The Greek Exchange Blog : Security

Q&A: Πόσα Forest ή AD Sites μπορεί να υποστηρίξει ένας Edge Transport server;

pamal — Mon, 03 Aug 2009 13:11:00 GMT

Η απάντηση είναι απλή. Ένα :-) Αν κάποιος έχει παραπάνω από ένα forest θα πρέπει να προσθέσει εξτρά Edge Transport servers. Στην περίπτωση των AD site, μπορούμε να έχουμε αρκετούς Edge Transport servers για ένα site αλλά μόνο ένα site ανά server. Όπως...(read more)

Σημαντικό security update για τον Internet Explorer και το Visual Studio

pamal — Wed, 29 Jul 2009 15:08:00 GMT

Η Microsoft ανακοίνωσε τη διάθεση ενός σημαντικό critical security update που σκοπό έχει να προστατέψει τους χρήστες του Internet Explorer από ένα συγκεκριμένο είδος επίθεσης. Το συγκεκριμένο vulnerability μπορεί να επιτρέψει σε ένα κακόβουλο χρήστη να...(read more)

Q & A στο σεμινάριο "Email Lifecycle Management"

pamal — Fri, 05 Dec 2008 11:32:00 GMT

Εχθές, Πέμπτη 4 Δεκεμβρίου πραγματοποιήθηκε στο ξενοδοχείο Hilton το σεμινάριο "Email LifeCycle Management" με τη συμετοχή των εταιριών Microsoft, Symantec και Sun. Στο Q&A panel που ακολούθησε πήρα και εγώ μέρος για να απαντήσω σε ερωτήσεις σχετικά...(read more)

Cisco FixUp and SMTP

pamal — Mon, 23 Jun 2008 22:21:00 GMT

In this article I will describe what the Cisco Fixup filter is and how it affects the SMTP protocol not just for Microsoft Exchange Server but most SMTP implementations.

A CISCO firewall feature that is widely used is fixup[1] (aka MailGuard aka Inspection[2]). Fixup is basically a protocol filter and it was designed to intercept the traffic that was going to DNS or SMTP (or some other protocol) and apply some basic policies. On the newer versions of the PIX OS, on CISCO ASA and also the Cisco IOS Firewall in Cisco IOS, fixup is replaced by inspect.

What it does

When fixup is enabled on the SMTP protocol (using the fixup protocol smtp 25 setting) the policy that is applied basically restricts the range of commands that are accepted and forwarded to the destination server. This basically means that it accepts only the basic commands from the original SMTP RFC (RFC821[3]). An example would be using HELO instead of EHLO (since EHLO is an ESMTP verb). What actually happens is that any command that violates the policy (like EHLO) is forwarded to the destination server but is first replaced with asterisks. That means that it is not actually blocked but rather rendered useless since the destination mail server will response with 500 Command unknown.

Another change is that it changes the SMTP banner so when you try to connect to a fixup’ed mail server, instead of the normal banner you see a one that has no information. Here is an example:

Normal banner

220 mail2.nwtraders.msft Microsoft ESMTP Mail Service

Fixup’ed banner

220 ****2************************************

Specifically, as of version 5.1 and higher, all original characters are replaced with asterists except character 2 and 0 (thus mail2 it replaced with ****2). Earlier versions convert all characters to asterisks. At the time of writing, the latest Cisco PIX Firewall Software version was 8.0[4].

Why is this a problem

There are two primary issues here.

a) Message limits. Most servers have the option to have a configurable maximum size limit for incoming messages. Sending mail servers are made aware of this option by looking at 250-SIZE option which is inside an EHLO response. If the sending mail server wants to send a 12MB email but the size option has a 10MB limit, then the sending mail server will not even bother to send the message but will rather send a NDR back to the sender with an explanation. This means that we just saved our incoming internet connection 12MB. If fixup is enabled, EHLO is disabled thus the sending mail server cannot see if there is a limit. This will result in the entire 12MB email traveling to our mail server just to be later on rejected by the next-hop exchange server.

b) Message Tracking. Another interesting side-effect of the use of fixup is that it causes many problems in the Exchange message tracking logs. If the fixup is between two exchange servers, the fact that the SMTP banner is altered causes some parsing issues on the message tracking center and errors appear. Some customers report the following error:

"The object *************" in the message tracking logs can't be found in the directory. The object may have been deleted. The tracking history may be incorrect."

What can I do

Two options:

a) Disable fixup on the Cisco device

b) Update your CISCO software/hardware to a version that supports the inspect feature. The inspect feature can still filter the connection but keep ESMTP enabled. This is due to the fact that the inspect command supports parameter inspection so what actually happens is that it also checks the result from the EHLO command.

Bibliography

Cisco Systems, Inc. (n.d.). Applying Application Layer Protocol inspection. Retrieved June 20, 2008, from Cisco Security Appliance Command Line Configuration Guide, Version 7.2: http://www.cisco.com/en/US/docs/security/asa/asa72/configuration/guide/inspect.html

Cisco Systems, Inc. (n.d.). ESMTP Support for Cisco IOS Firewall. Retrieved June 2008, 23, from Cisco IOS Software Releases 12.3 T: http://www.cisco.com/en/US/docs/ios/12_3t/12_3t7/feature/guide/gt_esmtp.html

Panagiotis Malakoudis | Microsoft Premier Field Engineer | EMEA/Greece

[1] http://www.cisco.com/en/US/docs/security/pix/pix63/configuration/guide/fixup.html#wp1103488

[2] http://www.cisco.com/en/US/docs/ios/12_3t/12_3t7/feature/guide/gt_esmtp.html

[3] http://www.ietf.org/rfc/rfc821.txt

[4] http://www.cisco.com/en/US/products/sw/secursw/ps2120/prod_release_notes_list.html

Το τέλος του ORDB.ORG

pamal — Thu, 21 Dec 2006 15:13:00 GMT

Στις 18 Δεκεμβρίου 2006, το δημοφιλές Open Relay Database (ORDB) σταμάτησε τη λειτουργία της DNS Realtime Block List (RBL) υπηρεσίας. Ο Exchange server έχει τη δυνατότητα να χρησιμοποιεί τέτοιου είδους Realtime Block Lists για να ελέγχει αν ένα email έρχεται από spammers. Οι διαχειριστές που χρησιμοποιούν το συγκεκριμένο RBL θα πρέπει να το αφαιρέσουν το συντομότερο καθώς μπορεί να δημιουργηθούν προβλήματα στη δρομολόγηση και παραλαβή των email από και προς το Internet.

Πηγή: http://www.ordb.org/news/?id=38

Περισσότερες πληροφορίες για το πως μπορείτε να ενεργοποιήσετε αυτό το feature στον Exchange μπορείτε να βρείτε στο παρακάτω άρθρο:

How to configure connection filtering to use Realtime Block Lists (RBLs) and how to configure recipient filtering in Exchange 2003
http://support.microsoft.com/kb/823866

Παναγιώτης Μαλακούδης
Microsoft Premier Field Engineer - Messaging

Spoofed Internet Header και Outlook 2003

pamal — Tue, 07 Mar 2006 23:33:00 GMT

Αυτό είναι το δεύτερο μέρος του αφιερώματος για το email spoofing. Στο πρώτο μέρος περιγράψαμε τι είναι το spoofing και πως κάποιος κακόβουλος χρήστης χρησιμοποιεί αυτή τη μέθοδο για να μας κοροϊδέψει, έτσι ώστε να του δώσουμε απόρρητες ή εμπιστευτικές πληροφορίες. Σε αυτό το δεύτερο μέρος, θα δούμε πως μπορούμε να χρησιμοποιήσουμε το Microsoft Outlook 2003 SP2, έτσι ώστε να καταλάβουμε εάν ένα μήνυμα είναι spoofed.

Κάθε μήνυμα που φτάνει στο mailbox μας από το internet περιέχει τα λεγόμενα Internet Headers. Αυτά τα headers περιλαμβάνουν πληροφορίες για τη διαδρομή που ακολούθησε το μήνυμα μέχρι να φτάσει στο mailbox μας. Παρακάτω θα δούμε πως μπορούμε να διαβάσουμε τα internet headers ενός μηνύματος για να επιβεβαιώσουμε πως έχει έρθει από εκεί που πραγματικά θα περιμέναμε να έρθει.

Επιλέγουμε ένα μήνυμα που θέλουμε να εξετάσουμε και κάνουμε διπλό κλικ για να το ανοίξουμε. Από το μενού επιλέγουμε View και μετά Options. Στη βάση του παραθύρου Message Options μπορούμε να δούμε τα Internet Headers. Για να μπορούμε να τα διαβάσουμε ευκολότερα θα ήταν καλό να τα κάνουμε Copy/Paste στο Notepad.

Σχετικά με τα Internet Headers

Όταν στέλνετε ένα email από τον υπολογιστή σας, ο mail server με τον οποίο επικοινωνεί το Outlook αναλαμβάνει τη δρομολόγηση του μηνύματος στους σωστούς παραλήπτες. Εάν το mailbox του παραλήπτη δεν είναι στον ίδιο server με αυτό του αποστολέα, ο mail server προωθεί το μήνυμα σε κάποιον άλλο mail server. Το μήνυμα ενδέχεται να περάσει από αρκετούς mail servers μέχρι να φτάσει στο mailbox του παραλήπτη. Κάθε φορά που το μήνυμα περνάει από κάποιον mail server, τεχνικές πληροφορίες προστίθενται στα internet headers του μηνύματος. Πληροφορίες όπως η ημερομηνία και η ώρα που το μήνυμα πέρασε από κάθε σύστημα, η έκδοση του email client που χρησιμοποίησε ο αποστολέας κλπ. Ας δούμε ένα παράδειγμα των Internet Headers ενός μηνύματος που στέλνει η kelly@litware.com στον anton@proseware.com. Στο παρακάτω παράδειγμα έχουμε αριθμήσει όλες τις γραμμές, έτσι ώστε να τις περιγράψουμε μία προς μία. Να σημειώσουμε σε αυτό το σημείο πως στην πραγματικότητα ίσως να δείτε περισσότερες γραμμές, αλλά οι παρακάτω είναι οι ποιο κοινές.

1) Microsoft Mail Internet Headers Version 2.0
2) Received: from mail.litwareinc.com ([10.54.108.101]) by mail.proseware.com with Microsoft SMTPSVC(6.0.3790.0);
Wed, 15 Dec 2004 13:39:22 -0800
3) Received: from mail ([10.54.108.23] RDNS failed) by mail.litware.com with Microsoft SMTPSVC(6.0.3790.0);
Wed, 15 Dec 2004 13:38:49 -0800
4) From: "Kelly Weadock" <kelly@litware.com>
5) To: <anton@proseware.com>
6) Subject: Review of staff assignments
7) Date: Wed, 15 Dec 2004 13:38:31 -0800
8) MIME-Version: 1.0
9) Content-Type: multipart/mixed;
10) X-Mailer: Microsoft Office Outlook, Build 11.0.5510
11) X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1165
12) Thread-Index: AcON3CInEwkfLOQsQGeK8VCv3M+ipA==
13) Return-Path: kelly@litware.com

14) Message-ID: <MAILbbnewS5TqCRL00000013@mail.litware.com>
15) X-OriginalArrivalTime: 15 Dec 2004 21:38:50.0145 (UTC) FILETIME=[2E0D4910:01C38DDC]

Ανάλυση του Internet Header

Microsoft Mail Internet Headers Version 2.0

Αυτός ο header μπαίνει από το Outlook του αποστολέα.

Received: from mail.litwareinc.com ([10.54.108.101]) by mail.proseware.com with Microsoft SMTPSVC(6.0.3790.0);
Wed, 15 Dec 2004 13:39:22 -0800

Αυτός ο header μας ενημερώνει πως κάποιος υπολογιστής με όνομα mail.litwareinc.com πήρε το μήνυμα από τον υπολογιστή με όνομα mail.proseware.com στις 13:39:22 την 15^η Δεκεμβρίου 2004. Λογικά, αυτοί οι δύο υπολογιστές είναι mail servers.

Received: from mail ([10.54.108.23] RDNS failed) by mail.litware.com with Microsoft SMTPSVC(6.0.3790.0);
Wed, 15 Dec 2004 13:38:49 -0800

Αυτός ο header μας ενημερώνει πως με τη σειρά του, ο mail.litware.com πήρε το μήνυμα από κάποιον υπολογιστή με όνομα mail στις 13:38:49 την ίδια ημέρα. Από τη στιγμή που στη συνέχεια δεν έχουμε κάποιο άλλο header που να ξεκινάει με “Received:”, θεωρούμε πως ο υπολογιστής με όνομα mail και διεύθυνση IP 10.54.108.23 είναι ο υπολογιστής από τον οποίο ξεκίνησε το μήνυμα (αν και αυτό δε συμβαίνει πάντα, καθώς υπάρχουν τρόποι να γίνει απόκρυψη του υπολογιστή που αρχικοποιεί το μήνυμα).

From: "Kelly Weadock" kelly@litware.com

Ο συγκεκριμένος header μας ενημερώνει πως το μήνυμα φαίνεται να έχει έρθει από κάποιο χρήστη με διεύθυνση email kelly@litware.com

To: <anton@proseware.com>

Εδώ βλέπουμε το όνομα του παραλήπτη του μηνύματος.

Subject: Review of staff assignments

Αυτός ο header περιέχει το subject του μηνύματος.

Date: Wed, 15 Dec 2004 13:38:31 -0800

Ο συγκεκριμένος header περιέχει την ημερομηνία που ο αποστολέας έστειλε το μήνυμα. Η ημερομηνία αυτή έγινε generate στον υπολογιστή του αποστολέα, έτσι αν ο αποστολέας είχε λανθασμένη ημερομηνία στον υπολογιστή του αυτό θα φανεί στο συγκεκριμένο header.

MIME-Version: 1.0

Αυτός ο header μπαίνει από το Outlook και περιγράφει την έκδοση του πρωτοκόλλου MIME που χρησιμοποίησε ο αποστολέας.

Content-Type: multipart/mixed;

Ο σκοπός του συγκεκριμένου header είναι να δώσει οδηγίες στον email client του παραλήπτη για να μπορέσει να κάνει format το μήνυμα σωστά.

X-Mailer: Microsoft Office Outlook, Build 11.0.5510

Αυτός ο header αναφέρει την ακριβή έκδοση του Outlook που χρησιμοποιήθηκε για να σταλεί αυτό το μήνυμα.

X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1165

Περισσότερες πληροφορίες για τον email client που χρησιμοποίησε ο αποστολέας.

Thread-Index: AcON3CInEwkfLOQsQGeK8VCv3M+ipA==

Αυτός ο header χρησιμοποιείται για να γίνει λογική σύνδεση μηνυμάτων που ανήκουν στο ίδιο thread. Αυτό μπορεί να χρησιμοποιηθεί για παράδειγμα από το Outlook, όταν κάνουμε group τα μηνύματα βάσει conversation (από το κεντρικό μενού του Outlook επιλέγουμε View – Arrange by – Conversation).

Return-Path: kelly@litware.com

Ο συγκεκριμένος header μας ενημερώνει για το πως μπορούμε να επικοινωνήσουμε με τον αποστολέα (πχ όταν επιλέγουμε να του στείλουμε ένα reply).

Message-ID: MAILbbnewS5TqCRL00000013@mail.litware.com

Κάθε μήνυμα παίρνει ένα message-ID από τον server του αποστολέα. Το μήνυμα κρατάει το ίδιο message id καθ’ όλη τη διάρκεια της ζωής του. Επειδή ακριβώς το μήνυμα μπαίνει από τον originating mail server, συνήθως θα παρατηρήσουμε ότι διατηρεί και κάποιο χαρακτηριστικό γνώρισμα (πχ @mail.litware.com).

X-OriginalArrivalTime: 15 Dec 2004 21:38:50.0145 (UTC) FILETIME=[2E0D4910:01C38DDC]

Αυτός είναι ένας header που μπαίνει στο μήνυμα την πρώτη φορά που θα περάσει από έναν Microsoft Exchange Server.

Πως θα ήταν τα Internet Headers ενός spoofed μηνύματος;

Τώρα που περιγράψαμε τα βασικά ενός internet header ας δούμε πως θα φαινόταν ο internet header ενός spoofed μηνύματος. Στο παρακάτω παράδειγμα ένας κακόβουλος χρήστης στέλνει ένα spoofed μήνυμα στον anton@proseware.com ως ceo@proseware.com. Αυτό το οποίο θα πρέπει να ελέγξουμε είναι οι internet headers, προκειμένου να διαπιστώσουμε αν υπάρχουν πληροφορίες που θεωρούμε “ξένες” προς το δικό μας δίκτυο.

1) Microsoft Mail Internet Headers Version 2.0
2) Received: from mail.litwareinc.com ([10.54.108.101]) by mail.spoofers.com with Microsoft SMTPSVC(6.0.3790.0);
Wed, 15 Dec 2004 13:39:22 -0800
3) Received: from spoofer ([10.10.105.123]) by mail.spoofers.com with Microsoft SMTPSVC(6.0.3790.0);
Wed, 15 Dec 2004 13:38:49 -0800
4) From: "Company CEO" <ceo@proseware.com>
5) To: <anton@proseware.com>
6) Subject: Please send me my dialup password at ceo@niamodekaf.com
7) Date: Wed, 15 Dec 2004 13:38:31 -0800
8) MIME-Version: 1.0
9) Content-Type: multipart/mixed;
10) X-Mailer: Microsoft Office Outlook, Build 11.0.5510
11) X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1165
12) Thread-Index: AcON3CInEwkfLOQsQGeK8VCv3M+ipA==
13) Message-ID: <MAILbbnewS5TqCRL00000013@mail.spoofers.com>
14) X-OriginalArrivalTime: 15 Dec 2004 21:38:50.0145 (UTC) FILETIME=[2E0D4910:01C38DDC]

Παρατηρούμε τα εξής:

Α) Οι headers στις γραμμές 2 και 3 αναφέρουν δρομολόγηση από servers που δεν θα έπρεπε να βρίσκονται εκεί. Το μήνυμα θεωρητικά είναι εσωτερικό (από τον ceo@proseware.com προς τον anton@proseware.com), έτσι δεν υπάρχει κανένας λόγος να βλέπουμε άσχετους προς το δίκτυό μας servers

Β) Ο header στη γραμμή 13 (το message id) περιέχει κάποιο χαρακτηριστικό που είναι “ξένο” προς το δίκτυό μας.

Η ίδια λογική μπορεί να εφαρμοστεί ακόμα και σε μηνύματα που δεν είναι εσωτερικά αλλά προέρχονται από το Internet. Εκεί, απλά ψάχνουμε για headers που αναφέρουν επίσης “ξένες” προς το originating δίκτυο, πληροφορίες. Ας δούμε ένα παράδειγμα. Λαμβάνουμε ένα μήνυμα όπου αποστολέας φέρεται να είναι η τεχνική υποστήριξη της Microsoft με διεύθυνση email support@microsoft.com

1) Microsoft Mail Internet Headers Version 2.0
2) Received: from mail.litwareinc.com ([10.54.108.101]) by mail.spoofers.com with Microsoft SMTPSVC(6.0.3790.0);
Wed, 15 Dec 2004 13:39:22 -0800
3) Received: from spoofer ([10.10.105.123]) by mail.spoofers.com with Microsoft SMTPSVC(6.0.3790.0);
Wed, 15 Dec 2004 13:38:49 -0800
4) From: "Microsoft Technical Support" <support@microsoft.com>
5) To: <anton@proseware.com>
6) Subject: Change in security policy requires that you change your Hotmail password to p@ssw0rd
7) Date: Wed, 15 Dec 2004 13:38:31 -0800
8) MIME-Version: 1.0
9) Content-Type: multipart/mixed;
10) X-Mailer: Microsoft Office Outlook, Build 11.0.5510
11) X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1165
12) Thread-Index: AcON3CInEwkfLOQsQGeK8VCv3M+ipA==
13) Message-ID: <MAILbbnewS5TqCRL00000013@mail.spoofers.com>
14) X-OriginalArrivalTime: 15 Dec 2004 21:38:50.0145 (UTC) FILETIME=[2E0D4910:01C38DDC]

Για να διαπιστώσουμε αν αυτό το μήνυμα είναι spoofed ακολουθούμε την ίδια λογική με το προηγούμενο παράδειγμα.

Στο τρίτο μέρος αυτού το αφιερώματος θα δούμε πως ο Microsoft Exchange Server 2003 μπορεί να μας προστατέψει από τέτοιες επιθέσεις.

Παναγιώτης Μαλακούδης
Rapid Response Engineer – Messaging
Microsoft Premier Field Engineering

Περί email-spoofing

pamal — Fri, 10 Feb 2006 10:53:00 GMT

Αυτό είναι το πρώτο μέρος ενός αφιερώματος που μιλάει για τις μεθόδους προστασίας από κακόβουλους χρήστες που θα προσπαθήσουν να μας κοροϊδέψουν μέσω email έτσι ώστε να τους δώσουμε απόρρητες η εμπιστευτικές πληροφορίες. Σε αυτό το πρώτο μέρος θα αναφέρουμε λεπτομέρειες για το τι είναι και πως δημιουργείτε ένα spoofed μήνυμα. Στο δεύτερο μέρος θα δούμε πως σαν χρήστες μπορούμε να καταλάβουμε αν ένα μήνυμα είναι spoofed χρησιμοποιώντας το Outlook 2003 ενώ στο τρίτο μέρος θα δούμε πως ο Microsoft Exchange Server 2003 μπορεί να μας προστατέψει από τέτοιες επιθέσεις....(read more)