À la suite d'un récent test de pénétration, au cours duquel nous n'avons pas obtenu de bons résultats, il a été porté à mon attention que notre serveur Exchange 2010 SP3, qui fait face à l'Internet et est doté de tous les rôles en un, n'a pas de pare-feu en place et est donc complètement exposé à l'Internet. J'ai vérifié les résultats moi-même, et c'est effectivement assez mauvais. SMB, LDAP, le registre à distance, RDP et tous les autres services par défaut que l'on trouve dans un environnement Windows Active Directory sont exposés à l'internet via notre serveur Exchange.
Naturellement, j'aimerais corriger ce problème, et j'ai l'intention de le faire avec le Pare-feu Windows, mais en cherchant sur Google, tout ce que j'ai pu trouver sur ce point dans les sources officielles sont les suivants les références de port qui semblent s'appliquer au trafic interne d'Exchange et un Publication sur le blog de Technet indiquant qu'il ne faut pas utiliser ces références pour configurer vos pare-feu. parce que la seule configuration prise en charge entre les serveurs Exchange est l'équivalent d'un serveur de type "A". ANY:ANY allow règle. :/
Étant donné que nous utilisons Active Sync, OWA, IMAP, le partage de calendrier/carnet d'adresses, l'autodécouverte et l'accès client Outlook, quelqu'un sait-il quelles règles de pare-feu sont nécessaires pour un serveur Exchange tout-en-un qui fait face à l'Internet ? (Des points bonus sous la forme d'une petite prime à toute personne ayant une source MS officielle, également).
De mémoire, avec un tas d'expérience en tant qu'administrateur Exchange accidentel et en tant que responsable de la sécurité informatique accidentel, j'ai établi la liste ci-dessous (qui semble à la fois trop longue et trop longue) y trop court pour moi), mais avant d'aller casser potentiellement l'email pour un millier d'utilisateurs pleurnichards, j'aimerais vraiment avoir une vérification de ce que je prévois de faire.
TCP:25 for SMTP
TCP:465 for SMTPS
TCP:587 for SMTP
TCP:80 for OWA http to https redirect
TCP:443 for https/OWA/Active Sync/EWS/Autodiscover
TCP:143 for Endpoint Mapper/IMAP4 Client Access
TCP:993 for IMAP4 Client Access (also)
TCP:110 for POP3 (because some technological dinosaur of a VIP probably uses POP3 at his beach house/ski cabin/where ever)
TCP:995 for POP3 (because some technological dinosaur of a VIP probably uses POP3 at his beach house/ski cabin/where ever)
