Der Hafnium-Verstoß - Microsoft Exchange Server-Angriff
Lokale Versionen von Microsoft Exchange Server (einem der beliebtesten E-Mail-Server der Unternehmensklasse auf dem Markt) werden von einer vermutlich staatlich geförderten chinesischen Hackergruppe namens Hafnium angegriffen.
Wer war betroffen?
Laut einem von Bloomberg veröffentlichten Artikel wurden bisher schätzungsweise bis zu 60.000 Organisationen weltweit durch den Zero-Day-Exploit gefährdet. Zu den Betroffenen gehörte auch die Europäische Bankenaufsichtsbehörde. Die EBA gab bekannt, dass möglicherweise auf persönliche Daten zugegriffen wurde, nachdem ihre E-Mail-Server durch die Hafnium-Gruppe kompromittiert wurden, und dass sie während der Schadensbeurteilung ihr gesamtes E-Mail-System offline geschaltet hat.
Was ist passiert?
Laut dem investigativen Cybercrime-Journalisten Brian Kreb wurde Microsoft angeblich Anfang Januar von DEVCORE vor der Sicherheitslücke gewarnt. Die Sicherheitslücke ermöglicht es Angreifern, Skripte mit Systemberechtigungen auf Exchange Server auszuführen - eine Technik, die als Remote Code Execution (RCE) bezeichnet wird.
Wie zu erwarten war, haben viele Microsoft dafür kritisiert, dass es das Ausmaß des Problems unterschätzt und es versäumt hat, rechtzeitig einen Patch bereitzustellen. Es sollte jedoch beachtet werden, dass das Patchen allein das Problem nicht unbedingt lösen wird. Berichten zufolge haben Hacker Hintertüren installiert, die ihnen Zugriff auf die kompromittierten Server ermöglichen, selbst nachdem Patches installiert und alle relevanten Anmeldeinformationen zurückgesetzt wurden. Darüber hinaus wissen wir noch nicht, welche wertvollen Daten bereits gestohlen worden sein könnten. Erschwerend kommt hinzu, dass laut MIT Technology Review offenbar vier neue Hackergruppen aktiv versuchen, die Exchange Server-Schwachstelle auszunutzen.
Als Reaktion auf den Vorfall hat der Nationale Sicherheitsrat des Weißen Hauses eine „Unified Coordination Group“ (UCG) gebildet, die aus dem FBI, der CISA und anderen relevanten Gremien besteht, um das Problem anzugehen. Während einer Pressekonferenz am 5. März erklärte der Pressesprecher des Weißen Hauses den Medien, dass „jeder, der diese Server betreibt - Regierung, Privatsektor, Wissenschaft - jetzt handeln muss, um sie zu patchen“.
So schützen Sie Ihren lokalen Exchange-Server
Im Zusammenhang mit der Behebung von Software-Schwachstellen besteht der naheliegendste Schritt darin, sicherzustellen, dass Patches sofort nach ihrer Veröffentlichung angewendet werden. Der Microsoft Baseline Security Analyzer (MBSA) sucht nach verfügbaren Patches und wendet diese automatisch an.
Sie sollten auch den Sicherheitskonfigurationsassistenten (SCW) verwenden, der Ihnen Empfehlungen zur Verbesserung der Sicherheit Ihres Exchange Servers gibt. Dazu gehören Empfehlungen zur Konfiguration der Firewall Ihres Servers, des LM-Authentifizierungsprotokolls und der SMB-Signierung, die dazu beitragen, sicherzustellen, dass der Netzwerkverkehr zwischen dem SMB-Server und dem Client nicht beeinträchtigt wird.
Der Exchange Best Practices Analyzer (EBPA) prüft Ihre Exchange-Infrastruktur anhand der Microsoft Best Practices. Ein weiteres nützliches Microsoft-Tool ist der Security Compliance Manager (SCM), der Ihren Server auf Schwachstellen in der Sicherheitskonfiguration scannt. Es ist auch eine gute Idee, alle Dienste zu deaktivieren, die Sie nicht benötigen, da dies dazu beiträgt, Ihre Exchange-Implementierung zu stärken.
Wie immer müssen Sie eine Firewall verwenden, um Ihr Netzwerk vom Internet abzuschirmen, und diese muss ordnungsgemäß konfiguriert sein. Während die integrierte Windows-Firewall für die meisten Benutzeranforderungen ausreicht, bietet Forefront Protection for Exchange eine erweiterte Erkennung von Viren, Würmern, Spyware und Spam. Es verfügt außerdem über eine Reverse-Proxy-Funktion, die sich hinter der Firewall befindet und eine zusätzliche Ebene der Kontrolle über den Datenverkehr bietet, der auf Ihre Exchange-Umgebung zugreifen darf.
Der Einsatz von Tools zur automatisierten Patch-Verwaltung, Konfiguration und zur detaillierten Kontrolle des eingehenden Netzwerkverkehrs sind einige der ersten Methoden, die dazu beitragen können, Exchange Server vor Angriffen zu schützen. Sie müssen jedoch weiterhin eine DCAP-Lösung (Data-Centric Audit & Protection) verwenden, um anomale Aktivitäten in Ihrer Exchange-Umgebung zu erkennen und darauf zu reagieren.
Sie müssen beispielsweise wissen, wer auf welche Postfachkonten zugreift, und Echtzeitbenachrichtigungen erhalten, wenn ein Nicht-Eigentümer auf ein Konto zugreift. Ebenso müssen Sie Benachrichtigungen erhalten, wenn sensible Daten über Exchange Server geteilt werden.
Schließlich ist es eine gute Idee, den Zustand Ihres Exchange Servers zu überwachen. Dazu gehört auch die Verfolgung der Ressourcennutzung, des Serverstatus und mehr.
Wenn Sie sehen möchten, wie die Lepide Data Security Platform Ihnen dabei hilft, an Exchange Server vorgenommene Änderungen zu überprüfen und letztendlich Ihre Daten zu schützen, vereinbaren Sie eine Demo mit einem unserer Techniker oder starten Sie noch heute Ihre kostenlose Testversion.