Reconstruya su servidor Exchange (después de la infección por HAFNIUM)
Si no tiene suerte y su servidor Exchange está infectado debido a la vulnerabilidad de día cero de HAFNIUM, debe destruir su servidor Exchange y reconstruirlo. Y ya tengo las primeras preguntas sobre cómo hacer esto. No es tan difícil y no lleva días si, por supuesto, se cumplen algunos requisitos previos.
Nota. Este blog fue escrito teniendo en cuenta las máquinas infectadas con HAFNIUM, pero desde un punto de vista de procedimiento, por supuesto, puede usarse para cualquier escenario de recuperación ante desastres. Además, utilicé Windows 2012 R2 y Exchange 2013 para este blog, pero este procedimiento también se puede utilizar para Exchange 2016 y Exchange 2019.
Básicamente, lo que sucede es que el servidor antiguo se elimina por la fuerza (apagado, eliminación de VM) pero que la cuenta de la computadora en AD no se elimina sino que se restablece (como se muestra en la captura de pantalla a continuación). Se construye un nuevo servidor, el mismo sistema operativo, los mismos parches, la misma configuración, el mismo nombre de computadora y se une al dominio. De esta forma el SID seguirá siendo el mismo, lo que facilitará mucho la recuperación.
La reconstrucción del servidor de Windows, incluido todo el software necesario y los parches de Windows, llevará la mayor parte del tiempo de todo este proceso.
Debe utilizar la misma versión del servidor al reconstruir el servidor. Entonces, si su servidor anterior ejecutaba Windows 2012 R2, DEBE usar Windows 2021 R2 nuevamente. Si intentas algo diferente, sucederán cosas malas.
El intercambio es un poco más flexible hoy en día. Puede utilizar la opción /RecoverServer con una actualización acumulativa más reciente. Por ejemplo, cuando su servidor anterior ejecuta Exchange 2016 CU11, puede realizar un /RecoverServer con Exchange 2016 CU19. El único inconveniente aquí es que la información de la versión CU11 se almacena en Active Directory, e incluso cuando se usa CU19, aparecerá como CU11 para AdminDisplayVersion. Pero eso es cosmético y se corregirá automáticamente la próxima vez que se instale una nueva CU.
Lo que NO PUEDE hacer es usar /RecoverServer para actualizar a una versión más nueva de Exchange, como actualizar de Exchange 2013 a Exchange 2016. Nuevamente, sucederán cosas malas.
Por supuesto, es necesario conservar el almacenamiento con la base de datos del buzón. Si está configurado en discos VHD separados, debe conectarlos al nuevo servidor. Utilice las mismas letras de unidad o puntos de montaje. En la captura de pantalla siguiente, el disco antiguo con la base de datos del buzón está montado en la nueva máquina virtual con Windows 2012 R2. Exchange 2013 aún no está instalado en este servidor.
Nota. En lugar de mi enfoque (conectar el almacenamiento existente), también es posible recuperar el servidor y restaurar la base de datos del buzón más tarde desde la copia de seguridad. Esto puede variar desde cualquier aplicación de respaldo hasta una copia de seguridad a nivel de archivo de su archivo .EDB. Este último necesita un amplio conocimiento sobre los aspectos internos de la base de datos de Mailbox y cómo manejarlos.
Cuando Windows esté en funcionamiento, es hora de instalar el servidor. Utilice la misma actualización acumulativa para esto y utilice la configuración desatendida de Exchange con la opción RecoverServer. Abra un símbolo del sistema con privilegios elevados y ejecute el siguiente comando:
Z:\ en este caso es la letra de la unidad de DVD, pero, por supuesto, puede utilizar una letra de unidad diferente.
Hay un problema aquí. Si Exchange está instalado en una ubicación diferente, por ejemplo en la unidad D:\, debe usar la opción /TargetDir para especificar la ubicación donde se deben instalar los archivos binarios de Exchange.
/RecoverServer recuperará toda la información de configuración de Active Directory (en lugar de usar la configuración predeterminada) e instalará Exchange usando esta configuración. Por ejemplo, toda la información de la base de datos del buzón se almacena en Active Directory, por lo que cuando finaliza la instalación, el "nuevo" servidor tiene toda la información correcta de la base de datos del buzón. Aún mejor, después de reiniciar, incluso montará automáticamente las bases de datos del buzón.
Algunas configuraciones no se almacenan en Active Directory, especialmente cuando se analiza la configuración específica del servidor que se almacena en archivos .config locales. La personalización de OWA y los certificados SSL por ejemplo que están configurados en el servidor se pierden. Por lo tanto, la documentación existente del servidor Exchange es vital aquí para reconstruir rápidamente el servidor Exchange.
Después de la reinstalación, el servidor se reinició, tuve que montar la base de datos del buzón manualmente (pero sin problemas). Las siguientes configuraciones las tuve que configurar manualmente:
- Importe el certificado SSL y vincúlelo a los servicios de Exchange.
- Configure los directorios virtuales de Exchange (no esperaba este).
- Reubique la base de datos de la cola SMTP.
Para mi sorpresa, el conector de retransmisión SMTP que estaba configurado en el servidor Exchange estuvo disponible al instante y funcionó correctamente.
Resumen
Si tiene que reconstruir su servidor Exchange, ya sea que falló o se infectó o algo así, puede usar la opción Setup.exe /RecoverServer de Exchange (Exchange 2013 y versiones posteriores). Esto recuperará gran parte de la información de Active Directory y, si tiene las bases de datos del buzón disponibles, puede usarlas directamente sin ninguna restauración desde las actividades de copia de seguridad.
Hay algunas configuraciones que aún se configuran manualmente después de recuperar el servidor, por lo que es importante tener la documentación adecuada para hacer la vida mucho más fácil durante la recuperación.
Última actualización: 10 de marzo de 2021