Présentation du Lab Installation du produit Paramétrage Scénarios et fonctions

1. Technical Security TourHands On Lab : Sécurisation  des serveurs applicatifs (Forefront Server for Exchange & For Sharepoint)

2. « Hands On Labs » : Sécurisation  des serveurs applicatifs (Forefront Server for Exchange & For Sharepoint) • Présentation du Lab • Installation du produit • Paramétrage • Scénarios et fonctions • Gestion de la protection antivirus • Filtrage des pièces jointes • Filtrage de mots dans le corps des messages • Filtrage de contenu • Sécurisation des fichiers sur Sharepoint Forefront Server Security Lab Manual

3. AtelierSécurisation des serveurs de messagerie et de travail collaboratif Script de Démo

4. Script GuidéInstallation de FSE

5. Assurez vous que la machine DC est sur le « SnapShot » Hyper-v nommée « 00 – Base Clean » Sous l’explorateur de fichier, positionnez vous sur C:\ScreenCap\FSE Ouvrez la première image avec l’outils de prévisualisation « Photo Gallery » Aller dans le répertoire C:\Kits\Forefront Lancez l’exécutable FSE-Eval-setup.exe … Suivez les étapes en avançant de capture d’écran en capture d’écrans Installation de FSE

6. Assurez vous que la machine DC est sur le « SnapShot » Hyper-v nommée « 00 – Base Clean » Sous l’explorateur de fichier, positionnez vous sur C:\ScreenCap\FSS Ouvrez la premiere image avec l’outils de prévisualisation « Photo Gallery » Aller dans le répertoire C:\Kits\Forefront Lancez l’exécutable FSS-Eval-setup.exe … Suivez les étapes en avançant de capture d’écran en capture d’écrans Installation de FSS

7. En fin d’installation de FSE ET de FSS … Sélectionnez les « SnapShot » « 01 – Base FSE Installed » et « 01 – Base FSS Installed » pour continuer les exercices de lab qui vont suivre … Fin des LAB d’installation

8. Forefront Security Server for Exchange

9. Transport scanning Stamp Mail in transport - on by default Scan and Stamp on Edge node for Inbound traffic Scan and Stamp on Hub node for Outbound traffic Scan and Stamp on Hub node for Internal traffic A Stamped mail in not rescanned on the next Edge/Hub node For Mailbox Store some exception apply – see next slides Store Scanning Principles

10. Store scanning Proactive scanning - off by default Scan on message submission to the store On-access scanning - on by default Scan when a message is accessed or viewed But do not scan if scanned before (looks at AV-stamp) except if “scan on scan Update” Think: Outbox, Sent-Items, Public Folders Background Scan - off by default Runs once a day Scan only message less than x days old (ignores AV-stamp) Manual Scan - off by default Runs on a set schedule or on demand (ignores AV-stamp) Quick Scan - off by default Easy way to run one-time manual scan (ignores AV-stamp) Store Scanning Principles

11. Script GuidéModule A

12. Depuis Cairo - Envoi d’un mail pour vérifier que la config fonction Aller dans Settings – General Options et modifier « Archive Transport Mail » en « Archive Before and After Scan » Envoi d’un nouveau mail Dans « \Program Files\Microsoft Forefront\Exchange Server\Data\Archive » ouvrir les .EML avec notepad Localiser le header X-MS-Exchange-Organization-AVStamp-Mailbox Non-redondance de scan par ForeFrontEx1 – Step 11-14

13. Dans Settings – Scan Job – Transport Scan Job, modifier « DeletionText … » Ajouter « AV Engine : » Click droit et « PasteKeyWord » puis choisir Virus Engines Dans Settings – AntiVirus – Transport Scan Job, Mettre le « Bias » en « Max Performance »,Action en « Delete » et décocher « Notification » et « quarantine » Envoyer un mail avec virus et commenter le résultat reçu. Regarder dans Report - Notification Moteurs anti-virus multiplesEx1 – Step 3,5-9

14. Même chose que précédemment mais a appliquant « Max Certainty » cette fois. Envoyer un mail avec un virus. Observer le nombre de moteurs du scan Finalement envoi avec un virus en archive Montrer que la modification n’affecte que le fichier infecté de l’archive. Regarder dans Report - Notification Moteurs anti-virus multiplesEx1 – Step 3,5-9 (suite)

15. Vérifier que dans Settings – General Options - DeleteEncryptedCompress Files est décoché Envoyer un mail avec Game2.zip en attachement et vérifier (Mot de passe « cool ») que le virus (coolgame.com) présent dans coolgame.zip est encore présent. Changer le Setting en cochant l’option de suppression des pièces chiffrées Envoyer de nouveau Game2.zip … Cette fois l’attachement à disparu, le virus avec. Gestion des attachements chiffrésEx1 – Step 18-23

16. Dans Scan Job – Manual Scan Job , selectioner « Selected » dans la zone Mailbox, puis choisir la/les boites à lettre concernées. Dans « DeletionText » modifier le texte pour ajouter le %ScanJob%. Dans « Antivirus », Manual Scan Job, sélectionner un maximum d ’AV et l’action « Delete » Dans Operate – Manual Scan Job, cliquer sur « Start » Regarder les actions dans Report - Incidents Lancement d’un Scan ManuelEx1 – Step 24-25

17. Objectif - « Re-scan » des messages avec les dernières signatures. Dans Settings – General Options – Background Scanning. Vérifier que « Scan OnlyUnscanned Message » est désactivé. Définir depuis combien de temps Dans Operate – Schedule Job, programmez un horaire de lancement du Job, puis « Enable » « BackGround Scan »Ex1 – Step 27-28

18. Dans Filtering – File – Transport Scan Job, définir les règles suivantes : Iloveyou.vbs *.exe *.bmp>3MB <in>*.mp3 Tester avec un envoi de Necko.exe Puis une copie de Necko.exe renommé en Necko.jpg – Il passe le filtre Changer le filtre pour utiliser les type Mime (Name = * et type = EXE) et refaire le dernier test. Filtrage de contenuEx2 – All Steps

19. Forefront Security Server for Sharepoint

20. Script GuidéModule B

21. Effectué dans l’interface de configuration de Sharepoint Lancer « Sharepoint 3.0 Central Administration » - Operations – Security Configuration – Antivirus Modifier les paramètres Dans la console Forefront aller dans Scan Job – RealTime Scan Job et faire « Refresh » Les nouveaux paramètres apparaissent. Real Time Job Configuration

22. Dans « Central Administration » a côté de « Antivirus » se trouve « Blocked File Type ». Montrer que le type COM est bloqué Sur le Site http://Sydney, charger Virus-1.com dans la zone « Shared Documents » - Sharepoint bloque. Renommer le fichier Virus-A.com en extension .doc. Cette fois c’est Forefront qui protège la librairie (note la différence du message) Contrôle des « UpLoad »

23. Charger Song1.MP3 dans « Shared Library » - OK Dans « Central Administration » - « Blocked File Type » ajouter mp3 Charger Song2.mp3 maintenant. Une erreur intervient. Renommer Song2.mp3 en Song2.Doc – Upload OK Sur la console Forefront ajouter une règle de filtrage sur les type Mime mp3 (File = *, type = mp3). Le chargement est interdit alors. Utiliser l’interface Explorer pour pousser de nouveau des MP3 caché en .doc Contrôle des « UpLoad» - Suite

24. Pour supprimer les fichiers mp3 qui auraient pu passer avant la mise en place de la règle de filtrage dans Forefront Dans Filtering – File – Manual Scan Job recopier la règle précédemment définie. Modifier l’action en « Remove Content » Dans Operate – Run Job – Manual Scan, lancer une analyse manuel en cliquant sur « Start » Le résultat s’affiche quelque temps après. Manual Scan Job