Protectimus для OWA та EAC
Ми створили інсталятор, який допоможе налаштувати двофакторну автентифікацію в OWA (Exchange 2013, 2016, 2019) та Exchange Admin Center (EAC) всього за кілька хвилин
Двофакторна автентифікація для OWA та Exchange Admin Center за 15 хвилин
Protectimus надає спеціальне рішення багатофакторної автентифікації (MFA) для Outlook Web App і Exchange Admin Center на Microsoft Exchange Server. Компонент Protectimus OWA додає другий фактор автентифікації для входу OWA та EAC на Exchange 2013, 2016 і 2019 і працює з Protectimus Cloud MFA або Protectimus On-Premise MFA Platform. Встановлення займає близько 15 хвилин і не потребує жодних агентів на окремих поштових скриньках або клієнтських пристроях.
Exchange Server 2013, 2016, 2019
Легка інтеграція
Прямий захист для Exchange
Ви також можете використовувати компонент Protectimus DSPA для захисту доступу до Outlook Exchange Server. Він інтегрується безпосередньо в Active Directory. Він змінює паролі користувачів кожні кілька хвилин: одна частина пароля залишається незмінною, а інша – паролем TOTP. У цьому випадку вам не потрібно встановлювати компонент Protectimus OWA.
2FA для центру адміністрування Exchange
Конфігурація групової політики
Підтримує алгоритм OCRA
Навіщо OWA та EAC потрібен спеціальний рівень MFA
Веб-програма Outlook Web App доступна з будь-якого браузера, у будь-якій мережі. Саме це робить його зручним для віддаленого та гібридного персоналу — і що робить його улюбленою точкою входу для атак на основі облікових даних. Щоб отримати доступ до поштової скриньки з будь-якого місця, достатньо імені користувача та статичного пароля. А поштова скринька містить більше, ніж потоки повідомлень — електронні листи для зміни пароля, фінансову кореспонденцію, внутрішні ланцюжки схвалення: саме той контекст, який потрібен добре продуманій спробі зламати ділову електронну пошту.
Центр адміністрування Exchange несе ще більший ризик для зламаного облікового запису. Сеанс адміністратора в EAC може створювати правила потоку пошти, додавати делегатів поштової скриньки або експортувати дані — дії, які важко помітити в режимі реального часу та легко зловживати, опинившись усередині.
Масштаб тут не гіпотетичний. Згідно зі звітом Verizon про розслідування витоків даних за 2025 рік, викрадені або зловживані облікові дані залишаються єдиним найпоширенішим способом проникнення зловмисників у мережі, присутнім приблизно в п’ятій частині зламів, причому людський фактор відіграє роль приблизно в 60% проаналізованих зломів. Дані ФБР IC3, наведені в цьому ж звіті, свідчать про збитки від компрометації бізнес-електронної пошти в 2,77 мільярда доларів США за 2024 рік. OWA, як загальнодоступний логін для корпоративної пошти, є прямим входом BEC (компрометація бізнес-електронної пошти).
Власна автентифікація Exchange не зупиняє роботу підробленого або витоку пароля. Багатофакторна автентифікація усуває цю прогалину, не переробляючи спосіб доступу до OWA або EAC — і згідно зі звітом Microsoft про цифровий захист за 2025 рік, сучасний MFA знижує ризик компрометації особи більш ніж на 99%, навіть якщо зловмисник уже має дійсне ім’я користувача та пароль. Ось чому OWA та EAC розглядаються як власні цілі MFA, відмінні від загального проекту «додати MFA всюди».
Двофакторна автентифікація OWA: два варіанти
Ми пропонуємо два рішення для захисту доступу до Microsoft Exchange Outlook Web Access і Exchange Admin Center за допомогою багатофакторної автентифікації
Налаштуйте двофакторну автентифікацію для Outlook Web App (OWA) або Exchange Admin Center (EAC) за допомогою компонента Protectimus OWA 2FA. Для безпроблемної інтеграції завантажте інсталятор і інструкції з налаштування нижче.
Налаштуйте двофакторну автентифікацію безпосередньо в Active Directory за допомогою Protectimus DSPA (динамічна надійна автентифікація пароля) компонент.
Рішення Protectimus OWA 2FA дозволяє:
- налаштувати двофакторну автентифікацію виключно для Outlook Web App і Exchange Admin Center, багатофакторну автентифікацію не буде активовано для будь-яких інших служб, підключених до Active Directory;
- використовувати службу багатофакторної автентифікації Protectimus Cloud або локальну платформу MFA Protectimus;
- налаштувати групову політику під час встановлення;
- активувати двофакторну автентифікацію лише для вибраної групи Active Directory;
- встановити частоту, з якою користувачі будуть вводити одноразові паролі для продовження роботи з OWA, наприклад, кожні 12 годин;
- використовувати будь-які токени 2FA для двофакторної автентифікації OWA та EAC — токени HOTP, TOTP або OCRA OTP.
Після розгортання компонента Protectimus DSPA паролі користувачів в Active Directory постійно оновлюються за допомогою одноразових паролів (TOTP). Інтервал зміни пароля налаштовується адміністратором і має бути кратним 30 секундам.
Оскільки Protectimus DSPA безпосередньо інтегрується з Active Directory, автентифікація на основі OTP автоматично застосовується для всіх служб, підключених до каталогу, включаючи Outlook Web App (OWA), Winlogon, RDP, ADFS та інші.
Protectimus DSPA доступний виключно як частина локальної платформи Protectimus і не підтримується Cloud Service Protectimus. Для автентифікації DSPA користувачі можуть генерувати одноразові паролі за допомогою програми автентифікації Protectimus SMART або чат-ботів Protectimus BOT для Telegram, Viber і Facebook Messenger.
Компонент OWA працює як із хмарною службою Protectimus, так і з локальною платформою Protectimus, дозволяючи організаціям вибрати модель розгортання, яка найкраще відповідає їхнім вимогам до інфраструктури та відповідності. Protectimus OWA підтримує кілька методів автентифікації, включаючи програми автентифікації, push-повідомлення, електронну пошту, SMS, чат-ботів і апаратні токени.
Два способи захисту OWA:
Рівень компонента проти рівня каталогу
Якщо ви зважуєте, який із двох підходить для вашого середовища, Посібник із двофакторної автентифікації OWA у блозі Protectimus детальніше розглядає обидва підходи та компроміси кожного з них. На цій сторінці передбачається, що ви вже знаєте, що хочете захистити OWA та EAC конкретно.
Розширені функції
Ми не лише доставляємо та перевіряємо одноразові паролі, але й хочемо зробити процес захисту входу в Outlook OWA та Microsoft Outlook Exchange за допомогою двофакторної автентифікації таким же зручним для адміністраторів, як і для користувачів
Самообслуговування користувачів
Фільтри на основі часу
Фільтри на основі часу дозволяють налаштувати багатофакторну автентифікацію OWA, щоб користувачі могли входити до своїх облікових записів лише в певний час доби, наприклад у робочі години. Це виключає можливість зламу облікових записів у неробочий час, підвищуючи рівень безпеки вашої інфраструктури.
Аналітика та повідомлення
Ми надаємо детальні звіти про роботу служби двофакторної автентифікації Protectimus Outlook Web App: кількість успішних і невдалих автентифікацій, фінансову інформацію та багато іншого. Адміністратори також можуть отримувати повідомлення про кожну важливу системну подію електронною поштою або телефоном.
Хмарний сервіс або локальна платформа
Protectimus — один із небагатьох постачальників двофакторної автентифікації OWA, який пропонує на вибір дві моделі співпраці: SAAS або локальну платформу. Але оскільки наша хмарна служба вже налаштована, готова до використання та доступна 24/7, ми рекомендуємо вам розпочати тестування нашої служби багатофакторної автентифікації OWA, зареєструвавшись на service.protectimus.com
Хмарний сервіс
Модель SaaS зручна, особливо коли кількість користувачів OWA, яких потрібно захистити, невелика — скажімо, менше 99. Не потрібно купувати обладнання, не потрібно встановлювати сервер автентифікації, не потрібно розгортати кластер відновлення після відмови та не потрібно додаткової інфраструктури, яку потрібно захистити — цю сторону обробляєте за вас. Кластер серверів із балансувальником навантаження забезпечує стабільність служби та рівномірний розподіл трафіку, а інфраструктура постійно контролюється, а всі конфіденційні дані шифруються за допомогою апаратного модуля безпеки. Все, що вам потрібно зробити, це зареєструватися на service.protectimus.com і встановити компонент багатофакторної автентифікації OWA, щоб розпочати захист входу в Outlook Web App того ж дня.
Локальний сервер
Корпоративна політика чи правове регулювання часто вимагають, щоб сервер автентифікації залишався на території клієнта. Локальна платформа Protectimus створена саме для таких випадків: запуск сервера у вашій власній мережі дає повний контроль над даними та процесами, а також відповідальність за відмовостійкість і захист від зовнішніх загроз. Зберігається паритет функцій із хмарним сервісом — самообслуговування користувача, географічні й часові фільтри, а також моніторинг подій працюють однаково. А оскільки сервер знаходиться в мережі, Outlook Web App може продовжувати автентифікацію навіть як офлайн-служба, без залежності від Інтернету.
Підтримувані методи двофакторної автентифікації
Protectimus OWA не обмежує вас одним методом. Підтримуються апаратні токени OTP, додаток для автентифікації, OTP, що доставляється чат-ботом, SMS, електронна пошта та push-сповіщення, тому кожній групі користувачів можна підібрати спосіб доставки, який відповідає її пристроям і політиці безпеки.
Як налаштувати двофакторну автентифікацію OWA за допомогою Protectimus
Налаштуйте двофакторну програму для OWA всього за кілька хвилин
Реєстрація в Сервісі
зареєструватися за допомогою хмарної служби багатофакторної автентифікації Protectimus або встановіть локальну платформу, щоб зберегти сервер у вашій мережі.
Виберіть план оплати
Перейдіть до Сервісні плани і активуйте план, який відповідає вашим потребам. Щоб розпочати тестування рішення двофакторної автентифікації для OWA, ви можете поки що активувати безкоштовний план.
Створіть ресурс
Ресурси використовуються для логічного групування користувачів і токенів. Перейдіть до Ресурси розділ. Потім натисніть Додати ресурс і створіть ресурс.
Додайте користувачів і токени
Перейдіть до Користувачі та додайте користувачів. в Токени вкладка, створити токени. Призначте токени відповідним користувачам і призначте користувачів із токенами до ресурсу.
Встановіть Protectimus OWA
Використовуйте кнопки вище, щоб завантажити інсталятор і відкрити посібник із налаштування. Потім запустіть інсталятор Protectimus OWA і виконайте вказівки інструкції на екрані.
FAQ
Чи підтримує Protectimus MFA для Outlook Web App?
Так. Компонент Protectimus OWA додає одноразовий пароль для входу в OWA на Exchange Server 2013, 2016 і 2019, працюючи або з Protectimus Cloud MFA, або з локальною платформою MFA.
Чи Protectimus підтримує MFA для Exchange Admin Center, а також OWA?
Так. Той самий інсталятор дозволяє вмикати MFA для OWA, EAC або обох, вибраних як окремі модулі під час налаштування.
Чи можна розгорнути OWA MFA на місці замість використання хмарної служби?
Так. Локальна платформа MFA Protectimus запускає сервер автентифікації у вашій мережі або приватній хмарі з тим самим компонентом OWA і тим самим набором функцій, що й хмарна служба.
Чи можна ввімкнути MFA лише для однієї групи Active Directory замість усіх?
Так. Під час встановлення ви можете обмежити MFA певною групою AD; якщо цей параметр не налаштовано, його буде застосовано до всіх користувачів.
Чи підтримує Protectimus RADIUS високу доступність і відновлення після відмови?
Так. Ви можете розгорнути кілька примірників RADIUS-сервера Protectimus і налаштувати пристрої NAS з основними та вторинними цілями RADIUS. Якщо основний сервер не відповідає протягом тайм-ауту RADIUS, NAS автоматично повторює спробу з додатковим. У локальних розгортаннях високу доступність також можна поширити на платформу Protectimus, розгорнувши її як кластер. Мережеві пристрої автоматично перемикаються на вторинний сервер, коли основний стає недоступним, допомагаючи підтримувати доступність автентифікації.
Які методи автентифікації підтримуються для входу OWA?
Апаратні токени OTP, додаток Protectimus SMART, чат-боти Protectimus BOT (Telegram, Viber, Facebook Messenger), SMS, електронна пошта та push-автентифікація. Методи на основі OTP підтримують алгоритми HOTP, TOTP і OCRA.
Яка різниця між Protectimus OWA та Protectimus DSPA?
Protectimus OWA спеціально захищає входи OWA та EAC. Protectimus DSPA інтегрується на рівні Active Directory і автоматично поширює MFA на кожну службу, підключену до AD, включаючи OWA. Дивіться порівняльну таблицю вище.
Скільки часу потрібно, щоб налаштувати MFA для OWA?
Розгортання, від реєстрації в службі до робочого входу, захищеного MFA, зазвичай завершується приблизно за 15 хвилин після створення передумов (надійний сертифікат SSL, .NET Framework 4.7.x).