Instale la actualización de seguridad de Exchange paso a paso
El equipo de Microsoft Exchange publica actualizaciones de seguridad (SU) de Exchange Server para Exchange Server 2013/2016/2019 cuando se descubren vulnerabilidades. No desea esperar y parchear los servidores Exchange inmediatamente. Tenga en cuenta que puede pasar algún tiempo antes de que finalice. Si sólo tiene un servidor Exchange, el flujo de correo no funcionará en ese momento. Ahora bien, ¿cuál es el mejor procedimiento para instalar la Actualización de Seguridad en Exchange Server? En este artículo, aprenderá cómo instalar la Actualización de seguridad de Exchange paso a paso.
Instalar las mejores prácticas de actualización de seguridad de Exchange
Antes de la actualización de seguridad:
- Colocar el servidor en modo mantenimiento en los sistemas de monitoreo (por ejemplo, SCOM)
- Busque actualizaciones de Windows e instálelas
- Reiniciar el servidor
- Poner el servidor en modo de mantenimiento.
- Desactive temporalmente cualquier software antivirus
- Deshabilite temporalmente cualquier software de respaldo
- Utilice un símbolo del sistema elevado para ejecutar la actualización de seguridad
Después de la actualización de seguridad:
- Reiniciar el servidor
- Verifique los registros de eventos filtrando errores y advertencias
- Saque el servidor del modo de mantenimiento
- Habilitar software de respaldo
- Habilitar antivirus
- Sacar el servidor del modo mantenimiento en los sistemas de monitoreo (por ejemplo, SCOM)
Buscar la versión de Exchange Server
Lea más en el artículo Buscar la versión de Exchange con PowerShell.
Antes de comenzar a instalar las actualizaciones de seguridad de Exchange, vaya al Panel de control > Programas y características y verifique qué versión de Exchange Server está instalada.
Hemos visto que la versión de compilación de Exchange Server no siempre se muestra correctamente en la ventana Programas y características. Una mejor manera es encontrar la versión de Exchange Server con PowerShell.
Inicie Exchange Management Shell como administrador y ejecute el siguiente script. El resultado mostrará el número de compilación de los servidores Exchange.
$ExchangeServers = Get-ExchangeServer | Sort-Object Name
ForEach ($Server in $ExchangeServers) {
Invoke-Command -ComputerName $Server.Name -ScriptBlock { Get-Command Exsetup.exe | ForEach-Object { $_.FileversionInfo } }
}En nuestro ejemplo, tanto el servidor Exchange EX01-2019 como el EX02-2019 ejecutan Exchange Server 2019 CU12 (número de compilación 15.02.1118.012).
ProductVersion FileVersion FileName PSComputerName
-------------- ----------- -------- --------------
15.02.1118.012 15.02.1118.012 C:\Program Files\Microsoft\Exchange Server\V15\bin\ExSetup.exe EX01-2019
15.02.1118.012 15.02.1118.012 C:\Program Files\Microsoft\Exchange Server\V15\bin\ExSetup.exe EX02-2019Descargar la actualización de seguridad del servidor Exchange
Es bueno saber que cuando descarga la Actualización de seguridad de Exchange Server (SU), no es la Actualización acumulativa de Exchange Server (CU). Una actualización de seguridad es lo que instalará además de una actualización acumulativa. Si Exchange Server no está actualizado con la última CU, primero debe instalar la Actualización acumulativa de Exchange Server antes de aplicar la Actualización de seguridad.
Microsoft publica actualizaciones de seguridad para las dos últimas versiones de Exchange Server. No publican SU para cada versión de Exchange Server porque eso no sólo supone demasiado trabajo para ellos, sino que no se recomienda ejecutar CU más antiguas cuando se envían CU nuevas. Mantenga siempre actualizado su Exchange Server con la última CU.
Nota: Las actualizaciones de seguridad de Exchange Server son acumulativas. Si está ejecutando la CU en la que se puede instalar la SU, no necesita instalar todas las SU en orden secuencial, sino que solo puede instalar la SU más reciente.
Descarguemos la actualización de seguridad de Exchange. Vaya a la Guía de actualizaciones de seguridad de Microsoft para ver todas las actualizaciones de seguridad. Filtrar por familia de productos Exchange Server. Haga clic en Actualización de seguridad.
En este ejemplo, descargaremos la Actualización de seguridad de Exchange para Exchange Server 2019 CU12.
El Centro de respuesta de seguridad de Microsoft (MSRC) investiga todos los informes de vulnerabilidades de seguridad que afectan a los productos y servicios de Microsoft. Proporciona la información aquí como parte del esfuerzo continuo para ayudarlo a administrar los riesgos de seguridad y ayudar a mantener sus sistemas protegidos.
Descargue la actualización de seguridad de Exchange.
Coloque la actualización de seguridad de Exchange en la carpeta C:\install del servidor Exchange. Si no tiene una carpeta de instalación, cree una.
Poner Exchange Server en modo de mantenimiento
Lea más en el artículo Poner Exchange Server en modo de mantenimiento.
Inicie sesión en Exchange Server EX01-2019. Ejecute Exchange Management Shell como administrador. Configure el servicio de transporte del concentrador en drenaje. Dejará de aceptar más mensajes.
[PS] C:\>Set-ServerComponentState -Identity "EX01-2019" -Component HubTransport -State Draining -Requester MaintenanceRedirija cualquier mensaje en cola a EX02-2019. El valor del servidor de destino debe ser el FQDN del servidor de destino. El servidor de destino no debería estar en modo de mantenimiento.
[PS] C:\>Redirect-Message -Server "EX01-2019" -Target "EX02-2019.exoip.local"
Confirm
Are you sure you want to perform this action?
Redirecting messages to "EX02-2019.exoip.local".
[Y] Yes [A] Yes to All [N] No [L] No to All [?] Help (default is "Y"): YSi el servidor es miembro de DAG, ejecute los siguientes comandos. Si su servidor no es miembro de DAG, pase al comando para configurar ServerWideOffline.
Pausar el nodo del clúster. Suspender el servidor EX01-2019 del DAG.
[PS] C:\>Suspend-ClusterNode "EX01-2019"
Name State Type
---- ----- ----
EX01-2019 Paused NodeDeshabilite la activación automática de la copia de la base de datos. Este comando también moverá cualquier copia de la base de datos activa a otros miembros del DAG. Suponiendo que haya otros miembros sanos del DAG disponibles. Esto no es instantáneo y los movimientos pueden tardar varios minutos en realizarse. Lo comprobaremos en uno de los siguientes comandos.
[PS] C:\>Set-MailboxServer "EX01-2019" -DatabaseCopyActivationDisabledAndMoveNow $trueTome nota de la política de activación automática de la copia de la base de datos en el servidor. Puede restablecerlo a este valor al final del mantenimiento. La configuración predeterminada es Sin restricciones.
[PS] C:\>Get-MailboxServer "EX01-2019" | Select DatabaseCopyAutoActivationPolicy
DatabaseCopyAutoActivationPolicy
--------------------------------
UnrestrictedConfigúrelo en Bloqueado para evitar que cualquiera de las bases de datos se active.
[PS] C:\>Set-MailboxServer "EX01-2019" -DatabaseCopyAutoActivationPolicy BlockedCompruebe si hay copias de la base de datos que todavía estén montadas en el servidor. Es posible que las bases de datos activas tarden un poco en moverse. Este comando no debería arrojar resultados. Si alguna copia de la base de datos todavía está activa en el servidor y otros miembros del DAG alojan copias de la base de datos, realice una conmutación manual.
[PS] C:\>Get-MailboxDatabaseCopyStatus -Server "EX01-2019" | Where {$_.Status -eq "Mounted"} | ft -AutoSizeUna vez movidas las bases de datos activas, comprobaremos la cola de transporte. Las colas deben estar vacías o casi vacías, ya que desactivaremos todos los componentes del servidor. Cualquier correo electrónico que aún esté pendiente en las colas tendrá un retraso en la entrega hasta que el servidor salga del modo de mantenimiento.
[PS] C:\>Get-Queue
Identity DeliveryType Status MessageCount Velocity RiskLevel OutboundIPPool NextHopDomain
-------- ------------ ------ ------------ -------- --------- -------------- -------------
EX01-2019\Submission Undefined Ready 0 0 Normal 0 SubmissionPonga el Servidor EX01-2019 en modo de mantenimiento.
[PS] C:\>Set-ServerComponentState "EX01-2019" -Component ServerWideOffline -State Inactive -Requester MaintenanceVerifique el balanceador de carga
¿Tiene el Exchange Server configurado en un balanceador de carga? Verifique que las comprobaciones de estado del balanceador de carga hayan sacado el servidor del grupo o lo hayan marcado como fuera de línea/inactivo. Si el equilibrador de carga no hace esto automáticamente, marque manualmente el servidor como fuera de línea/inactivo. Inicie sesión en su equilibrador de carga y configure los servicios virtuales que tenga para deshabilitar cualquier conexión al servidor EX01-2019. Normalmente habría servicios virtuales SMTP y HTTPS. Esto forzará cualquier conexión futura al servidor EX01-2019.
Cómo verificar que Exchange Server esté en modo de mantenimiento
Verifique si Exchange Server EX01-2019 se ha puesto en modo de mantenimiento. Todos los componentes deben mostrar Inactivo excepto Monitoring y RecoveryActionsEnabled.
[PS] C:\>Get-ServerComponentState "EX01-2019" | Select Component, State
Component State
--------- -----
ServerWideOffline Inactive
HubTransport Inactive
FrontendTransport Inactive
Monitoring Active
RecoveryActionsEnabled Active
AutoDiscoverProxy Inactive
ActiveSyncProxy Inactive
EcpProxy Inactive
EwsProxy Inactive
ImapProxy Inactive
OabProxy Inactive
OwaProxy Inactive
PopProxy Inactive
PushNotificationsProxy Inactive
RpsProxy Inactive
RwsProxy Inactive
RpcProxy Inactive
XropProxy Inactive
HttpProxyAvailabilityGroup Inactive
ForwardSyncDaemon Inactive
ProvisioningRps Inactive
MapiProxy Inactive
EdgeTransport Inactive
HighAvailability Inactive
SharedCache Inactive
MailboxDeliveryProxy Inactive
RoutingUpdates Inactive
RestProxy Inactive
DefaultProxy Inactive
Lsass Inactive
RoutingService Inactive
E4EProxy Inactive
CafeLAMv2 Inactive
LogExportProvider InactiveInstalar la actualización de seguridad del servidor Exchange
Ejecute el símbolo del sistema como administrador en Exchange Server y busque la ruta C:\install. Después de eso, escriba el nombre del archivo y haga clic en Entrar.
Importante: Instale la actualización de seguridad de Exchange a través del Símbolo del sistema con privilegios de administrador.
Espere a que la configuración calcule los requisitos de espacio.
Haga clic en Siguiente.
Acepte los Términos de licencia y haga clic en Siguiente.
La instalación de la Actualización de seguridad para Exchange Server:
- detener los servicios
- Copiar los archivos
- Crear archivos de respaldo
- Instalar los archivos
- Iniciar los servicios
- Eliminar archivos de copia de seguridad
Una pantalla más a medida que avanza la instalación de la Actualización de seguridad de Exchange.
La actualización de seguridad de Exchange finalizó. Haga clic en Finalizar.
Haga clic en Sí para reiniciar Exchange Server.
Nota: Es posible que no aparezca un mensaje de reinicio. Reinicie siempre Exchange Server después de una actualización de seguridad.
Pruebas
Consulte los registros de eventos filtrando errores y advertencias. Si hay errores, asegúrese de solucionarlos y solucionarlos.
Saque Exchange Server del modo de mantenimiento
Lea más en el artículo Sacar Exchange Server del modo de mantenimiento.
Después de la actualización, nos gustaría que Exchange Server EX01-2019 vuelva a estar activo. Entonces, saquemos el servidor del modo de mantenimiento.
Ejecute Exchange Management Shell como administrador y ejecute los comandos.
Nota: Solo el primer y el último comando son necesarios si el servidor no es miembro de DAG. Si el servidor es miembro de DAG, debe ejecutar todos los comandos.
Utilice el valor de la política de activación automática de copia de la base de datos que se configuró en el servidor. El valor predeterminado es Sin restricciones.
[PS] C:\>Set-ServerComponentState "EX01-2019" -Component ServerWideOffline -State Active -Requester Maintenance
[PS] C:\>Resume-ClusterNode -Name "EX01-2019"
[PS] C:\>Set-MailboxServer "EX01-2019" -DatabaseCopyAutoActivationPolicy Unrestricted
[PS] C:\>Set-MailboxServer "EX01-2019" -DatabaseCopyActivationDisabledAndMoveNow $false
[PS] C:\>Set-ServerComponentState "EX01-2019" -Component HubTransport -State Active -Requester MaintenanceReequilibrar los grupos de disponibilidad de bases de datos
Lea más en el artículo Equilibrar bases de datos de buzones de correo en Exchange DAG.
A lo largo del proceso de actualización, las copias de la base de datos se moverán entre los miembros del DAG. Devuelva las copias activas de su base de datos a su miembro del DAG preferido. Utilice el script de PowerShell proporcionado por Microsoft.
[PS] C:\>cd $exscripts
[PS] C:\Program Files\Microsoft\Exchange Server\V15\scripts\>.\RedistributeActiveDatabases.ps1 -DagName "DAG01-2019" -BalanceDbsByActivationPreference -SkipMoveSuppressionChecksVerificar fuera del modo de mantenimiento
Verifique si Exchange Server EX01-2019 está nuevamente en funcionamiento. Ejecute los siguientes comandos.
El nodo del clúster debe tener el estado activo.
[PS] C:\>Get-ClusterNode "EX01-2019"
Name State Type
---- ----- ----
EX01-2019 Up NodeVerifique que el nodo del clúster tenga el estado activo en todos los servidores Exchange.
[PS] C:\>Get-ClusterNodeCompruebe que todos los servicios necesarios se estén ejecutando.
[PS] C:\>Test-ServiceHealth "EX01-2019"
Role : Mailbox Server Role
RequiredServicesRunning : True
ServicesRunning : {IISAdmin, MSExchangeADTopology, MSExchangeDelivery, MSExchangeIS, MSExchangeMailboxAssistants, MSExchangeRepl, MSExchangeRPC, MSExchangeServiceHost,
MSExchangeSubmission, MSExchangeThrottling, MSExchangeTransportLogSearch, W3Svc, WinRM}
ServicesNotRunning : {}
Role : Client Access Server Role
RequiredServicesRunning : True
ServicesRunning : {IISAdmin, MSExchangeADTopology, MSExchangeMailboxReplication, MSExchangeRPC, MSExchangeServiceHost, W3Svc, WinRM}
ServicesNotRunning : {}
Role : Hub Transport Server Role
RequiredServicesRunning : True
ServicesRunning : {IISAdmin, MSExchangeADTopology, MSExchangeEdgeSync, MSExchangeServiceHost, MSExchangeTransport, MSExchangeTransportLogSearch, W3Svc, WinRM}
ServicesNotRunning : {}Verifique que los servicios requeridos se estén ejecutando en todos los servidores Exchange.
[PS] C:\>Get-ExchangeServer | Test-ServiceHealthPruebe la conectividad MAPI.
[PS] C:\>Test-MAPIConnectivity -Server "EX01-2019"
MailboxServer Database Result Error
------------- -------- ------ -----
EX01-2019 DB01 Success
EX01-2019 DB03 SuccessPruebe la conectividad MAPI en todos los servidores Exchange.
[PS] C:\>Get-ExchangeServer | Test-MAPIConnectivityObtenga el resultado del estado de copia de DAG.
[PS] C:\>Get-MailboxDatabaseCopyStatus -Server "EX01-2019" | Sort Name | Select Name, Status, Contentindexstate
Name Status ContentIndexState
---- ------ -----------------
DB01\EX01-2019 Mounted NotApplicable
DB02\EX01-2019 Healthy NotApplicable
DB03\EX01-2019 Mounted NotApplicable
DB04\EX01-2019 Healthy NotApplicableObtenga el resultado del estado de copia de DAG en todos los servidores Exchange.
[PS] C:\>Get-MailboxDatabaseCopyStatus * | Sort Name | Select Name, Status, ContentindexstateVerifique el estado de la replicación.
[PS] C:\>Test-ReplicationHealth -Server "EX01-2019"
Server Check Result Error
------ ----- ------ -----
EX01-2019 ClusterService Passed
EX01-2019 ReplayService Passed
EX01-2019 ActiveManager Passed
EX01-2019 TasksRpcListener Passed
EX01-2019 TcpListener Passed
EX01-2019 ServerLocatorService Passed
EX01-2019 DagMembersUp Passed
EX01-2019 MonitoringService Passed
EX01-2019 ClusterNetwork Passed
EX01-2019 QuorumGroup Passed
EX01-2019 FileShareQuorum Passed
EX01-2019 DatabaseRedundancy Passed
EX01-2019 DatabaseAvailability Passed
EX01-2019 DBCopySuspended Passed
EX01-2019 DBCopyFailed Passed
EX01-2019 DBInitializing Passed
EX01-2019 DBDisconnected Passed
EX01-2019 DBLogCopyKeepingUp Passed
EX01-2019 DBLogReplayKeepingUp PassedVerifique el estado de la replicación en todos los servidores Exchange.
[PS] C:\>Get-DatabaseAvailabilityGroup | Select -ExpandProperty:Servers | Test-ReplicationHealth | Sort NameVerifique que la Política de activación de la base de datos esté configurada como Sin restricciones.
[PS] C:\>Get-MailboxServer "EX01-2019" | Select Name, DatabaseCopyAutoActivationPolicy
Name DatabaseCopyAutoActivationPolicy
---- --------------------------------
EX01-2019 UnrestrictedVerifique que la Política de activación de la base de datos esté configurada como Sin restricciones en todos los servidores Exchange.
[PS] C:\>Get-MailboxServer | Select Name, DatabaseCopyAutoActivationPolicyequilibrador de carga
¿Tiene el Exchange Server configurado en un balanceador de carga? Verifique que las comprobaciones de estado del balanceador de carga hayan incluido el servidor en el grupo o lo hayan marcado como en línea/activo. Si el equilibrador de carga no hace esto automáticamente, marque manualmente el servidor como en línea/activo. Inicie sesión en su equilibrador de carga y configure los servicios virtuales que tenga para habilitar cualquier conexión al servidor EX01-2019. Normalmente habría servicios virtuales SMTP y HTTPS. Esto permitirá las conexiones al servidor EX01-2019.
Verificar la instalación de la actualización de seguridad de Exchange
Vaya al Panel de control > Programas y características. Verifique la versión de Exchange Server en la lista de programas.
A veces, la actualización no cambia la versión de la actualización acumulativa de Exchange Server. Esto se debe a que la ventana Programas y características no es confiable como PowerShell.
Haga clic en Ver actualizaciones instaladas.
Verifique que la Actualización de seguridad para Exchange Server aparezca en la lista. En este ejemplo, es Actualización de seguridad para Exchange Server 2019 Actualización acumulativa 12 (KB5019758).
La actualización de seguridad de Exchange Server se instaló correctamente.
Instale la actualización de seguridad en todos los servidores Exchange
¿Tiene más de un servidor Exchange ejecutándose en la organización? Realice los mismos pasos en todos los servidores Exchange. Puede ser el:
- Servidor de buzones de Exchange
- Servidor perimetral de Exchange
- Servidor híbrido de Exchange
Compruebe que Exchange Server esté actualizado
Lea más en el artículo Comprobación de vulnerabilidad de Microsoft Exchange Server.
¿Cómo verificar que todos los Servidores Exchange de la organización estén actualizados? Ejecute el script Exchange Health Checker (asegúrese de descargar la última versión de GitHub).
Descargue y coloque el script de PowerShell HealthChecker.ps1 en la carpeta Exchange Server C:\scripts. Si no tiene una carpeta de scripts, cree una. Asegúrese de que el archivo esté desbloqueado para evitar errores al ejecutar el script. Lea más en el artículo Error sin firma digital al ejecutar el script de PowerShell.
Crear informe de servidores Exchange
Ejecute el Shell de administración de Exchange como administrador. Cambie la ruta a la carpeta de scripts.
[PS] C:\>cd C:\scripts
[PS] C:\scripts>Verifique la firma antes de ejecutar el script con el cmdlet Get-AuthenticodeSignature.
[PS] C:\scripts>Get-AuthenticodeSignature -FilePath ".\HealthChecker.ps1" | ft -AutoSize
Directory: C:\scripts
SignerCertificate Status Path
----------------- ------ ----
AFBF0B8B6A18F7E23CCA1DDCD0AC1A55B4035173 Valid HealthChecker.ps1Ejecute el cmdlet para crear un informe para todos los servidores Exchange. Ejecutará el informe HTML y lo abrirá automáticamente.
[PS] C:\scripts>Get-ExchangeServer | ?{$_.AdminDisplayVersion -Match "^Version 15"} | .\HealthChecker.ps1; .\HealthChecker.ps1 -BuildHtmlServersReport -HtmlReportFile "ExchangeAllServersReport.html"; .\ExchangeAllServersReport.htmlSi el informe no se abre automáticamente, puede encontrarlo en la carpeta C:\scripts.
Consulte el informe de servidores Exchange para detectar vulnerabilidades
El informe HTML se mostrará como se muestra a continuación. Todo se ve muy bien porque el entorno tiene dos servidores Exchange con función de buzón. Ambos están en Exchange 2019 CU12 y parcheados. La columna Vulnerabilidades de seguridad muestra ambos servidores Exchange como Ninguno.
Si no está actualizado o no tiene parches, le mostrará que es vulnerable. ¿Ve advertencias rojas o amarillas en el informe de Exchange Server? ¡Míralo y arréglalo!
Conclusión
Aprendió cómo instalar las actualizaciones de seguridad de Exchange paso a paso. Es importante tener los servidores Exchange actualizados para simplificar la implementación de actualizaciones de seguridad. Cuando se implementan nuevos parches de seguridad, no es necesario actualizar a la última CU ni al parche, lo que lleva mucho más tiempo que aplicar el parche inmediatamente porque ya tiene la última CU.
¿Disfrutaste este artículo? También te puede interesar Reiniciar los servicios de Exchange con el script de PowerShell. No olvides seguirnos y compartir este artículo.