保护 Microsoft Exchange 服务器免遭 ProxyLogon 攻击的十个步骤
Microsoft 检测到多个零日漏洞被用来攻击 Microsoft Exchange Server 的本地版本。据报道，利用关键漏洞进行攻击的观察结果正在迅速增加。几天之内，美国各地超过 30,000 个组织（包括小型企业和市政当局）遭到黑客攻击。
此后，微软发布了紧急带外补丁来解决安全漏洞。与此同时，组织采取适当的行动来快速检测并有效响应漏洞利用尝试至关重要。
网络犯罪分子正在积极利用这些漏洞，如果不解决这些漏洞，后果可能会非常严重，包括电子邮件的泄漏/丢失、网络内的横向移动或勒索软件的执行。使用本指南可以更好地了解该漏洞以及为保护网络而应采取的 10 项具体行动。
影响是什么？
成功利用这些漏洞允许未经身份验证的攻击者在易受攻击的 Exchange 服务器上执行任意代码，从而使攻击者能够获得持久的系统访问权限，以及对服务器上的文件和邮箱以及存储在该系统上的凭据的访问权限。成功利用该漏洞还可能使攻击者能够破坏易受攻击的网络中的信任和身份。成功利用攻击活动后，攻击者可以获得电子邮件帐户的访问权限并安装其他恶意软件/扫描工具以在网络上保持持久状态。
注意：这会影响 Microsoft Exchange Server 的本地版本，但不会影响 Exchange Online。
发生了什么？
高级持续性威胁 (APT) 组织 HAFNIUM 利用了一系列四个零日漏洞，统称为 ProxyLogon。此后，至少有 10 个其他 APT 也效仿，瞄准了世界各地的服务器。这些漏洞也称为常见漏洞和暴露 (CVE)，包括：
- CVE-2021-26855 允许未经身份验证的攻击者发送任意 HTTP 请求。
- CVE-2021-26857、CVE-2021-26858 和 CVE-2021-27065 允许远程代码执行
你现在应该做什么？
Netsurion 的安全运营中心 (SOC) 主动监控客户网络的妥协指标 (IOC)，例如 ProxyLogon。如果您没有受到已针对此威胁采取行动的托管安全服务提供商的保护，我们的 SOC 建议立即采取以下行动：
- 首先也是最重要的是，更新会立即影响本地 Exchange 服务器。
- 验证 Exchange Server 上是否存在任何未知任务和服务并禁用未知任务，然后使用更新的签名运行完整的反恶意软件扫描。
- 对所有 Exchange Server 帐户执行密码重置操作。
验证并删除以下路径中的未知 .aspx、.bat 和未知可执行文件，并从未受感染的备份文件中恢复这些文件：
- C:ExchangeFrontEndHttpProxyowaauth
- C:inetpubwwwrootaspnet_client
- C:inetpubwwwrootaspnet_clientsystem_web
- 确保实施强密码策略。
- 确保为 Exchange 帐户登录启用多重身份验证 (MFA)。
- 从服务器中删除不需要的应用程序。
- 将操作系统升级到最新版本。
- 对主机运行漏洞扫描并修补所有关键漏洞。
- 确保面向公众的服务器进行定期备份操作和适当的网络分段。
你应该长期做什么？
您可以从网络安全和基础设施安全局 (CISA) 的警报 AA21-062A 中找到更多详细信息。
最后，我们的建议是与托管安全服务提供商 (MSSP) 一起灌输全面的 24/7 安全监控、威胁检测和响应能力，以填补专业知识和员工资源可用性方面的差距。
Netsurion 客户在此安全公告中随时了解有关我们的托管威胁防护服务和 EventTracker 威胁防护平台中采取的操作的最新信息。