Granikos Technology Blog

Am 23. Oktober 2020 bin ich Gast beim WBSC#TALK mit Manfred Helber und Sven Langenfeld.

Wir unterhalten uns über das Supportende von Exchange Server 2010 und Office 2010 und die Frage, ob das Supportende dieser beiden Produkte zu einer Modernisierung der IT-Infrastruktur im deutschen Mittelstand führt. Ein weiteres Thema ist die Akzeptanz von Cloud-Angeboten wie Exchange Online und Microsoft 365.

Der WBSC#TALK findet als YouTube Live-Stream statt. Erstellen Sie schon jetzt eine YouTube-Erinnerung, um den Live-Stream nicht zu verpassen.

Termin

• 23. Oktober 2020
• 12:00 Uhr

Link

• WBSC YouTube-Kanal

Im Rahmen der WEBDAY-Reihe veranstaltet der Windows Business Solutions Club am 29. Oktober 2020 einen kostenlosen Online-Thementag zu Exchange Server und Exchange Online.

Manfred Helber und ich werden an diesem Tag über die aktuelle Version von Exchange Server und Exchange Online informieren. Neben den Neuerungen und den Gründen für den Einsatz von Exchange Server 2019 erhalten Sie auch wichtige Informationen für eine Koexistenz-Betrieb und die Migration zu Exchange Server 2019. Im Hinblick auf einen Hybrid-Betrieb mit Exchange Online erfahren Sie mehr über mögliche Fallstricke und notwenige Vorbereitungen der lokalen IT-Infrastruktur. Abgerundet wird der Tag mit einer Session über einen 100%igen Exchange Online Betrieb.

Themenübersicht 

• Exchange Server 2019 - Neuerungen und Vorteile für den Wechsel auf die aktuelle Version
• Lizenzierung von Exchange und Exchange Online
• Exchange Server - Vorbereitung für den Hybridbetrieb
• Exchange Server 2019 – Ko-Existenzbetrieb mit Exchange Server 2013 und 2016
• Exchange Hybrid - Was, warum und wie
• Exchange Server mit Microsoft Teams
• Exchange Online - Basis-Konfiguration und Betrieb

Jetzt zur kostenlosen Veranstaltung anmelden.

Termin

• 29. Oktober 2020
• 10:00 Uhr - 18:00 Uhr

Links

• Veranstaltungsinformationen und Agenda
• Kostenlose Anmeldung
• WBSC

Das Blog Cumulative Update für August 2020 (CU0820) fasst interessante Themen rund um Cloud Sicherheit, Exchange Server, Office 365, Microsoft Teams und Azure des Monats August 2020 zusammen.

Allgemein

• [STICKY] Microsoft Products Reaching End of Support for 2020
• Neuerungen des DPA Anhanges und der OSTs und die Auswirkungen auf Microsoft 365
• Why I think it’s time to revisit the idea of a "Modern Browser"
• Microsoft Ignite 2020: Empowering the technical community to help customers innovate and rebuild in a changing world
• Please don’t "hello" me! Why "hello" in Microsoft Teams isn't polite!

Exchange Server

• [STICKY] Outlook License Requirements for Exchange Features
• Receive Connector RemoteIPRanges Limit
• Export mailbox folder permissions to CSV file

Microsoft 365 | OneDrive | Exchange Online | and more

• [STICKY] Office 365 Network Performance Tool
• [STICKY] Office 365 Support and Recovery Assistant (aka SaRA)
• [STICKY] Office 365 URLs and IP address ranges
• [STICKY] Office 365-Trust Center
• Microsoft 365 Monitoring mit Mailscape 365
• Testing and Sending email via SMTP using Opportunistic TLS and oAuth in Office365 with PowerShell
• Which Tool When: SharePoint, OneDrive, or Microsoft Teams
• Who can see my OneDrive files
• Top 5 limitations of SharePoint Online
• Create "All Users" Groups and Distribution Lists in Office 365 and Azure AD
• Wouldn’t it be cool to get that report through PowerShell/Graph API?
• Six tips to make the most of Microsoft To Do on Windows
• Questioning Six Reasons Why Backing up Office 365 is Critical
• Exchange Online Automation with EXOv2 Module Part 2
• MailTips: Useful Guidance for Good User Email Habits
• Basic Authentication and the Last Crusade
• Exchange Online Automation with EXOv2 Module Part 1
• What's the Real Size of Exchange Online Mailboxes?

Microsoft Teams

• [STICKY] Modern Collaboration Architecture (MOCA)
• [STICKY] Security and Compliance in Microsoft Teams
• [STICKY] Keyboard shortcuts for Microsoft Teams
• [STICKY] Surface Hub update history
• [STICKY] Instructor-led training for Microsoft Teams
• Microsoft Teams Advanced Communications and beyond
• Microsoft Teams for iOS updated with 3×3 grid view support for iPads and more
• Fewer emails after deploying Microsoft Teams?
• New experiences with file exchange in Teams
• Let your users skip sign-in with Single Sign-On support for Microsoft Teams tabs
• Office 365 Monitoring: Microsoft Teams Outage August 19, 2020
• Enabling remote work with Microsoft Teams
• Microsoft Teams PSTN Call Records Log / Bill from Microsoft Graph API
• Microsoft Teams will support standard SIP phones in the first half of 2021
• Microsoft Teams Creation common mistake - not allowing users to create teams!

Microsoft Azure

• [STICKY] Azure Latency Test
• [STICKY] Virtual Machines Licensing FAQ
• [STICKY] Azure Architecture Center
• [STICKY] Microsoft Azure Trust Center
• Choose an Azure compute service for your application
• Azure Security Center Secure Score Reduction Alert

Cloud | Cloud Sicherheit

• [STICKY] Microsoft Security TechCenter
• Meet the Star Witness: Your Smart Speaker
• Taking Transport Layer Security (TLS) to the next level with TLS 1.3
• New data from Microsoft shows how the pandemic is accelerating the digital transformation of cyber-security
• Microsoft Office 365 - Do you have a false sense of cloud security?
• Conditional Access policies now apply to all client applications by default

Microsoft Training

• [STICKY] MCT Central
• Microsoft Learning Updates - August 2020
• Learn in-demand finance and operations skills in Dynamics 365 from an MCT

Schule | Lernen

• Monitoring educational IT infrastructures with PRTG
• Microsoft-Umfrage: Lehrkräfte fordern besseren Bildungszugang und bessere technische Ausstattung an Schulen

Microsoft Docs | Tech Community | Knowledge Base

• [STICKY] Getting started with the Cloud Adoption Framework
• Windows Server 2016 Software Defined Networking: Updating the Network Controller Server certificate
• Support Tip - How to configure NDES for SCEP certificate deployments in Intune
• CAF enterprise-scale landing zone architecture
• Factors influencing the performance of Azure AD Connect
• Content conversion

Skype for Business Server | Communications

• [STICKY] Download: Skype for Business Network Assessment Tool

Replay

• März 2019: Direct Routing for Microsoft Teams and Why You Should Try It
• Januar 2016: DAG: Doesn’t match the configured witness server
• Januar 2016: Validate a cluster - Exchange 2016 IP-Less DAG

Podcast Empfehlungen

• [STICKY] Collab Talk: #MsftBuzzChat Podcast series
• Episode #69 – Interview with Microsoft Teams Contact Center/Compliance Recorder - Landis Computer

Tools

• Network Assessment Tool Plus
• ADFS Rapid Restore Tool
• Active Directory Migration Tool version 3.2
• Microsoft Azure, Cloud and Enterprise Symbol / Icon Set - Visio stencil, PowerPoint, PNG, SVG
• ISESteroids - PowerTheShell
• Mailscape 365 - Exchange Online Monitoring und Reporting
• Mailscape - Exchange Monitoring und Reporting
• Compass - Active Directory Monitoring und Reporting

Gerne unterstützen wir Sie bei der Planung und Durchführung Ihrer Exchange Server Implementierung oder Migration.

Sie denken über einen vollständigen Wechsel zu Microsoft 365 oder eine Hybrid-Konfiguration mit Office 365 nach? Wir beraten Sie umfassend und neutral über die Möglichkeiten der Office 365 Plattform und Microsoft 365.

Sie möchten mehr über Exchange Server 2019 erfahren? Gerne erläutern wir Ihnen die technischen Änderungen und Chancen für Ihr Unternehmen in einem individuellen Workshop. Bis dahin, werfen Sie doch einen Blick in das Microsoft Exchange Server 2019: Das Handbuch für Administratoren.

Weitere Informationen zu unseren Dienstleistungen finden Sie auf unserer Website (https://www.granikos.eu) oder Sie kontaktieren direkt unser Vertriebsteam: info@granikos.eu

Folge 8

Folge 8 der 'Tech Talk'-Reihe ist bei YouTube verfügbar. 

Das Thema des Talks:

• Mainstream-Supportende von Exchange Server 2016

Im Oktober 2020 endet der Mainstream-Support für Exchange Server 2016. Dies hat Auswirkungen auf die Bereitstellung von Produkt- und Sicherheitsaktualisierungen.

Was bedeutet das für On-Premises Umgebungen und die Koexistenz mit Exchange Server 2019 und Exchange Online? Antworten auf diese und andere Fragen gibt diese Ausgabe des Tech Talk.

Links

• Thomas' Tech Talk YouTube-Kanal
• Tech Talk 8 Video
• Präsentation (SlideShare)
• Präsentation (PDF)
• Tech Talk Übersicht

Ressourcen

• Produkt Life-Cycle Exchange Server 2016
• Produkt Life-Cycle Exchange Server 2019
• Exchange Server Servicing Model
• Exchange Server 2016 and the End of Mainstream Support
• Servicing Exchange Server 2013

Viel Spaß.

Über die Webseite Gemeinsames Registerportal der Länder haben Unternehmen u.a. die Möglichkeit, eine Online-Abfrage des eigenen Handelsregisterauszuges anzufragen und zusenden zu lassen. Diese Dienstleistung ist gebührenpflichtig.

Nach der Abfrage des Handelsregisterauszuges im Juli 2020 fand Anfang August 2020 eine E-Mail mit der Absenderadresse gebuehrennachweis@handelsregsiter.de ihren Weg in den Posteingang meines Postfaches. Auf der Webseite des Registerportals wird auf die Warnhinweise der Landesjustizverwaltungen und des Bundesministeriums der Justiz hingewiesen. Dieser Hinweis war Grund genug, doch einmal einen ausführlichen Blick auf die E-Mail des Gebührennachweises zu werfen. Dieser Hinweis wird in der E-Mail sogar noch einmal wiederholt.

Die allgemeine und die technische Bewertung der E-Mail mit Dateianhang des Gebührennachweises als PDF-Datei war sehr ernüchternd. Ich wurde sofort an die problematischen E-Mail-Nachrichten im Zusammenhang mit der NRW Soforthilfe erinnert. Denn auch im Fall des Registerportals werden die E-Mail-Nachrichten von Systemen der IT.NRW versendet.

Die E-Mail - Aus Sicht des Anwenders

Bereits in der Übersicht des Posteingangs zeigte sich die E-Mail verhaltensauffällig. Die Absenderadresse der E-Mail-Nachricht verfügt über keinerlei Klartextnamen. Die Anzeige der E-Mail-Adresse alamierte mich sofort. Der Betrefftext der Nachricht förderte mein Misstrauen nur. Das Registerportal sendet anscheinend keine Einzelnachweise, sondern monatliche Zusammenfassungen. 

Ein weiterer Punkt ist, dass es sich um eine technische Nachricht handelt, auf die man als Empfänger nicht direkt anworten soll. Solch ein Vorgehen ist für Empfänger in der Regel nicht nachvollziehbar und, aus meiner Sicht, heutzutage ebenfalls ein Indikator für eine E-Mail-Nachricht zweifelhafter Herkunft.

Anwender, die solch eine Nachricht erhalten, haben keinerlei Möglichkeit, die Integrität der Nachricht oder die Gültigkeit des Absenders zu überprüfen.

Der Blick in die technischen Informationen der E-Mail-Nachricht und die Prüfung wichtiger Basis-Sicherheitsfunktionen für die E-Mail-Kommunikationen zeigen eklatante Lücken auf, die heutzutage mit einfachen Mitteln vermeidbar sind. 

Die E-Mail - Aus Sicht der IT

E-Mail Kopfinformationen

Der erste Blick richtet sich immer auf die Kopfinformationen einer E-Mail-Nachricht. Wie schon im Falle der E-Mail-Nachrichten zur NRW Soforthilfe werden die Namen und IP-Adressen interner Systeme nicht aus den Kopfinformationen entfernt. Das Verhalten bei der Zustellung der E-Mail ändert sich durch das Entfernen der internen Topologieinformationen nicht. Jedoch stellen diese Informationen ein Sicherheitsrisiko dar. Potentielle Angreifer erhalten ausreichend Informationen über die Namensschema und IP-Adressen interner Systeme. 

Das Entfernen interner Topologieinformationen ist bereits seit Jahren Stand der Technik, wird in diesem Fall jedoch nicht angewandt.

MX - Mail Exchanger DNS Eintrag

Nach der Auswertung der E-Mail-Kopfinformationen ist die Prüfung des DNS-Eintrages für den oder die E-Mail-Server der Domäne handesregister.de an der Reihe. Ich verwende hierzu immer die Werkzeuge der Webseite MX Toolbox. 

Aus den Kopfinformationen können wir ablesen, dass das versendende System auf den Namen sbmail.it.nrw.de konfiguriert ist. Der Name wird vom öffentlichen Name Server auf die IP-Adresse 93.184.132.24 aufgelöst. 

Die Prüfung des MX DNS-Eintrages ergibt leider andere Informationen.

Der Empfang von Nachrichten für die Domäne handelsregister.de erfolgt über den Namen postamt.it.nrw.de, der auf die IP-Adresse 93.184.132.233 aufgelöst wird. Dies stellt für E-Mail-Server die Nachrichten an Empfänger dieser Domäne senden, kein Problem dar. Für E-Mail-Server, die Nachrichten von handelsregister.de empfangen, ist dies jedoch problematisch.

Einer der Standardprüfungen, die E-Mail-Server beim Empfang einer Nachricht durchführen, ist die Prüfung, ob die einliefernde IP-Adresse mit der IP-Adressauflösung des MX-Eintrages übereinstimmt. Wenn dies, wie in diesem Fall, nicht zutrifft, erhöht dies automatisch der Wahrlichkeit, dass es sich um eine Spam-Nachricht handelt. Je mehr Absenderprüfungen fehlschlagen, desto höher ist die Wahrscheinlichkeit. 

Die Tatsache, dass unterschiedliche System für den Versand und für den Empfang von E-Mail-Nachrichten verwendet werden, ist nicht ungewöhnlich. Um solch eine Konfiguration anderen E-Mail-Servern bekanntzumachen, gibt es eine technische Lösung; das Sender Policy Framework.

SPF - Sender Policy Framework

Das Sender Policy Framework (SPF) unterstützt die Möglichkeit, gültige Systeme für den Versand von E-Mail-Nachrichten einer einzelnen Domäne zu definieren. HIerzu wird in der DNS-Zone ein sog. SPF-Eintrag hinterlegt, der sowohl Namen als auch IP-Adressen gültiger Systeme enthalten kann. Zusätzlich ist es möglich, Referenzen auf SPF-Einträge anderer Domänen einzutragen, wenn diese ebenfalls E-Mail-Nachrichten für die Domäne versenden.

Die Domäne handelsrgister.de existiert kein SPF-Eintrag in der externen DNS-Zone.

Dies bedeutet, dass keine gültigen Systeme für den Versand von E-Mail-Nachrichten definiert sind. Empfangende Systeme haben keine Möglichkeit zur Prüfung und nehmen somit E-Mail-Nachrichten von beliebigen Systemen aus dem Internet entgegen. Dies stellt ein enormes Sicherheitsrisiko dar und kann als fahrlässige Fehlkonfiguration eingestuft werden. 

Das Fehlen des SPF-Eintrages wird beim Empfang einer Nachricht von modernen Systemen als Verstoß gegen Industriestandards bewertet und führt automatisch zu einer Erhöhung der Spam-Wahrscheinlichkeit. 

DKIM - Integrität der E-Mail-Kopfinformationen

Selbst wenn keine SPF-Informationen vorliegen, können in einer E-Mail die Empfänger- und Absenderinformationen abgesichert werden. Hierzu steht die Funktion DomainKeys Identified Mail (DKIM) zu Verfügung. Hierbei erfolgt eine Signierung dieser und andere Informationen der E-Mail. Das empfangende System hat die Möglichkeit, eine DKIM-signierte E-Mail-Nachricht mit Hilfe des DKIM-Eintrages in der DNS-Zone der sendenden Domäne zu prüfen. 

Hierdurch wird sichergestellt, dass die Nachricht von einem System signiert wurde, dass über den privaten DKIM-Schlüssel verfügt. Absender ohne Zugriff auf den privaten Schlüssel haben keine Möglichkeit, solch eine Signierung durchzuführen. 

E-Mail-Nachrichten der Domäne handelsregister.de werden nicht durch eine DKIM-Signierung geschützt. Somit haben empfangende Systeme keinerlei Möglichkeit, die Gültigkeit einer E-Mail-Nachricht der Domäne handelsregister.de zu prüfen.

DMARC - Schutz vor E-Mail-Missbrauch

Um den MIßbrauch von E-Mail-Nachrichten einzuschränken, wurde die Funktion DMARC (Domain-based Message Authentication, Reporting and Conformance) entwickelt. DMARC kann ergänzend zu SPF und DKIM eingesetzt werden. Auch DMARC wird über einen DNS-Eintrag in der Absender-Domäne definiert. Ein DMARC-Eintrag gibt dem empfangenden System Informationen, wie mit einer E-Mail zu verfahren ist, wenn die Validierung von SPF und DKIM fehlschlägt. Zusätzlich kann in einem DMARC-Eintrag festgelegt werden, an welche E-Mail-Adresse Benachrichtigungen über fehlerhafte E-Mail-Nachrichten gesendet werden sollen. Als Betreiber einer Domäne erhalte ich so Informationen, welche System in Internet meine Domäne als Absenderdomäne verwenden. 

Da weder DKIM-, noch SPF-Einträge für die Domäne handelsregister.de vorhanden sind, fehlt auch ein DMARC-Eintrag. 

Gerade im Hinblick auf die Sensibilität der Informationen, die über diese Domäne versendet werden, ist die Implementierung aller drei Schutzfunktionen drigend angeraten.

E-Mail-Verschlüsselung oder -Signierung

Ob eine Verschlüsselung der E-Mail-Nachricht an sich notwendig ist, kann man diskutieren. Sowohl Nachricht als auch der PDF-Dateianhang waren nicht verschlüsselt. Eine S/MIME Signierung der Nachricht, als Mindestmaß zur Sicherstellung der Integtrität des Absender, fehlte ebenfalls.

TLS-Prüfung 

Das sendende System sbmail.it.nrw.de ist nicht für eigehende Verbindungen aus dem Internet konfiguriert. Die Prüfung des MX-Endpunktes für handelsregister.de offenbahrte die bereits bekannten TLS-Schwächen.

Der Test des TLS-Endpunkte erfolgte mit dem TLS-Scanner von ImmuniWeb.

Die schlechte Beurteilung hat mehrere Gründe:

• Unterstützung von TLS 1.0
  
  
   
• Unterstützung unsicherer TLS-Verfahren und damit ein Verstoß gegen Best Practices Empfehlungen
  
  
  Die fehlende Unterstützung von TLS 1.3 ist noch nicht als kritisch zu bewerten. Das eine TLS-Neuaushandlung durch den TLS-Client unterstützt wird, ist jedoch als sehr kritisch einzustufen. Hierzu existieren zahlreiche dokumentierte Angriffsszenarien.
   
• Unterstützung von unsicheren Cipher Suiten

TLS_RSA_WITH_RC4_128_MD5
TLS_RSA_WITH_RC4_128_SHA
TLS_RSA_WITH_IDEA_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA
TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA
TLS_ECDHE_RSA_WITH_RC4_128_SHA
TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA
TLS_DH_anon_WITH_RC4_128_MD5
TLS_DH_anon_WITH_3DES_EDE_CBC_SHA
TLS_DH_anon_WITH_AES_128_CBC_SHA
TLS_DH_anon_WITH_AES_256_CBC_SHA
TLS_DH_anon_WITH_CAMELLIA_128_CBC_SHA
TLS_DH_anon_WITH_CAMELLIA_256_CBC_SHA
TLS_DH_anon_WITH_SEED_CBC_SHA
TLS_ECDH_anon_WITH_RC4_128_SHA
TLS_ECDH_anon_WITH_3DES_EDE_CBC_SHA
TLS_ECDH_anon_WITH_AES_128_CBC_SHA
TLS_ECDH_anon_WITH_AES_256_CBC_SHA
TLS_DH_anon_WITH_AES_128_CBC_SHA256
TLS_DH_anon_WITH_AES_256_CBC_SHA256
TLS_DH_anon_WITH_AES_128_GCM_SHA256
TLS_DH_anon_WITH_AES_256_GCM_SHA384

Fazit

Auch in diesem Fall ist es nicht möglich, ein postives Fazit zu ziehen. Im Vergleich zur Problematik der E-Mail-Nachrichten zur NRW Soforthilfe handelt es sich hier um E-Mail-Nachrichten, die zu einer bundesweit bereitgestellen Diensleistung gehören. Die Bundesländer und der Bund, die diese Dienstleistung in Anspruch nehmen, tun gut daran, sich für eine Verbesserung der Sicherheit im Umgang mit E-Mail-Nachrichten einzusetzen. 

Die Möglichkeiten zur Verbesserung gliedern sich in zwei Bereiche.

• Implementierung von Industriestandards zur Sicherung der E-Mail-Kommunikation
  • Implementierung von SPF, DKIM, DMARC
• Umsetzung von Standards zur Sicherung von E-Mail-Nachrichten, die durch Applikationen versendet werden
  • Nutzung von Klartextnamen für Absenderadressen
  • S/MIME-Signierung von E-Mail-Nachrichten

SPF, DKIM und DMARC sind Industriestandards. Dass diese Funktionen nicht zum Schutz von E-Mail-Nachrichten verwendet werden, ist grob fahrlässig. 

Im Hinblick auf eine eGovernment-Infrastruktur und ein Vertrauen in eine sichere (E-Mail-)Kommunikation besteht bei IT.NRW noch Nachholbedarf. Die aktuelle Konfiguration öffnet Tür und Tor für Betrüger und ist geradezu eine Einladung zum Versand von Phishing- und Malware-Nachrichten. Unternehmen, die Nachrichten von solchen Domänen empfangen, können sich nur durch eine explizite Abweisung der E-Mail-Nachrichten schützen. Andere Lösungsansätze führen immer manuellen Anpassungen auf der Empfängerseite und zu einem erhöhten Aufwand beim Betrieb einer sicheren IT-Infrastruktur. 

Der Handlunsbedarf liegt eindeutig auf Seiten von IT.NRW.  

Links

• Gemeinsames Registerportal der Länder
• NRW Soforthilfe E-Mail - Betrug mit Ansage
• Message Header Analyzer
• SSL/TLS Server Test
• MX Toolbox
• DMARC
• DKIM