Protectimus для OWA и EAC
Мы подготовили инсталлятор, с которым вы настроите двухфакторную аутентификацию в OWA (Exchange 2013, 2016, 2019) и центре администрирования Exchange (Exchange Admin Center) за несколько минут
Двухфакторная аутентификация для OWA и Центра администрирования Exchange за 15 минут.
Protectimus предоставляет специальное решение многофакторной аутентификации (MFA) для Outlook Web App и Exchange Admin Center на Microsoft Exchange Server. Компонент Protectimus OWA добавляет второй фактор аутентификации к входам в OWA и EAC на Exchange 2013, 2016 и 2019 и работает как с Protectimus Cloud MFA, так и с платформой Protectimus On-Premise MFA. Установка занимает около 15 минут и не требует использования агентов на отдельных почтовых ящиках или клиентских устройствах.
Сервер Exchange 2013, 2016, 2019
Простая интеграция
Прямая защита Exchange
Вы также можете использовать компонент Protectimus DSPA для защиты доступа к Outlook Exchange Server. Он интегрируется непосредственно в Active Directory. Он меняет пароли пользователей каждые несколько минут: одна часть пароля остается неизменной, а другая является паролем TOTP. В этом случае вам не нужно устанавливать компонент Protectimus OWA.
2FA для Центра администрирования Exchange
Конфигурация групповых политик
Поддерживает алгоритм OCRA
Почему OWA и EAC нужен выделенный уровень MFA
Outlook Web App доступен из любого браузера и в любой сети. Именно это делает его удобным для удаленного и гибридного персонала и делает его излюбленной точкой входа для атак на основе учетных данных. Имени пользователя и статического пароля достаточно, чтобы получить доступ к почтовому ящику из любой точки мира. И почтовый ящик хранит больше, чем потоки сообщений — электронные письма со сбросом пароля, финансовую корреспонденцию, внутренние цепочки утверждений: именно тот контекст, который необходим для хорошо продуманной попытки взлома деловой электронной почты.
Центр администрирования Exchange несет еще больший риск в случае взлома учетной записи. Сеанс администратора в EAC может создавать правила потока почты, добавлять делегатов почтовых ящиков или экспортировать данные — действия, которые трудно обнаружить в реальном времени и которыми легко злоупотребить, оказавшись внутри.
Масштаб здесь не гипотетический. Согласно отчету Verizon Data Breach Investigations за 2025 год, украденные или злоупотребленные учетные данные остаются единственным наиболее распространенным способом проникновения злоумышленников в сети, присутствующим примерно в пятой части нарушений, при этом человеческий фактор играет роль примерно в 60% проанализированных нарушений. По данным IC3 ФБР, приведенным в том же отчете, убытки от компрометации деловой электронной почты в 2024 году составят 2,77 миллиарда долларов. OWA, как общедоступный вход в систему для корпоративной почты, является прямой точкой входа BEC (компрометация деловой электронной почты).
Встроенная проверка подлинности Exchange не мешает работе фишингового или утекшего пароля. Многофакторная аутентификация устраняет этот пробел без изменения способа доступа к OWA или EAC — и, согласно отчету Microsoft о цифровой обороне за 2025 год, современная MFA снижает риск компрометации личных данных более чем на 99 %, даже если злоумышленник уже владеет действительным именем пользователя и паролем. Вот почему OWA и EAC рассматриваются как отдельные цели MFA, отличные от общего проекта «добавьте MFA повсюду».
Двухфакторная аутентификация OWA: два варианта
Мы предлагаем два решения для защиты доступа к Microsoft Exchange Outlook Web Access и Exchange Admin Center с многофакторной аутентификацией.
Настройте двухфакторную аутентификацию для Outlook Web App (OWA) или Exchange Admin Center (EAC) с помощью компонента Protectimus OWA 2FA. Для беспроблемной интеграции загрузите инструкцию по установке и настройке ниже.
Настройте двухфакторную аутентификацию прямо в Active Directory с помощью Protectimus. DSPA (динамическая аутентификация с использованием надежного пароля) компонент.
Решение Protectimus OWA 2FA позволяет:
- настроить двухфакторную аутентификацию исключительно для Outlook Web App и Exchange Admin Center, многофакторная аутентификация не будет активирована для каких-либо других служб, подключенных к Active Directory;
- использовать либо сервис многофакторной аутентификации Protectimus Cloud, либо локальную платформу MFA Protectimus;
- настроить групповые политики во время установки;
- активировать двухфакторную аутентификацию только для выбранной группы Active Directory;
- установить частоту, с которой пользователи будут вводить одноразовые пароли для продолжения работы с OWA, например, каждые 12 часов;
- используйте любые токены 2FA для двухфакторной аутентификации OWA и EAC — токены HOTP, TOTP или OCRA OTP.
После развертывания компонента Protectimus DSPA пароли пользователей в Active Directory постоянно обновляются одноразовыми паролями с привязкой ко времени (TOTP). Интервал смены пароля настраивается администратором и должен быть кратен 30 секундам.
Поскольку Protectimus DSPA напрямую интегрируется с Active Directory, аутентификация на основе OTP автоматически применяется ко всем службам, подключенным к каталогу, включая Outlook Web App (OWA), Winlogon, RDP, ADFS и другие.
Protectimus DSPA доступен исключительно как часть Protectimus On-Premise Platform и не поддерживается облачным сервисом Protectimus. Для аутентификации DSPA пользователи могут генерировать OTP с помощью приложения-аутентификатора Protectimus SMART или чат-ботов Protectimus BOT для Telegram, Viber и Facebook Messenger.
Компонент OWA работает как с облачным сервисом Protectimus, так и с локальной платформой Protectimus, что позволяет организациям выбирать модель развертывания, которая лучше всего соответствует их инфраструктуре и требованиям соответствия. Protectimus OWA поддерживает несколько методов аутентификации, включая приложения для аутентификации, push-уведомления, электронную почту, SMS, чат-ботов и аппаратные токены.
Два способа защиты OWA:
Уровень компонента и уровень каталога
Если вы взвешиваете, какой из двух вариантов соответствует вашей среде, Руководство по двухфакторной аутентификации OWA в блоге Protectimus более подробно рассматривает оба подхода и компромиссы каждого из них. На этой странице предполагается, что вы уже знаете, что хотите защитить конкретно OWA и EAC.
Расширенные функции
Мы не только доставляем и проверяем одноразовые пароли, но также хотим сделать процесс защиты входа в Outlook OWA и Microsoft Outlook Exchange с помощью двухфакторной аутентификации таким же удобным для администраторов, как и для пользователей.
Самообслуживание пользователей
Фильтры по времени
Фильтры на основе времени позволяют настроить многофакторную аутентификацию OWA, чтобы пользователи могли входить в свои учетные записи только в определенное время суток, например в рабочее время. Это исключает возможность взлома учетных записей в нерабочее время, повышая уровень безопасности вашей инфраструктуры.
Аналитика и уведомления
Мы предоставляем подробные отчеты о работе сервиса двухфакторной аутентификации Protectimus Outlook Web App: количество успешных и неудачных аутентификаций, финансовая информация и многое другое. Администраторы также могут получать уведомления о каждом важном системном событии по электронной почте или телефону.
Облачный сервис или локальная платформа
Protectimus — один из немногих поставщиков двухфакторной аутентификации OWA, предлагающих на выбор две модели сотрудничества: SAAS или локальную платформу. Но поскольку наш облачный сервис уже настроен, готов к использованию и доступен круглосуточно и без выходных, мы рекомендуем вам начать тестирование нашей службы многофакторной аутентификации OWA, зарегистрировавшись на сайте service.protectimus.com.
Облачный сервис
Модель SaaS удобна, особенно когда число пользователей OWA, которых нужно защитить, невелико — скажем, менее 99. Не нужно приобретать оборудование, не нужно устанавливать сервер аутентификации, не нужно развертывать отказоустойчивый кластер и не требуется дополнительная инфраструктура для защиты — эта сторона выполняется за вас. Кластер серверов с балансировщиком нагрузки обеспечивает стабильность работы сервиса и равномерно распределяет трафик, при этом инфраструктура постоянно контролируется, а все конфиденциальные данные шифруются с помощью аппаратного модуля безопасности. Все, что вам нужно сделать, — это зарегистрироваться на сайте service.protectimus.com и установить компонент многофакторной аутентификации OWA, чтобы в тот же день начать защищать входы в Outlook Web App.
Локальный сервер
Корпоративная политика или правовое регулирование часто требуют, чтобы сервер аутентификации находился в помещении клиента. Платформа Protectimus On-Premise создана именно для таких случаев: запуск сервера внутри собственной сети дает полный контроль над данными и процессами, а также ответственность за отказоустойчивость и защиту от внешних угроз. Сохраняется равенство функций с облачным сервисом — самообслуживание пользователей, географические и временные фильтры, а также мониторинг событий работают одинаково. А поскольку сервер находится внутри сети, Outlook Web App может продолжать проверку подлинности даже в автономном режиме, без зависимости от Интернета.
Поддерживаемые методы двухфакторной аутентификации
Protectimus OWA не привязывает вас к одному методу. Поддерживаются аппаратные токены OTP, приложение для аутентификации, OTP, доставляемый чат-ботом, SMS, электронная почта и push-уведомления, поэтому каждой группе пользователей можно подобрать метод доставки, соответствующий ее устройствам и политике безопасности.
Как настроить двухфакторную аутентификацию OWA с помощью Protectimus
Настройте двухфакторную аутентификацию для OWA всего за несколько минут
Регистрация в Сервисе
Зарегистрироваться с облачным сервисом многофакторной аутентификации Protectimus или установите локальную платформу, чтобы сервер оставался в вашей сети.
Выберите план оплаты
Перейдите к Планы обслуживания и активируйте план, соответствующий вашим потребностям. Чтобы начать тестирование решения двухфакторной аутентификации для OWA, вы можете просто активировать бесплатный план.
Создать ресурс
Ресурсы используются для логической группировки пользователей и токенов. Перейдите к Ресурсы раздел. Затем нажмите «Добавить ресурс» и создайте ресурс.
Добавьте пользователей и токены
Перейдите к Пользователи вкладку и добавьте пользователей. В Токены вкладка, создайте токены. Назначьте токены соответствующим пользователям и назначьте Пользователей с токенами Ресурсу.
Установить Протектимус OWA
Используйте кнопки выше, чтобы загрузить установщик и открыть руководство по установке. Затем запустите установщик Protectimus OWA и следуйте инструкциям. инструкции на экране.
Часто задаваемые вопросы
Поддерживает ли Protectimus MFA для Outlook Web App?
Да. Компонент Protectimus OWA добавляет этап одноразового пароля для входа в OWA на Exchange Server 2013, 2016 и 2019, работая либо с Protectimus Cloud MFA, либо с локальной платформой MFA.
Поддерживает ли Protectimus MFA для Exchange Admin Center, а также OWA?
Да. Тот же установщик позволяет включить MFA для OWA, EAC или обоих, выбранных в качестве отдельных модулей во время установки.
Можно ли развернуть OWA MFA локально вместо использования облачной службы?
Да. Платформа Protectimus On-Premise MFA запускает сервер аутентификации внутри вашей сети или частного облака с тем же компонентом OWA и тем же набором функций, что и облачный сервис.
Можно ли включить MFA только для одной группы Active Directory, а не для всех?
Да. Во время установки вы можете ограничить MFA определенной группой AD; если оставить это значение неустановленным, оно будет применяться ко всем пользователям.
Поддерживает ли Protectimus RADIUS высокую доступность и аварийное переключение?
Да. Вы можете развернуть несколько экземпляров RADIUS-сервера Protectimus и настроить свои NAS-устройства на первичные и вторичные цели RADIUS. Если основной сервер не отвечает в течение тайм-аута RADIUS, NAS автоматически повторяет попытку обращения к вторичному серверу. При локальном развертывании высокую доступность также можно распространить на платформу Protectimus, развернув ее в виде кластера. Сетевые устройства автоматически переключаются на вторичный сервер, когда основной становится недоступным, что помогает поддерживать доступность аутентификации.
Какие методы аутентификации поддерживаются для входа в систему OWA?
Аппаратные OTP-токены, приложение Protectimus SMART, чат-боты Protectimus BOT (Telegram, Viber, Facebook Messenger), SMS, электронная почта и push-аутентификация. Методы на основе OTP поддерживают алгоритмы HOTP, TOTP и OCRA.
В чем разница между Protectimus OWA и Protectimus DSPA?
Protectimus OWA специально защищает входы в систему OWA и EAC. Protectimus DSPA интегрируется на уровне Active Directory и автоматически распространяет MFA на каждую службу, подключенную к AD, включая OWA. См. сравнительную таблицу выше.
Сколько времени занимает настройка MFA для OWA?
Развертывание, от регистрации в службе до работающего входа в систему, защищенного MFA, обычно выполняется примерно за 15 минут после выполнения необходимых условий (доверенный сертификат SSL, .NET Framework 4.7.x).