Habilite la firma de carga útil de serialización de PowerShell en Exchange Server
A partir de la actualización de seguridad (SU) de enero de 2023 para Microsoft Exchange Server, Microsoft introdujo una nueva característica que permite a los administradores configurar la firma basada en certificados de las cargas útiles de serialización de PowerShell. Sin embargo, esta característica debe habilitarse manualmente después de instalar SU en todos los servidores basados en Exchange. En este artículo, aprenderá cómo habilitar la firma basada en certificados de datos de serialización de PowerShell en Exchange Server.
Firma de carga útil de serialización de PowerShell
La firma basada en certificados de la carga útil de serialización de PowerShell es una característica de seguridad de defensa en profundidad para evitar la manipulación maliciosa de datos serializados intercambiados en sesiones de Exchange Management Shell (EMS).
La función Firma de datos serializados se introdujo con la Actualización de seguridad de Exchange Server (SU) de enero de 2023 y está disponible en:
Servidor Exchange 2013
Servidor Exchange 2016
-
Servidor Exchange 2019
Nota: El administrador de Exchange Server debe habilitar manualmente esta función. Esto se puede hacer siguiendo los pasos que se describen a continuación.
Requisitos previos de firma de carga útil de serialización de PowerShell
Antes de comenzar a habilitar la firma de carga útil de serialización de PowerShell, asegúrese de tener implementados los siguientes requisitos previos.
Instale Exchange Server enero de 2023 SU o posterior
Asegúrese de que todos los servidores Exchange (Exchange Server 2019, 2016 y 2013) del entorno ejecuten la SU de enero de 2023 (o posterior).
Haga esto antes de activar la función. Habilitar la función antes de que se actualicen todos los servidores puede provocar fallas y errores al administrar su organización.
Importante: No olvide mantener Exchange Server actualizado con la última actualización acumulativa de Exchange y la actualización de seguridad de Exchange. Suscríbase al boletín y no se pierda las actualizaciones de Exchange Server.
Verifique el certificado de autenticación de Microsoft Exchange Server
Esta característica utiliza el certificado de autenticación de Exchange Server para firmar los datos serializados. Por lo tanto, es muy importante que el certificado configurado como Certificado de autenticación sea válido (no haya caducado) y esté disponible en todos los servidores Exchange (excepto la función Transporte perimetral y la función Herramientas de administración de Exchange) dentro de la organización.
Opción 1: Compruebe que el certificado de autenticación de Microsoft Exchange Server exista y sea válido.
Opción 2: Descargue el script de PowerShell MonitorExchangeAuthCertificate.ps1 y verifique que el certificado de autenticación de Microsoft Exchange Server exista y sea válido.
Nota: Para ejecutar el script, debe ser miembro del grupo de funciones de Gestión de la organización. El script debe ejecutarse desde un símbolo del sistema elevado del Shell de administración de Exchange (EMS) en un servidor Exchange que ejecute la función Buzón de correo. El script no se puede ejecutar en una máquina que solo utilice herramientas de administración de Exchange.
En nuestro ejemplo, colocaremos el script en la carpeta C:\scripts y ejecutaremos el siguiente comando.
[PS] C:\>cd C:\scripts
[PS] C:\scripts>.\MonitorExchangeAuthCertificate.ps1
Monitor Exchange Auth Certificate script version 23.03.03.1320
The script was run without parameter therefore, only a check of the Auth Certificate configuration is performed and no change will be made
Current Auth Certificate thumbprint: 91A2B6CBB1BEB5B5E8F2F56F0CEE06F2575D1K74
Current Auth Certificate is valid for 1571 day(s)
Exchange Hybrid was detected in this environment
Test result: No renewal action is required
Log file written to: C:\Program Files\Microsoft\Exchange Server\V15\Logging\AuthCertificateMonitoring\AuthCertificateMonitoringLog_20230324194706.txtVerifique el estado de firma de la carga útil de serialización de PowerShell
Ejecute el script Exchange Health Checker y busque en el informe SerializedDataSigning Enabled.
[PS] C:\scripts>Get-ExchangeServer | ?{$_.AdminDisplayVersion -Match "^Version 15"} | %{.\HealthChecker.ps1 -Server $_.Name}; .\HealthChecker.ps1 -BuildHtmlServersReport; .\ExchangeAllServersReport.htmlEn nuestro ejemplo, el valor es Falso. Significa que no está habilitado y tenemos que habilitarlo.
Nota: Si no ha instalado la Actualización de seguridad (SU) de enero de 2023 para Microsoft Exchange Server o posterior, no verá los datos ni el valor SerializedDataSigning Enabled en el verificador de estado. informe.
Cómo habilitar la firma de carga útil de serialización de PowerShell
Para habilitar la firma de carga útil de serialización de PowerShell, siga los pasos a continuación:
Servidor Exchange 2016/2019
Ejecute Exchange Management Shell y ejecute los siguientes comandos.
Nota: Este cmdlet permite la verificación de firma en todos los servidores Exchange y no es necesario ejecutar el cmdlet en todos los servidores Exchange.
Establezca una nueva anulación de configuración.
New-SettingOverride -Name "EnableSigningVerification" -Component Data -Section EnableSerializationDataSigning -Parameters @("Enabled=true") -Reason "Enabling Signing Verification"Actualice el argumento VariantConfiguration.
Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument RefreshReinicie el servicio de publicación World Wide Web y el servicio de activación de procesos de Windows (WAS) para aplicar la nueva configuración.
Nota: Es suficiente reiniciar los servicios en el servidor Exchange donde se realizó el cambio.
Restart-Service -Name W3SVC, WAS -ForceServidor Exchange 2013
Cree una clave de registro.
New-ItemProperty -Path HKLM:\SOFTWARE\Microsoft\ExchangeServer\v15\Diagnostics -Name "EnableSerializationDataSigning" -Value 1 -Type StringReinicie el servicio de publicación World Wide Web y el servicio de activación de procesos de Windows (WAS) para aplicar la nueva configuración.
Nota: Es necesario reiniciar estos servicios en todos los servidores de Exchange 2013 cada vez que se actualiza el valor del registro.
Restart-Service -Name W3SVC, WAS -ForceVerifica tu trabajo
Ejecute el script del Comprobador de estado de Exchange.
[PS] C:\scripts>Get-ExchangeServer | ?{$_.AdminDisplayVersion -Match "^Version 15"} | %{.\HealthChecker.ps1 -Server $_.Name}; .\HealthChecker.ps1 -BuildHtmlServersReport; .\ExchangeAllServersReport.htmlVerifique que SerializedDataSigning Enabled tenga el valor True.
¡Eso es todo!
Leer más: Exclusiones de antivirus para Exchange Server »
Conclusión
Aprendió cómo habilitar la firma de carga útil de serialización de PowerShell en Exchange Server. Primero, asegúrese de tener instalada la actualización de seguridad (SU) de enero de 2023 de Exchange Server o posterior. A continuación, verifique la validez del certificado de autenticación de Microsoft Exchange Server. Por último, habilite la firma de carga útil de serialización de PowerShell y verifique con el script Exchange Health Checker que se muestre como habilitado.
Disfrutaste este artículo? También te puede gustar Configurar HSTS en Exchange Server. No olvides seguirnos y compartir este artículo.