Sicherheitsrichtlinien – Remote-Zugriff

Verstehen der Standard-Regeln für den Zugriff auf Rechner/Netzwerke

Die Richtlinie für Remote-Zugriff definiert die Liste von IP-Adressen und/oder Hostnamen, über die Benutzer und Administratoren auf diese Organisation zugreifen können.

Systemadministrator-Benutzerregeln

Der Zugriff für Systemadministratoren wird im Abschnitt Remote Access (Remote-Zugriff) von System Settings (Systemeinstellungen) konfiguriert.

Ad-hoc- oder Gast-Benutzer

Informationen zur Konfiguration von nicht registrierten oder Gast-Benutzern finden Sie unter Webschnittstelle – Einstellungen – Ad Hoc Transfer – Zugriff – Nicht registrierte Sender > Remote-Zugriffsregeln für nicht registrierte Sender

Diese Einstellungen können auch durch benutzerdefinierte IP/Hostname-Regeln für bestimmte Benutzer überschrieben werden. (Einige Organisationen ziehen es vor, diese Standardeinstellungen leer zu lassen und NUR spezifischen IP-Zugriff für jeden Benutzer zuzulassen.)

Standardmäßig können sich Administratoren und Benutzer nur an der lokalen Konsole anmelden. Aus diesem Grund befindet sich auf der Homepage von Administratoren ein Hinweis, diesen Zugriff beim Festlegen der Standardwerte zu erweitern. Und dies ist auch der Grund, warum Systemadministratoren die Möglichkeit erhalten, den Bereich der zulässigen Adressen beim Erstellen einer neuen Organisation zu erweitern. Ebenfalls standardmäßig können anonyme WebPost-Benutzer Informationen an MOVEit Transfer übermitteln, sie können jedoch keine neuen WebPost-Ordner erstellen.

Zusätzlich zu den Zugriffsregeln für Hosts können Sie eine Liste von vertrauenswürdigen Hosts für eine Organisation festlegen. Ein Host in der Liste der vertrauenswürdigen Hosts umgeht die normalen IP-Sperren- und Sitzungs-IP-Konsistenzüberprüfungen. Denn wenn ein Benutzer sich über einen vertrauenswürdigen Host bei der Organisation anmeldet, funktioniert dies wie eine Anmeldung am localhost. Weitere Informationen finden Sie im Abschnitt „Vertrauenswürdige Hosts“ in diesem Dokument.

Die Regelliste für den Remote-Zugriff enthält folgende Abschnitte:

• Remote-Zugriffsregeln für Administratoren und Dateiadministratoren: Eine Zugriffsliste, die bestimmt, über welche IP-Adressen oder Hostnames Administratoren oder Dateiadministratoren standardmäßig eine Verbindung herstellen können.
• Remote-Zugriffsregeln für Benutzer: Eine Zugriffsliste, die bestimmt, über welche IP-Adressen oder Hostnames Endbenutzer standardmäßig eine Verbindung herstellen können.
• Remote-Zugriffsregeln für WebPosts: Eine Zugriffsliste, die bestimmt, über welche IP-Adressen oder Hostnames anonyme Benutzer WebPosts SENDEN und/oder ORDNER HINZUFÜGEN können. (Neue WebPost-Ordner können automatisch hinzugefügt werden, wenn ein neuer Formulartyp mit der Übermittlung von Webinformationen beginnt – weitere Informationen finden sie im Hilfeabschnitt zu WebPosts.)

In jedem Abschnitt sind alle aktuellen Regeln enthalten. Zur Laufzeit werden die Regeln in der Reihenfolge von oben nach unten abgearbeitet.

Jede Regel besteht aus Folgendem:

• Regel: Ob die Regel den Zugriff zulässt oder verweigert.
• Hostname/IP: Die IP-Adresse oder der Hostname jeder Regel (siehe das Thema Verwendung der erwarteten Syntax).
• Kommentar: Ein Hinweis oder Notizen des Administrators. Alles, was hier angegeben wird, dient nur zu Informationszwecken und hat sonst keine Auswirkungen auf die Regel.

Zusätzlich wird über eine Schaltfläche Edit Access Rules (Zugriffsregeln bearbeiten) für jeden Abschnitt (unter der letzten Regel des Abschnitts) eine separate Seite für jeden Abschnitt geöffnet, d. h. jeweils eine Seite für Remote-Zugriffsregeln für Administratoren und Dateiadministratoren, für Remote-Zugriffsregeln für Benutzer und für Remote-Zugriffsregeln für WebPosts.

Regel-Aktionen

Durch Klicken auf Edit Access Rules (Zugriffsregeln bearbeiten) in einem Regel-Abschnitt wird eine separate Seite für diesen Abschnitt geöffnet. Es gibt separate Seiten mit Remote-Zugriffsregeln für Administratoren und Dateiadministratoren (siehe weiter unten), Remote-Zugriffsregeln für Benutzer sowie Remote-Zugriffsregeln für WebPosts.

Es gibt u.a. folgende Aktionen:

• Priorität zuweisen. Zum Verschieben der Regel nach oben und nach unten – Regeln oben in der Liste werden zuerst verarbeitet. (Diese Schaltflächen werden nur ab zwei oder mehr Regeln angezeigt.)
• Bearbeiten. Ermöglicht Administratoren das Ändern der Regeldetails; öffnet die Seite „Edit Remote Access Rule“ (Remote-Zugriffsregel bearbeiten).
• Löschen. Entfernt die Regel aus der Zugriffsliste.

Zusätzlich kann über den Link Add Remote Access Rule (Remote-Zugriffsregel hinzufügen), der sich unter der letzten Regel befindet, die Seite „Add Remote Access Rule“ (Remote-Zugriffsregel hinzufügen) geöffnet werden, auf der neue Regeln hinzugefügt werden können.

Verwendung der erwarteten Syntax

Um eine Hostname/IP-Zugriffsregel anzuwenden, verwenden Sie die erwartete Syntax.

Syntax für IP-Adressen

<1. Teil>.<2. Teil>.<3. Teil>.<4. Teil>

—Dabei steht Teil für ein Oktett der IP-Adresse.

Beispiele

198.51.100.1 (wendet die Regel auf eine Adresse an, wie gezeigt)

203.0.113-255 (wendet die Regel auf 112 Adressen an, wie gezeigt)

198.51.100.1-29 (wendet die Regel auf einen Bereich von 29 Adressen an, wie gezeigt)

198.51.100.* (erweitert die Regel auf 256 Adressen, wie gezeigt)

—Dabei kann ein Oktett (oder Teil) 256 einzelne IP-Adressen darstellen.

Syntax für Adressbereiche

<1. Teil>.<2. Teil>.<3. Teil>.<4. Teil Bereichsanfang>-<Bereichsende>

—Und wobei Bereich in jedem Oktett einer IP-Adresse angegeben werden kann.

Beispiele

198.51.100.1-29

198.51.100-101.1

Syntax für Host- und Netzwerknamen

<sub-domain-host-part>.<second-level-domain-part>.<top-level-domain>

Beispiele

test.example.com (wendet die Regel nur auf Client-Anfragen von der Subdomäne/dem Host test an)

*.example.com (gilt für Client-Anfragen, die von der Domäne example.com stammen - Unterdomäne ignoriert)

test.example.com,*.example.net (wendet die Regel auf eine Unterdomäne auf example.com und eine beliebige Unterdomäne auf example.net an)

Die Seiten „Add Remote Access Rule“ (Remote-Zugriffsregel hinzufügen) und „ Edit Remote Access Rule“ (Remote-Zugriffsregel bearbeiten)

Die Felder hier definieren einen Hostname/eine IP-Adresse oder eine Bereichskombination und ob diese zulässig oder nicht zulässig ist. Einer einzelnen Regel kann eine Priorität zugewiesen werden, damit sie in Kombination mit anderen Zugriffsregeln verwendet werden kann. Für eine neue Regel füllen Sie die Felder aus, um eine neue Regel für Remote-Zugriff zu erstellen, und klicken Sie dann auf die Schaltfläche „Add Entry“ (Eintrag hinzufügen). Oder ändern Sie bei einer vorhandenen Regel Felder und klicken Sie dann auf die Schaltfläche „ Update Entry“ (Eintrag aktualisieren).

Folgende Felder und Schaltflächen befinden sich auf dieser Seite:

• Regel: Werte, die Sie auswählen können, sind „Allow“ (Zulassen) oder „Deny“ (Ablehnen).
• Hostname/IP: Wert eines einzelnen Hostnamens oder einer IP-Adresse. Sie können ein Platzhalterzeichen ("*") einfügen, um Ihre Zulassen- oder Ablehnen-Regel auf einen Bereich anzuwenden. Einige Beispiele sind: 11.22.33.44 (ein einzelner Host) und 11.22.33.* (wobei * für alle Rechner im 11.22.33-Netz steht) und *.example.edu (wobei "*" für alle Hosts steht, die die Domäne example.edu verwenden).
• Priority (Priorität). (Wird nur für die Seite Add... (...hinzufügen) und nicht für die Seite Edit... (...bearbeiten) angezeigt.) Zum Festlegen der Anfangsplatzierung in der Liste (ob oben, unten oder in der Mitte). Folgende Werte können ausgewählt werden: Highest, Middle oder Lowest (Höchste, Mittlere oder Niedrigste).
• Comment (Optional) (Kommentar, optional): Texteingabefeld.
• Add Entry / Update Entry (Eintrag hinzufügen/Eintrag aktualisieren): Klicken Sie auf diese Schaltfläche, um die Seite zu schließen und die neue Regel der Regelliste hinzuzufügen oder die vorhandene Regel in der Liste zu aktualisieren.

Hostname/IP-Masken

Hostname-/IP-Einträge können einzelne Hostnames, einzelne IP-Adressen oder Masken sein, die mit einer Reihe von Hostnames oder Adressen abgeglichen werden können. Ein Sternchen (*) kann jedem Wert in einer bestimmten Position entsprechen. Beispiel: 2* entspricht 23 oder 213, *cat entspricht Tomcat und Bobcat und * kann diesen allen entsprechen.

Ein Bindestrich (-) entspricht numerischen Werten, die den Zahlen auf jeder Seite des Bindestrichs entsprechen oder dazwischen liegen. Beispiel: 2-4 entspricht 2, 3 und 4, jedoch nicht 1 oder 5.

Entscheidungen (Zulassen/Ablehnen)

Wenn eine eingehende IP-Adresse oder Hostname geprüft wird, werden Regeln von oben nach unten verarbeitet. Die erste Regel, die der eingehenden IP-Adresse bzw. dem Hostname entspricht, ist die Regel, die den Zugriff zulässt oder ablehnt.

Standardmäßig werden alle IP-Adressen und Hostnames abgelehnt, wenn sie nicht bis zum Ende der Liste vorhanden sind.

• Bestimmte IP-Adressen und Hostnamen (z. B. 192.168.3.4 oder test.example.com) sollten ganz oben stehen.
• Bereiche von IP-Adressen und Hostnamen (z. B. 192.168.3.* oder *.example.com) sollten in der Mitte stehen.
• Allgemeine Einträge (z. B. 192.*.*.* oder *.edu) sollten am Ende stehen.

Konsolenverbindungen

Wenn ein Benutzer sich beim MOVEit Transfer-Server über einen Webbrowser anmeldet, der auf demselben Computer ausgeführt wird wie der MOVEit Transfer-Server selbst, gilt dieser Benutzer als bei der Konsole angemeldet, wenn er die Verbindung zu MOVEit Transfer über eine URL herstellt, die mit http://localhost... oder http://127.0.0.1... beginnt, und nicht über die übliche http://MOVEitDMZ.nowhere.com...- URL.

Diese Konsolenverbindungen unterliegen NICHT der Remote-Zugriff-Liste. Diese Ausnahme verhindert, dass Systemadministratoren sich mit einer leeren Zugriffsliste selbst aussperren, denn sie können sich immer an dem Computer anmelden, auf dem MOVEit Transfer ausgeführt wird.

Trusted Hosts (Vertrauenswürdige Hosts)

Mit dieser Funktion können Organisationsadministratoren einen Host als vertrauenswürdigen Host für ihre Organisation bestimmen, der die gleichen Rechte wie localhost hat.

Im Normalbetrieb umgehen Clients, die über eine der lokalen Schnittstellen auf MOVEit Transfer zugreifen, die normalen IP-Sperren- und Sitzungs-IP-Konsistenzüberprüfungen. Dies ermöglicht es Diensten wie dem MOVEit Transfer FTP-Server und dem MOVEit Transfer SSH-Server, ordnungsgemäß zu funktionieren und die IP-Adresse des Clients zu Anzeige- und Protokollierungszwecken anzuzeigen. Von einem vertrauenswürdigen Host werden diese Überprüfungen ebenfalls umgangen.

Diese Funktion kann in folgenden Situationen verwendet werden:

• Erlauben Sie Rechneranforderungen von einem vertrauenswürdigen Host, eine IP-Adresse als effektive IP-Adresse für Rechnertransaktionen anzugeben. (Dies ist das XML-Element „<IPADDRESS>“ in der MOVEit Transfer-API). Diese Funktion wird am häufigsten verwendet, wenn die MOVEit Transfer-API in einer separaten Webanwendung verwendet wird, um Single Sign-On-Zugriff auf MOVEit Transfer zu ermöglichen. Die API-Sitzung kann dadurch an den Client-Browser und wieder zurück übertragen werden, und die API kann außerdem die IP-Adresse des Clients für Anzeige- und Protokollierungszwecke darstellen.
• Erlauben Sie MOVEit, nach Abschluss eines Uploads ohne Assistenten zu einem vertrauenswürdigen Host umzuleiten.
• Erlauben Sie Benutzern, sich von einem vertrauenswürdigen Host aus anzumelden, unabhängig von anderen Berechtigungen und/oder IP-Sperren, die für diesen Host festgelegt wurden.

  Wenn eine Person versucht, sich als bestehender Benutzer anzumelden, und ständig fehlschlägt, ist möglicherweise die IP-Adresse gesperrt. Vertrauenswürdige Hosts können verwendet werden, um das Sperrverhalten zu überschreiben. Die Einträge der vertrauenswürdigen Hosts, die mit der Organisation des Benutzers verbunden sind, werden konsultiert. Wenn die IP-Adresse des Clients mit einem vertrauenswürdigen Host übereinstimmt, wird diese IP-Adresse nicht gesperrt. Wenn die fehlgeschlagenen Versuche als Benutzer durchgeführt werden, der nicht vorhanden ist, und keine Organisation angegeben wird, werden die Einträge vertrauenswürdiger Hosts für die Standardorganisation abgefragt.

• Erlauben Sie Benutzern, die IP-Adresse innerhalb einer Sitzung zu ändern, wenn die alte oder neue IP-Adresse vertrauenswürdig ist, unabhängig von der IP-Umschaltmaske.

So fügen Sie der Liste vertrauenswürdiger Hosts einen Eintrag hinzu:

1. Klicken Sie unter „Trusted Hosts“ (Vertrauenswürdige Hosts) auf Edit Access Rules (Zugriffsregeln bearbeiten).
2. Klicken Sie auf Add Remote Access Rule (Remote-Zugriffsregel hinzufügen).
3. Geben Sie einen Hostnamen oder eine IP-Adresse und eine Beschreibung ein (optional) und klicken Sie dann auf Eintrag hinzufügen.

   Das Feld Hostname/IP kann entweder einen Hostnamen oder eine IP-Adresse enthalten. Beide Typen können Platzhalterzeichen enthalten und die IP-Adressen können als Bereich erscheinen. Beispiel: 11.22.33.44, 11.22.33.*, 11.22.33.44-55, jsmith.mycompany.com, *.mycompany.com.

   Anmerkung: Hostnamen und IP-Adressen sind nicht austauschbar. Wenn myhost1 in 192.168.1.200 aufgelöst wird und die Liste myhost1 enthält, jedoch nicht 192.168.1.200, können Benutzer über URLs, die mit https://myhost1 beginnen, auf den Host zugreifen, jedoch nicht über URLs, die mit https://192.168.1.200 beginnen.

Nachdem Sie den Eintrag hinzugefügt haben, wird er in der Liste der zugelassenen Hosts angezeigt.

1. Wenn Sie zur Liste der vertrauenswürdigen Hosts zurückkehren, wird der Eintrag auch dort angezeigt.

So verschieben Sie einen Host-Eintrag:

Verwenden Sie die Pfeil-Schaltflächen, um den Eintrag in der Prioritätsliste nach oben und unten zu verschieben – Einträge oben in der Liste werden zuerst verarbeitet. (Diese Schaltflächen werden nur ab zwei oder mehr Einträgen angezeigt.)

So bearbeiten Sie einen Host-Eintrag:

Suchen Sie den Eintrag in der Liste der zugelassenen Hosts und klicken Sie auf die Schaltfläche Bearbeiten. Geben Sie alle Änderungen ein.

So löschen Sie einen Host-Eintrag:

Suchen Sie den Eintrag in der Liste der zugelassenen Hosts. Wählen Sie neben dem Eintrag Delete (Löschen) aus. Wählen Sie dann Yes (Ja) aus, um die Löschung zu bestätigen.

IP-Sperren

Wenn eine IP-Adresse gesperrt wird, ist sie an einem bestimmten Standort über alle Organisationen hinweg gesperrt.

Ausgelöste Benachrichtigungen

Wenn die IP-Adresse gesperrt ist, erhalten SysAdmin-Benutzer, deren Eigenschaft zur Benachrichtigung auf Ein+Admin eingestellt ist, eine E-Mail-Benachrichtigung, dass die Sperrung erfolgt ist.

Wenn nur eine Nicht-System-Organisation konfiguriert ist, erhalten Admin-Benutzer in der Organisation, deren Notification-Eigenschaft auf „On+Admin“ (Ein+Admin) festgelegt ist, ebenfalls E-Mail-Benachrichtigungen.

Nur Systemadministratoren können eine IP-Sperrrichtlinie festlegen. (Weitere Informationen finden Sie im Abschnitt IP-Sperrrichtlinie der Seite „Systemrichtlinie für Remote-Zugriff“). IP-Sperren sind standardmäßig aktiviert und so eingestellt, dass IP-Adressen nach 15 Fehlversuchen in einem Zeitraum von 5 Minuten gesperrt werden.

Wenn Sie eine IP-Adresse entsperren, bleibt der Benutzer, der die IP-Sperre ausgelöst hat, weiterhin gesperrt und inaktiv. Sie können den Kontostatus des Benutzers im Benutzerprofil ändern.

IP-Wechsel

Um IP-Hijacking zu verhindern, erlaubt MOVEit Transfer normalerweise nicht, dass die von einer Sitzung verwendete IP-Adresse im Verlauf dieser Sitzung geändert wird. Einige Firewalls und Proxyserver verwenden jedoch Pools von IP-Adressen, um sie Benutzern, die auf das Internet zugreifen, zuzuweisen, und können manchmal einem Benutzer, selbst in einer einzelnen Sitzung, verschiedene IP-Adressen zuweisen. Um diesen Benutzern vollen Zugriff auf den Server zu ermöglichen, können Administratoren mithilfe der Funktion IP-Wechsel einen zulässigen Bereich festlegen, in dem sich eine Sitzungs-IP ändern darf.

Standardmäßig ist die Option „IP Switching“ (IP-Wechsel) auf None (Keine) eingestellt, was einer Subnetzmaske von 255.255.255.255 oder /32 entspricht. Dadurch wird jeder IP-Adressenwechsel verhindert. Weitere verfügbare Werte sind:

• Klasse C (255.255.255.0 oder /24): Die Sitzungs-IP-Adresse darf sich im Klasse-C-Adressteil ändern. Beispiel: Wenn die ursprüngliche Sitzungs-IP-Adresse 1.1.1.1 ist, ist der Wechsel zu 1.1.1.2 zulässig, der Wechsel zu 1.1.2.2 jedoch nicht.
• Klasse B (255.255.0.0 oder /16): Die Sitzungs-IP-Adresse darf sich im Klasse-B-Adressteil ändern. Beispiel: Wenn die ursprüngliche Sitzungs-IP-Adresse 1.1.1.1 ist, ist der Wechsel zu 1.1.2.2 zulässig, der Wechsel zu 1.2.2.2 jedoch nicht.
• Klasse A (255.0.0.0 oder /8): Die Sitzungs-IP-Adresse darf sich im Klasse-A-Adressteil ändern. Beispiel: Wenn die ursprüngliche Sitzungs-IP-Adresse 1.1.1.1 ist, ist der Wechsel zu 1.2.2.2 zulässig, der Wechsel zu 2.2.2.2 jedoch nicht.
• Alle (0.0.0.0 oder /0): Lässt alle IP-Adressenwechsel zu.