Microsoft уведоми, че администраторите трябва да премахнат някои препоръчани по-рано антивирусни изключения за сървърите на Exchange, за да повишат сигурността на сървърите.
Както обяснява компанията, изключенията, насочени към папките Temporary ASP.NET Files и Inetsrv, както и към процесите PowerShell и w3wp, не са необходими, тъй като вече не влияят на стабилността или производителността.
Въпреки това администраторите трябва да се стремят да сканират тези места и процеси, тъй като те често се използват при атаки за внедряване на зловреден софтуер.
„Поддържането на тези изключения може да предотврати откриването на IIS webshells и backdoor модули, които представляват най-често срещаните проблеми със сигурността“, казва екипът на Exchange.
„Потвърдихме, че премахването на тези процеси и папки не влияе на производителността или стабилността при използване на Microsoft Defender на Exchange Server 2019 с най-новите актуализации на Exchange Server.“
Можете също така безопасно да премахнете тези изключвания от сървъри, работещи с Exchange Server 2016 и Exchange Server 2013, но трябва да ги наблюдавате и да сте готови да смекчите всякакви проблеми, които могат да възникнат.
Списъкът с изключвания на папки и процеси, които трябва да бъдат премахнати от антивирусни скенери на ниво файл, включва:
%SystemRoot%Microsoft.NETFramework64v4.0.30319Temporary ASP.NET Files
%SystemRoot%System32Inetsrv
%SystemRoot%System32WindowsPowerShellv1.0PowerShell.exe
%SystemRoot%System32inetsrvw3wp.exe
Това се случва, след като хакерите използват зловредни разширения и модули за уеб сървъри на Internet Information Services (IIS), за да вкарват задната вратичка в непоправени сървъри на Microsoft Exchange по целия свят.
За да се защитите от атаки, използващи подобна тактика, трябва винаги да поддържате Exchange сървърите си актуализирани, да използвате решения за защита от зловреден софтуер и сигурност, да ограничите достъпа до виртуалните директории на IIS, да приоритизирате предупрежденията и редовно да проверявате конфигурационните файлове и папките bin за подозрителни файлове.
От Редмънд също така наскоро призоваха клиентите да поддържат локалните сървъри на Exchange актуални, като прилагат най-новата кумулативна актуализация (CU), за да са готови за внедряване на спешни актуализации на сигурността.
Препоръчва се също така винаги да се изпълнява скриптът Exchange Server Health Checker след внедряване на актуализациите, за да се открият общи проблеми с конфигурацията или други проблеми, които могат да бъдат отстранени с проста промяна в конфигурацията на средата.
Както установиха изследователите по сигурността от Shadowserver Foundation през януари, десетки хиляди сървъри Microsoft Exchange, изложени на интернет (над 60 000 по това време), все още са уязвими към атаки, използващи експлойта ProxyNotShell.
Shodan също така показва много Exchange сървъри, изложени в интернет, като хиляди от тях са беззащитни срещу атаки, насочени към недостатъците ProxyShell и ProxyLogon – две от най-използваните уязвимости през 2021 г.
