Najlepsze praktyki dotyczące bezpieczeństwa serwera Exchange

Microsoft Exchange Server to popularna aplikacja serwera poczty e-mail działająca wyłącznie w systemie operacyjnym Windows Server. Jednak na przestrzeni lat serwery Exchange były narażone na wiele luk w zabezpieczeniach. W 2021 r. chińska grupa atakująca o nazwie Hafnium zaatakowała ponad 400 000 niezałatanych serwerów lokalnych, wykorzystując wiele luk dnia zerowego w celu uzyskania dostępu do kont e-mail, a następnie zainstalowała złośliwe oprogramowanie w celu uzyskania długoterminowego dostępu. Microsoft zidentyfikował luki i wydał aktualizacje i poprawki zabezpieczeń, ale grupa uzyskała już dostęp do ponad 30 000 organizacji w Stanach Zjednoczonych.

Ostatnia fala ataków na serwery Microsoft Exchange uwydatnia potrzebę priorytetowego traktowania przez firmy najlepszych praktyk w zakresie bezpieczeństwa. Muszą ograniczyć powierzchnię ataku przed nieautoryzowanym dostępem, cyberatakami, wirusami i złośliwym oprogramowaniem, aby ograniczyć ryzyko i zmniejszyć szkody.

Dobrym sposobem na rozpoczęcie jest skorzystanie ze wskazówek firmy Microsoft dotyczących usunięcia tych luk. Istnieje jednak wiele innych najlepszych praktyk w zakresie bezpieczeństwa programu Exchange Server, których należy przestrzegać, aby odpowiednio zabezpieczyć się przed przyszłymi atakami. W tym artykule omówimy niektóre z tych najlepszych praktyk.

Najlepsze praktyki wzmacniania serwerów Exchange

1. Serwer Exchange powinien być aktualny

Pierwszą i najbardziej oczywistą najlepszą praktyką w zakresie bezpieczeństwa Exchange Server jest zapewnienie, że Exchange Server jest zawsze aktualny. Firma Microsoft często publikuje poprawki i poprawki błędów, które użytkownicy muszą zainstalować, gdy tylko staną się dostępne.

2. Użyj narzędzi zabezpieczających Exchange Server

Firma Microsoft udostępnia także szereg narzędzi zabezpieczających Exchange, które pomogą zapewnić ochronę przed nieautoryzowanym dostępem, wirusami, złośliwym oprogramowaniem i innymi zagrożeniami. Narzędzia te obejmują;

Lokalne narzędzie łagodzące Microsoft Exchange: firma Microsoft udostępniła niedawno nowe narzędzie łagodzące obsługiwane jednym kliknięciem, które ma ułatwić klientom nieposiadającym dedykowanego zespołu IT instalowanie odpowiednich aktualizacji zabezpieczeń .
Exchange Best Practices Analyzer (EBPA): EBPA to narzędzie pomagające administratorom ocenić stan środowiska Exchange Server. Narzędzie będzie zbierać dane z serwera Exchange, analizować wyniki, a następnie oferować wskazówki w oparciu o najlepsze praktyki zalecane przez firmę Microsoft.
Skaner bezpieczeństwa Microsoft: to narzędzie przeskanuje oprogramowanie w poszukiwaniu złośliwego oprogramowania zainstalowanego w środowisku Windows i odpowiednio je usunie. Narzędzie to jest również znane jako narzędzie wsparcia reagowania kryzysowego. Należy również zauważyć, że skaner bezpieczeństwa Microsoft jest dołączony do wspomnianego powyżej narzędzia Exchange On-Premises Mitigation Tool.
Antywirus Microsoft Defender: jest to standardowe rozwiązanie antywirusowe/złośliwe oprogramowanie dostarczane z najnowszymi wersjami systemu Windows i obejmujące również Exchange.
Kreator konfiguracji zabezpieczeń Microsoft (SCW):: SCW umożliwia administratorom łatwą zmianę domyślnych ustawień zabezpieczeń serwera. Obejmuje to możliwość dostosowywania zasad bezpieczeństwa sieci, zasad inspekcji, wartości rejestru i usług.
Zestaw narzędzi Microsoft Security Compliance Toolkit (SCT):: SCT to zestaw narzędzi umożliwiający administratorom przedsiębiorstwa pobieranie, analizowanie, testowanie, edytowanie i przechowywanie zalecanych podstawowych konfiguracji zabezpieczeń dla systemu Windows, w tym Exchange.
Analizator Exchange: jest to narzędzie PowerShell, które skanuje serwer Exchange i udostępnia raporty dotyczące różnych typowych problemów z konfiguracją, a także zalecenia dotyczące poprawy bezpieczeństwa Exchange.
Ochrona online Microsoft Exchange (EOP):: EOP, który został teraz zintegrowany z portalem Microsoft 365 Defender, ma na celu ochronę skrzynek pocztowych Exchange. EOP można używać w środowiskach lokalnych, chmurowych i hybrydowych.
Antyspam i oprogramowanie chroniące przed złośliwym oprogramowaniem Microsoft Exchange: zarówno Exchange Server 2016, jak i Exchange Server 2019 są wyposażone w funkcje ochrony przed spamem i złośliwym oprogramowaniem, które są domyślnie włączone na serwerach Exchange Mailbox.

3. Użyj list dozwolonych i list zablokowanych

Podobnie jak w przypadku większości popularnych klientów poczty e-mail, możesz zezwalać/blokować wiadomości e-mail od zaufanych/niezaufanych nadawców. W Outlooku możesz znaleźć listę dozwolonych domen w zakładce Bezpieczni nadawcy oraz listę zablokowanych domen w zakładce Zablokowani nadawcy.

4. Ogranicz dostęp administracyjny

Zapewnienie użytkownikom zdalnego dostępu do serwerów Exchange stanowi ogromne zagrożenie bezpieczeństwa. W związku z tym konieczne jest ograniczenie dostępu do serwerów Exchange wyłącznie do użytkowników wewnętrznych. W przypadkach, gdy rzeczywiście wymagany jest dostęp zdalny, należy wdrożyć uwierzytelnianie wieloskładnikowe jako dodatkową warstwę bezpieczeństwa.

5. Włącz SSL/TSL dla usług zewnętrznych

SSL (Secure Sockets Layer) i jego następca, Transport Layer Security (TLS), służą do zapewnienia szyfrowanego kanału komunikacji między dwoma komputerami w Internecie. Włączając szyfrowanie SSL/TLS zarówno dla serwerów poczty przychodzącej, jak i wychodzącej, możemy mieć pewność, że nasze e-maile nie zostaną przechwycone ani zmodyfikowane.

6. Sprawdź zmiany w serwerze Exchange i dostęp do skrzynek pocztowych

Ważna jest możliwość monitorowania, wykrywania i ustawiania alertów w przypadku podejrzanych zachowań w Exchange. Jeśli korzystasz z Exchange Online, możesz skorzystać z usługi Azure Monitor, która przeskanuje całe środowisko, w tym serwer Exchange, i dostarczy raporty dotyczące wydajności do Twojej skrzynki odbiorczej.

Jeśli jednak potrzebujesz bardziej wszechstronnego audytu z dostosowywalnymi raportami i funkcjami ostrzegania w czasie rzeczywistym, preferowaną opcją może być rozwiązanie strony trzeciej, na przykład Lepide Data Security Platform.

Rozwiązania stron trzecich zapewnią również analizę uprawnień, zapewniając widoczność tego, kto uzyskuje dostęp do jakich kont skrzynek pocztowych, w tym kiedy uzyskano dostęp, skąd i jakie czynności zostały wykonane. Zmiany uprawnień można monitorować w środowiskach lokalnych, chmurowych lub hybrydowych, a do administratora można wysyłać powiadomienia w czasie rzeczywistym, gdy użytkownik spróbuje uzyskać dostęp do skrzynki pocztowej, do której nie ma uprawnień. Zmiany konfiguracji można również śledzić, co ułatwia sprawdzenie, kto wprowadził zmiany i dlaczego zostały wprowadzone.

Rozwiązanie innej firmy będzie również dostarczać alerty w przypadku przesłania wrażliwych danych pocztą elektroniczną, nawet jeśli odbiorca jest członkiem Twojej organizacji. Większość wyrafinowanych rozwiązań wykorzystuje algorytmy uczenia maszynowego do ustalenia typowych wzorców użytkowania i wysyła alert, gdy aktywność użytkownika odbiega od tych wzorców.

7. Wdróż zapory sieciowe

Zainstalowanie serwera Exchange spowoduje automatyczne dodanie reguł do Zapory systemu Windows, składnika firmy Microsoft instalowanego domyślnie w najnowszych wersjach systemu Windows. Są jednak chwile, kiedy Zapora systemu Windows może powodować problemy i dobrym pomysłem może być jej wyłączenie i założenie, że zapora sieciowa wystarczy. Jest to jednak ryzykowne dla bezpieczeństwa i należy go za wszelką cenę unikać, szczególnie w przypadku serwerów lokalnych.

Dostępne są także zapory innych firm przeznaczone dla Exchange, ale podczas ich oceny należy sprawdzić, czy obsługują one używaną wersję Exchange Server.

8. Włącz kontrolę dostępu opartą na rolach (RBAC) i wymagaj silnych haseł

Organizacje powinny włączyć kontrolę dostępu opartą na rolach, która konfiguruje i przyznaje uprawnienia w oparciu o role pracowników w organizacji i ich potrzeby wykonywania określonych działań. Zapewnia dostęp w oparciu o zasadę najmniejszych uprawnień, zgodnie z którą użytkownicy mają dostęp do niezbędnego minimum funkcjonalności niezbędnej do wykonywania swojej pracy.

Stosowanie silnych haseł stanowi ważne uzupełnienie kontroli RBAC i innych środków uwierzytelniania. Łatwe hasła ułatwiają uzyskanie dostępu. Egzekwowanie minimalnej długości hasła i używanie unikalnych znaków to najlepsze sposoby zapobiegania atakom typu brute-force i rozpylaniu haseł.

9. Włącz uwierzytelnianie wieloskładnikowe dla OWA

Outlook Web Access (OWA) to funkcja programu Exchange, która umożliwia użytkownikom dostęp do poczty e-mail z poziomu przeglądarki internetowej, co może być dla nich wygodniejszą opcją. Domyślnie wymaga to jedynie nazwy użytkownika i hasła, aby się zalogować i uzyskać dostęp. Ułatwia to jednak hakerom, ponieważ mogą użyć brutalnej siły lub ukraść dane uwierzytelniające za pomocą ataków phishingowych, aby uzyskać dostęp do skrzynek pocztowych, które są otwarte w Internecie. Aby temu zapobiec, dla użytkowników logujących się do OWA należy włączyć uwierzytelnianie wieloskładnikowe (MFA).

10. Korzystanie z narzędzi wzmacniających system operacyjny

Na koniec rozważ użycie narzędzi wzmacniających system operacyjny, takich jak Microsoft Attack Surface Analyzer, które pomogą Ci skonfigurować ustawienia zabezpieczeń systemu operacyjnego, zainstalować poprawki, skonfigurować reguły bezpieczeństwa i usunąć wszelkie niepotrzebne lub nieużywane aplikacje i usługi.