Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ve Ulusal Güvenlik Ajansı (NSA), BT yöneticilerinin ağlarındaki Microsoft Exchange sunucularını saldırılara karşı güçlendirmelerine yardımcı olacak bir kılavuz yayınladı.
Önerilen en iyi uygulamalar arasında kullanıcı kimlik doğrulamasının ve erişiminin güçlendirilmesi, uygulama saldırı yüzeylerinin en aza indirilmesi ve güçlü ağ şifrelemesinin sağlanması yer alır.
Ajanslar ayrıca ağ savunucularına, Microsoft 365'e geçtikten sonra kullanım ömrü sona eren şirket içi veya hibrit Exchange sunucularını hizmetten çıkarmalarını tavsiye ediyor; çünkü ortamlarında güncel tutulmayan son bir Exchange sunucusunu tutmak, kuruluşlarını saldırılara maruz bırakabilir ve güvenlik ihlali risklerini önemli ölçüde artırabilir.
Ek olarak, CISA ve NSA'nın kılavuzunda ele alınmasa da, kötü amaçlı veya şüpheli etkinliklerin izlenmesi ve olası olayların ve kurtarmanın planlanması, şirket içi Exchange sunucularıyla ilişkili risklerin azaltılması açısından eşit derecede önemlidir.
Avustralya Siber Güvenlik Merkezi (ACSC) ve Kanada Siber Güvenlik Merkezi'nin (Siber Merkezi) katıldığı iki kurum Perşembe günü yaptığı açıklamada, "Yönetim erişimini kısıtlayarak, çok faktörlü kimlik doğrulama uygulayarak, katı aktarım güvenliği yapılandırmalarını uygulayarak ve sıfır güven (ZT) güvenlik modeli ilkelerini benimseyerek kuruluşlar potansiyel siber saldırılara karşı savunmalarını önemli ölçüde güçlendirebilir" dedi.
"Ayrıca, belirli Exchange Server sürümleri yakın zamanda kullanım ömrünün (EOL) sonuna geldiğinden, yazar kurumlar kuruluşları riskleri azaltmak ve kötü amaçlı etkinlikleri önlemek için proaktif adımlar atmaya güçlü bir şekilde teşvik etmektedir."
CISA, NSA ve ortakları, sunucuları güncel tutmak, desteklenmeyen Exchange sürümlerinden geçiş yapmak, acil durum azaltma hizmetlerini etkinleştirmek, yerleşik anti-spam ve kötü amaçlı yazılımdan koruma özelliklerini etkinleştirmek, yetkili iş istasyonlarına yönetici erişimini kısıtlamak ve hem Exchange Server hem de Windows sistemleri için güvenlik temellerini uygulamak da dahil olmak üzere ağ savunucuları için bir düzineden fazla temel güvenlik önerisini paylaştı.
Ajanslar ayrıca MFA, Modern Auth'u etkinleştirerek ve OAuth 2.0'dan yararlanarak kimlik doğrulamanın güçlendirilmesini, kimlik doğrulama süreçlerini güvence altına almak için NTLM yerine Kerberos ve SMB'nin dağıtılmasını ve veri bütünlüğünü korumak için Aktarım Katmanı Güvenliği'nin ve Ortadaki Düşman (AitM), geçiş ve yönlendirme saldırılarına karşı savunma için Genişletilmiş Koruma'nın yapılandırılmasını öneriyor.
Kuruluşlar ayrıca Exchange Yönetim Kabuğu için sertifika tabanlı imzalamayı etkinleştirmeli ve güvenli tarayıcı bağlantılarını sağlamak için HTTP Sıkı Aktarım Güvenliği'ni uygulamalıdır. Ek olarak, kullanıcı ve yönetici izinlerini yönetmek için rol tabanlı erişim kontrolü uygulamalı, Siteler Arası İstek Sahteciliği saldırılarını engellemek için İndirme Etki Alanlarını yapılandırmalı ve gönderen sahtekarlığını önlemek için P2 FROM başlık manipülasyonu girişimlerini izlemelidirler.
Bugünkü ortak tavsiye kararı, CISA tarafından Ağustos 2025'te yayınlanan ve Federal Sivil Yürütme Organı (FCEB) kurumlarına sistemlerini dört gün içinde yüksek önemdeki bir Microsoft Exchange hibrit güvenlik açığına (CVE-2025-53786) karşı korumalarını emreden bir acil durum direktifine (ED 25-02) dayanmaktadır.
Microsoft'un o zaman uyardığı gibi, güvenlik açığı Microsoft Exchange Server 2016, 2019 ve Subscription Edition'ı etkileyerek, şirket içi Exchange sunucularına yönetim erişimi elde eden saldırganların yanal olarak Microsoft bulut ortamlarına geçmesine olanak tanıyarak, potansiyel olarak tüm etki alanının tehlikeye girmesine yol açabiliyor.
CISA'nın federal kurumlara sunucularına yama yapma talimatı vermesinden günler sonra, İnternet gözlemcisi Shadowserver 29.000'den fazla Exchange sunucusunun hala potansiyel CVE-2025-53786 saldırılarına karşı savunmasız olduğunu tespit etti.
Son yıllarda, devlet destekli ve finansal motivasyona sahip bilgisayar korsanlığı grupları, ProxyShell ve ProxyLogon sıfır gün hataları da dahil olmak üzere sunucuları ihlal etmek için birden fazla Exchange güvenlik açığından yararlandı. Örneğin, Çin'in sponsorluğundaki kötü şöhretli Silk Typhoon tehdit grubu da dahil olmak üzere en az on bilgisayar korsanlığı grubu Mart 2021'de ProxyLogon kusurlarından yararlandı.
Bu Salı günü, Almanya federal yetkililerinin Bilgisayar Acil Durum Müdahale Ekibi (CERT-Bund), Almanya'da çevrimiçi olarak açığa çıkan yaklaşık 33.000 şirket içi Exchange sunucusunun %92'sinin kullanım ömrü sonu sürümleri çalıştırdığı konusunda da uyardı.
60.000'den fazla Exchange sunucusu ProxyNotShell saldırılarına karşı savunmasız
Microsoft: Exchange 2016 ve 2019'un desteği sona erdi
Microsoft: Exchange 2016 ve 2019, 30 gün içinde desteğin sonuna ulaşacak
Windows 11, paylaşılan Bluetooth ses desteğini test ediyor, ancak yalnızca AI PC'ler için
Microsoft Edge, daha hızlı dolandırıcılık tespiti için korku yazılımı sensörü alıyor
Kaynak: Bleeping Computer