Безопасные почтовые ящики Exchange
У нас есть сервер Exchange с 50 почтовыми ящиками.
Старшие директора компании (около 5 почтовых ящиков) хотят, чтобы их почтовые ящики были очень безопасными, и поэтому не хотят, чтобы администратор мог контролировать свои почтовые ящики для просмотра любых электронных писем и т. Д.
Есть идеи, как мы могли бы сделать это?
6 ответов
Я не знаю, можете ли вы заблокировать администратора. Как бы вы починить почтовый ящик, если есть коррупция?
Системные администраторы являются системными администраторами отчасти потому, что существует уровень неявного доверия для высокопоставленного системного администратора. Системные администраторы могут читать любые данные на сервере, читать электронную почту, анализировать трафик, сбрасывать пароли... по сути, они боги в сети и на серверах.
Если вы не доверяете системному администратору, у вас есть проблема.
Это проблема HR и политики, а не технология. Вы должны четко изложить политику, которая диктует, что можно и что нельзя терпеть. В противном случае им нужно знать, что даже если почтовые ящики защищены, системные администраторы могут использовать анализ пакетов, захват экрана и т. Д. И если вам удастся каким-либо образом заблокировать администратора, удачи в получении почты, диагностике проблем на этих машинах, и выяснить, установил ли кто-то еще вредоносное ПО на эти рабочие станции и читает ли эти сообщения!
Как уже было сказано, это не совсем возможно.
Конечно, можно сделать так, чтобы события в этих почтовых ящиках могли быть проверены и журналы событий на серверах обмена могут быть защищены. Как отмечает Эрик, даже это не поможет, если системный администратор заберет резервную ленту домой и восстановит ее.
В конце концов, однако, если директора не доверяют сисадминам, тогда бизнесу нужны либо менее параноидальные режиссеры, либо более надежные сисадмины, в зависимости от того, правы ли директора, чтобы волноваться.
Единственный способ, которым это возможно, - не хранить электронные письма в Exchange, что, в свою очередь, освобождает их от любой системы архивации электронной почты. В зависимости от того, в какой нормативной среде вы живете, это может быть очень плохой идеей.
Но в конечном итоге все сводится к проблеме доверия. Если они не могут доверять своим администраторам самого высокого уровня, чтобы они не совали свой нос в области, к которым они не были приглашены (возможно, они прочитали слишком много историй BOFH), то этому администратору не нужно там работать, Это называется профессиональная этика, и одна из главных сисадминов - не охотиться за любопытством. Вот почему я получил полную проверку данных для этой и моей последней работы сисадмина.
Тем не менее, я видел примеры, когда пользователи высшего уровня имели своего единственного ИТ-специалиста только для них. Они поддерживали отдельные почтовые среды и были теми, кто занимался ИТ-системами для C-suite. Остальная часть ИТ-персонала должна была работать через одного человека. Это может действительно работать, когда этот человек хороший парень и готов работать с остальной частью компании. Это может быть откровенным злом, когда этот человек отпускает власть в голову, и он начинает идти своим путем, просто идя своим путем.
Администратор всегда может каким-либо образом проникнуть в почтовые ящики своих пользователей, будь то через сервер обмена, через OWA, через стороннее устройство фильтрации спама или, возможно, даже путем восстановления из резервной копии (это может даже избежать стандартного аудита логи на сервере обмена). Это действительно вопрос доверия, а не технический.
Единственным действительно безопасным способом сделать это было бы для старших директоров использовать шифрование на стороне клиента для всей своей почты, используя ключ, защищенный парольной фразой. Мне трудно поверить, что они согласятся прыгнуть через обручи, необходимые для этого.
Это невозможно. Microsoft всегда придерживалась требований безопасности: администраторы могут получить доступ ко всему, даже к вещам, к которым у них нет доступа (будь то путем изменения разрешений или получения права собственности на объект).
Теперь другие, такие как Novell, в прошлом использовали другой подход, когда администраторы могли получить доступ к объектам без возможности вернуть его. Большим недостатком этого является то, что части вашей файловой системы, хранилища каталогов или почтовых ящиков могут легко стать полностью недоступными без обращения к ним.
Таким образом, если ваши руководители не хотят управлять своим собственным сервером (и доменом) Exchange, вам придется жить в рамках Microsoft.
Что делать, если настоящие администраторы (ребята, которые занимаются повседневной работой) будут удалены из групп администраторов домена и подразделения организации Exchange? Насколько я понимаю [*], это необходимые разрешения для просмотра почтового ящика.
Тогда пароль для "настоящей" учетной записи администратора (которая все еще имеет членство в Domain Admin и Exchange OU) известен только директорам компании.
Конечно, это ограничит возможности отладки и настройки реальных администраторов; но когда потребуется дополнительный доступ, один из директоров должен будет вмешаться.
Я очень сочувствую оригинальному постеру: глава моей компании настаивает на такой же политике. Его организация была тщательно создана для разделения административной власти между разными людьми. Это расстраивает, но владелец бизнеса получает возможность устанавливать правила.
Обратите внимание, что это предложение игнорирует возможность перехвата электронных писем после их подключения.
[*] Большой отказ от ответственности: я только изучаю этот материал, поэтому, пожалуйста, возьмите с собой огромное зерно соли.