Auf den Security-GAU im Frühjahr, bei dem nahezu alle aus dem Internet erreichbaren Exchange-Server von Angreifern mit Hintertürprogrammen kompromittiert wurden, reagiert nun Microsoft. Der Konzern will zukünftig über sogenannte Emergency Mitigations gezielt Funktionen der Exchange-Server ihrer Kunden stilllegen, die akut angegriffen werden, um so etwas zu verhindern. In den kumulativen September-Updates für Exchange Server 2016/2019 ist der dafür zuständige Dienst Bestandteil und ist standardmäßig aktiv.

Das Immunisieren akut gefährdeter Exchange-Server sollen jetzt die Emergency Mitigations (EM) beschleunigen. Damit kann Microsoft zentral in Redmond einen Schalter aktivieren, um praktisch sofort einzelne, angreifbare Funktionen stillzulegen. Microsoft aktiviert dann beispielsweise eine URL-Rewrite-Regel, die zum Beispiel den Zugriff auf eine bestimmte Komponente des Administrations-Interfaces blockiert, wobei der reguläre Exchange-Betrieb davon nicht gestört werden soll.

Derzeit benennt Microsoft drei verschiedene Typen von Mitigations, die auf diesem Weg aktiviert werden können: "URL-Rewrites" zum Blockieren von (HTTP-)Zugriff auf bestimmte Exchange-Funktionen; "Deaktivieren von Diensten", welches bestimmte Funktionen von Exchange ausschaltet; "App Pools deaktivieren", womit ein ganzer App Pool des Servers abgeschaltet wird.

Mit dem EM-Dienst wird stündlich überprüft, ob Microsoft neue Mitigations bereitgestellt hat. Sollte dies der Fall sein, lädt er diese herunter und führt sie automatisch aus. Im Idealfall ist damit der Server gegen die Angriffe geschützt, bis Microsoft einen richtigen Patch bereitstellt, welcher dann von den Admins eingespielt werden sollte. Zudem erklärt Microsoft, dass auch das Deaktivieren der von Microsoft aktivierten Mitigations der Admin selbst in der Hand hat: "After an SU or a CU has been installed, an admin must manually remove any mitigations that are no longer needed."

Standardmäßig ist der Dienst zum Abruf und Aktivieren der EMs aktiv. Diesen können Administratoren allerdings auch abschalten oder das automatische Anwenden der Mitigations für einzelne Server oder organisationsweit blockieren. In der Dokumentation der Exchange Emergency Mitigation (EM) beschreibt Microsoft die dafür notwendigen Einstellungen.

(ts, hannover)

(siehe auch: Heise-News-Ticker)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE