın.
Şekil 2-3
- Bileşenler 'e tıklayın ve 2FA etkin seçeneğinin yanındaki geçişin hem Exchange Denetim Masası hem de Outlook Web Uygulaması için etkin olduğunu doğrulayın.
Daha fazla güvenlik için, hem Exchange Denetim Masası hem de Outlook Web Uygulaması için NON-2FA'ya İzin Ver seçeneğinin yanındaki onay kutusunun işaretini kaldırmanızı öneririz.
Şekil 2-4
- Ayarlar > IP Beyaz Listesi'ne tıklayın ve Özellik başına IP beyaz listesini ve Outlook Web Uygulamasını etkinleştir seçeneğinin yanındaki onay kutusunu seçin. BT yöneticilerinin MFA'yı kullanamamaları durumunda sistemden tamamen kilitlenmemelerini sağlamak için aşağıdaki iki adresi (IPv6 ve IPv4 için) yazın
- ::1
- 127.0.0.1
- Etkinleştirmek için Exchange Kontrol Paneli 'nin yanındaki onay kutusunu seçin.
Şekil 2-5
Kullanıcıları Kaydedin
ESET Secure Authentication'a erişime izin vermek için kullanıcıların mevcut Belirteç Türlerinden biri için yapılandırılması gerekir. En temel Belirteç Türü SMS Tabanlı OTP'dir. Bu belirteci etkinleştirmek için tüm kullanıcıların hesapları için yapılandırılmış bir cep telefonu numarasına sahip olduğundan emin olun.
Tüm kullanıcıların cep telefonu numaraları ayarlanmışsa aşağıdaki talimatları izleyin.
- Kullanıcılar 'a tıklayın ve ilgili Bölgeyi seçin.
- Kaydetmek istediğiniz Kullanıcı adına tıklayın.
Şekil 3-1
- Geçerli bir telefon numarası girildiğini onaylayın, etkinleştirmek için göndermek istediğiniz belirteç türünün yanındaki geçişe tıklayın, ardından Eylemler 'e tıklayın ve Uygulama Gönder'i seçin.
Şekil 3-2
Bu kullanıcı artık atanan OTP'yi kullanacak şekilde yapılandırılmıştır. Kullanıcı OWA'da oturum açmaya çalıştığında ESET Secure Authentication kullanıcının OTP'sini isteyecektir.
Android mobil cihazlarda Push belirtecini etkinleştirme
SMS Tabanlı OTP yerine bir push token kullanmak istiyorsanız aşağıdaki talimatları izleyin.
- Kullanıcılar 'a tıklayın ve ilgili Bölgeyi seçin.
- Push belirtecini etkinleştirmek istediğiniz her kullanıcı adının yanındaki onay kutusunu işaretleyin.
- 2FA'ya tıklayın, Etkinleştir > Uygulama Push'u seçin.
Şekil 4-1
ESET Secure Authentication rastgele oluşturulmuş bir oturum açma kimliği görüntüler ve o anda kayıtlı olan cihazda kullanıcıya kimlik doğrulama girişimini Onaylamasını veya Reddetmesini isteyen bir anlık bildirim gönderilir.
Exchange Hizmetlerini Sertleştirin
Bu bölümde bazı en iyi güvenlik uygulamaları verilmektedir.
Microsoft Exchange Server'ın varsayılan yüklemesi, ActiveSync ve Exchange Web Services (EWS) dahil olmak üzere internete bir dizi başka hizmet de sağlayacaktır. Araştırmalar, bu hizmetlerden bazılarının ESET Secure Authentication gibi MFA çözümlerini atlamak için kullanılabileceğini göstermektedir. Bunu önlemek için, bu hizmetlere şirket ağı dışından erişimi sınırlandırmanızı şiddetle tavsiye ederiz.
ActiveSync
Microsoft ActiveSync, mobil cihazların Microsoft Exchange'e kolayca bağlanmasını sağlar. ESET Secure Authentication, Microsoft ActiveSync'i desteklemez ve bu nedenle bu hizmete erişimi sınırlandırmanızı öneririz.
ActiveSync aracılığıyla bağlanmak için yalnızca belirli aygıtları (örneğin, şirket telefonları) belirlemenizi öneririz. Bu, Exchange Kontrol Paneli 'nin yanı sıra Exchange Yönetim Kabuğu aracılığıyla da yapılabilir.
Exchange Hizmetleri
Genel kullanıma açık tüm hizmetler için, IP adreslerine dayalı olarak aşağıdaki hizmetlere erişimi kısıtlamanızı öneririz:
- Otomatik Keşif
- EWS
- mapi
- Microsoft-Server-ActiveSync
- OAB
- PowerShell
- Rpc
- Bu kısıtlamaları ayarlamak için, Internet Information Services (IIS) Manager'da OWA web sitesini açın ve yukarıda listelenen hizmetlerin her biri için IP Adresi ve Etki Alanı Kısıtlamaları 'na gidin.
- Eylemler penceresinde Özellik Ayarlarını Düzenle'ye tıklayın.
- Belirtilmemiş istemciler için erişim açılır menüsünden Reddet seçeneğini belirleyin.
- Reddetme Eylem Türü açılır menüsünden Bulunamadı öğesini seçin.
Şekil 5-1
-
Add Allow Entry (İzin Verilen Giriş Ekle ) öğesine tıklayın ve Specific IP address (Belirli IP adresi ) alanına aşağıdaki adresleri ekleyin (sistemin çalışma sırasında ihtiyaç duyabileceği belirli kaynaklara erişememesini önlemek için):
- ::1
- 127.0.0.1
-
Tüm hizmetler için 1- 5. adımları tekrarlayın.
