Vi fortsetter vår tredelte serien på å beskytte din e-postserver med denne oppfølgeren til min artikkel " beskytte messenger, del en "? som ble lansert vår undersøkelse i Exchange 2000 Server sikkerhet. I denne mini-serien, vil vi fokusere på sikkerhet på manager nivå Exchange System. Men det er viktig at du forstår at lagdelt sikkerhets krever at du stadig møte de potensielle trusler mot noen av de sju lagene i Open Systems Interconnect (OSI) modell.

Bli med meg på denne reisen som vi fortsetter å utforske og identifisere sikkerhetsproblemer i nettverket ditt.

Vær forsiktig når du gjør endringer i Exchange siden det kan påvirke hele eller deler av Active Directory-objekter. Ta kontakt med IT-ansvarlig for å definere en effektiv mottaker policy for organisasjonen. Pass på at du følger selskapet protokollen og følger retningslinjer og prosedyrer før du tar initiativ til å ta opp behovet for tilpassede mottaker politikk.

Når var sist gang du sjekket Exchange Mottakers Regler og filter regler? Er du fortsatt bruker Microsofts standardmottaker politikk og filtre på din Exchange server?

Exchange mottaker politikk
Lag en eller flere mottakere politikk og definere filtre for eksisterende og nye brukere i Exchange-organisasjonen. I stedet for å akseptere Microsofts standard praksis, endre eller tilpasse politikken for å gjenspeile det eksisterende miljøet. I Exchange System Manager, gå til mottakere mappe, de-kollaps mappen og klikk på Mottakers Politikk objekt.

Hvis du bruker Microsoft standard praksis, vil du se " Standard Policy " med Prioritet satt til " lav " og i kategorien Generelt et filter regel (mailnickname = *). Høyreklikk på Mottaker Politikk objekt og velg Ny for å opprette en ny politikk. Når du har fullført din politikk, må du huske å høyreklikke på politikken til " Bruk denne politikken nå " og gjøre det aktivt.

Fjern unødvendig e-postadresse typer
hindre administratorer fra utilsiktet generere feil adresser og brukere får tilgang til andre usikrede postsystemer. Fjern unødvendige e-postadresse typene definert i generasjon Regler delen av E-Mail kategorien Adresser.

All globale adresselister sikkerhet
Under ikonet Mottaker Policies, finner du " Alle adresselister " og " alle globale adresselister " på din venstre ruten. Du må høyreklikke hver enkelt, velg Egenskaper, og deretter gå til kategorien Sikkerhet for å vise en liste over grupper og brukere med tillatelser. (Husk å teste endringer i en iscenesettelse nettverk, og ikke i en live-nettverk.) Kontroller at grupper Everyone og Godkjente brukere ikke har Full (eller andre spesielle) tillatelser.

Begrense overføring av arvbare tillatelser
Erstatt gruppen " alle " med " Godkjente brukere " og hvis det er mulig, fjern alle objekt arver eventuelle tillatelser. For å oppnå dette, klikk på Alle objektet og fjerner markeringen " Tillat at arvbare tillatelser fra overordnet overføres til dette objektet ". Du vil bli bedt om å kopiere eller fjerne eller Avbryt. Velg Fjern for å erstatte arvbare tillatelser med eksplisitt angitt tillatelser for Alle-objekt. Du må fjerne dette objektet fra " Alle adresselister " og " Alle globale adresselister ".

Mottaker oppdateringstjeneste
Denne tjenesten er ansvarlig for behandling av oppdateringer til adresselister og vedlikeholder mottaker endringer gjort i din Exchange-miljø. Du vil merke to tjenester: Mottakers Update Service (Enterprise Configuration) og mottaker Update Service (domenenavnet). Sørg for at du tilpasser oppdateringsintervallet til å reflektere organisasjonens oppdatere krav, i stedet for å akseptere " alltid drevet " standardverdi. Hvorfor opprette flere nettverkstrafikk hvis det ikke er nødvendig?

Begrense oppdateringsintervallet
Unngå " alltid kjører " Mottaker Update Service på bekostning av postsikkerhet. Nært administrere oppdateringsintervallet ved å velge når oppdateringer vil skje i organisasjonen. (Du kan også tilpasse når Active Directory-tjenester vil forplante oppdateringer i nettverket ditt.) Du kan finne at å kjøre mottaker /adresseliste oppdateres over natten er ikke nødvendig, og at formeringsmateriale endringer på den tiden kan hjelpe en hacker.

Sette opp en tidsplan for å oppdatere endringer under bedriftens åpningstider (for eksempel mellom 8 am - 18:00) Du bør også lage en tidsplan for den frakoblede adresselisten. Husk at du alltid kan høyreklikke på tjenesten og velg " Oppdater nå " å tvinge en oppdatering i hele domenet. Min preferanse er å tvinge oppdateringer manuelt, men dette kan ikke være praktisk løsning avhengig av organisasjonsstruktur.

Merk: For å gjenoppbygge og " rekalkulere mottakeren policyinnstillinger for alle mottakere i domenet i neste planlagte oppdatering intervall " Adresser medlemskap og;, velg " Gjenoppbygg ".

Beskytte messenger (e-postserver) begynner i brannmuren
Hvordan begynne å beskytte e-postserveren på brannmuren? Ved å identifisere de maksimale samtidige tilkoblinger registrert eller logget til e-postservere (er) og håndheve at i brannmur statisk rute /objekt oppføringer for hver e-postserver. Dette krever en forståelse av den nyeste trafikkvolumet til hver post server? Hvorfor tillater ubegrenset forbindelser i brannmuren til SMTP-server, hvis sysloggserver har aldri logget mer enn 100 samtidige tilkoblinger til e-postserveren?

Hvorfor tillate flere forbindelser i brannmuren til Outlook Web Access (OWA) server enn konfigurert OWA brukere? Dette er bare to servere (av mange) som kan ha nytte av en embryo grense; det vil si maksimalt forbindelse begrensning pålagt i brannmur statiske oppføringer for e-postserveren og OWA server stedene.

Din brannmur politikk bør reflektere minimumstilkoblingsbehov (med litt rom for vekst) av dine servere, hvor verdien av maksimum tilkoblinger ikke er satt til ubegrenset.

Medina 4-R regelen om nettverksadministrasjon
Når du er i tvil om å avgjøre om en nettverksadministrator skal tildeles rettigheter til å administrere deler av eller hele serveren, vurdere å bruke min 4-R Rule of administrasjon som en veiledning. 4-R Rule of administrasjon er:. Fratre eller Forny basert på Role eller Krav

Du vil ikke vil gå glipp av min neste avdrag i vår beskytte messenger (e-postserver) mini -serie. Jeg kan ikke vente med å vise deg sikkerhet tips med hensyn til administrator grupper, Exchange Verktøy, og ESMTP.

Det har vært min erfaring at noen av disse grunnleggende trinnene har ofte blitt oversett av erfarne IT-profesjonelle. Hvis du er seriøs om sikkerhet, må du ta hensyn til sikkerhetsdetaljer og la ikke rom for hackere.

I fravær av nettverkssikkerhet, finnes en mulighet for inntrenging.

Vennligst skriv til meg eller besøke min hjemmeside (http://www.medinasystems.com) og gi meg beskjed hvis denne artikkelen har avdekket eventuelle svake ledd i nettverket ditt.

Luis Medina er forfatter av " The Weakest Link-serien, " som tilbyr nettverk ledere en mulighet til å identifisere pågående nettverk sikkerhetsspørsmål. Luis svarer også sikkerhets
spørsmål i SearchNetworkings Spør eksperten delen. Send inn et sikkerhetsspørsmål til Luis her eller se hans tidligere svarte Spør eksperten spørsmål.