'/%3e%3cpath%20id='cross_2'%20data-name='cross%202'%20class='cls-2'%20d='M20.612,30.43h0a5.361,5.361,0,1,0-10.723,0H0A33.709,33.709,0,0,1,30.569,0V9.75a5.361,5.361,0,1,1,0,10.723V30.43Z'%20transform='translate(67.193%200.007)%20rotate(90)'/%3e%3cpath%20id='cross_3'%20data-name='cross%203'%20class='cls-3'%20d='M20.612,30.43h0a5.361,5.361,0,1,0-10.723,0H0A33.709,33.709,0,0,1,30.569,0V9.75a5.361,5.361,0,1,1,0,10.723V30.43Z'%20transform='translate(67.186%2067.041)%20rotate(180)'/%3e%3cpath%20id='cross_4'%20data-name='cross%204'%20class='cls-4'%20d='M20.6,30.5h0a5.361,5.361,0,1,0-10.723,0H0A33.71,33.71,0,0,1,30.56,0V9.818a5.361,5.361,0,1,1,0,10.723V30.5Z'%20transform='translate(0%2067.041)%20rotate(-90)'/%3e%3c/svg%3e)
Sicherheitseinstellungen
Unter Sicherheitseinstellungen konfigurieren Sie die Zugriffs-IPs für Administratoren, den Anmeldeschutz, die Freigabe neuer Geräte, die Pflicht zur Zwei-Faktor-Authentifizierung für Administratoren und die Anfragelimits für die allgemeine API. Zusammengehörige Punkte sind in acht Karten gebündelt, die Sie auf einem Bildschirm ändern und speichern.
Bevor Sie beginnen
- Erforderliche Berechtigung: Administrator mit Berechtigung für Sicherheitseinstellungen
Sicherheitseinstellungen öffnen
- Öffnen Sie die Administrationsseite.
- Wählen Sie links
Sicherheitsmanagement. - Wählen Sie
Sicherheitseinstellungen.
Sie können auch oben über Menüs und Einstellungen suchen nach einem Karten- oder Feldnamen suchen und direkt dorthin wechseln. Wenn Sie über ein Suchergebnis wechseln, wird die entsprechende Karte aufgeklappt und die Position des Punkts kurz hervorgehoben.
Wählen Sie den Pfeil rechts auf einer Karte, um die Detailpunkte zu öffnen. Eingeklappte Karten zeigen eine Zusammenfassung der aktuellen Einstellungen.
| Karte | Gemeinsam konfigurierte Punkte |
|---|---|
IP-Zugriffsbeschränkung | IP-Adressen und Bereiche, die auf die Administrationsseite zugreifen dürfen |
Sicherheitssteuerung und Benachrichtigungen | Gesamtsicherheitsfilter und Administratorbenachrichtigungen |
Anmeldeschutz | Fehlversuche, Zeitfenster und Blockdauer sowie Erkennung wiederholter und verteilter Angriffe |
Anmeldung von einem neuen Gerät | Zulassen, Benachrichtigen und Freigeben bei Anmeldungen von neuen Geräten |
Zwei-Faktor für Administratoren | Ob alle Administratoren eine Authenticator-App für die Zwei-Faktor-Authentifizierung einrichten müssen, sowie der Status meiner Zwei-Faktor-Authentifizierung |
Ratenlimit für Anmeldeanfragen | Anmeldeanfragen, die sich in kurzer Zeit häufen |
Allgemeine API-Anfragen pro IP | Dauerhafte Anfragen und kurzzeitige Bursts der allgemeinen API |
Anmeldeausnahmen und gemeinsame Netzwerke | Ausnahmen vom Anmeldeschutz und Netzwerke, die mehrere Benutzer gemeinsam nutzen |
IP-Zugriffsbeschränkung
Beschränken Sie, welche IPs auf die Administrationsseite zugreifen dürfen. Schalten Sie IP-Zugriffsbeschränkung aktivieren ein und prüfen Sie, ob die Zulassungsliste Ihre aktuelle IP enthält. Das Vorgehen beim Eingeben und Speichern sowie Hinweise zum Schutz vor dem Aussperren finden Sie unter IP-Zugriffsbeschränkung.
Diese Liste ist unabhängig von der Liste der Anmeldeausnahmen. Eine Registrierung als IP auf der Zulassungsliste erlaubt noch keinen Zugriff auf die Administrationsseite.
Sicherheitssteuerung und Benachrichtigungen
Gesamtsicherheitsfilter aktivieren schaltet die Anmeldesicherheitsprüfungen und die automatische Blockierung ein oder aus. Standardmäßig ist die Option aktiviert. Wenn Sie sie ausschalten, werden Blockierungen aufgrund von Anmeldefehlversuchen, Anmeldeanfragelimits und Mustererkennung eingestellt. Fehlversuche werden weiterhin protokolliert.
Die Administrator-IP-Zugriffsbeschränkung, die Richtlinie für die Anmeldung von neuen Geräten und die allgemeinen API-Anfragelimits pro IP sind von diesem Schalter unabhängig. In der Karte konfigurieren Sie die Sicherheitsbenachrichtigungen.
| Element | Standard · Zulässiger Bereich | Beschreibung |
|---|---|---|
Administratorbenachrichtigungen aktivieren | Ein | Schaltet die Echtzeitbenachrichtigung der Administratoren bei Sicherheitsereignissen ein. |
Meldeschwelle | 50 · 1–100000 | Erreicht die Anzahl der Fehlversuche innerhalb des Zeitfensters für Fehlversuche diesen Wert oder mehr, wird eine Warnbenachrichtigung gesendet. Gleiche Warnungen werden in 10-Minuten-Blöcken zusammengefasst. |
Benachrichtigungen über automatische Blockierungen werden unabhängig von der Schwelle gesendet. Benachrichtigungen über Anmeldungen von neuen Geräten sind von dieser Benachrichtigungseinstellung unabhängig.
Anmeldeschutz
Fehlversuche, Zeitfenster und Blockdauer konfigurieren Sie in derselben Karte. Dort legen Sie auch fest, ob kürzlich genutzte Anmeldestandorte von der Kontosperre ausgenommen werden.
| Element | Standard · Zulässiger Bereich | Beschreibung |
|---|---|---|
Maximale Fehlversuche pro Benutzer | 5 · 1–100 | Erreichen die Anmeldefehlversuche desselben Kontos diesen Wert, wird das Konto vorübergehend gesperrt. |
Fehler pro IP und Anmelde-ID | 5 · 1–100 | Grenzwert für Fehlversuche von derselben IP mit derselben Login-ID. |
Maximale Fehlversuche pro IP | 50 · 10–10000 | Grenzwert für alle Fehlversuche von derselben IP. |
Maximale Fehlversuche pro Fingerabdruck | 15 · 1–1000 | Grenzwert für Fehlversuche mit demselben Gerätefingerabdruck. |
Kürzlich genutzte Standorte von der Kontosperre ausnehmen (empfohlen) | Ein | Nimmt IPs, von denen kürzlich eine erfolgreiche Anmeldung erfolgte, von der Kontosperre aus. Das Limit für die Kombination aus IP und Login-ID gilt weiterhin. |
Zeitraum für kürzliche Anmeldung (Tage) | 30 · 1–365 | Zeitraum (in Tagen), in dem eine Anmeldung als kürzlich erfolgt gilt. Eingabe nur möglich, wenn die obige Ausnahme eingeschaltet ist. |
Zeitfenster für Fehlversuche und Blockdauer
| Element | Standard · Zulässiger Bereich | Beschreibung |
|---|---|---|
Zeitfenster für Fehlversuche | 60 · 1–1440 | Zeitraum (in Minuten), in dem Fehlversuche gezählt werden. |
Blockdauer | 30 · 1–10080 | Standarddauer einer Blockierung (in Minuten). Maximal 7 Tage. |
Wiederholte Sperren und erweiterte Erkennung
Wenn Sie Wiederholte Sperren und erweiterte Erkennung aufklappen, werden progressive Blockierung, Mustererkennung und die Erkennung von Anmeldefehlversuchen über mehrere IPs angezeigt. Progressive Blockierung und Mustererkennung sind standardmäßig aktiviert. Schalten Sie einen Schalter aus, werden die zugehörigen Zahlenfelder deaktiviert.
| Element | Standard · Zulässiger Bereich | Beschreibung |
|---|---|---|
Progressiver Blockmultiplikator | 2 · 1–10 | Multiplikator für wiederholte Blockierungen. Eingabe in Schritten von 0,1. |
Maximale Blockdauer | 24 · 1–720 | Maximale Dauer (in Stunden) einer progressiven Blockierung. Maximal 30 Tage. |
Verdachtsmusterschwelle | 20 · 2–10000 | Erreichen die Fehlversuche derselben IP diesen Wert oder mehr und wurden dabei mehr als 10 verschiedene Benutzernamen oder mehr als 5 verschiedene User-Agents verwendet, erfolgt eine Musterblockierung. |
Maximale Fehlversuche pro User-Agent | 30 · 5–10000 | Grenzwert, wenn derselbe User-Agent von mehreren IPs aus Fehlversuche verursacht. |
Mindest-IPs pro User-Agent | 3 · 2–1000 | Anzahl verschiedener IPs, die für eine User-Agent-Blockierung erforderlich ist. |
Die progressive Blockierung wird als Blockdauer × Multiplikator^(Anzahl bisheriger automatischer Blockierungen) berechnet und überschreitet die maximale Blockdauer nicht. Der User-Agent ist die Kennung eines Browsers oder einer App. Gängige Browser und vertrauenswürdige offizielle Apps werden bei der Zählung der User-Agent-Fehlversuche nicht berücksichtigt.
Anmeldung von einem neuen Gerät
Legen Sie fest, wie mit Anmeldungen von einem bisher unbekannten Gerät umgegangen wird. Der Standardwert ist Keine Kontrolle.
| Option | Verhalten |
|---|---|
Keine Kontrolle | Es gelten keine Bedingungen für die Gerätefreigabe. Der Kontostatus und die übrigen Bedingungen des Anmeldeschutzes gelten weiterhin. |
Erlauben und benachrichtigen | Anmeldungen von einem unbekannten Gerät werden zugelassen, aber in den Sicherheitsbenachrichtigungen für Administratoren und im Authentifizierungsprotokoll festgehalten. |
Administratorfreigabe erforderlich | Nur von Administratoren freigegebene Geräte können sich anmelden. Nicht freigegebene Geräte werden als wartend auf Freigabe erfasst. |
Wählen Sie Administratorfreigabe erforderlich und übernehmen Sie die Einstellung oben rechts mit Speichern. Diese Option ist ab Team verfügbar. Die Anfragen geben Sie unter Jetzt zu erledigen auf der Administrator-Startseite oder unter Sicherheitsmanagement > Geräte zur Freigabe frei oder lehnen sie ab. Das genaue Vorgehen finden Sie unter Geräte mit ausstehender Freigabe bearbeiten.
- Normale Konten benötigen die Administratorfreigabe auch für das erste Gerät und bei Anmeldung von einer IP auf der Zulassungsliste.
- Geräte, die unter
Keine Kontrolle,Erlauben und benachrichtigenusw. automatisch registriert wurden, müssen nach dem Einschalten der Freigaberichtlinie erneut von einem Administrator freigegeben werden. - Hauptadministrator und Volladministratoren sind von der Gerätefreigabe ausgenommen, damit die Richtlinie im Notfall wiederhergestellt werden kann.
- In einer Reverse-Proxy-Umgebung prüfen Sie, ob die tatsächliche Zugriffs-IP weitergegeben wird. Weder die IP-Zulassungsliste noch die Prüfung der Zugriffs-IP sind eine Bedingung, unter der die Gerätefreigabe für normale Konten entfällt.
Zwei-Faktor für Administratoren
Schalten Sie Zwei-Faktor für Administratoren erzwingen ein, muss jedes Administratorkonto eine Authenticator-App für die Zwei-Faktor-Authentifizierung einrichten. Standardmäßig ist die Option ausgeschaltet. Administratoren ohne Einrichtung werden nach der Anmeldung zum Einrichtungsbildschirm geleitet und können Administrationsseite, Dateien und Echtzeitverbindungen erst nutzen, wenn die Einrichtung abgeschlossen ist.
Unter Meine Zwei-Faktor-Authentifizierung in derselben Karte wird der Status des aktuellen Kontos angezeigt. Hat der Administrator, der die Richtlinie einschaltet, die Einrichtung noch nicht abgeschlossen, richtet er sie zuerst über Einrichtung öffnen für sein eigenes Konto ein. Einrichtung und Wiederherstellung sind unter Zwei-Faktor-Authentifizierung für Administratoren einrichten beschrieben.
Ratenlimit für Anmeldeanfragen
Begrenzt Anmeldeanfragen, die sich in kurzer Zeit häufen. Standardmäßig aktiviert; wenn Sie die Option ausschalten, werden die Zahlenfelder dieser Karte deaktiviert.
| Element | Standard · Zulässiger Bereich | Beschreibung |
|---|---|---|
Ratenlimit-Zeitfenster | 60 · 1–3600 | Zeitraum (in Sekunden), in dem Anmeldeanfragen gezählt werden. |
Anfragen pro IP und Anmelde-ID | 10 · 1–1000 | Zulässige Anzahl von Anfragen für dieselbe Kombination aus IP und Login-ID. |
Gesamtanfragen pro IP | 120 · 10–10000 | Zulässige Gesamtzahl von Anmeldeanfragen pro IP, die nicht als gemeinsames Unternehmensnetzwerk registriert ist. |
Allgemeine API-Anfragen pro IP
Legt den Durchsatz pro IP für die gesamte allgemeine API einschließlich der WebSocket-Verbindungsanfragen für Dateien fest. Diese Einstellung ist unabhängig vom Anmeldeschutz und vom Limit gleichzeitiger Webspace-Verbindungen.
| Element | Standard · Zulässiger Bereich | Beschreibung |
|---|---|---|
Dauerhafte Anfragen pro Sekunde | 60 · 10–10000 | Anzahl allgemeiner API-Anfragen, die einer IP dauerhaft erlaubt sind. |
Kurzzeitige Burst-Anfragen | 300 · 20–100000 | Anzahl von Anfragen, die beim Laden der Anfangsdaten kurzzeitig erlaubt sind. Mindestens so hoch wie die dauerhaften Anfragen pro Sekunde einstellen. |
Hinter einem Unternehmens-NAT kann sich das anfängliche Laden mehrerer Benutzer und Tabs auf einer IP überlagern. Berücksichtigen Sie den kurzzeitigen Burst bei der Einstellung und passen Sie die Werte anhand des tatsächlichen Spitzenverkehrs und der HTTP-429-Kennzahlen an.
Anmeldeausnahmen und gemeinsame Netzwerke
Registrieren Sie Einträge mit der Schaltfläche zum Hinzufügen der jeweiligen Liste und löschen Sie sie mit dem Papierkorbsymbol. IP-Adressen geben Sie wie 203.0.113.10 ein, Bereiche in CIDR-Notation wie 203.0.113.0/24. Leere Eingabezeilen werden beim Speichern entfernt. Die folgenden Standardwerte gelten für Auf Standardwerte zurücksetzen; eine bereits gespeicherte leere Liste wird nicht automatisch befüllt.
| Element | Standard · Zulässiger Bereich | Beschreibung |
|---|---|---|
IP-Adressen auf der Zulassungsliste | 127.0.0.1, ::1 | Anmeldungen von diesen Adressen oder CIDR-Bereichen überspringen die Prüfungen des Anmeldeschutzes. |
Benutzer auf der Zulassungsliste | — | Anmeldungen mit diesen Benutzernamen überspringen die Prüfungen des Anmeldeschutzes. |
Gemeinsame Unternehmensnetzwerke | — | Lockert das Gesamtlimit für Anfragen pro IP sowie die Fehlversuchslimits auf Basis von IP und Gerätefingerabdruck. Kontosperre, Kombination aus IP und Login-ID, User-Agent und Mustererkennung bleiben bestehen. |
Registrieren Sie bei gemeinsam genutzten Unternehmens-IPs nur den erforderlichen Bereich als Gemeinsame Unternehmensnetzwerke. Die Liste der zugelassenen IPs für die Administrationsseite wird getrennt von dieser Liste verwaltet.
Speichern und auf Standardwerte zurücksetzen
- Wählen Sie oben rechts
Speichern. - Wählen Sie im Bestätigungsdialog
Bestätigen. - Prüfen Sie, ob die Meldung über das erfolgreiche Speichern erscheint und die Änderungsmarkierung verschwunden ist.
Die Änderungen des gesamten Bildschirms werden ohne separate Speichern-Schaltflächen je Karte gespeichert. Bei Zahlen außerhalb des zulässigen Bereichs erscheint ein Hinweis unter dem Eingabefeld. Werden bei der Prüfung vor dem Speichern Fehler gefunden, werden die betroffene Karte und die erweiterten Punkte aufgeklappt und das zu korrigierende Feld wird angesteuert.
Schlägt das Speichern der IP-Zugriffsbeschränkung fehl, prüfen Sie die Fehlermeldung und speichern Sie die verbleibenden Änderungen erneut. Wurden andere Sicherheitseinstellungen bereits gespeichert, wird ein Hinweis auf eine teilweise Speicherung angezeigt.
Wenn Sie Auf Standardwerte zurücksetzen wählen und bestätigen, werden die Werte auf dem Bildschirm auf die Standardwerte gesetzt. Auch die IP-Zugriffsbeschränkung wird deaktiviert und die Zulassungsliste geleert. Um die Änderung zu übernehmen, müssen Sie erneut Speichern wählen.
Bei nicht gespeicherten Änderungen wird eine Markierung angezeigt. Beim Wechsel auf eine andere Seite werden Sie gefragt, ob die Änderungen verworfen werden sollen; wenn Sie abbrechen, bleiben die Werte des aktuellen Bildschirms erhalten.
Hinweise
- Bei einem niedrigen Limit für Fehlversuche werden auch Benutzer, die ihr Passwort vergessen haben, leicht blockiert. Prüfen Sie den Geltungsbereich von
Kürzlich genutzte Standorte von der Kontosperre ausnehmen (empfohlen). - Registrieren Sie als Anmeldeausnahmen nur die notwendigen IPs und Benutzer. Die Administratorfreigabe für neue Geräte und die Administrator-IP-Zugriffsbeschränkung werden durch die Anmelde-Zulassungsliste nicht umgangen.
- Prüfen Sie nach dem Speichern mit einem normalen Testkonto, ob Anmeldefehlversuche, die Freigabe neuer Geräte und das Aufheben von Blockierungen wie beabsichtigt funktionieren.
Sicherheitsdiagnose ausführenin der Sicherheitsübersicht prüft auf Basis der aktuellen Anmeldesitzung. Das Verhalten für normale Konten oder externe Zugriffe prüfen Sie gesondert.- Bereits blockierte Ziele prüfen Sie in der Blockierungsverwaltung und heben die Blockierung dort auf.