Búsqueda de sitios web

Proteja Exchange Server OWA/ECP de ataques de fuerza bruta

Muchos bots atacan constantemente la página OWA y ECP de Exchange Server. Es tarea de los ingenieros (de seguridad) asegurar y proteger las URL OWA/ECP de Exchange Server contra ataques. Medidas como la autenticación multifactor (MFA) o hacer que OWA/ECP solo sea accesible a través de VPN son ideas excelentes. Otro método para detener los ataques de fuerza bruta de Exchange Server es integrar Google reCAPTCHA en la página OWA/ECP. Es GRATIS y funciona excelentemente.

Proteja Exchange Server OWA/ECP de ataques

Existen muchos métodos para proteger Exchange Server OWA/ECP de ataques. Estos son los mejores para proteger Exchange Server OWA/ECP de ataques de fuerza bruta:

  1. Configurar una solución MFA de terceros
  2. Configure VPN para que solo los usuarios conectados a la red interna puedan acceder a Exchange OWA/ECP
  3. Habilite los países seleccionados solo en el firewall que puede acceder a Exchange OWA/ECP
  4. Configurar el proxy de la aplicación de Azure (licencia de Azure AD Premium P1 o P2)

Si no desea gastar dinero en una solución MFA o no desea pagar la licencia Premium P1 o P2 de Azure AD, puede proteger Exchange OWA/ECP de ataques de fuerza bruta agregando un reCAPTCHA en la página de inicio de sesión. .

Integración con Exchange Server Google reCAPTCHA

Para crear un sitio Google reCAPTCHA e integrarlo en Exchange Server OWA/ECP, siga los pasos a continuación:

Crear sitio Google reCAPTCHA

El primer paso es crear un nuevo sitio Google reCAPTCHA. Una vez que tengamos las claves reCAPTCHA, podemos integrarlas en Exchange Server.

Inicie sesión en Google reCAPTCHA y complete los siguientes detalles:

  • Etiqueta: Servidor Exchange
  • tipo de reCAPTCHA: reCAPTCHA v2 - casilla de verificación “No soy un robot”
  • Dominios: mail.exoip.com (su URL de Exchange) y localhost

Marque ambas casillas de verificación:

  • Acepta los Términos de Servicio de reCAPTCHA
  • Enviar alertas a los propietarios

Haga clic en Enviar.

Aparecerán la clave del sitio y la clave secreta. Copie ambas claves y guárdelas porque las necesitará en el siguiente paso.

Crear página reCAPTCHA de Exchange Server

Integremos la clave del sitio en Exchange Server.

Nota: Realice los pasos siguientes en cada servidor Exchange (CAS).

Inicie sesión en Exchange Server y vaya a la siguiente ruta. Supongamos que tiene una versión anterior de Exchange Server, cambie V15 a otra versión. Por ejemplo, V14.

C:\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth

Crea un nuevo archivo con el Bloc de notas con el nombre recaptcha.aspx en esa carpeta.

Copie/pegue la siguiente información en él.

<% @ Page AspCompat=True Language = "VB" %>
<%
Dim strPrivateKey As String = "SECRET_KEY"
Dim strResponse = Request("response")
Dim objWinHTTP As Object
objWinHTTP = Server.CreateObject("WinHTTP.WinHTTPRequest.5.1")
objWinHTTP.Open("POST", "https://www.google.com/recaptcha/api/siteverify", False)
objWinHTTP.SetRequestHeader("Content-type", "application/x-www-form-urlencoded")
Dim strData As String = "secret=" & strPrivateKey & "&response=" & strResponse
objWinHTTP.Send(strData)
Dim strResponseText = objWinHTTP.ResponseText
Response.Write(strResponseText)
%>

Pega la clave secreta de Google reCAPTCHA que copiaste en el paso anterior y pégala en el campo SECRET_KEY.

Configurar la página de inicio de sesión de Exchange Server OWA/ECP

Integramos la clave secreta en Exchange Server.

Haga una copia de seguridad del archivo logon.aspx, en caso de que tenga que revertir los cambios. Copie logon.aspx y cámbiele el nombre a logon.aspx.bak.

Nota: El archivo logon.aspx se reescribirá a su estado original cuando instale Exchange Server CU. Así que anota en tu manual reemplazar el archivo después del CU y prueba que Google reCAPTCHA funciona.

Abra el archivo logon.aspx con el Bloc de notas y modifique lo siguiente:

Encontrar :

<form action="/owa/auth.owa"

Cambiar a:

<form action=""

Encontrar :

<div onclick="clkLgn()"

Cambiar a:

<div onclick="myClkLgn()"

Encontrar :

<div><input id="passwordText"

A continuación, presione el botón Entrar y cree un par de líneas vacías.

Copie/pegue la siguiente información en las líneas vacías.

<script type="text/javascript">
function myClkLgn()
{
var oReq = new XMLHttpRequest();
var sResponse = document.getElementById("g-recaptcha-response").value;
var sData = "response=" + sResponse;
oReq.open("GET", "/owa/auth/recaptcha.aspx?" + sData, false);
oReq.send(sData);
if (oReq.responseText.indexOf("true") != -1)
{
document.forms[0].action = "/owa/auth.owa";
clkLgn();
}
else
{
alert("Invalid CAPTCHA response");
}
}
</script>
<script src="https://www.google.com/recaptcha/api.js" async defer></script>
<div class="g-recaptcha" data-sitekey="SITE_KEY"></div>

Pega la clave del sitio de Google reCAPTCHA que copiaste en el paso anterior y pégala en el campo SITE_KEY.

Reinicie IIS en Exchange Server

No es necesario reiniciar IIS en Exchange Server, y Google reCAPTCHA aparecerá inmediatamente en la página OWA/ECP de Exchange Server.

Supongamos que no es así, inicie el Símbolo del sistema como administrador y reinicie Internet Information Services (IIS) en Exchange Server.

iisreset

Verificar Exchange Server OWA/ECP con Google reCAPTCHA

Inicie su navegador web favorito y vaya a la dirección OWA del servidor Exchange.

El reCAPTCHA de Google es visible.

Complete las credenciales de usuario y marque la casilla de verificación Google reCAPTCHA. A continuación, haga clic en Iniciar sesión.

El usuario iniciará sesión exitosamente.

Si el usuario ingresa las credenciales incorrectas, mostrará el mensaje estándar: El nombre de usuario o la contraseña que ingresó no son correctos. Intente ingresarlo nuevamente.

Supongamos que el usuario no acepta la casilla reCAPTCHA de Google y hace clic en iniciar sesión. Aparecerá un mensaje con el texto: Respuesta CAPTCHA no válida.

Lo mismo se aplica a la página del Centro de administración de Exchange (ECP).

También funcionará al navegar a https://localhost/owa o https://localhost/ecp. Esto se debe a que agregaste localhost en el primer paso al crear el sitio en Google reCAPTCHA.

¡Eso es todo!

Leer más: Proteja las contraseñas de Active Directory contra infracciones »

Conclusión

Aprendió cómo proteger Exchange Server OWA/ECP de ataques de fuerza bruta. Primero, cree un reCAPTCHA de Google gratuito. Después de eso, ajuste el archivo de Exchange Server para que muestre y use el cuadro Google reCAPTCHA en la página OWA/ECP. Combine esto con una solución MFA y estará listo.

¿Disfrutaste este artículo? También te puede interesar Deshabilitar el acceso externo a ECP en Exchange Server. No olvides seguirnos y compartir este artículo.

Artículos relacionados