1

14º Unidad Didáctica

Microsoft Exchange Server 2003

Eduard Lara

2

CONTENIDOProtección del entorno de correo electrónico• Protección del cliente• administración de revisiones de Exchange 2003• Medidas antivirus• Protección contra el SPAM• Protección contra los ataques de denegación de servicio• Protección contra la falsificación de direcciones

3

Protección del cliente

• Exchange 2003 - aplicación distribuida cliente-servidor tener en cuenta el cliente en un plan de seguridad.

• Limitar la funcionalidad de Exchange a clientes. Para ejecutar clientes de POP3 o IMAP4, debe habilitar primero estos servicios en el entorno de Exchange 2003.

• Utilice versiones actuales y revisadas del software cliente.

• Debe educar a sus usuarios sobre los virus via Email, las bromas con virus, las cadenas de cartas y el spam.

4

Medidas antivirus

• Asegurar tanto Exchange 2003 como el S.O. Si el S.O. es vulnerable, Exchange también lo será.

• Los virus por Email pueden atacar a sistemas individuales o a todo el entorno de correo electrónico.

• Instalación de software antivirus y actualizados. Protegerse contra los virus en:El servidor de seguridadEn el gateway (SMTP)En cada servidor de ExchangeEn cada equipo cliente

5

Medidas antivirus

Los virus pueden venir en un dato adjunto (.exe). o incrustándolos en una macro los usuarios perciben como un documento mucho más benigno (DOC, XLS).

Funciones de bloqueo de datos adjuntos en Outlook

• Outlook 2002 incluyen una función de bloqueo de datos adjuntos bloquea los más obvios .exe, .bat y .vbs.

• En OWA para Exchange 2000 el bloqueo de datos adjuntos estáhabilitado de manera predeterminada bloquea los más obvios .exe, .bat y .vbs

6

Medidas antivirus• En OWA se pueden configurar dos niveles de bloqueo de datos

adjuntos:

1. No permite descargar archivos de Nivel 1 ni tipos MIME en ningún formato

2. Los tipos de archivos de Nivel 2 y de MIME son menos severos; no se pueden abrirl en Internet Explorer, pero se pueden guardar en el disco y abrir

7

Protección contra el SPAM

• SPAM Costoso de distintas formas:Pérdida de tiempo de los usuarios en ordenarlo y eliminarloAncho de banda y el espacio de almacenamiento.

• Combatirlo desde distintos frentes:1. Métodos para educar a sus usuarios sobre el SPAM.2. Funciones de protección contra SPAM en Outlook 2003 y OWA

2003.3. Infraestructura de confianza de correo no deseado (SCL).4. Restringir las listas de distribución de Exchange 2003.5. Distintos tipos de filtrado que puede aplicar en Exchange 2003

8

Protección contra el SPAM

• El primer paso contra el SPAM Educar a sus usuarios probablemente sean la defensa más importante contra esto.

1. El SPAM es el resultado de las tácticas de ingeniería social empleadas contra sus usuarios.

2. Por ejemplo, sus usuarios pueden recibir:<Si desea darse de baja de esta lista de correo, debe responder al

mensaje incluyendo la palabra “Quitar” en la línea de asunto>.

9

Funciones de protección contra el SPAM en Outlook 2003 y OWA 2003

• Listas de bloqueo y listas seguras mantenidas por los usuariosEn Outlook 2003 y OWA 2003 es más difícil que los remitentes de mensajes de SPAM utilicen señalizaciones para obtener direcciones de correo electrónico

• Bloqueo de contenido externoCon Outlook 2003, los usuarios pueden crear reglas que busquen frases en los mensajes y los muevan a una carpeta especificada (a no deseado o Elementos eliminados).

10

Protección contra el SPAM

11

Protección contra el SPAM

12

Infraestructura de confianza de correo no deseado

• Exchange 2003 y Outlook 2003 infraestructura para combatir el SPAM:

Funcionalidad de Exchange 2003 y Outlook 2003 Permite a los Antivirus conectar filtros de detección de SPAM en toda la ruta de los mensajes

Los filtros de SPAM evalúan los mensajes determinan la probabilidad de que un mensaje sea SPAM. Un número entre 0 y 9: Nivel de confianza de SPAM (SCL)

SCL características como el contenido, el encabezado, etc.

Clasificación 0 muy improbable que sea SPAM

Clasificación 9 muy probable que sea SPAM

13

Filtrado de Exchange 2003

• Exchange 2003 serie de funciones que permiten al Admin crear listas de filtrado de remitentes, de destinatarios y de conexiones con el fin de bloquear el SPAM en el perímetro.

• Exchange 2003 admite los filtros siguientes:

1. Filtrado de la conexión Filtra mensajes IN comparando su IP con una lista de bloqueo. Puede introducir su grupo de IPs.

2. Filtrado del remitente Se cortan las conexiones SMTP creadas por remitentes incluidos en esta lista.

3. Filtrado del destinatario estricciones globales en el correo dirigido a determinados destinatarios.

14

Protección contra los ataques de denegación de servicio

• Exchange 2003 incluye opciones que pueden ayudarle a protegerse:

1. Los parámetros de límite de mensajes en el servidor virtual SMTP -un número máximo de destinatarios por mensaje- un tamaño máximo de mensaje

- un número máximo de mensajes por conexión, etc.

Impedir ataques de denegación de servicio.2. Puede establecer límites de almacenamiento en los buzones y en las

carpetas públicas. Exchange 2003 por default no acepta mensajes de más de 10 MB.

15

Protección contra la falsificación de direcciones

• Una técnica común que utilizan los emisores de SPAM la línea “De”de un mensaje se oculte la identidad del remitente.

• SMTP no requiere la comprobación de la identidad de un remitente, Exchange 2003 ofrece las siguientes funciones:

• Configuración de autenticación predeterminada

Exchange recibe un mensaje de cliente autenticado comprueba si el remitente figura en la GAL resuelve el nombre del usuario.

Si el mensaje original se envió sin autenticación Exchange 2003marcará el mensaje como no autenticado. la dirección del remitente no se resuelve de la GAL tomas@contoso.com

16

Protección contra la falsificación de direcciones

• Configuración de acceso anónimo

Debe desactivar el acceso anónimo SMTP en todos los server internos de Exchange. sólo los usuarios autenticados pueden enviar mensajes dentro de la organización.

Además, los clientes como Outlook Express y Outlook con RPC a través de HTTP se autentiquen antes de enviar correo

• Búsquedas inversas del DNS

Configurar el servidor virtual SMTP Realice búsqueda inversa de DNS en los mensajes entrantes. la IP y el FQDN del servidor de correo del remitente = dominio en el mensaje

17

Protección contra la falsificación de direcciones y ataques de denegación de servicio

18

Protección contra la falsificación de direcciones y ataques de denegación de servicio

19

RESUMEN Problemática

• Plataforma Relay de correo:El ataque se produce cuando un usuario malicioso vulnera la seguridad de la plataforma para enviar correo masivo a través de nuestro servidor.

• Receptor de Correo Spam:Se reciben correos que cargan el rendimiento, reducen la productividad de los empleados y generan gastos directos (backup, conexiones GPRS, ancho de banda, soporte...)

20

Soluciones Exchange Server 2003• Opciones de Seguridad para no admitir Relay y, por tanto, no ser

plataforma de correo “Spam”.

• Bloqueo de Relay por defecto para todos los clientes no autenticados.

• Bloqueo por dominios.• Bloqueo por usuarios.• Bloqueo por máquinas.

21

Soluciones Exchange Server 2003• Opciones para detener el correo Spam recibido:

• Filtro de Remitente.• Filtro de Destinatario. Nuevo.• Listas Autenticadas. Nuevo.• Filtro de Conexión en tiempo real. Nuevo. • Filtros de Junk e-mail. Nuevo.• IMF. Nuevo.

22

Filtrado de Contenido - SPAM

1. Evita que cierto tipo de palabras y tópicos sean enviados hacia o desde los usuarios

2. Sin embargo, es ineficiente para controlar el SPAM

- Requiere atención continua del Administrador (horas día)

- Algunos simples trucos lo hacen vulnerable• Ejemplos: $ave, V*i*a*gr*a, vi@gra, V?agra, V;I;A*G-R-A• Existen 105 variantes solo para la letra A!

- Genera muchos falsos positivos• Imposible de utilizar en ciertas industrias

23

RBLs (Real Time Black Holes) -SPAM

• Las RBLs son listas de supuestos spammers y sus dominios - IP

– Ejemplos: SpamCop, MAPS, SPEWS, Dorkslayers

• Generalmente es manejado por voluntarios, por lo cual no existe una auditoría, y a menudo bloquean mas de la cuenta– Algunos ISPs son agregados Cuando envían correos legales– Borrarse de estas listas puede llevar desde días a meses

• Requiere la utilización de muchas listas blancas para no generar falsos positivos

24

Análisis Heurístico - SPAM

• Utiliza una técnica que busca miles de características y/o palabras características del SPAM y asigna una calificación– Actualización nuevas reglas agregadas al filtro

• Es utilizado en muchos productos antispam

• Muy conocido por los spammers

– Sitios Web de spammers permiten verificar el spam contra motores heurísticos

• Aumentar el nivel de detección = Aumentar los falsos +

25

Filtros Bayesianos - SPAM

1. Sistema de aprendizaje basado en análisis estadísticos de vocabulario• Listas de palabras “buenas” y “malas” Frecuencia relativa

2. Necesita intervención del usuario para que sea efectiva

3. Puede ser muy efectiva para usuarios individuales la gracia de un filtro bayesiano es que se adapta a cada situación

4. Produce pocos Falsos +

5. Es atacado deliberadamente por los spammers• Incluyendo palabras “buenas”• Generalmente con palabras escondidas dentro del HTML

26

Fortalecimiento de los servidores de Exchange 2003

• Fortalecimiento de los servidores Back EndReforzar el servidor de buzón de Exchange, incluyendo cómo deshabilitar los servicios no esenciales, restringir el acceso a los directorios locales.

• Fortalecimiento de los servidores de aplicaciones para usuarioReforzar un servidor de aplicaciones para usuario de Exchange.

URLScan: Herramienta en IIS y que permite especificar qué solicitudes HTTP pueden ejecutarse en el equipo.

27

Fortalecimiento de la infraestructura de Windows

Reforzar los serviciosMuchos servicios no se utilizan, pero están habilitados de manera

predeterminada y deben deshabilitarse

Reforzar las listas de control de acceso a archivos(ACL) Hay algunos directorios que se pueden reforzar mejor que la

seguridad que ofrece la instalación predeterminada.

Cambiar derechos de privilegiosPara que los usuarios de OWA puedan iniciar sesión, debe hacer un cambio

en los privilegios de usuario.

Habilitar servicios adicionales (opcional)Habilite servicios adicionales sean necesarios para su organización.

28

Necesario para el mantenimiento de Exchange y para otras tareas

AutomáticoOperador de sistema de Microsoft Exchange

Sólo es necesario por compatibilidad con versiones anteriores, para mover buzones o si hay conectores para X.400 en el equipo

AutomáticoPila MTA de Microsoft Exchange

Necesario para la administración de Microsoft ExchangeAutomáticoInstrumental de administración de Windows

Necesario para que funcione el seguimiento de mensajes y las funciones de Exchange Server Best Practices Analyzer(ExBPA)

AutomáticoAdministración de Microsoft Exchange

Sólo es necesario por compatibilidad con Exchange 5.5DeshabilitadoServicio de replicación de sitios de Microsoft Exchange

Sólo es necesario por compatibilidad con Exchange 5.5DeshabilitadoSucesos de Microsoft Exchange

No necesario para la funcionalidad básicaDeshabilitadoBúsqueda de Microsoft

Servidor no configurado para POP3DeshabilitadoPOP3 de MicrosoftExchange

Necesario para tener acceso a los almacenes de buzón y de carpetas públicas

AutomáticoAlmacén de información de Microsoft Exchange

Servidor no configurado para IMAP4DeshabilitadoIMAP4 de Microsoft Exchange

MotivoModo de inicio

Nombre del servicioBACK END Server

29

Necesario para el programa de instalación de Exchange y la administración remota

AutomáticoRegistro remoto

Sólo es necesario para la instalación y para la funcionalidad de grupos de noticias

DeshabilitadoProtocolo de transferencia de noticias a través de la red (NNTP)

Se inicia automáticamente cuando es necesario para el Servicio de publicación World Wide Web

ManualSSL de HTTP

Necesario para la comunicación con servidores que ejecutan Outlook Web Access y Outlook Mobile Access

AutomáticoServicio de publicación World Wide Web

Necesario para el transporte de ExchangeAutomáticoProtocolo simple de transferencia de correo (SMTP)

Operador de sistema depende de este servicioAutomáticoProveedor de compatibilidad con seguridad LM de Windows NT

Necesario para HTTP, SMTP y el motor de enrutamiento de Exchange

AutomáticoServicio de administración de IIS

Necesario para implementar la directiva IPSec en el servidorAutomáticoAgente de directiva IPSEC

Necesario para coordinar la transferencia de mensajes entre servidores de Exchange

AutomáticoMotor de enrutamiento de Microsoft Exchange

30

IMF

1. Microsoft IMF• Utiliza la tecnología SmartScreen™

• IMF distingue entre los mensajes de correo legítimos y el SPAM u otro tipo de correo electrónico no deseado

• Evalúa el contenido textual de los mensajes y le asigna una clasificación (SCL) basándose en la probabilidad de que dicho mensaje sea SPAM

• Un administrador establece dos umbrales que determinan como IMF trata mensajes con SCL Pasa o no pasa !

• En caso de pasar, en el Buzón se analiza el umbral y filtros bandeja de Entrada o Correo No deseado

31

IMF

32

Tecnología SmartScreen™

• Hace un seguimiento de más de 500.000 características de correo electrónico basadas en datos miles de suscriptores del servicio MSN®Hotmail® que participaron voluntariamente en la clasificación de millones de mensajes de correo electrónico

• Ayuda a filtrar el correo no deseado antes de que llegue a la bandeja de entrada del usuario

33

Tecnología SmartScreen™• Base de datos utilizada para almacenar las características de los

correos catalogados como Spam se actualiza con nueva información de patrones del origen de la muestra, lo que hace que el filtro sea más eficaz y actual

• Permite llevar a cabo una evaluación más precisa de la legitimidad de un mensaje de correo electrónico entrante

34

35

PRACTICA 14. MICROSOFT EXCHANGE

Instalación Microsoft ExchangePaso 1. Arrancar la máquina virtual de Windows 2003 Server y validarse como administrador.Paso 2. Instalar el Service Pack 1, para que se pueda instalar Microsoft Exchange.Paso 3. Instalar el Active Directory en el Wiinsows 2003 Server. El nombre del dominio debe ser identificador’alumno’+.localPaso 4. Hacer que la unidad de CDROM apunte a la iso de Microsoft Exchange. Ejecutar la unidad.Paso 5. Hacer click en Deployment/Exchange Deployment Tools.Paso 6. En la siguiente pantalla, hacer click en Deploy the firstExchange 2003 Server.Paso 7. Hacer click en la opción New Exchange 2003 installation.

36

PRACTICA 14. MICROSOFT EXCHANGE

Paso 8. En la siguiente pantalla seleccionar los prerrequisitos en forma de pasos 1, 2, 3, 4, 5, 6, 7 y 8. Paso 9. Antes de hacer click en “Run Setup Now”. Instalar el servicio IIS Inicio/Administre su servidor. Seleccionar Servidor de aplicaciones (IIS, ASP.NET). Hacer click en Habilitar ASP.NET + InstalarPaso 10. Instalar los protocolos FTP, NNTP y SMTP. Ir a Panel de control/Agregar y quitar programas/Agregar o quitar componentes de Windows. Sobre Servidor de Aplicaciones, hacer click en Detalles y seleccionar Servicios SMTP, FTP y NNTP.Paso 11. Hacer click en el botón continuar. Se nos desplegará el asistente de Instalación de Microsoft Exchange. Hacer la siguiente secuencia: Click en Next y marcar “I agree”Paso 12. En la pantalla de Selección de Componentes, marcar la opción “Typical” ¿Sale algún mensaje de error?

37

PRACTICA 14. MICROSOFT EXCHANGE

Paso 13. Volver al paso 7 y comprobar que podemos continuar con la instalación. Debe salir las siguientes opciones:

Paso 14. En la siguiente pantalla, seleccionar “Create a newExchange Organization”Paso 15. Poner como nombre de la Organización: Red de upcPaso 16. En la pantalla “Acuerdo de Licencia” indicar “I agree that…”Paso 17. Hacer siguiente en la pantalla “Resumen de la Instalación” y se iniciará finalmente el proceso de instalación. Obtener una captura de la barra de progreso. Hacer click en el botón Finalizar.

Microsoft Exchange System Management ToolsInstallMicrosoft Exchange Messaging and CollaborationInstallMicrosoft ExchangeTypical

38

PRACTICA 14. MICROSOFT EXCHANGE

Configuración de Microsoft ExchangePaso 18. Abrir la aplicación de gestión de Microsoft ExchangeInicio/Todos los programas/Microsoft Exchange/Active DirectoryUsers and ComputersPaso 19. Desplegar los objetos del dominio y sobre la carpeta Users, hacer click botón y seleccionar Nuevo/Usuario.Paso 20. Crear un nuevo usuario con las siguientes características:- Nombre: ‘nombre_alumno’- Apellido: ‘tuapellido’- Nombre inicio sesión: ‘nombre_alumno’‘tuapellido’Paso 21. En la siguiente pantalla indicar la contraseña: upc10- Desmarcar “El usuario debe cambiar la contraseña … ”- Marcar “El usuario no puede cambiar la contraseña”

“La contraseña nunca caduca”

39

PRACTICA 14. MICROSOFT EXCHANGE

Paso 22. En la pantalla “Crear un buzón de Exchange” hacer click en el botón Siguiente y después en Finalizar.Paso 23. Hacer click botón derecho sobre el usuario creado y seleccionar Propiedades. Obtener una captura sob re lasx 4 nuevas pestañas que aparecen del usuario:- Características de Exchange- Opciones avanzadas de Exchange- Opciones generales de Exchange- Direcciones de correo electrónico

Instalación de Microsoft Outlook 2003Paso 24. Hacer que la unidad de CDROM apunte a la iso de Microsoft Office 2003. Iniciar la ejecución de la imagen.

40

PRACTICA 14. MICROSOFT EXCHANGE

Paso 25. Indicar Instalación Personalizada. Deshabilitar todos los productos Microsoft (word, excel, powerpoint, etc) menos Outlook 2003. Finalizar la instalaciónPaso 26. Arrancar Microsoft Outlook, pantalla Inicio de Outlook 2003.Paso 27. En la siguiente pantalla indicar Si (para conectarse a un servidor Exchange).Paso 27. En tipo de servidor seleccionar: Servidor de Microsoft Exchange.Paso 28. En configuración de Exchange Server, indicar el nombre del servidor local de Microsoft Exchange Ir a Mi PC/Propiedades y copiar el nombre del equipo. En Nombre de usuario elegir el nombre anteriormente creado. El botón Comprobar Nombre ayuda a resolver ambiguaciones que puede tener el nombre.

41

PRACTICA 14. MICROSOFT EXCHANGE

Paso 29. Abrir un navegador y poner la siguiente URL:http://localhost/exchange/