Απαντώντας στις αυξανόμενες απειλές κατά της υποδομής email, η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών (CISA), η Εθνική Υπηρεσία Ασφάλειας (NSA), το Κέντρο Κυβερνοασφάλειας της Αυστραλίας (ACSC) και το Καναδικό Κέντρο Κυβερνοασφάλειας δημοσίευσαν έναν εκτενή οδηγό, που περιγράφει τις καλύτερες πρακτικές για την ασφάλεια των on-premises Microsoft Exchange Servers.
Με τίτλο “Microsoft Exchange Server Security Best Practices“, το έγγραφο δίνει έμφαση σε προληπτικά μέτρα ενίσχυσης, εν μέσω συνεχών επιθέσεων σε αυτά τα κρίσιμα συστήματα, τα οποία διαχειρίζονται ευαίσθητες επικοινωνίες οργανισμών.
Αυτή η κοινή προσπάθεια έρχεται λίγες εβδομάδες μετά τη λήξη της υποστήριξης παλαιότερων εκδόσεων του Exchange στις 14 Οκτωβρίου 2025. Αυτό αυξάνει τους κινδύνους για τα μη ενημερωμένα περιβάλλοντα.
Δείτε επίσης: Proton Data Breach Observatory: Ενημερώνει μόλις τα προσωπικά σας δεδομένα εμφανιστούν στο Dark Web
Microsoft Exchange Servers: Ποια μέτρα μπορούν να λάβουν οι οργανισμοί;
Ο οδηγός υπογραμμίζει την ανάγκη υιοθέτησης μιας στάσης πρόληψης, ξεκινώντας με την αυστηρή συντήρηση των ενημερώσεων ασφαλείας και των επιδιορθώσεων. Οι διαχειριστές καλούνται να εφαρμόζουν τα τελευταία Cumulative Updates (CUs) δύο φορές το χρόνο και τις μηνιαίες ενημερώσεις ασφαλείας/διορθώσεις, για να αντιμετωπίσουν την ταχεία ανάπτυξη εκμεταλλεύσεων από κακόβουλους παράγοντες.
Εργαλεία όπως το Exchange Health Checker και το SetupAssist της Microsoft συνιστώνται για την επαλήθευση της ετοιμότητας και τη διευκόλυνση των ενημερώσεων, μειώνοντας την έκθεση σε ευπάθειες με την πάροδο του χρόνου.
Για servers που έχουν φτάσει στο τέλος της ζωής τους (EOL), η άμεση μετάβαση στην έκδοση Exchange Server Subscription Edition (SE), τη μόνη υποστηριζόμενη τοπική έκδοση, είναι κρίσιμη, (με ενδιάμεση απομόνωση από το διαδίκτυο, αν οι πλήρεις αναβαθμίσεις καθυστερήσουν).
Επίσης, οι οργανισμοί πρέπει να εξασφαλίσουν ότι έχουν ενεργοποιημένο το Exchange Emergency Mitigation (EM) Service, καθώς παρέχει αυτόματες προστασίες όπως URL Rewrite rules κατά κακόβουλων αιτημάτων HTTP.
CISA: Οδηγός ενίσχυσης ασφάλειας
Πέρα από τις επιδιορθώσεις, η καθοδήγηση προτείνει την εφαρμογή καθιερωμένων βασικών γραμμών ασφαλείας από παρόχους όπως οι DISA, CIS και Microsoft (για την τυποποίηση των ρυθμίσεων σε Exchange, Windows και mail clients). Η ενεργοποίηση ενσωματωμένων αμυνών όπως το Microsoft Defender Antivirus, τα Attack Surface Reduction rules και οι έλεγχοι εφαρμογών όπως το AppLocker, ενισχύει τους servers κατά του κακόβουλου λογισμικού και των μη εξουσιοδοτημένων εκτελέσεων.
Δείτε επίσης: Gentlemen’s RaaS: Νέα Πλατφόρμα διαφημίζεται σε hacking φόρουμ
Τα εργαλεία Endpoint Detection and Response (EDR) επισημαίνονται για προηγμένη ορατότητα απειλών, ενώ οι δυνατότητες anti-spam και anti-malware του Exchange πρέπει να ενεργοποιηθούν για το φιλτράρισμα κακόβουλων emails. Για την ενίσχυση της αυθεντικοποίησης email, οι οργανισμοί πρέπει να εφαρμόσουν χειροκίνητα τα πρότυπα DMARC, SPF και DKIM, πιθανώς μέσω πρόσθετων τρίτων ή gateways.
Η ενίσχυση της αυθεντικοποίησης και της κρυπτογράφησης αποτελεί τον πυρήνα των συστάσεων. Η ρύθμιση του Transport Layer Security (TLS), με συνέπεια σε όλους τους servers, αποτρέπει την αλλοίωση δεδομένων και την πλαστοπροσωπία, με το Extended Protection (EP) να προστίθεται για την αποτροπή επιθέσεων “adversary-in-the-middle” μέσω channel binding.
Η μετάβαση από το απαρχαιωμένο NTLM σε πρωτόκολλα Kerberos και SMB είναι απαραίτητη, συμπεριλαμβανομένης της επιθεώρησης της χρήσης παλαιών εκδόσεων και της προετοιμασίας για την κατάργηση του NTLM.
Η Σύγχρονη Αυθεντικοποίηση με έλεγχο ταυτότητας πολλαπλών παραγόντων (MFA) μέσω του Active Directory Federation Services, αντικαθιστά την ευάλωτη Βασική Αυθεντικοποίηση, ενώ η υπογραφή με βάση πιστοποιητικά ασφαλίζει το PowerShell serialization.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Δείτε επίσης: Πρώην διευθυντικό στέλεχος Αμερικανικού Αμυντικού Εργολάβου πωλούσε exploits στη Ρωσία
Πρόσθετα μέτρα περιλαμβάνουν το HTTP Strict Transport Security (HSTS) για την επιβολή του HTTPS, τα Download Domains για την μείωση του cross-site request forgery, και το role-based access control (RBAC) με διαχωρισμένα δικαιώματα για την επιβολή της ελάχιστης προνομιακής πρόσβασης (περιορίζοντας την πρόσβαση των διαχειριστών σε αποκλειστικούς σταθμούς εργασίας). Η ανίχνευση P2 FROM header manipulations προσθέτει ένα επίπεδο κατά της πλαστογράφησης email.
Αυτός ο οδηγός ευθυγραμμίζεται με τις αρχές του Zero Trust, προωθώντας το deny-by-default access, την ελαχιστοποίηση των επιφανειών επίθεσης και τη συνεχή αξιολόγηση για την προστασία της ακεραιότητας των emails.
Καθώς οι Microsoft Exchange Servers παραμένουν κύριος στόχος, όπως αποδεικνύεται από προηγούμενες εκμεταλλεύσεις, οι οργανισμοί, ειδικά σε κρίσιμους τομείς, καλούνται να υιοθετήσουν αυτές τις καλύτερες πρακτικές για την ενίσχυση της ασφάλειάς τους.
