Protection de Exchange Server 2003

Protection de Exchange Server 2003 Rick Claus Conseillers professionnels en TI Microsoft Canada

Objectifs de la présentation • Présenter les notions et les mécanismes de protection de Exchange 2003. • Examiner les techniques et les outils utilisés pour aider à retirer les messages indésirables comme le polluriel. • Démontrer les façons d’activer l’accès protégé de clients externes. • Méthodes éprouvées, outils et conseils.

Programme • Survol de la sécurité dans Exchange 2003 • Technologie SmartScreen et de filtrage antipolluriel • Accès protégé de clients externes • Méthodes et outils éprouvés pour protéger Exchange

La sécurité dans Exchange 2003 Fonctions et aspects : • Sécurisé par conception et par défaut • Nombreux clients et méthodes de connexion différents • Scénarios de déploiement • Mises en oeuvre du pare-feu au réseau périphérique • SMTP anti-relais • Filtrage du courriel selon l’expéditeur, le destinataire et filtrage des connexions incluant des services de liste de blocage • Filtrage antipollutiel • Soutien antivirus • Publication OWA (Outlook Web Access)

Scénarios de déploiement de Exchange Server Déploiement frontal/dorsal Déploiement général Serveur Exchange frontal Serveurs Exchange dorsaux Serveur Exchange ISA Server intégré Serveur Exchange ISA Server Internet

Protection de Exchange en périphérie Interaction avec le pare-feu ISA 2004 (SMTP) Exchange Server

SSL SSL or HTTP SSL Internet client Pare-feu traditionnel WebSrv/ OWA ISA Server 2004 Publication OWA avec ISA 2004 ISA Server avec filtrage HTTP ISA Server peut déchiffrer et inspecter le trafic SSL Le serveur Web demande une authentification — tout utilisateur Internet peut avoir accès à ce message-guide ISA Server pré-authentifie les utilisateurs, ce qui élimine de multiples boîtes de dialogue et ne laisse passer que le trafic valide URLScan for ISA Server peut arrêter les attaques à la périphérie du réseau, même s’il s’agit de trafic chiffré SSL …ce qui permet aux virus et aux vers de passer sans être détectés… filtrage HTTP Le trafic SSL traverse les pare-feu traditionnels parce qu’il est chiffré… …et infecte les serveurs internes! Le trafic inspecté peut être envoyé au serveur interne chiffré à nouveau ou en clair.

démonstration • Publication sécurisée de Exchange avec ISA 2004 • Publication SMTP • Filtrage des mots-clés et des pièces jointes SMTP • Publication OWA

Filtrage des messages de Exchange Listes accept./refus Mémoire d’information Listes de blocage Filtre destinataires Filtre expéditeurs Filtre de messages intelligent

Filtre de messages intelligent • Exploite l’apprentissage machine SmartScreen • Appliqué à la passerelle • Attribue au message un niveau de confiance concernant les polluriels (SCL) • Utilisé tout au long du parcours du courriel • Analyse les en-têtes, le corps du message et d’autres attributs

Outils de tiers (Antivirus) SCL 5 SCL 8 SCL 5 Algorithme SmartScreen Dossier de polluriel Boîte de réception Filtrage antipolluriel avec IMFTechnologieSmartScreen Serveur de passerelle Serveur de mémoire de boîte aux lettres

démonstration • Le filtre de messages intelligent • Fonctions de contrôle UCE de Exchange 2003 • Installation de IMF • Configuration de IMF

Défis de l’accès protégé de clients externes à Exchange Server Dispositifs mobiles compatibles avec ActiveSync Outlook Mobile AccessXHTML, cHTML, HTML Serveur Exchange frontal Réseau sans fil Outlook Web Access Outlook avec RPC Outlook avec RPC over HTTP(S) Outlook Express avec IMAP4 ou POP3 ISAServer Serveurs Exchange dorsaux

Configurer l’accès protégé de clients à Outlook RPC / RPC over HTTP(S) ISAServer Client Outlook Serveurs Exchange Utilisez les règles de publication du serveur de courriel pour activer les connexions Outlook RPC

Facteurs de configuration de l’accès client par RPC over HTTP(S) Les connexions RPC over HTTP(S) nécessitent : • Outlook 2003 sous Windows XP • Exchange Server 2003 sous Windows Server 2003 et les serveurs de catalogue global de Windows Server 2003 • Windows Server 2003 exécutant un serveur mandataire RPC • La modification du profil Outlook pour utiliser RPC over HTTP(S) pour la connexion à Exchange server Pour activer les connexions RPC over HTTP(S) avec ISA Server, utilisez l’Assistant Publication de sites Web sécurisés pour publier le répertoire virtuel /rpc/*virtual directory.

démonstration • RPC over HTTPS • Installation de RPC over HTTPS • Configuration de ISA Server

Défis liés au maintien de la sécurité de Exchange Server Défis liés au maintien de la sécurité de Exchange Server : • Blindage des serveurs • Installer systématiquement les mises à jour de sécurité les plus récentes • Appliquer systématiquement les méthodes éprouvées recommandées • Comprendre les répercussions de la configuration des diverses options de Exchange Server • Tenir à jour la documentation sur les paramètres de configuration et de sécurité

Blindage des serveurs Exchange dorsaux Tâches de blindage des serveurs Exchange dorsaux : • Services de blindage (réduire la surface vulnérable) • Blindage des listes de contrôle d’accès aux fichiers (ACL) • Modifier les privilèges • Activer des services additionnels (facultatif) Appliquez le modèle de sécurité de Exchange 2003 Backend.inf à vos serveurs dorsaux

Blindage des serveurs Exchange frontaux Tâches de blindage des serveurs Exchange frontaux : • Services de blindage (réduire la surface vulnérable) • Blindage des listes de contrôle d’accès aux fichiers (ACL) • Activer des services additionnels (facultatif) • Exécuter URLScan (facultatif mais recommandé) • Démonter la mémoire de la boîte aux lettres et supprimer la mémoire du dossier public (facultatif mais recommandé) Appliquer le modèle de sécurité de Exchange 2003 Frontend.infà vos serveurs frontaux

Analyse de Exchange Server 2003 avec MBSA MBSA vérifie les problèmes touchant : ü Les problèmes de sécurité connus liés à Windows et à Internet ü Les mises à jour de sécurité manquantes ü Les mots de passe de compte fragiles ü Les problèmes de sécurité liés à Internet Information Services (IIS) ü Les problèmes de sécurité liés à SQL Server ü Les problèmes de sécurité liés à Exchange Server

Validation des paramètres de configuration de Exchange Server ExBPA peut examiner vos serveurs Exchange pour : Produire une liste de problèmes tels que les erreurs de configuration ou les options non prises en charge ou déconseillées ü ü Évaluer la santé générale du système ü Aider à régler des problèmes précis ü Intégrer l’outil MBSA

Méthodes éprouvées de protection des serveurs Exchange Déterminez la topologie de Exchange Server et blindez les serveurs selon leurs rôles ü ü Limitez la fonctionnalité de Exchange Server aux clients strictement nécessaires ü Installez systématiquement les dernières mises à jour de Exchange Server 2003 et du système d’exploitation ü Utilisez ISA Server 2004 pour régir l’accès du trafic HTTP, RPC over HTTPS, POP3 et IMAP4 Utilisez SSL/TLS et l’authentification fondée sur des formulaires pour Outlook Web Access ü

démonstration • Outils Exchange • Exchange Best Practice Analyzer

Résumé Déployez Exchange Server 2003 et Microsoft Office Outlook 2003 pour profiter des récentes améliorations à la sécurité ü Mettez en oeuvre les modèles de sécurité de base et additionnels de façon à protéger pleinement Exchange Server ü Appliquez systématiquement les méthodes et techniques éprouvées les plus récentes pour protéger Exchange Server 2003 ü Installez des antivirus sensibles à Exchange et assurez la sécurité grâce aux outils MBSA et ExBPA ü Protégez-vous contre les messages indésirables en ayant recours à plusieurs couches de filtrage et en exploitant le filtre de messages intelligent ü

Pour plus d’information… Microsoft TechNet http://www.microsoft.ca/technet Rick Claus http://blogs.msdn.com/rclaus

Votre potentiel. Notre passion.MC

Protection de Exchange Server 2003