Microsoft menunjukkan bahwa itu bekerja secepat mungkin untuk menyebarkan patch ke server Exchange mereka dan mendesak klien Microsoft Exchange lokal untuk menambahkan aturan pemblokiran di Internet Information Services Manager (IIS) sebagai solusi sementara untuk mengurangi potensi ancaman.

Dengan tidak adanya patch resmi, organisasi Anda harus memeriksa lingkungan Anda untuk tanda-tanda eksploitasi dan kemudian menerapkan langkah-langkah mitigasi darurat.

Microsoft menunjukkan bahwa itu bekerja secepat mungkin untuk menyebarkan patch ke server Exchange mereka dan mendesak klien Microsoft Exchange lokal untuk menambahkan aturan pemblokiran di Internet Information Services Manager (IIS) sebagai solusi sementara untuk mengurangi potensi ancaman.

Dengan tidak adanya patch resmi, organisasi Anda harus memeriksa lingkungan Anda untuk tanda-tanda eksploitasi dan kemudian menerapkan langkah-langkah mitigasi darurat.

Eksploitasi deteksi

GTSC merekomendasikan organisasi untuk memeriksa apakah server Exchange mereka telah disusupi dengan menjalankan perintah PowerShell ini: Get-ChildItem -Recurse -Path -Filter “*.log” | Select-String -Pattern’owershell. * Penemuan otomatis \ .json. * \ @. * 200

Perusahaan keamanan siber juga telah mengembangkan alat pencarian tag dan tembak di github. Sebagai tambahannya, Microsoft telah memberikan instruksi untuk menggunakan alat keamanannyaseperti Microsoft Sentinel, Microsoft Defender for Endpoint, dan Microsoft Defender Antivirus, untuk mendeteksi eksploitasi.

Mengurangi kelemahan

Sampai Microsoft merilis tambalan resmi, mereka Rekomendasikan langkah-langkah berikut untuk mengurangi eksploitasi Ke server Exchange lokal Anda:

• Tambahkan aturan pemblokiran di “IIS Manager -> Default Website -> Rewrite URL -> Actions” untuk mencegah pola serangan yang diketahui. Pelanggan Exchange Server harus meninjau dan memilih hanya satu dari tiga opsi mitigasi berikut.
  • Pilihan 1: Untuk pelanggan yang mengaktifkan Layanan Mitigasi Darurat Server Exchange (EMS), Microsoft telah merilis mitigasi penulisan ulang URL untuk Exchange Server 2016 dan Exchange Server 2019. Mitigasi akan diaktifkan secara otomatis.
  • Pilihan 2: Microsoft menciptakan Skenario ini Untuk langkah-langkah mitigasi, tulis ulang URL.
  • Opsi 3: Pelanggan dapat mengikuti Langkah-langkah ini dirinci di blog Microsoft untuk menambahkan aturan larangan Untuk memutuskan rantai serangan saat ini.

Microsoft telah menyatakan bahwa pelanggan Exchange Online tidak terpengaruh dan tidak perlu mengambil tindakan apa pun. Namun, organisasi yang menggunakan Exchange Online cenderung memiliki lingkungan Exchange campuran, dengan campuran sistem lokal dan cloud, oleh karena itu, Anda harus mengikuti panduan di atas untuk melindungi server lokal, jika ini berlaku untuk lingkungan Anda.