Fachartikel

Sicherheit in Exchange (3)

Bei einem Kommunikationsserver wie Exchange spielt die Sicherheit in doppelter Hinsicht eine Rolle: Einerseits gilt es zu verhindern, dass eingehende E-Mails oder sich verbindende Geräte Malware in das Netz einschleppen, andererseits ist auch der Server selbst zu sichern, da die Exchange-Organisation aus dem Internet zu erreichen ist. Im dritten Teil erklären wir, was sie bei einem Virenscanner auf Dateisystemebene beachten müssen.
Mit Brief und Siegel – Exchange bringt zahlreiche Bordmittel mit, die das System selbst und den Versand und Empfang sicherer machen.
Virenscanner auf Dateisystemebene
Viele Unternehmen setzen auf Exchange-Servern Virenscanner auf Dateisystemebene ein. Sie müssen dazu auch in Exchange 2016 einige Dinge beachten. Etwa, dass solche Scanner keinen Schutz vor E-Mail-Viren bieten. Sie können lediglich eine Datei scannen, wenn sie in Verwendung ist, oder sie können in einem geplanten Intervall scannen. Dies kann bewirken, dass die Scanner ein Exchange-Protokoll oder eine Datenbankdatei sperren oder isolieren. Dies kann die Datenbank zerstören oder den Server zumindest deutlich langsamer reagieren lassen.

Bei Antivirenprogrammen auf Dateiebene unter Exchange müssen Sie bestimmte Ordner, Prozesse und Dateinamenerweiterungen sowohl von der speicherresidenten als auch von der Prüfung auf Dateiebene ausschließen. Auf Postfachservern gilt es, alle Postfachdatenbanken, Datenbankinhaltsindizes und Protokolldateien der Unterordner von "<Exchange-Installationspfad>\Mailbox" von der Prüfung auszunehmen. Die Speicherorte von Postfachdatenbank, Transaktionsprotokollen und Prüfpunktdateien lassen sich in der Exchange Management Shell wie folgt ermitteln:
Get-MailboxDatabase -Server <Servername> | fl *path*
GroupMetrics-Dateien aus dem Ordner "Exchange-Installationspfad\GroupMetrics" sollten Sie ebenso wenig scannen wie Protokolldateien für die Nachrichtenverfolgung und Kalenderreparatur (Ordner "<Exchange-Installationspfad>\ TransportRoles\Logs" und "Exchange-Installationspfad\Logging"). Den Speicherort erfahren Sie mit:
Get-MailboxServer <Servername> | fl *path*
Auch Offlineadressbuch-Dateien ("<Exchange-Pfad>\ClientAccess\OAB") und IIS-Systemdateien ([SystemRoot]\System32\inetsrv") sollten Sie ausschließen. Gleiches gilt für den temporären Ordner der Postfachdatenbank unter "<Exchange-Installationspfad>\\Mailbox\MDBTEMP".

Auf Servern, die Mitglied einer Datenbankverfügbarkeitsgruppe (Database Availability Group, DAG) sind, schließen Sie die Ordner "%WinDir%\Cluster" und "%SystemDrive%\DAGFileShareWitnesses\<DAGFQDN>" aus.

Weitere Ordner, die Sie nicht unter den Schutz eines Antivirusprogramms stellen sollten, zeigt die gleichnamige Tabelle am Ende des Artikels.

Viele Antivirenprogramme prüfen auch Prozesse, was Exchange negativ beeinflussen kann. Und neben Ordnern und Prozessen sollten Sie auch Exchangespezifische Dateinamenerweiterungen ausschließen. Beide Listen finden Sie unter [2].


Bild 2: Über die Antischadsoftware-Richtlinie lässt sich festlegen, wie Exchange mit Malware
in E-Mails umgeht und wer darüber benachrichtigt wird.


Interner Malwareschutz
Der Virenscanner ist in Exchange 2016 standardmäßig aktiviert. Sie können ihn aber jederzeit oder bereits bei der Installation deaktivieren. Die bereits vorhandene Antischadsoftware-Richtlinie steuert Einstellungen für den Scanner. Sie können diese Richtlinie nicht löschen, aber im EAC bearbeiten. Dazu öffnen Sie im EAC "Schutz/Schadsoftwarefilter" und doppelklicken die Standardrichtlinie "Default". Über "Einstellungen" richten Sie die Richtlinie nach Ihren Anforderungen ein:

  • Gesamte Nachricht löschen: Verhindert die Zustellung der E-Mail einschließlich Anlagen an die Empfänger.
  • Alle Anlagen löschen und Standardwarntext verwenden: Löscht alle Anlagen, nicht nur infizierte und fügt der E-Mail eine Textdatei mit Standardwarntext hinzu. Der Text der E-Mail bleibt aber erhalten.
  • Alle Anlagen löschen und benutzerdefinierten Warntext verwenden: Löscht alle Anlagen und fügt eine Textdatei mit einer Nachricht ein. Den Text können Sie selbst festlegen.
Wird im Nachrichtentext selbst Schadsoftware erkannt, löscht Exchange immer die gesamte E-Mail einschließlich Anlagen. Das gilt für alle ein- und ausgehenden E-Mails. Im Bereich "Benachrichtigungen" hinterlegen Sie, ob Exchange eine Benachrichtigungs-E-Mail an Absender oder Administratoren sendet, wenn eine Nachricht als Schadsoftware erkannt wird. Zusätzlich passen Sie den Inhalt unter "Benachrichtigungen anpassen" bei Bedarf an. Dies gilt ebenso für den Absender, in dessen Namen die E-Mail gesendet wird und den Betreff der Nachricht.

 
Fazit
Exchange bringt zahlreiche Bordmittel mit, die das System selbst und den Versand und Empfang sicherer machen. Während manche Werkzeuge nur in bestimmten Szenarien wie etwa bei Smartphones für mehr Sicherheit sorgen, sollten Administratoren Themen wie Postfachüberwachungsprotokolle oder Virenschutz stets im Auge behalten.

Im ersten Teil des Workshops lasen Sie, wie Sie Postfächer überwachen und Exchange-Zertifikate konfigurieren. Im zweiten Teil ging es darum, wie Sie eine Zertifikatänderung vorbereiten und wie Sie durch ActiveSync-Postfachrichtlinien für Sicherheit sorgen..
21.12.2020/jp/ln/Thomas Joos

Nachrichten

Geografische und netzwerkbezogene Warnzeichen für Phishing-Angriffe [16.04.2021]

Das Land, aus dem E-Mails stammen, und die Anzahl der Länder, durch die sie auf dem Weg zu ihrem endgültigen Ziel geleitet werden, sind wichtige Warnzeichen für Phishing-Angriffe. In einer neuen Studie von Barracuda in Zusammenarbeit mit der Columbia University wurden Geolokalisierung und Netzwerkinfrastruktur von mehr als 2 Milliarden im Januar 2020 versendeten E-Mails analysiert, darunter 218.000 Phishing-E-Mails. [mehr]

Zero-Day-Schwachstelle im Desktop Window Manager entdeckt [14.04.2021]

Während der Analyse eines bekannten Exploits der APT-Gruppe BITTER entdeckten Sicherheitsforscher von Kaspersky eine Zero-Day-Schwachstelle im Desktop Window Manager. Dadurch sei eine beliebige Code-Ausführung seitens Cyberkriminellen auf dem Computer eines Opfers möglich. [mehr]

Tipps & Tools

Vorschau Mai 2021: Hybrid Cloud [14.04.2021]

Nahezu alle Unternehmen stehen inzwischen mit einem Bein in der Cloud, ohne gleich die lokale Infrastruktur aus dem Fenster zu werfen. In der Mai-Ausgabe widmet sich IT-Administrator dem Thema "Hybrid Cloud" und zeigt, wie sich beide Welten sinnvoll zusammenführen lassen. So lesen Sie beispielsweise, wie Sie Azure-Ressourcen lokal einbinden und Workloads in hybriden Umgebungen ausrollen. Außerdem zeigen wir im Mai-Heft, wie Sie mit vSphere Trust Authority Ihre VMware-Umgebung absichern und Applikations-Rollouts auf verschiedenen Clouds mit Ansible automatisieren. [mehr]

Monitoring, Backup und Recovery in virtualisierten Umgebungen (1) [9.04.2021]

Beim Betrieb einer Virtualisierungsinfrastruktur müssen IT-Verantwortliche auch dafür sorgen, dass die Umgebung verfügbar ist und im Fehlerfall schnell und ohne Datenverluste wieder anläuft. Hier kommen Monitoring, Backup, Ausfallsicherheit und Desaster-Recovery-Strategien ins Spiel. Im ersten Teil unseres Fachartikels beschäftigen wir uns mit der Ausfallsicherheit von Servern, der Hochverfügbarkeit von Storage-Systemen und der Redundanz im Netzwerk. [mehr]

Buchbesprechung

Computernetze und Internet of Things

von Patrick-Benjamin Bök, Andreas Noack, Marcel Müller

Anzeigen