Zerox Обновлено: 12.02.2020 Разное 115 комментариев 77,761 Просмотры
Фильтрация подключений
Наиболее простой, и в тоже время эффективный способ фильтрации нежелательной почты — использование агента фильтра подключений. Агент фильтра подключений — это базовый агент транспорта, обеспечивающий поддержку следующих элементов:
- черный список IP-адресов
- белый список IP-адресов
- поставщики черного списка IP-адресов
- поставщики белого списка IP-адресов
Каждый из этих элементов можно включать и отключать отдельно от других.
Черный список IP-адресов содержит IP-адреса, почта с которых будет автоматически считаться СПАМом. Белый список, наоборот, содержит IP-адреса, письма с которых всегда будут считаться надежными. Эти списки можно заполнять вручную, однако вряд ли из этого получится что-то хорошее. Существуют специальные службы, которые отслеживают сервера в интернете, через которые идет СПАМ, и заносят их в черный список. Такие списки постоянно обновляются. Вот небольшой перечень поставщиков черных списков:
Высокий уровень интеграции с Outlook
Если использовать в качестве почтового клиента Outlook, который по умолчанию входит в Office, то становятся доступны:
Серверная адресная книга
- Актуальный список контактов коллег
- Возможность указания расширенной информации
Помощник по планированию
- В зависимости от настроек приватности сервера, в почтовом клиенте доступна информация о расписаниях коллег и есть функции по автоматическому подбору времени с учётом свободного времени всех участников
- Если в компании используется Skype for Business, то статусы занятости коллег отображаются непосредственно в интерфейсе почты. Например, при написании письма или при просмотре полученного.
Работа с вложенными папками без ошибок
- В зависимости от настроек приватности сервера, в почтовом клиенте доступна информация о расписаниях коллег и есть функции по автоматическому подбору времени с учётом свободного времени всех участников
- Если в компании используется Skype for Business, то статусы занятости коллег отображаются непосредственно в интерфейсе почты. Например, при написании письма или при просмотре полученного.
Работа с вложенными папками без ошибок
- Например, в Яндексе во “входящих” нельзя создать вложенные подпапки, чтобы они корректно синхронизировались в Outlook
Другое: отзыв письма из клиента, работа с почтовыми правилами
Что-то из описанного может работать и в других серверах-клиентах, но конкретная реализация зависит от конкретной связки программ. Связку же Outlook и Exchange можно рассматривать как эталон.
Что произошло?
По сообщениям аналитиков из FireEye, хакеры использовали несколько векторов атаки. Все файлы на серверах Exchange создавались ими от имени системной учетной записи NT AUTHORITY\SYSTEM, имеющей в Windows повышенные привилегии, а веб‑шеллы запускались процессом единой службы обмена сообщениями Microsoft Exchange Родителем обнаруженных исследователями на скомпрометированных серверах вредоносных файлов оказался процесс , отвечающий за веб‑интерфейс Exchange Server. Исследователи из Microsoft пришли к выводу, что за всеми этими инцидентами стоит некая хакерская группа под названием HAFNIUM, которая раньше уже была замечена в атаках на американские оборонные предприятия, юридические фирмы, аналитические центры и лаборатории по исследованию инфекционных заболеваний. Предполагают, что эта группа связана с правительством Китая, но стопроцентных доказательств этому, разумеется, нет.
История началась в январе 2021 года, когда разработанная FireEye служба Mandiant Managed Defense обнаружила на одном из серверов Microsoft Exchange подозрительный веб‑шелл. Скрипт с незатейливым именем пытался отыскать на сервере инструменты обеспечения безопасности FireEye xAgent, CarbonBlack и CrowdStrike Falcon и сохранял в журнал результат своей работы.
Фрагмент скрипта , иллюстрация FireEye
Шелл был запущен процессом , который связан со службой единой системы обмена сообщениями Microsoft Exchange Server. Для этих целей злоумышленники воспользовались уязвимостью CVE-2021-26858, которую в Microsoft отнесли к категории средней степени риска.
Спустя примерно двадцать дней хакеры совершили новое злодеяние, залив на сервер другой веб‑шелл с именем Этот скрипт был обфусцирован и обладал более широким набором функций: он позволял выполнять произвольные команды, а также просматривать содержимое, удалять, загружать на сервер и запускать файлы по желанию атакующих. Добиться желаемого хакерам удалось с использованием уязвимостей Microsoft Exchange Server.
Фрагмент скрипта , иллюстрация FireEye
Вскоре аналитики FireEye обратили внимание еще на один инцидент с запуском на сервере Exchange вредоносного веб‑шелла. На сей раз связанный с веб‑интерфейсом Internet Information Server процесс запустил командную строку (), а с помощью ее злоумышленники, в свою очередь, сохранили на диск некий файл. Этим файлом оказался небезызвестный инструмент China Chopper Web Shell, которым давно и успешно пользуются китайские хакеры. Небольшой файлик весом всего лишь 4 Кбайт открывает взломщикам доступ к файловой системе и базам данных скомпрометированного сервера. По большому счету он представляет собой компактный бэкдор, которым можно удаленно управлять с помощью простой утилиты с интуитивно понятным графическим интерфейсом.
Утилита управления China Chopper имеет удобный графический интерфейс
Кроме того, исследователи установили, что в обоих этих случаях атакующие удаляли пользователя administrator из группы Exchange Organization administrators контроллера домена, к которому принадлежал атакованный сервер. Делалось это при помощи команды net group «Exchange Organization administrators» administrator /del /domain. Если Exchange Server был развернут в одноранговой сети без подключения к AD, команда выполнялась локально.
Выяснилось, что после успешного взлома хакеры использовали следующие виды постэксплуатации:
- кража учетных данных пользователей с помощью дампа памяти процесса LSASS;
- использование оснасток Exchange PowerShell для экспорта пользовательских почтовых ящиков;
- использование инструментов Covenant, Nishang и PowerCat для удаленного доступа к взломанному серверу.
Всю добытую информацию злодеи упаковывали с помощью архиватора 7zip и благополучно скачивали со взломанных узлов. Иными словами, на начальном этапе основной целью атакующих был сбор информации на скомпрометированных серверах и хищение конфиденциальной пользовательской информации.
Бесплатная почта от google, yandex и
Сразу сделаю пару замечаний. Я не уверен, что у гугла сейчас можно зарегистрировать бесплатно корпоративную почту. Все, кто зарегистрировались раньше, пользуются бесплатно, а для новых пользователей теперь доступны только платные подписки. Но это не принципиально и не относится напрямую к теме статьи. Если гугл и стал полностью платным для бизнеса, то просто исключим его из нашего списка. Yandex и пока еще точно бесплатные. Сам я администрировал почтовые домены в google apps и в Яндексе. С не работал, только знаю, что там реализовано что-то похожее. Мне как-то сама компания не нравится еще со старых времен. Хотя сейчас они вроде как повернулись лицом к пользователям, но Амиго до сих пор жив здоров, так что повернулись еще не совсем.
Рассмотрим плюсы данных почтовых сервисов.
- Самое главное преимущество — полноценная почта готова сразу после регистрации. Затрат на покупку железа и настройку нет никаких. Достаточно более ли менее продвинутого пользователя, который по инструкциям на сайте сможет подключить домен и создать почтовые ящики. И почтой уже можно пользоваться.
- Легко администрировать и управлять пользователями, веб сервис предоставляет все необходимые оснастки для этого. Они удобны и интуитивно (хотя и не всегда) понятны.
- Удобный и привычный web интерфейс. Все работает быстро, из любого места, где есть интернет и браузер. Есть хорошее мобильное приложение.
- Широкий функционал, готовый сразу после создания ящика. Различные фильтры, сборщики почты, неплохой антиспам (у гугла) и многое другое.
Вроде все, ничего не пропустил. Казалось бы, плюсы очевидны и существенны. Но прежде чем делать выводы, рассмотрим минусы.
- Вы не управляете этой почтой. Она принадлежит не вам, находится не на ваших серверах. Вы не знаете, что с ней происходит. Если у вас есть очень деликатная и приватная переписка, то возникают подозрения и сомнения насчет использования популярных почтовых служб. Это может показаться паранойей, но этот вопрос реально заботит пользователей и владельцев бизнеса, и его не стоит сбрасывать со счетов.
- Вы не застрахованы от сбоев в системе и никак не можете их предотвратить. А сбои хоть и не часто, но бывают. Так как сервисы бесплатные, никто ничего вам гарантировать не будет. И если случится какой-то форс мажор и данные пропадут, вам просто скажут извините. Если у вас самих не очень надежная ИТ структура, вероятность технических проблем на вашем личном сервере возможно будет выше. Но вы этим можете управлять и теоретически сможете построить систему с удовлетворяющим вас уровнем надежности.
- Неочевидны способы бэкапа и восстановления почтовых ящиков в таких сервисах. Бывают ситуации, когда из почтового ящика удаляют все письма. Допустим, сохранить их можно различными способами, просто скачав, а как потом обратно в ящик вернуть, сохранив все даты оригинальными?
- Нет возможности анализировать непонятные ситуации. Например, вы отправляете письмо, а оно не приходит к адресату. Что делать? В случае с облачной почтой вы ничего не сделаете, так как у вас нет никаких инструментов для разбора ситуации. Попробуете просто отправить письмо из другого ящика. Бывает к вам не приходит письмо, и вы никак не можете понять, почему его нет. А дело может быть банально в неправильно настроенном фильтре. Это обычная ситуация, когда фильтров много, плюс если еще какие-то пересылки настроены. Без доступа к логам сервера бывает трудно разобраться в ситуации. А если есть лог почтового сервера, то сразу становится понятно, почему письмо не отправляется, или что с ним стало после получения. Можно наверняка узнать, получил ли удаленный сервер ваше письмо или нет.
- Нет простых способов ограничить доступ к почтовым ящикам, например, только из локальной сети офиса. Почтовые ящики публичных сервисов доступны всегда через интернет. Есть возможность решить эту проблему в google apps через авторизацию в сторонних сервисах. В яндексе и мейле я не встречал возможности реализовать такой функционал.
- Нужно еще понимать, что бесплатный сыр известно где бывает. До конца не ясно, как почтовые сервисы используют полученную от пользователей информацию. Хорошо, если только для показа им релевантной рекламы. Думаю, что не только для этого.
Когда я только начинал работать примерно 10 лет назад, вопроса какую почту использовать в организации, не стояло. Все ставили свои почтовые серверы и админили их. Бесплатные почтовые сервисы не предоставляли на тот момент для бизнеса никаких инструментов для управления почтой. Когда такие инструменты стали появляться, я думал, что скоро свои почтовые серверы никому не будут нужны, так как в них отпадет смысл. А все мои мучения (не люблю с ними работать) с почтовыми серверами станут бессмысленными.
Мне предоставилась возможность администрировать домены на базе публичных почтовых сервисов. После этого появился написанный выше список минусов. И лично для меня эти минусы перевесили плюсы, и теперь я по-прежнему настраиваю почтовые сервера сам. В конечном итоге это более удобно и надежно, если рассматривать в совокупности плюсы и минусы использования и администрирования.
Самым большим минусом мне видится отсутствие полноценных почтовых логов и хорошей схемы бэкапа. Разбирать проблемы неудобно без логов. Быстро и просто восстановить удаленное письмо в прежнее место не получится, хотя для опенсорсных почтовых серверов это простое дело.