CISA ו-NSA פרסמו מדריך להקשחת Exchange Server מקומי בארגונים

ב-30 באוקטובר 2025 פרסמו CISA ו-NSA, יחד עם שותפים בינלאומיים, מדריך הקשחה לשרתי Exchange Server מקומיים. לפי CISA, ארגונים עם שרתי Exchange לא מוגנים או מוגדרים לא נכון נשארים בסיכון גבוה. המדריך ממליץ להגביל גישת ניהול, לדרוש MFA ולהסיר גרסאות שיצאו מתמיכה.

מה CISA ו-NSA פרסמו על Exchange Server

המסמך נקרא Microsoft Exchange Server Security Best Practices. הוא נשען על Emergency Directive 25-02, הוראת החירום ש-CISA פרסמה ב-7 באוגוסט 2025. ההוראה עסקה בחולשה CVE-2025-53786 בסביבות היברידיות. תוקף עם הרשאות ניהול על שרת Exchange מקומי יכול לעבור דרכה לענן של Microsoft 365.

לפי CSO Online, הסוכנויות מארה״ב, מאוסטרליה ומקנדה פרסמו את המסמך. CISA מציינת שהתקיפות נגד שרתי Exchange פגיעים נמשכות, כולל נגד גרסאות שיצאו מתמיכה. היא גם מבהירה שהמדריך אינו מקיף. ניטור פריצות ותכנון לתגובה ולשחזור חשובים באותה מידה.

מה המדריך ממליץ לעשות בשרתי Exchange Server

ההמלצות של CISA ברורות. להגביל את הגישה למרכז הניהול ול-PowerShell מרחוק. לדרוש MFA לחשבונות מנהל. לאכוף הגדרות תעבורה מאובטחת, ליישם עקרונות Zero Trust ולטפל בגרסאות שיצאו מתמיכה. CISA גם ממליצה לבחון מעבר לדואר בענן, עם בסיסי האבטחה של תוכנית SCuBA.

לפי CSO Online, המדריך מבקש להריץ את הגרסה והעדכון המצטבר האחרונים. Exchange Server SE היא הגרסה המקומית היחידה שנתמכת. התמיכה בגרסאות הקודמות הסתיימה ב-14 באוקטובר 2025. המדריך מציע גם לאפשר רק לתחנות ניהול ייעודיות לגשת לסביבת הניהול.

לפי Petri, ההמלצות כוללות הצפנת TLS, הפעלת Extended Protection נגד העברת אישורי זהות, ו-HSTS. הן כוללות גם מעבר מ-NTLM ל-Kerberos ולזיהוי מודרני עם OAuth 2.0 ו-MFA. אם אין בשרת אנטי-וירוס של צד שלישי, CSO מדווחת שהמדריך מורה להפעיל את Microsoft Defender.

מה עושה Exchange Emergency Mitigation Service

המדריך ממליץ להשאיר פעיל את Emergency Mitigation Service. לפי Microsoft, זה שירות Windows בשרתי Mailbox. הוא מותקן אוטומטית עם העדכון המצטבר של ספטמבר 2021 ואילך. אחת לשעה הוא בודק אם יש הקלות חדשות בשירות Office Config Service.

כל הקלה מגיעה בקובץ XML חתום. היא יכולה להוסיף כלל URL Rewrite ב-IIS, או להשבית שירות או App Pool פגיעים. Microsoft מדגישה שזה פתרון זמני. הוא לא מחליף עדכון אבטחה, אבל הוא הדרך המהירה ביותר להקטין סיכון בשרת שפונה לאינטרנט.

השירות צריך חיבור יוצא ל-officeclient.microsoft.com בפורט 443. את הקישוריות בודקים עם הסקריפט Test-MitigationServiceConnectivity.ps1. Microsoft מזהירה גם שבדיקת SSL בחומת האש עלולה לשבור את אימות החתימה.

למה זה חשוב לארגונים עם Exchange מקומי

Robert Beggs, ראש חברת התגובה לאירועים הקנדית DigitalDefence, אמר ל-CSO שהמדריך מאחר מאוד לצאת. לדבריו, בכל התקנת Exchange שהחברה בדקה היו תצורות שגויות משמעותיות. CSO מוסיפה שה-BSI הגרמני מעריך שתשעה מכל עשרה שרתי Exchange בגרמניה מריצים גרסה מיושנת.

עוד ב-GEEKLIK: שיא ב-Patch Tuesday: Microsoft תיקנה 1,413 חולשות, והעדכון משבש שרתי Exchange

מה הלאה

הדף של CISA אינו מפרט שלבים. את הפרטים צריך לקרוא במסמך המלא, שמארח ה-NSA. מי שמפעיל Exchange מקומי יכול לעבור עליו סעיף אחר סעיף, ולסמן מה כבר מיושם אצלו.