Nowe funkcje bezpieczeństwa w Exchange 2007

1. Nowe funkcje bezpieczeństwa w Exchange 2007 Konrad Sagała sagus@wss.pl info@sagi-b.pl

2. Agenda • Trochę historii • Topologia Exchange 2007 • Bezpieczeństwo – architektura • Bezpieczeństwo – walka ze spamem

3. Trochę historii 2005 2003 2001 1997 1998 1996 2000 1995 1992 MS Mail 3.0 • Simple MAPI 1.0 Exchange 5.0 • Active Messaging 1.1 (a.k.a CDO 1.1) Mobile Information Server 2001 Exchange 5.5 SP3 • Virus Scanning API 1.0 Mobile Information Server 2002 MS Mail 3.5 • Extended MAPI Exchange 5.5 • Collaborative Data Objects 1.2 • CDO Rendering Library (CDOHTML) • Event Service Agents • Internet Connector Exchange 2000 • The Web Storage System • Exchange Installable File System • Backup and Restore API (ESEdbcli2) • Store Events • WebDAV • Exchange OLEDB provider • WSS Forms + FrontPage Extensions • CDO for Exchange 2000 (CDOEx) • CDO for Workflow • CDO for Exchange Management • Workflow Designer • WMI classes for Exchange Mgnt. Exchange 2003 • Virus Scanning API 2.5 • Server Consolidation • Full Mobility Support NT Option Pack 4.0 • CDO for Windows NT (CDONTS) Exchange 4.0 • Directory API • Electronic Forms Designer • Exchange Developer Kit Gateway API • OLE Messaging 1.0a (a.k.a. CDO 1.0a) • Common Messaging Calls 1.0 Exchange 5.5 SP1 • CDO 1.2.1 • Routing Objects • HTML Forms Converter Exchange 2003 SP1 • IMF 1.0 Exchange 2003 SP2 • MSFP (Direct Push) • IMF 2.0 Windows 2000 • CDO for Windows 2000 (CDOSYS) • SMTP Transport Events • Active Directory as directory service

4. Intelligent Message Filter (IMF) • Lepsze rozpoznawanie spamu • Wsparcie dla SenderID • Rozszerzone funkcje Outlook Mobile z funkcją Direct Push • Wsparcie dla zasad konfiguracji urządzeń • Ochrona urządzeń i wiadomości • Nowy limit 75 GB Standard Edition • Lepsza i szybsza Offline Address Book (OAB) • Rozszerzone zarządzanie Folderami Publicznymi Poprawiona obsługaskrzynek Poprawione funkcje mobilne Poprawiona ochona przed spamem Co mamy teraz (E2003 SP2)?

5. Wymagania klienta Wymagania Bezpiecznika • Bezpieczeństwo najważniejsze • Spam iwirusy • Zgodność z regulacjami Wymagania IT Pro • E-mail jest krytyczny • Exchange jest zbyt skomplikowany • Obsługa nie ma automatów • Łatwość w komunikacji • Urządzenia mobilne • Problemy z Kalendarzem Dostęp do skrzynki Kontrola Aktywna ochrona Wyzwania dla Exchange 2007

6. Exchange 2007 – Topologia Enterprise network PBX or VoIP Edge Transport Hub Transport InneSerwerySMTP Hygiene Routing Policy I Routing N Unified Messaging T Applications: OWA E Voice Messaging Protocols: ActiveSync, POP, IMAP, RPC / HTTP … Mailbox R Fax N Programmability: Web services, Web parts Mailbox E Public Folders Client Access T

7. Rola Edge Transport (ET) • ServerSMTP • Brak podłączenia do AD, tylko port • Funkcje address rewriting, relay control, smarthost, TLS • High Availability, Poison Message detection, backpressure • Główne funkcjeOchrony Brzegowej • Wbudowana technologia antyspamowa oraz danez Hotmail • Jednolita administracja z innymi serwerami Exchange – poprzez Edgesync • Wsparcie dla nowej specyfikacji MLS (Message Layer Security) służącej do szyfrowania połączeń pomiędzy organizacjami Exchange 2007

8. Funkcje serwera ET • Wdrożenie w sieci brzegowej • Opcje wysokiej dostępności • Usługa EdgeSync • Antyspam

9. Wbudowane funkcje serwera brzegowego • Wspiera izolację sieci • Brak konieczności połączenia z Active Directory • Serwer Windows Workgroupylub Domeny • Serwis EdgeSync umożliwia import danych z AD • Przygotowany na ataki internetowe • Exchange Antispam • Connection Limits, Sender Tarpitting, BackPressure • Wsparcie dla właściwościinternetowych MTA • Address Rewrite

10. System pocztowy HA Poison Message detection Odrzucanie przetwarzania wiadomości, które mogą spowodować zablokowanie serwera SMTP Back-Pressure Spowolnienie przetwarzania wiadomości, aby zagwarantować minimalny poziom dostępności usługi Lepsza obsługa kolejek milionwiadomości w kolejce

11. EdgeSync

12. Serwis EdgeSync Funkcjonalność serwera brzegowego zależy od danych w Active Directory Serwer brzegowy MUSI działać w siecibrzegowej EdgeSync Publikuje dane na serwerze brzegowym Subskrybuje serwer brzegowy w lokacji AD Konfiguruje Security i Routing

13. EdgeSync w działaniu

14. Dane publikowane w EdgeSync Adres SMTP odbiorcy Wykorzystywany do odrzucania przesyłek skierowanych do nieistniejących odbiorców Zawiera adresy podstawowe / kontakty / proxy Adresy są hashowane w celu ochrony przez wykradnięciem Outlook Safe Senders Listy bezpiecznych nadawców Przypisane do poszczególnych odbiorców(nie przechodnie na innych odbiorców) Wiadomość od bezpiecznego nadawcy omija mechanizm antyspamowy NIE omija IP blocklists

15. Subscribing Edge Servers “Subskrypcja” tworzona na serwerze brzegowym Subskrypcja jest importowana na serwerkomunikacyjny (Hub Transport) W lokacji z najlepszym połączeniem sieciowym do sieci brzegowej HUB przygotowuje certyfikaty do zabezpieczenia połączenia Skonfigurowany routing W godzinnych odstępach, serwer transportowy publikuje dane odbiorców na serwerze brzegowym Dane są hashowane w celu zabezpieczenia

16. Exchange Anti-Spam

17. Connection filtering Real Time Block Lists Global accept / deny and exception lists SMTP Filtering Layer Sender and Recipient Filtering Sender ID SMTP Command Tar-pitting Content Filtering Outlook Safe List Aggregation Anti-Spam/Anti-Phishing SCL Per-user/OU Spam preferences International Domain Support Computational Puzzle Validation Quarantine and Spam Reporting Incoming Internet E - mail Exchange Anti-Spam Connection Filtering SMTP Filtering Content Filtering Inbox Outlook Mailbox Junk E-mail

18. Porównanie cechbezpieczeństwa w Exchange

19. Connection Filtering • IP allow lists, IP deny lists • Blokuje albo przepuszcza wiadomości bez ich weryfikacji • Wsparcie dla publicznych dostawców list • Nadpisuje inne parametry antyspamowe • Received Chain Analysis – Może działaćza mail relay’em • Potrzebuje akceptacji nagłówka wiadomości • Microsoft IP Reputation Service • Sender Reputation ustalany na podstawie danychz Hotmail • Dystrybuowany poprzez Microsoft Updates Packages

20. Sender Id Identyfikuje podejrzane maile na podstawie Sender Id Określa prawdopodobnego nadawcę na podstawie Purported Responsible Address (PRA) Odpytuje DNS o rekordy SPF Weryfikujeadres IP z listą akceptowalnych Przesyłka z innym IP traktowana jako niepoprawna Admin może skonfigurować Odrzucenie wiadomości Oznaczenie i przepuszczenie - zwiększa Content Filtering Score

21. Protocol Filtering Recipient filtering EdgeSync utrzymuje aktualną listę połączeń na serwerze brzegowym Wdrożenie Multi-forest wymaga synchronizacji tych adresów z lasami, gdzie serwer brzegowy jest zasubskrybowany Analiza protokołów Uczy się na podstawie danych zbieranych na lokalnym serwerze Tworzy lokalną listę reputacji i określa cele ataku spamowego. Bazuje na uśrednionej ocenie spamu, anomaliach protokołu, sprawdzeniu proxy

22. Intelligent Message Filter v3.0 • Serwer się uczy • Wartość Spam Confidence Level (SCL) generowana na podstawie wiadomości • Ustalareputację domen • Dobre i złe domeny • Wychwytuje spamerów używających Sender Id • Sygnatury spamowe • Blokuje konkretne kampanie spamowe. • Efektywny wobec minispamu • Outlook E-mail postmark validation • Aka Presolved Puzzle Validation • Zwiększa „dostarczalność” wiadomości Outlook

23. Intelligent Message Filter v3.0 Anti-phishing Najbardziej krytyczne ataki typu phishing agregowanena podstawie danych z Hotmail oraz innych serwisów reputacji (via MU) Phishing Confidence Level dodawany na serwerze brzegowym, używane poprzez OWA/Outlook 2007 do wzbogacania doświadczeń użytkownika Junk Folder Blokowanie odnośników Spłaszczanie dokumentu Custom weight lists Dobre i „brzydkie” słowa Wpływa na wartość wyliczaną przezfiltr Wykorzystywane rzadko do tuningu

24. ForeFront Protection Services Dostępne jako część Exchange Enterprise CAL Ciągłe uaktualnienia filtra antyspamowego Publikowane poprzez infrastrukturę Microsoft Update Brak potrzeby interwencji admina Wsparcie dla WSUS, jeżeli wdrożony Uaktualnienia zawierają Dzienne uaktualnieniafiltru IMF Wielokrotne uaktualnienialist IP reputation Wielokrotne uaktualnieniasygnatur Spamowych

25. Zarządzanie Antyspamem Konfiguracja Ustawianie akcji dla poziomów SCL Ustawianie listy zdalnych serwerów brzegowych Konfiguracja per user/OU Możliwość definiowania wyjątków/przepuszczanych użytkowników Diagnostyka i monitoring Spam Stamp Instuicyjny UI w konsoli ESM do prostych zadań Eventy, alarmy i raporty w MOM-ie ExBPA pozwala adminom na odpowiednią konfigurację

26. Akcje bazują na poziomie SCLprzypisanym do wiadomości Progi mogą być ustawiane per użytkownik Konfiguracjaprogów SCL

27. Wiadomości na podstawie SCL są dostarczane do Spam Quarantine Store Exchange 12 mailbox Send Again and Search Dostarczane jak NDRy, pozwala na funkcjonalnośćponownego wysłania Quarantine Viewed/Searched with Outlook / OWA Wiadomość jest umieszczana w oryginalnym formacie. Quarantine zarządzana przez admina, a nie użytkownika końcowego Dla użytkownika końcowego OWA/Outlook junk folder Spam Quarantine

28. Monitorowanie ochrony antyspamowej Liczniki wydajnościowe Ilość wiadomości wg poziomu SCL Łączna ilośćwiadomości wysłanych doKwarantanny, Odrzuconych, Skasowanych Zagregowane wMOM MP Exchange 2007 Raporty Hit Rate for Block Lists Top spam sender domain, top spam sending IP Top targeted domain/recipient

29. Przykładowy raport MOM„SenderId Volumes”

30. Przykładowy raport MOM „Sender Id Over time”

31. Aktywna Ochrona • Ochrona antyspamowa • Wielokierunkowe filtrowanie: połączenie, nadawca, odbiorcaoraz treść • Dynamiczna analiza„reputacji nadawcy” • Automatyczne uaktualnianie SmartScreen • Ochrona antywirusowa • Filtrowanie załączników • Nowe VSAPI • Rozszerzenie Exchange 2003 VSAPI

32. Aktywna OchronaOchronawiadomościwruchu tranzytowym • Intra-org mail • Domyślne szyfrowanie • Domyślne uwierzytelnianie – bez wewnętrznego spoofingu • Business to business • Automatyczne szyfrowanie Exchange 2007/Exchange 2007 • Klucze związane z DNS • Bez specjalnych wymogów dla klientów

33. Aktywna OchronaWłączanie zasad zgodności z regulacjami • Transport rules • Zbadaj i podejmij akcję… • Zmiana (disclaimery) • Szyfrowanie • Przesyłanie • Archiwizacja • Storage rules (e-mail retention) • Wyszukiwanie Multi-mailbox

34. Dziękuję za uwagę