Exchange Server: Throttling Parameters and Policies

Exchange Server: Throttling Parameters and Policies

Exchange ortamındaki kaynaklar sistemin performansı üzerinde önemli bir role sahiptir. Bu kaynakların en uygun şekilde kullanılması gerekmektedir. Aksi halde güvenliğin temellerinden olan “Availability” zarar görür. Bu sebeple; HTS, ETS, MBS ve CAS üzerinde kaynak kontrolü için Throttling  İlkeleri adı verilen kurallar uygulanmaktadır. Kısacası, Throttling ilkeleri sunucularda kaynakların yetersiz durumuna gelmesini önlemek için posta ve bağlantılara konulan limittir. Böylece hem DoS gibi saldırılara karşı önlem alınmakta, hem de sistemin işleyişi kontrol altında tutulmaktadır.
Microsoft Exchange Throttling servisi, MBS üzerinde çalışması gereken kritik bir servistir.

HTS & ETS için kurallar
Bu sunucular taşıdıkları postalar için maliyet bilgisini tutarlar. Taşınan postanın maliyeti yüksek ise öncelik maliyeti daha düşük olan postaya verilir. Bu önceliklendirmenin yanında bir takım kısıtlar uygulanır. Bu kısıtlar, HTS ve ETS rollerine sahip sunucularda bulunan Send ve Receive Konektörleri üzerinde uygulanmaktadır. Uygulanabilecek bazı kısıtlamalar şu şekildedir:

• HTS’nin, MBS’a posta göndermek için veya MBS’dan mail alabilmek için açabileceği en fazla iş parçacığı(threads) sayısı kısıtlanmalıdır.
• ETS’a veya HTS’a  bir dakikada açılabilecek en fazla bağlantı sayısı kısıtlanabilir. Bu kısıtlama gelen postalar için Receive Konektör’de, giden postalar için Send Konektörde ayarlama yapılmalıdır. Ayrıca kısıtlama belli bir kaynak veya hedef ile olan iletişim için de belirlenebilir. Limit belirtilmezse, saldırı sırasında bağlantı sayısı çok artış gösterir ve posta ile iletişim gerçekleştirilemez. Ayrıca belli bir domaine giden posta sayısının kısıtlanması da sağlanmalıdır.
• Açık bir SMTP bağlantısının posta alımı veya gönderimi yapılmadan geçen süre için zaman aşımı uzunluğu kısıtlanmalıdır.
• Posta alınmasının devam etse bile, Receive Konektörü’nün bir bağlantıyı sürdürmesi için gerekli zaman aşımı süresi kısıtlanmalıdır.
• Bir SMTP bağlantısı boyunca, Send Konektör’ünden gönderilebilecek en fazla posta sayısı kısıtlanmalıdır.
• Tarpitting aralığı makul bir süre olarak belirlenmelidir.

CAS & MBS için kurallar
Bir kullanıcının yapacağı işlem tüm sistem üzerine çok büyük bir yük getirebilir. Örneğin bir arama işlemi bile sistemi çok fazla yorabilir. MBS, RPC yoğunluğunun arttığını tespit ettiğinde kaynak kısıtlamasına giderek interaktif kullanıcılara öncelik verir. Bu önceliklendirmenin yanında bir takım kısıtlar uygulanır. Uygulanabilecek bazı kısıtlamalar şu şekildedir:

• POP3 komut büyüklüğü kısıtlanmalıdır.
• Sunucunun kabul edeceği gelebilecek POP3 ve IMAP4 bağlantı sayısı kısıtlanmalıdır. Bu kısıtlama IP bazında, kullanıcı bazında veya toplam bağlantı sayısı bazında gerçekleştirilmelidir.
• CAS bağlantısı öncesi, kimlik doğrulama süresi kısıtlanmalıdır.
• CAS bağlantısı olan kullanıcının oturumu, bir süre işlem yapılmazsa zaman aşımına uğramalıdır.
• Bir istemcinin CAS üzerinde gerçekleştireceği işlemlerin süresi kısıtlanmalıdır. Bu süre; AD ile olan kimlik doğrulama için gerekli LDAP sorgu süresi, MBS ile olan RPC talebi süresi ve CAS üzerinde gerçekleştirilen işlemler için geçen sürenin toplamıdır. Bu süreler için kısıtlama ayrı ayrı olarak da gerçekleştirilmelidir.
• Bir kullanıcının postayı en fazla iletebileceği ve gönderebileceği alıcı sayısı kısıtlanabilir. Bunun yanında bir kullanıcının gönderebileceği en fazla posta sayısı için de kısıt uygulanabilir.
• ActiveSync  ile kurulabileceği ve silebileceği ortaklık sayısı kısıtlanabilir.
• Exchange Web Services, OWA, POP, RCA (RPC Client Access) veya ActiveSync kullanıcısının aynı anda yapabileceği bağlantı sayısı kısıtlanabilir.
• Bir posta içeriğinin veya ekinin büyüklüğü kısıtlanmalıdır. Böylece hem MBS üzerinde kaplanılan alan, hem de kullanılan bant genişliği kontrol altına alınır.

Parametreler ayarlanırken hiçbir parametre değerinin $null olarak ayarlanmaması tavsiye edilmektedir.

Exchange Server: Information Rights Management (IRM)

Exchange Server: Information Rights Management (IRM)

Mesajlaşma güvenliği için kullanılan tekniklerin bir takım eksiklikleri bulunmaktadır. Örneğin, TLS ile, iki SMTP makinesi arasındaki SMTP trafiği korunabilmektedir. Posta seviyesinde bir koruma gerçekleştirilememektedir. Posta, istemci tarafına ulaştıktan sonra herhangi bir koruma sağlamamaktadır. S/MIME ile PKI kurulmasında ise özel anahtarların saklanması, yapılan işlemlerin maliyeti problem olmaktadır. Bunun yanında posta deşifre edildikten sonra herhangi bir kontrol mekanizması da sunulmamaktadır. Posta şifresiz olarak kopyalanabilir, çıktı olarak alınabilir veya bir başka kullanıcıya iletilebilir. Kısacası, TLS ve S/MIME gibi güvenlik metotlarının belirtilen sınırları için yeni bir teknik uygulanmaya başlanmıştır: Information Rights Management (IRM)
IRM ile veri kaçağına, imaj kaybına, finansal kayba karşı önlem alınır.

IRM ile posta gönderildikten sonra, alıcı tarafında posta içeriği ve ekleri üzerinde ne gibi işlemlerin gerçekleştirilebileceği belirlenebilir. IRM kısıtları şu şekildedir (Bunlar AD RMS için geçerli):

• Full Control: Her işlem gerçekleştirilebilir.
• View: İçerik açılabilir.
• Edit: İçerik değiştirilebilir.
• Save: Kaydedilebilir.
• Copy: İçerik kopyalanabilir.
• Save: Kaydedilebilir.
• Print: İçerik çıktısı alınabilir.
• Access the message programmatically: Makro gibi programlar çalıştırılabilir.
• Forward: Posta iletilebilir.
• Reply: Gönderene cevap verilebilir.
• Reply All: Gönderene alıcı listesindekilerle beraber cevap gönderilebilir.

IRM ajanları HTS üzerinde çalışır. Bunun yanında, Active Directory Rights Management Services (AD RMS) ile de kullanılabilir. IRM koruması, AD RMS ilkelerinde belirlenerek gerçekleştirilir. IRM koruması Exchange Server 2010 ortamında şu yollarla gerçekleştirilebilir:

• Outlook kullanıcıları manuel olarak IRM korumalı posta oluşturabilirler.
• OWA kullanıcıları manuel olarak IRM korumalı posta oluşturabilirler.
• ActiveSync aygıtları ve Windows Mobile kullanıcıları manuel olarak IRM korumalı posta oluşturabilirler. Windows mobile desteği olmayan cihazlarla da bu mesajlar alınabilir ve görüntülenebilir. Bunun için posta indirilmeden önce CAS’a SSL ile bağlanılmalıdır. Posta şifresi bağlantı kurulduktan sonra  çözülmektedir.
• Outlook 2010 kullanıcıları kural oluşturarak otomatik olarak IRM korumalı posta oluşturabilirler.
• Exchange Server 2010 HTS rolüne sahip sunucuda iletim kuralları ile otomatik olarak IRM korumalı posta oluşturulabilinir. 

IRM korumalı posta iletişimi organizasyon dahilindeki etki alanında, farklı forest’ları arasında, bulut tabanlı Exchange ortamları arasında gerçekleşebilir. Farklı bir federasyonda veya güven ilişkisinin olmadığı sistemlerle olan iletişimde kullanılamaz. Kullanılması için Windows Live ID hesabı ile AD RMS arasında bir güven kurulabilir.
IRM ile posta içeriğinin organizasyon tarafınca okunabileceği de unutulmamalıdır. Bu sebeple, S/MIME koruması aksine, IRM korumalı içerik deşifre edilerek taranabilir, politikalara göre filtreleme gerçekleştirilebilir. Ayrıca yasal denetimler için de kullanılabilir.

IRM’in eksiklikleri şunlardır:

• Postanın Windows Snipping Tool harici 3. taraf bir ekran kopyalama aracı ile ekran görüntüsü alınabilir.
• Kamera veya fotoğraf makinesi ile posta görüntülenebilir.
• El ile yazılarak veya ezberlenerek veri kaçağı gerçekleşebilir.
• Bir zararlı tarafından posta içeriği silinebilir, çalınabilir, bozulabilir.

Exchange Server: Forefront Protection 2010 for Exchange Server (FPE)

Exchange Server: Forefront Protection 2010 for Exchange Server (FPE)

Microsoft Forefront Security, Exchange ortamında zararlılara karşı koruma için kullanılabilen merkezi bir çözümdür. FPE, Exchange Server 2007 SP1 ve sonraki sürümleri desteklemektedir.

FPE ile şu kazanımlar sağlanabilmektedir:

• Anti-spam ve AV için katmanlı bir yapı sağlanır.
• Süreklilik sağlanır. Tarama motorlarından bir tanesi devre dışı kalması durumunda bile koruma işlemi diğer motorlar tarafından devam ettirilir ve aynı zamanda e-posta iletişimi yavaşlamadan sürdürülür.
• Anti-Spam ajanlarının otomatik olarak konfigürasyonu sağlanmaktadır.
• Anti-spam içerik filtrelemede başarı oranını neredeyse %100’e çıkarmaktadır. 
• Birbirinden farklı motorlar ile zararlılara karşı koruma sağlanmaktadır. Bu motorların yönetimini ve takibini etkili şekilde gerçekleştirmektedir.
• Performansı düşürmeden maksimum algılama sağlar. Önceden belirlenmiş ayarlar sayesinde, her taramada en güncel ve etkili olan tarama motorunu otomatik olarak seçer ve performans-güvenlik dengesini kurar.
• Farkı iç ve dış kaynaklardan Sender Reputation bilgisini elde edebilmektedir.
• Bulut tabanlı içerik filtreleme ajanlarını barındırmaktadır.
• İçerik filtreleme güncellemesini otomatik olarak gerçekleştirebilmektedir.
• Çok sayıda sağlayıcıyla oluşturulan Forefront DNS blocklistle DNS kontrolü en doğru şekilde gerçekleştirilmektedir. Bunun yanında SCL seviyesini belirlemede daha doğru sonuçlar ortaya çıkmaktadır. Böylece false-pozitif sonuçlarının sayısı azaltılmaktadır.
• Bloklama ve izin verme işlemlerinin tek bir merkezden yapılmasını sağlayan ana çatıyı sunar.
• NDR (Non delivery report) sağlar.
• Aynı postanın defalarca taramadan geçirilmesinin önüne geçilerek tarama işleminin sistematiğe bağlanması sağlanır.
• Hassas bilgi içeren e-postaların yayılmasını engellemek için anahtar kelime filtreleri kullanarak organizasyonun yükümlülüklerini azaltılır.

FPE; ETS ve HTS üzerinde kurulması önerilmektedir. Daha etkin bir koruma için MBS üzerinde de kullanılması tavsiye edilir. CAS rolüne kurulmasına gerek yoktur.
FPE, bir sunucuya erişen postayı varsayılan olarak bir kere tarar. Tarama işlemi sırasında en az 3 tane motorun çalışıyor olması ve bu motorların dinamik olarak belirleniyor olması tavsiye edilmektedir. Böylece performans sorunu yaşanmasının önüne geçilmektedir. İlgili sunucuda gerçekleştirilen tarama işlemi sonucunda tarama bilgisini postaya ekler. Daha önceden bir sunucuda tarama gerçekleştirilmiş olsa bile, MBS üzerinde FPE tarafından yeni bir taramanın daha yapılması tavsiye edilmektedir. Daha performanslı bir yapı için ise, sadece eki olan ve daha önce taramadan geçirilmiş olan postaların taranması tavsiye edilmektedir. Ayrıca belli aralıklarla MBS üzerinde tüm veritabanlarının taranması da önerilmektedir.

Bunun yanında ForeFront Online Protection for Exchange (FOPE) adı verilen ve bulutta çalışan bir sistem daha vardır. FOPE lokalde kurulmaz, bulut hizmeti olarak kullanılmaktadır. Böylece mail trafiğinin buradan geçmesi sağlanarak güvenlik sağlanmış olur.

Kaynak site:
http://technet.microsoft.com/en-us/library/bb795191.aspx

Exchange Server: Anti-Spam Koruması (3)

Exchange Server: Anti-Spam Koruması (3)

Anti-virüs Koruması
Spam yanında Exchange ortam virüslere ve diğer zararlı yazılımlara karşı da korunmalıdır. Bu amaçla Exchange ortamı için özelleşmiş olan anti-virüsler tarafından korumaya alınmalıdır. Exchange Server 2010 üzerinde bir takım AV özellikleri barındırmasına rağmen farklı üreticilere ait çözümler de tercih edilmelidir.
Exchange Server 2010 ortamında anti-virüs koruması aşağıdaki yollarla gerçekleştirilebilir:

• Exchange Server 2003 sürümünden beri deskteklenen VSAPI  (Virus Scanning application programming interface) ile virüslere karşı koruma sağlanır. Bu arayüz Mailbox sunucuda sağlanmaktadır. VSAPI postaları tarayarak virüs temizlemez, sadece AV ürünlerine bir arayüz sağlayarak tarama ve virüs temizleme için destek verir. VSAPI; CDO (Collaboration Data Objects), WebDAV ve Exchange Web Services (EWS) veritabanlarının tarayan tek çözümdür. Ayrıca mail veritabanındaki bir saldırıya ilk karşılık verecek olan da VSAPI’dir.
• Transport ajanları ile virüs ve diğer zararlılara karşı koruma sağlanır.
• Tarama damgaları kullanılarak bir postanın hangi AV tarafından analiz edildiği, analiz sonucu gibi bilgiler edinilebilir. 
• İstemci bilgisayarlarda AV çözümleri kullanılabilir.
• Exchange sunucuda dosya sistemi AV çözümleri kullanılabilir. Mailbox ve Ortak Klasörler gibi bazı veritabanları taramadan hariç tutulması tavsiye edilmektedir. Dosya sistemi AV çözümleri sadece dosya koruması sağlar. Posta koruması için Exchange için özelleşmiş AV çözümleri veya MS Forefront gibi ürünlerle birlikte çalışabilen mesajlaşma güvenliğini sağlayan çözümler tercih edilmelidir.
• Spam ve virüs filtreleme bir servis olarak da kullanılabilmektedir. Exchange, Hosted Services olarak adlandırılan 4 farklı servis sağlanmaktadır. Bu servislerle zararlılara karşı filtreleme koruması sağlanmakta, denetim uyumluluğunun sağlanmasına yardımcı olunmakta, veri şifrelemesi gerçekleştirilmekte, postalara erişim sürekliliği arttırılmaktadır.

Exchange Server sisteminde, AV, SMTP Gateway üzerinde kullanılabilir. Bunun yanında koruması gereken en önemli nokta olan Edge Transport sunucusunda da AV korumasının bulunması tavsiye edilmektedir. Ayrıca daha etkin bir koruma için transport tabanlı AV yazılımları Hub Transport sunucuları üzerinde de kurulmalıdır. Çünkü her durumda postaların geçiş noktası Hub Transport sunucular olacaktır.
Anti-Spam korumasında bahsedilen güncelleme, planlama, izleme gibi konular AV koruması için de geçerlidir.

Outlook Junk E-mail Filtering
Bu adımların hepsinden geçen postalar sahibine başarı ile ulaşır. Ulaşan posta, mesajın gelme zamanına, yapısına, damgalarına, içeriğine, metadata bilgisi ve daha bir çok bilgisine bakarak mesajı Gereksiz Posta Kutusu’na veya Gelen Kutusu’na taşınır.
Eğer bir posta, birden fazla kişiye gönderilmiş ve bazı kişiler engelli ise sadece engelli kişilere bu posta ulaşmaz.

Son Sözler
Raporlama
Exchange Server 2010, anti-spam aktivitelerinin izlemek amacıyla bir takım özel betiklerle gelmektedir. Bu betikler ile en çok engellenen gönderici SMTP domainleri, IP adresleri, en çok kullanılan RBL (Gerçek Zamanlı Engelleme Listesi) sağlayıcıları, en çok engellenen alıcılar raporlanabilir. Bu betikler “<Exchange_Install_Path>\Scripts” klasörü içerisinde bulunur.

Güncelleme
Microsoft Exchange Server 2010 Anti Spam korunmasını güçlendirmek ve sürekliliğini sağlamak için haftada veya iki haftada bir güncelleme işlemi gerçekleştirilmelidir. Güncelleme işlemi ile Content Filter (SCL oranlarının güncelliği sağlanır), Spam imzaları, IP Reputation kayıtları (spam posta gönderen IP adres listesinin güncelliği sağlanır) güncellenir. Güncelleme işlemleri için Anti-Spam özelliği etkin olan sunucunun proxy veya direk olarak internete erişmesi veya WSUS ile bağlantılı olması gerekmektedir.

Planlama
Bunun yanında daha etkin bir koruma için zararlının ilk aşamalarda (Connection Filtering aşaması gibi) tespit edilmesi önem arz etmektedir.
Sonuç olarak, organizasyondaki spam etkinliğini azaltmak için sistemi iyi planlamak, yapılandırmak, izlemek ve güncellemek gerektiğini söyleyebiliriz.

Kaynak siteler:
http://technet.microsoft.com/en-us/library/aa997242(v=exchg.141).aspx
http://mscerts.programming4.us/application_server/Exchange%20Server%202010%20%20%20Planning%20for%20Anti-Spam%20(part%201).aspx

Exchange Server: Anti-Spam Koruması (2)

Exchange Server: Anti-Spam Koruması (2)

Connection Filtering
Bağlantıyı doğrulayan filtredir. Postanın bu filtreye takılmadan yoluna devam edebilmesi için sırayla 4 kontrol gerçekleştirilir. Bu kontroller şunlardır:

• IP Allow Lists: Güvenilir IP adreslerinin tutulduğu statik listedir. Bu listeye beraber iş yapılan organizasyonların SMTP sunucularının IP kayıtları girilebilir. Bu kontrol atlatıldığı zaman diğer kontroller gerçekleştirilmeden sonraki filtreye geçilir.
• IP Block Lists: Güvenilmeyen IP adreslerinin tutulduğu statik listedir. Bu listeye spam gönderen veya iletişim kurulması istenmeyen SMTP sunucularının IP kayıtları girilebilir. Bu kayıt değeri için sona erme (expire) zamanı ayarlanarak geçici süreli blok listesi oluşturulabilir. Bu kontrolden kalındığı zaman diğer filtreler uygulanmadan posta reddedilir.
• IP Allow List Provider Services: 3. taraf sağlayıcılar, güvenilir IP adreslerinin kayıtlarını bir liste olarak tutarlar. Bu listenin güncelliği ve güvenilirliğinden bu sağlayıcılar sorumludurlar. Bu sağlayıcıların oluşturduğu listeler kullanılarak güvenilir IP adreslerinin tutulduğu dinamik bir liste elde edilir. Bu kontrol atlatıldığı zaman diğer kontroller gerçekleştirilmeden sonraki filtreye geçilir. 
• IP Block List Provider Services: 3. taraf sağlayıcılar, güvenilir olmayan IP adreslerinin kayıtlarını da bir liste olarak tutarlar. Bu kontrolden kalındığı zaman diğer filtreler uygulanmadan posta reddedilir. Çok fazla sayıda liste sağlayıcının kullanılması doğrulama sürecini arttıracağı göz önünde bulundurularak, en fazla 3 tane sağlayıcının kullanılmasına özen gösterilmelidir.

False-pozitif sonuçların azaltılması için denetim kayıtları (loglar) sık sık kontrol edilmeli, gereksiz yere engellenen IP adreslerinden yasak kaldırılmalıdır. Ayrıca logların çok fazla artabileceği ve kontrol altına alınması gerektiği de unutulmamalıdır.

Sender Filtering
“Mail From” ile belirtilen gönderici mail adresinin veya gönderici etki alanının iznine göre postayı filtreler. Gönderici bilgisi engelli listesinde ise diğer filtreler uygulanmadan posta reddedilir. Gönderici bilgisi olmayan postalar engellenecek şekilde ayarlama yapılmalıdır. Bunun için “Block Messages That Don't Have Sender Information” seçeneği işaretlenmelidir.

Recipient Filtering
“Rcpt to” ile belirtilen alıcı posta adresinin iznine göre postayı filtreler. Alıcı bilgisi engelli listesinde ise diğer filtreler uygulanmadan posta reddedilir. Alıcısı etki alanında kullanıcısı olmayan postalar engellenecek şekilde ayarlama yapılmalıdır. Bunun için “Block Messages Sent To Recipients That Don't Exist In The Directory option in Recipient” seçeneği işaretlenmelidir.
Bu seçeneğin ayarlanması ile gönderici tarafa kullanıcının bulunmadığı bilgisi gönderilecektir. Böylece kötü niyetli bir kişi organizasyondaki kullanıcıların listesini elde edebilir. Bu saldırılara DHA (Directory Harvesting Attack) adı verilir. Bu saldırılardan korunmak için gönderici SMTP sunucusuna dönülen olumlu (“250 2.1.5 Recipient OK”) veya olumsuz (“550 5.1.1 User Unknown” ) cevap gecikmeli olarak verilmelidir. Bu gecikme süresi, Recieve Connector’ler üzerinde tanımlı olup, varsayılan olarak 5 saniyedir. Bu tekniğe Tarpitting adı verilir. Bu teknik sayesinde, kullanıcılarımızın mail adresleri spam listelerinde yer almamış olur.

Sender ID Filtering
Postanın gönderildiği SMTP sunucunun IP bilgisi ile host adını karşılaştırarak postayı filtreler. Host adı ve IP bilgisi eşleşmiyor ise posta reddedilebilir, silinebilir, SMTP kimlik doğrulamasının yapılmadığına dair bilgilendirme eklenerek bir sonraki filtreleme adımına ilerletilebilir. Postanın silinme durumunda göndericiye NDR (Non Delivery Report) gönderilecektir.
Bu filtreleme sayesinde domain adı spoofing ve phishing saldırılarına karşı etkili bir koruma mekanizması sağlanmaktadır. Bu amaçla SPF (Sender Policy Framework) kayıtları kullanılmaktadır. Bu kayıtlar posta gönderen kullanıcıların, posta gönderirken sizin organizasyonunuza ait SMTP sunucusundan postanın sizin organizasyonunuzdan gönderilmiş gibi gösterilmesinin önüne geçer. SPF kaydı, etki alanındaki her SMTP sunucusu için DNS veritabanına TXT olarak girilir. Böylece organizasyonunuzun SMTP sunucusundan mail atılıyormuş gibi mail gönderilmesi gerçekleşemez ve organizasyonunuzun marka değeri korunmuş olur. Ayrıca SMTP sunucunuzun kara listelere girmesinin önüne geçilir. SMTP sunucunuzun kara listeye girmesi sonucunda spam maili gönderen taraf olunmadığının ispatlanması için büyük zaman kayıpları yaşanabilmektedir.
Bunun yanında SPF kaydı gibi DomainKeys Identified Mail (DKIM) ve DCOM kayıtları da benzer şekillerde gönderici tarafın kimlik doğrulamasında kullanılmaktadır.

Content Filtering
SmartScreen teknolojisi Microsoft tarafından geliştirilmiş ve içerik filtreleme için kullanılan bir teknolojidir. Exchange Server 2010 üzerindeki SmartScreen teknolojisinin adı “Akıllı ileti Filtreleme (Intelligent Message Filter)“ iken, Outlook tarafında ise “Gereksiz Mail (Junk Mail)” olarak geçer. İçerik filtreleme ile posta içeriğinde belli kelimelere göre filtreleme yapılabileceği gibi, belirlenen alıcılar bu filtrelemeden hariç tutulabilir.Filtreleme işleminde SCL (Spam Confidence Level) adı verilen bir değer belirleyici kullanılır. SCL değeri -1 ile 9 arasındadır. İç sistemler, kimliği doğulanmış kaynaklar veya Connection Filtering kısmında güvenilir olduğu belirlenmiş kaynaklarla olan iletişimler için SCL değeri -1’dir ve spam tehlikesi taşımamaktadır. 0 değeri Microsoft ile olan mesajlaşmada kullanılır ve spam tehlikesi taşımamaktadır. SCL değeri 1-4 arasında ise bu postanın spam olma ihtimali düşükken, 5-9 olması durumunda ise yüksektir. SCL değeri belirlenen eşik değerinin üzerinde ise, yapılan ayarlara göre posta silinir, karantinaya alınır, reddedilir, kullanıcı “Genel Kutusu” ‘na iletilebilir veya “Junk Mail” kutusuna iletilebilir.

Sender Reputation
Postanın gönderildiği gönderici hakkında 48 saat bilgi toplanmasına dayanır. Bu süre boyunca posta engelli tutulur ve SRL (Sender Reputation Level) hesaplanır. SRL değeri 0-9 arasında olup, 0 olması durumunda posta spam değilken, 9 olması durumunda ise büyük ihtimalle spamdir. İlk defa posta gönderen bir SMTP sunucusunun SRL değeri 0’dır. Sonraki mail gönderimlerinde ise SRL değeri 4 kritere göre belirlenir:

• HELO/EHLO analizi: SMTP komutlarından olan HELO ve EHLO ile postanın gönderildiği SMTP sunucusunun IP, domain gibi bazı bilgileri elde edilebilir. Bu bilgilerin birden fazla olması veya mailin gerçekten gönderildiği SMTP sunucusundan farklı olması durumunda postanın spam olma ihtimali artmaktadır.
• Reverse DNS Lookup: Postanın gönderildiği IP adresinin, HELO ve EHLO komutlarının içerisindeki domain adına kayıtlı olmaması durumunda SRL değeri arttırılmaktadır.
• SCL değeri: Content Filter ajanı tarafından hesaplanan SCL değerine göre SRL hesaplanır.
• Open Proxy Testi: ETS rolündeki sunucu gönderici SMTP sunucusunun relay, diğer bir deyişle proxy sunucusu olup olmadığını kontrol eder. Gönderici SMTP sunucusu üzerinden kendisine posta yollar ve posta kendisine ulaşırsa SMTP sunucusunun proxy sunucu üzerinden geldiğini doğrular ve postanın SRL değerini arttırır.

Spam olması durumunda göndericiye SMTP IP adresi otomatik olarak IP Blok liste eklenir.

Attachment Filtering
Edge Transport sunucuda posta eklerine göre filtrelenebilir. HTS rolüne sahip sunucuda Anti-Spam kullanılsa dahi bu filtre uygulanamaz. Postaya 3 kritere göre filtreleme uygulanır:

• Adına göre (viagra,… vs)
• Uzantısına göre (*.exe,… vs). Dosya uzantısı değiştirilse bile gerçek dosya tipi tespit edilerek filtre uygulanmaktadır. Bunun yanında sıkıştırılmış dosyalar içerisindeki uzantıların da kontrolü gerçekleştirilmektedir.
• MIME içerik tipine göre (image/jpeg,… vs)

Ek içeriğine göre filtreleme için bu filtre kullanılamaz. Bunun için Transport kuralları kullanılmalıdır.

• Filtreleme sonucunda 3 aksiyon gerçekleştirilebilir:
• Ek çıkartılarak posta kullanıcıya gönderilebilir.
• Posta engellenir ve postayı gönderene posta içerisinde istenmeyen türde bir ek bulunduğu bildirilebilir.
• Alıcı ve göndericiye geri bildirimde bulunulmadan posta silinir.

Exchange Server: Anti-Spam Koruması (1)

Exchange Server: Anti-Spam Koruması (1)

Mail aracılığı ile organizasyon sistemine girilmesinin önlemek, istenmeyen postaları istemcinin posta kutusuna ulaşmadan kesmek için exchange ortamında bir takım ayarlamalar yapmak gerekmektedir. Aksi halde sistem kaynakları boşa harcanır, gereksiz bant genişliği azalır, posta kutuları şişer, en kötüsü kullanıcılardan şikayet gelir. Microsoft Exchange Server 2007 üzerindeki AntiSpam yapısı, Exchange Server 2010 geliştirilmiştir. Exchange Server 2010, taşıdığı  Multi-Pronged Anti-Spam altyapısı yönüyle aynı zamanda bir virüs koruma özelliği de sağlamaktadır.

ETS rolündeki sunucu, exchange ortamını SPAM ve virüs gibi zararlılara karşı korumalıdır. Bu sebeple ETS üzerinde Antispam özelliği aktif edilmelidir. Anti-spam ve Antivirüs özellikleri sayesinde spam olarak algılanan mesajlar, zararlı içeriğe sahip mesajlar bu sunucu tarafından filtrelemeye tabi tutulur ve kurallarda tanımlanan düzeneğe göre hareket eder. HTS rolündeki sunucu, ETS rolünden gelen internet postalarını aldığı gibi, yapılabilecek olan ayarlamalar ile internetten gelen postaları direk olarak üzerine de alabilir. Yani ETS rolünün olmadığı durumlarda ETS rolünün görevini HTS gerçekleştirebilir. Bu durumlarda koruma mekanizmaları HTS üzerine kurulmalıdır.
HTS rolü üzerinde aktifleştirilen AntiSpam özelliği ile Akıllı Koruma (Intelligent-Defense) devreye girer. Böylece

• Spam maillerinin hacmi azaltılır.
• Mevcut Spam mailler ortadan kaldırılır.
• Mail için kullanılan disk ve bant genişliği kaynağı düşürülür.

Anti-Spam Filtre Kategorileri
Anti-spam filtreleri çeşitli kategoride uygulanmaktadır. Bu filtrelerin tamamı her SMTP bağlantısında uygulanmaktadır. İnternet ortamındaki bir SMTP sunucusundan alınan bir posta tüm filtrelerden geçtikten sonra HTS rolündeki sunucuya iletilmektedir. Bu filtreler şunlardır:

• Connection Filtering
• Sender Filtering
• Recipient Filtering
• Sender ID Filtering
• Content Filtering
• Sender Reputation
• Attachment Filtering

Microsoft Exchange 2010 Anti Spam korunmasını güçlendirmek ve sürekliliğini sağlamak için haftada veya iki haftada bir güncelleme işlemi gerçekleştirilmelidir. Güncelleme işlemi ile Content Filter (SCL oranlarının güncelliği sağlanır), Spam imzaları, IP Reputation kayıtları (spam posta gönderen IP adres listesinin güncelliği sağlanır) güncellenir. Güncelleme işlemleri için Anti-Spam özelliği etkin olan sunucunun proxy veya direk olarak internete erişmesi veya WSUS ile bağlantılı olması gerekmektedir.
Bunun yanında daha etkin bir koruma için zararlının ilk aşamalarda (connection Filtering aşaması gibi) tespit edilmesi önem arz etmektedir.
Sonuç olarak, organizasyondaki spam etkinliğini azaltmak için sistemi iyi planlamak, yapılandırmak, izlemek ve güncellemek gerektiğini söyleyebiliriz.

Exchange Server: Giriş

Exchange Server: Giriş

E-Posta Sistemleri 
Günümüzde sosyal mühendislik gibi bir çok saldırı posta yolu ile gerçekleşmektedir. Bu sebeple posta sunucularının güvenliğine önem vermek gerekmektedir.

Elektronik posta (e-posta) sistemleri iki öğeden oluşur:

• Elektronik posta sunucular (mail server) : Exchange Server, Lotus Notus Mail Server, Send Mail, Qmail ve Postfix gibi genellikle sunucu üzerinde çalışan ve e-posta hizmeti veren programlardır.
• Elektronik posta istemciler (mail client) : Outlook Express, Thunderbird, PowerMail gibi kullanıcı bilgisayarlarında çalışan ve adımıza açılmış olan bir e-posta hesabına erişmek için kullandığımız uygulama programlarıdır.

Güvenilir Bilgi İşleme 
Daha önceki Exchange Server sürümlerinde posta kutusu (mailbox) ve kullanıcı işlemlerinin tamamı, Aktif Dizin üzerinden gerçekleştirilirdi ve bu durum Aktif Dizin üzerine büyük bir yük oluşturmaktaydı. Exchange Server 2007 ile birlikte bu işlemler Exchange Server Management Console (EMC) veya PowerShell üzerinden gerçekleştirilebilmektedir.

Exchange Server 2007 ile birlikte kurulum ile beraber güvenlik sağlanmaktadır. Güvenlik için sıkılaştırma işlemlerinin bir çoğu yapılmış olarak kurulumla gerçekleşmektedir. Exchange Server 2007 ve sonraki sürümlerde Microsoft tarafından Güvenilir Bilgi İşleme (Trustworthy Computing) metodu kullanılmaktadır. Kullanılan SDLC (Security Development Lifecycle) ile daha güvenilir bir sistem hazırlanmıştır. Trustworthy Computing, temel olarak aşağıdaki başlıklarda güvenliği kapsamaktadır:

• Tasarımda Güvenlik: Ürünün tasarlanması sırasında güvenilir kod geliştirmek için gerekli olan araçlar ve tekniklerden faydalanılmıştır.
• Kendiliğinden Güvenlik: Güvenilir bir sistemin sağlanması için en önemli konulardan birisi iletişimin güvenilir hale getirilmesidir. Bu amaçla SMB (Server Message Block) ve bazı UM (Unified Messaging) iletişimleri hariç tüm iletişimlerde Kerberos protokolü, sertifika, SSL (Secure Sockets Layer), diğer bazı endüstriyel şifreleme teknikleri kullanılmaktadır.
• Zararlılara Karşı Güvenlik: SPAM maillere karşı ajanlar yüklü olarak gelmektedir. Daha önceki versiyonlarda ajanlar kullanılmamaktaydı. Bunun yanında Microsoft Forefront Protection ile virüslere karşı önlem oluşturulmuştur.
• Dağıtımda Güvenlik: Exchange Server kurulumu sırasında en iyi alıştırmalara göre “Microsoft Exchange Server Best Practices Analyzer” ile sistem analizi gerçekleştirilebilmektedir. Bunun yanında mail sunucuda yapılacak işlemler için yönetici ve standart kullanıcılar için En Az Yetki Prensibi’ne göre hazırlanmış rol tabanlı bir izin modeli oluşturulmuştur.

İletişim Protokolleri 
Exchange ortamında temel olarak 5 adet protokol kullanılmaktadır:

• HTTP: Veriler ağ üzerinden açık olarak geçmektedir.
• IMAP4 & POP3: Yerel kullanıcıların uzaktaki bir e-posta sunucusuna erişmesini sağlayan bir uygulama katmanı protokolüdür. Veriler ağ üzerinden açık olarak geçmektedir. IMAP ile E-Posta sunucusuna bağlantı kurulduğunda, kutuda birikmiş e-postaların sadece başlık bilgilerini istemciye getirir. POP3 ise bütün mesajları istemciye çeker.
• SMTP: Posta gönderilmesi için kullanılan protokoldür. Tek yönlü bir protokoldür (sadece gidiş).  E-posta, e-posta sunucuları arasında aktarılırken de SMTP kullanılır. Veriler ağ üzerinden açık olarak geçmektedir. İstemci bilgisayar SMTP sunucusuna bağlanarak gerekli kimlik bilgilerini gönderir.  Onay verildiğinde posta SMTP sunucusuna iletilir.
• MAPI: Posta uygulamalarının sunuculardan posta alırken veya posta gönderirken kullandıkları arabirim protokolüdür. Exchange Server 2010 öncesinde kullanıcılar MAPI (Messaging Application Program Interface) aracılığıyla Mailbox sunucusuna ulaşabiliyorlardı. 2010 ile beraber bu değişmiştir. Mailbox server diğer sunucu rolleri ile MAPI bağlantısı üzerinde konuşur. Sadece ortak klasörlere (public folder) erişmek için MAPI kullanan son noktalar direk olarak Mailbox’a ulaşır.

Not: Posta iletişiminin sağlanabilmesi için DNS’e MX kaydının girilmesi gerekmektedir.

Not: Ortak klasörler ile Exchange sisteminde dosya, kontakt, takvim, mail, forum gibi kaynaklar tek kopya üzerinden bir çok kullanıcının erişimine açıldığı klasörlerdir. Exchange Server 2013 mimarisinde bu klasörler artık veritabanı yerine özel olarak dizayn edilmiş posta kutusu (mailbox) bazlı olarak oluşturulmaktadır.