Exchange Rocks!

[ICIC] - Configurando un Entorno Seguro de Exchange

Ratz Pablo — Tue, 30 Apr 2013 20:52:00 GMT

A todos los asistentes de la charla que entregué hoy sobre seguridad en Exchange, les dejo los links que apuntan a más detalle de cada uno de los temas que vimos. Asi mismo, adjunto los slides que he presentado.

Si tienen dudas o comentarios, pueden dejarlos más abajo.

Gracias y Saludos,

Exchange 2010 Security Guide
http://technet.microsoft.com/en-us/library/bb691338(v=exchg.141).aspx

Microsoft Security Intelligence Report
http://www.microsoft.com/security/sir/default.aspx

Large Message Processing in Exchange, Part 1: Prevention and Planning
http://blogs.technet.com/b/exchange/archive/2009/07/07/3407776.aspx

Understanding Availability
http://technet.microsoft.com/en-us/library/aa997211(v=exchg.65).aspx

Provision Exchange 2010 Server and Delegate Setup
http://technet.microsoft.com/en-us/library/bb201741(v=exchg.141).aspx

Configure Outlook Client Blocking
http://technet.microsoft.com/en-us/library/dd335207(v=exchg.141).aspx

Microsoft Security Response Center
http://www.microsoft.com/security/msrc/whatwedo/securityguide.aspx#

Understanding Anti-Spam Updates
http://technet.microsoft.com/en-us/library/bb124241(v=exchg.141).aspx

Understanding Transport Agents
http://technet.microsoft.com/en-us/library/bb125012(v=exchg.141).aspx

Microsoft Forefront Protection 2010 for Exchange Server
http://technet.microsoft.com/en-us/library/cc482977(TECHNET.10).aspx

File-Level Antivirus Scanning on Exchange 2010
http://technet.microsoft.com/en-us/library/bb332342(v=exchg.141).aspx

Understanding Anti-Spam and Antivirus Functionality
http://technet.microsoft.com/en-us/library/aa997658(v=exchg.141).aspx

Forefront Online Protection for Exchange
http://technet.microsoft.com/en-us/library/ff715002(TECHNET.10).aspx

Understanding Attachment Filtering
http://technet.microsoft.com/en-us/library/bb124399(v=exchg.141).aspx

Protecting Your Microsoft Exchange Organization with Microsoft Forefront Security for Exchange

Server
http://technet.microsoft.com/library/bb795191.aspx

Exchange Network Port Reference
http://technet.microsoft.com/en-us/library/bb331973(v=exchg.141).aspx

Understanding Client Throttling Policies
http://technet.microsoft.com/en-us/library/dd297964(v=exchg.141).aspx

Understanding Role Based Access Control
http://technet.microsoft.com/en-us/library/dd298183(v=exchg.141).aspx

Built-in Management Roles
http://technet.microsoft.com/en-us/library/dd638077(v=exchg.141).aspx

Built-in Role Groups
http://technet.microsoft.com/en-us/library/dd351266(v=exchg.141).aspx

Exchange 2010 Deployment Permissions Reference
http://technet.microsoft.com/en-us/library/ee681663(v=exchg.141).aspx

Description and Update of the Active Directory AdminSDHolder Object
http://support.microsoft.com/?kbid=232199

New-ExchangeCertificate
http://technet.microsoft.com/en-us/library/aa998327(v=exchg.141).aspx

Managing SSL for a Client Access Server
http://technet.microsoft.com/en-us/library/bb310795(v=exchg.141).aspx

Understanding TLS Certificates
http://technet.microsoft.com/en-us/library/aa998840(v=exchg.141).aspx

Understanding Unified Messaging VoIP Security
http://technet.microsoft.com/en-us/library/bb124092(v=exchg.141).aspx

Understanding Federation
http://technet.microsoft.com/en-us/library/dd335047(v=exchg.141).aspx

Configure Sharing Policy Properties
http://technet.microsoft.com/en-us/library/dd297987(v=exchg.141).aspx

Overview of certificates and cryptographic e-mail messaging in Outlook
http://office.microsoft.com/en-us/outlook-help/overview-of-certificates-and-cryptographic-e-mail-

messaging-in-outlook-HP001230534.aspx?pid=CH100622191033

Understanding Information Rights Management
http://technet.microsoft.com/en-us/library/dd638140(v=exchg.141).aspx

Mailbox Server Storage Design
http://technet.microsoft.com/en-us/library/dd346703(v=exchg.141).aspx

Understanding Journaling
http://technet.microsoft.com/en-us/library/aa998649(v=exchg.141).aspx

Configure Storage Quotas for a Mailbox
http://technet.microsoft.com/en-us/library/aa998353(v=exchg.141).aspx

Understanding Litigation Hold
http://technet.microsoft.com/en-us/library/ee861123(v=exchg.141).aspx

Understanding Recoverable Items
http://technet.microsoft.com/en-us/library/ee364755(v=exchg.141).aspx

High Availability and Site Resilience
http://technet.microsoft.com/en-us/library/dd638121(v=exchg.141).aspx

Messaging Policy and Compliance Permissions
http://technet.microsoft.com/en-us/library/dd638205(v=exchg.141).aspx

TLS Functionality and Related Terminology in Exchange 2010
http://technet.microsoft.com/en-us/library/bb430753(v=exchg.141).aspx

Configure Internet Mail Flow Directly Through a Hub Transport Server
http://technet.microsoft.com/en-us/library/bb738138(v=exchg.141).aspx

Understanding Domain Security
http://technet.microsoft.com/en-us/library/bb124392(v=exchg.141).aspx

White Paper: Domain Security in Exchange 2007
http://technet.microsoft.com/en-us/library/bb266978(EXCHG.80).aspx

Understanding Message Size Limits
http://technet.microsoft.com/en-us/library/bb124345(v=exchg.141).aspx

Understanding Message Throttling
http://technet.microsoft.com/en-us/library/bb232205(v=exchg.141).aspx

Nuevo Laboratorio Virtual: Exchange 2010 SP1 Client Access

Ratz Pablo — Thu, 21 Jul 2011 22:38:56 GMT

Hola a todos después de tanto tiempo!

Tan solo quiero compartirles el último laboratorio virtual que se ha lanzado de Exchange. Es una excelente oportunidad para entender la funcionalidad de distintos componentes de Exchange 2010: Mailtips, nuevas funcionalidades de OWA, Archive Mailbox y publicación de calendarios en Internet.

Estos labs son muy útiles por que les dan la posibilidad de tener un entorno virtual con múltiples equipos al mejor estilo workshop sin necesidad de correr ninguna aplicación extra en sus computadoras... simplementen instalan el add-in de Internet Explorer y listo, los utilizan! El nuevo lab está disponible por aquí:

https://cmg.vlabcenter.com/default.aspx?moduleid=585ecf0c-690d-4708-a082-99caac931758

Y si quieren acceder a todos los laboratios virtuales de Exchange pueden pasar por este sitio:

http://technet.microsoft.com/en-us/exchange/bb499043.aspx

Saludos!

Worm:Win32/Visal.B - Un virus que afecta Exchange

Ratz Pablo — Fri, 10 Sep 2010 23:48:00 GMT

Hola a Todos,

El día de ayer se ha detectado un nuevo malware que se encarga de distribuirse automáticamente utilizando los contactos de la GAL. En la mayoría de los casos, los usuarios reciben un email con el asunto "Here you have" con un link a un archivo .pdf o wmv que se encuentra en un sitio externo. Sin embargo este link contiene un .scr con código malicioso que una vez ejecutado comienza a propagarse via mail a los contactos del usuario, incluyendo la Libreta Global de Direcciones.

Visal.B utiliza MAPI para realizar su envío masivo a todos los contactos encontrados en el sistema infectado. En entornos Corporativos esto también puede afectar la libreta global de direcciones (GAL). A medida que más computadoras son infectadas, más correo electrónico es enviado en la red local, lo que puede causar la degradación en la performance de los servidores de correo Exchange. Hemos visto clientes con más de un millon de correos encolados. Si están experimentando este problema, la gente de CSS ha preparado este plan de acción:

Paso 1: Instruir a los usuarios a ignorar/eliminar correos electrónicos similares a:

Subject: hi

Hello:

This is The Free Dowload Sex Movies,you can find it Here.

hxxp://malicious-link-omitted/library/SEX21.025542010.wmv

Enjoy Your Time.

Cheers,

Subject: Just for you

Hello:

This is The Document I told you about,you can find it Here.

hxxp://malicious-link-omitted/library/PDF_Document21.025542010.pdf

Please check it and reply as soon as possible.

Cheers,

Subject: Here you have

Hello:

This is The Document I told you about,you can find it Here.

hxxp://malicious-link-omitted/library/PDF_Document21.025542010.pdf

Please check it and reply as soon as possible.

Cheers,

Paso 2: Actualizar Antivirus en maquinas clientes y servidores y remover el malware

Los updates para Antivirus Microsoft se encuentran ya disponibles en Windows Update. http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Worm:Win32/Visal.B

Symantec: http://www.symantec.com/connect/blogs/new-round-email-worm-here-you-have

McAfee: http://www.avertlabs.com/research/blog/index.php/2010/09/09/widespread-reporting-of-here-you-have-virus

TrendMicro: http://threatinfo.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_MEYLME.B&VSect=P

Otros Antivirus: Por favor consultar con su respectivo proveedor.

Paso 3: A trabajar en Exchange!

En Exchange 2007/2010 deberán configurar una regla de transport para eliminar todo mensaje entrante que contenga el asunto "Here you Have". Pasos a seguir:

Abrir Exchange Management Console

Organization Configuration > Hub Transport > Transport Rules

New Transport Rule

Completar el nombre de la regla y cualquier otro comentario y asegurarse que la regla quede en estado "Enabled"

Conditions: When the Subject field contains specific words "Here You Have"

Actions: silently drop the message

Click New para crear la regla y reiniciar el servicio "Microsoft Exchange Transport"

Más información sobre reglas de transporte por aquí

En Exchange 2003 no es posible crear una regla de transporte, sin embargo pueden utilizar Intelligent Message Filter (IMF) para que haga un trabajo similar:

En Exchange System Manager, dentro de "Global Settings" ir a las propiedades de "Message Delivery"

En el tab de "Intellingent Message Filter", dentro de "Gateway Blocking Configuration", configurar el umbral a 8 o superior.

Aplicar este cambio.

Tomar el archivo XML adjunto al post y ubicarlo en la carpeta C:\Program Files\Exchsrvr\Bin\MSCFV2. Si se han aplicado actualizaciones a IMF, deberían haber carpetas adicionales dentro de MSCFV2. Ubicar el archivo .xml en la carpeta más reciente.

En condiciones normales IMF se aplica únicamente a tráfico no autenticado. Para que se analicen TODOS los mensajes, configurar la siguiente llave de registro:

Hkey_Local_Machine\Software\Microsoft\Exchange

Add a new Key called ContentFilter

Add a DWORD Value to this new Key Called CheckAuthSessions and set it to 1.

En las propiedades del SMTP Virtual Server, hacer click en el botón "Advanced" del tab "General".

Seleccionar la opcón "Apply Intelligent Messaging Filter"

Aplicar los cambios y reiniciar el servicio SMTP.

Importante, esto solamente aplicará a los mails que lleguen via SMTP.

Seguramente si están experimentando este problema se encontrarán que hay muchos mensajes encolados. Los siguientes cmdlet de Exchange 2007/2010 elimina los mensajes con el asunto "Here you have" de los queues:

Get-TransportServer | Get-Queue | get-message -resultsize unlimited| where{$_.Subject -eq "Here you have" -and $_.Queue -notlike “*\Submission*"} | suspend-message

Get-TransportServer | Get-Queue | get-message -resultsize unlimited | where{$_.Subject -eq "Here you have" -and $_.Queue -notlike “*\Submission*"} |remove-message -WithNDR $False

Algunas consideraciones para estos cmdlets:

Si hay otras reglas de transporte, deberán ser deshabilitadas temporalmente.
Si no tienen instalado Service Pack 3 de Exchange 2007, no podrán borrar mensajes del queue "Submission"
La recomendación es pausar el servicio de Transporte (MSExchangeTransport) y luego ejecutar los cmdlets.

En Exchange 2003 los mensajes encolados son archivos .eml guardados en la carpeta Queue del servicio SMTP. Pueden utilizar algún mecanismo de búsqueda en esta carpeta para encontrar aquellos mensajes que cumplan la condición del asunto "Here you have" y proceder a eliminarlos. Va a ser necesario detener el servicio de transporte.

Con respecto a eliminar los correos "peligrosos" de los buzones de los usuarios pueden utilizar ExMerge en Exchange 2003:

Using EXMERGE To Delete Message From Your Exchange Server

En 2007 pueden hacerlo por medio de PowerShell, obviamente teniendo Full Mailbox Access otorgado en la cuenta con la que corran el cmdlet:

Get-Mailbox -Server Server1 | Export-Mailbox -SubjectKeywords "Here you have" –IncludeFolders “/Inbox” –StartDate “09/08/2010” –EndDate “09/09/2010” -DeleteContent -TargetMailbox VirusMailbox -TargetFolder VirusMsgs -Confirm:$false

Otra herramienta que va a ayudar en este caso es ExMON, la cual pueden utilizar para identificar usuarios infectados que esten enviando mensajes de manera masiva impactando la performance del Information Store: Microsoft Exchange User Monitor

Asi mismo si el virus está infectando a la organización y causando un gran impacto en los servicios de mensajería, es recomendable deshabilitar el acceso MAPI sobre los buzones, para luego habilitarlo a medida que los sistemas estén limpios y libres de virus: How to disable MAPI client access to a computer that is running Exchange Server

Encontrarán mayor cantidad de información sobre esta amenaza en los siguientes recursos:

Por favor, revisen y prueben los procedimientos que se presentan en este artículo, ya que podrían eliminar correo electrónico legítimo y no solo del virus.

Espero que sea de utilidad y si tienen alguna duda, pueden comentar.

UPDATE DE ULTIMO MOMENTO: Malware Protection Center ha lanzado un update sobre este virus aquí.

Saludos!

Outlook 2003 usa UDP y Exchange 2010 RTM, no.

Ratz Pablo — Thu, 09 Sep 2010 02:40:00 GMT

Se ha detectado un problema en nuevas instalaciones de Exchange 2010 donde se utiliza Outlook 2003 en modo Online.

Cuando Outlook 2003 establece una conexión inicial a Exchange, intenta registrarse para recibir nuevas notificaciones de mensajes o actualizaciones de carpetas. Una vez registrado para recibir notificaciones UDP (User Datagram Protocol), el servidor de Exchange le enviará este tipo de "aviso" al cliente cada vez que un nuevo mensaje llegue al buzón. Al recibir la notificación, Outlook descarga el mensaje y lo ubica en la carpeta que corresponda. Si las notificaciones UDP no existen, Outlook procede a conectarse con el servidor de Exchange cada 60 segundos por default (polling) para realizar sus operaciones (como recibir mensajes o actualizar carpetas).

Exchange 2010 RTM no utiliza notificaciones UDP, y por esta razón Outlook 2003 actualizará cambios cada 60 segundos.

Cual es el problema de esto?

Los mensajes salientes quedarán en el "Outbox" hasta por un minuto.
Los nuevos mensajes no aparecerán en el "Inbox" hasta por un minuto.
Items eliminados o movidos de una carpeta a otra tardarán hasta un minuto en desaparecer.

Es decir, las actualizaciones a las carpetas no ocurren como normalmente estamos acostumbrados.

Cuales son las posibles soluciones?

1) Instalar Update Rollup 1 para Exchange 2010 RTM o mejor el Service Pack 1 que ya lo incluye.

2) Utilizar modo "Cache" en el perfil de Outlook: Desde ya lo más recomendado!

Más información:

In Outlook 2003, e-mail messages take a long time to send and receive when you use an Exchange 2010 mailbox

http://support.microsoft.com/kb/2009942

Saludos!

Service Pack 1 para Exchange 2010 ya está disponible

Ratz Pablo — Wed, 25 Aug 2010 16:46:00 GMT

Ya está disponible el SP1 de Exchange 2010!

Microsoft Exchange Server 2010 Service Pack 1 (SP1)
http://www.microsoft.com/downloads/details.aspx?FamilyID=50b32685-4356-49cc-8b37-d9c9d4ea3f5b&displaylang=en

Release Notes for Exchange Server 2010 SP1
http://technet.microsoft.com/en-us/library/ff728620(EXCHG.141).aspx

What's New in Exchange 2010 SP1
http://technet.microsoft.com/en-us/library/ff459257(EXCHG.141).aspx

Enjoy!

MOF Reliability Workbook for Exchange 2010

Ratz Pablo — Mon, 23 Aug 2010 22:59:00 GMT

Hola a Todos!

Este es el primer post y para estrenarlo quiero compartirles unas guias de MOF que han salido recientemente para Exchange 2010.

MOF (Microsoft Operations Framework) es una serie de buenas prácticas y procedimientos que se pueden aplicar para la administración de Servicios de IT. Podemos llegar a compararlo con ITIL, que es otro marco de procesos. Lo bueno de MOF es que contiene material aplicado a tecnologías Microsoft por lo cual pueden utilizarlo en los productos que tengan instalados en sus Organizaciones.

Las guias de confiabilidad de Exchange 2010 enseñan como aplicar conceptos de MOF a una Organización de Exchange. Entre otras cosas incluyen las siguientes tareas:

Actividades de Monitoreo
Actividades de Mantenimiento
Riesgos
Cambios Standard

Todas esta lista de tareas pueden ser utiles no solamente para mantener una Organización de Exchange saludable, sino también para poder calcular el "workforce", es decir, la cantidad de horas/administradores que son necesarios para poder mantener un nivel de servicio acordado con respecto a Mensajería.

Son dos versiones (una para CAS y otra para Mailbox) que encontrarán en los downloads de microsoft.com:

· MOF Reliability Workbook for Exchange 2010 Client Access and Transport: http://go.microsoft.com/fwlink/?LinkId=197226

· MOF Reliability Workbook for Exchange 2010 Mailbox Services: http://go.microsoft.com/fwlink/?LinkId=197227

Demás está decir que pueden utilizar esta listas de tareas para otras versiones de Exchange. Cada uno deberá identificar que tareas aplican o no a una versión :)

Y si les interesa encontrar "Reliability Guides" para otros productos, pueden ver el siguiente link:

Download new MOF materials and apply MOF guidance to Microsoft® products and technologies
http://blogs.msdn.com/b/nickmac/archive/2010/08/03/download-new-mof-materials-and-apply-mof-guidance-to-microsoft-174-products-and-technologies.aspx

Espero que sea de utilidad!