sécurisation de la connexion à internet avec isa server 2000
Post on 26-Jan-2016
35 Views
Preview:
DESCRIPTION
TRANSCRIPT
Sécurisation de la connexion à Internet avec ISA Server 2000
Stanislas Quastana – ConsultantMicrosoft Consulting Services
Agenda
• Partie 1 : Présentation générale ISA Server 2000 Feature Pack 1 (10 minutes)
• Partie 2 : Sécuriser l’accès vers Internet depuis les réseaux locaux pour les utilisateurs de l’entreprise (25 minutes)
• Partie 3 : protection des serveurs et des réseaux d’entreprise vis-à-vis d’Internet. Exemple avec Exchange Server (45 minutes)
• Questions / Réponses (10 minutes)
Partie 1 : Présentation ISA Server 20001- Pare-feu niveaux 3,4 & 7
– Barrière entre le réseau Internet et le réseau de l’entreprise– Protection des serveurs visibles depuis Internet (serveur Web, de messagerie…)– Filtrage dynamique des paquets– Analyse applicative des flux– Fonctions d’audit et de détection d’intrusion
4- ISA Server 2000 est bien plus qu’un simple proxy web !!!– Certes, il optimise la bande passante avec ses mécanismes de mise en
cache– Mais : Ce n‘est pas Proxy Server 3.0 !
3- Contrôle du contenu– Restriction d’accès à des sites web– Restriction d’accès à des contenus (http, smtp…)
2- Proxy applicatif– Passerelle filtrant les communications entre les réseaux internes & externes– Contrôle des protocoles à l’aide de règles granulaires permettant un suivi de
l’utilisation de la connexion Internet
Beaucoup plus que “Proxy Server 3.0”• Véritable Firewall niveau 7• Support transparent de tous les
clients et serveurs• Intégration Active Directory
Stratégies d’Enterprise / de groupes
• Publication de serveurs• Filtres applications extensibles• Filtre SMTP• Démultiplication de flux media• Passerelle H.323• Interface d’administration MMC• Task Pads, assistants• Administration à distance
• Ne nécessite pas IIS (n’est pas une application ISAPI comme Proxy Server 2.0)
• Nouveau mode de stockage du cache (RAM + disque)
• Téléchargement de contenu planifiable
• Intégration VPN• Détection d’intrusion• Double saut SSL• Alertes configurables• Journaux: plusieurs formats,
sélection des champs• Génération de rapports intégré• Contrôle de bande passante
(QoS)• Nouvelles APIs• Installation modulaire• …
Microsoft ISA Server 2000L’accès Internet sécurisé et rapide
Les ressources de l’entreprise des Les ressources de l’entreprise des attaques et intrusions attaques et intrusions via un pare-via un pare-feufeu multicouches certifié multicouches certifié ICSA, ICSA, Common Criteria EAL2Common Criteria EAL2
Les temps d’accès à l’information et Les temps d’accès à l’information et la bande passante utilisée via un la bande passante utilisée via un cache haute performancecache haute performance
L’accès à Internet et au réseau L’accès à Internet et au réseau interne via une gestion centralisée interne via une gestion centralisée des stratégies. Intégration parfaite des stratégies. Intégration parfaite avec Windows 2000 / 2003avec Windows 2000 / 2003
ProtégerProtéger
OptimiserOptimiser
AdministrerAdministrer
AdapterAdapterLe produit aux besoins spécifiques Le produit aux besoins spécifiques via un kit de développement (SDK) via un kit de développement (SDK) et des produits compagnonset des produits compagnons
ISA Server Feature Pack 1
Sécurisation des Sécurisation des serveurs Web et serveurs Web et
Exchange Exchange Outlook Web Outlook Web
AccessAccess
Sécurisation des Sécurisation des serveurs de serveurs de messageriemessagerie
Mise en œuvre Mise en œuvre facilité pour les facilité pour les administrateursadministrateurs
• Extension des fonctionnalités du filtre SMTP • Extension des fonctionnalités du filtre RPC Exchange
(RPC = Remote Procedure Call) • Filtrage applicatif des requêtes Http en mode
publication (Reverse Proxy) avec URLScan 2.5 • Support de l'authentification Web pour RSA SecurID • Support de la délégation d'authentification basique et
RSA SecurID • Assistant de publication pour Outlook Web Access • Assistant de configuration du filtre RPC • Translation des URLS en mode publication (Reverse
Proxy) pour la redirection des requêtes vers des sites internes
Le Feature Pack 1 pour ISA Server 2000 apporte une sécurité accrue par rapport aux pare-feu traditionnels pour le déploiement des serveurs de messagerie et des serveurs Web.
Architecture ISA Server 2000
ClientClientProxy HTTPProxy HTTP
ClientClientSecure NATSecure NAT
ClientClientISA FirewallISA Firewall
ServiceServiceWeb Proxy Web Proxy
ServiceServiceFirewallFirewall
Filtre WEBFiltre WEB
Fil
tra
ge
de
s p
aq
ue
tsF
iltr
ag
e d
es
pa
qu
ets
Filtre tierce partieFiltre tierce partie
Filtre StreamingFiltre Streaming
Filtre SMTPFiltre SMTP
Filtre H.323Filtre H.323
Filtre FTPFiltre FTP
CacheCache
PilotePiloteNATNAT
RedirecteurRedirecteurHTTPHTTP
InternetInternet
Partie 2 - Sécuriser l’accès vers Internet des utilisateurs internes
Les besoins des entreprises connectées vus par l’administrateur• « Je veux contrôler les protocoles réseaux
utilisés par mes utilisateurs »• « Je veux administrer les accès de manière
centralisée et intégrée avec mon infrastructure Windows (domaines NT, Active Directory) »
• « Je veux empêcher mes utilisateurs de télécharger des fichiers illégaux ou dangereux »
• « Je veux qu’Internet soit un outil de travail et empêcher mes utilisateurs de surfer sur le Web là où ils veulent. »
Requête refusée
Oui
NonNon Oui
Oui
Non
Non Oui
Non
Oui
OuiNon
Évaluation de la stratégieavec ISA Server 2000
Récupérer l’objet
Router vers un serveur upstream
Requête client
interneY a t-il une règle Protocole
qui autorise Ia requête ?
Y a-t-il une règle Protocole qui interdise Ia requête ?
Y a t-il une règle Site et Contenu qui autorise
Ia requête ?
Y a t-il une règle Site et Contenu qui interdise
Ia requête ?
Y a t-il un filtre de paquet IP qui interdise
Ia requête ?
Est-ce qu’une règle de routage spécifie un
serveur upstream ?
Stratégie d’accès & Règles
• Une stratégie d’accès = des règles de protocoles + des règles de sites & contenu +
des filtres de paquets IP.
• Ces règles se construisent à partir des éléments de stratégie disponibles : – Destination(s): domaine(s), adresse(s) IP– Planning(s)– Action(s)– Client(s): utilisateur(s)/groupe(s) ou adresse(s) IP– Type(s) de contenu HTTP (mime)– Type(s) de protocole– Bande passante utilisable– Connexion(s) utilisables
• Permet le filtrage des requêtes liées aux protocoles http et https
• Le filtrage se fait en fonction de– La destination: adresse IP (ou plage) ou noms de domaines et
chemins– Le planning– L’origine: (utilisateur/groupe ou adresse IP)– Le type de contenu: (extension de fichiers ou type MIME)
• Types de filtres– Autoriser– Bloquer
• Par défaut, tout accès est bloqué (Secure by default)
Règles de site et contenu
Règles de site et contenu
Les différents types de clients
• Client SecureNAT– Nom bizarre : ne nécessite pas de logiciel client ou de
configuration spéciale– Géré par le service Firewall
• Les requêtes HTTP peuvent être redirigées vers le service Web Proxy si le redirecteur est activé
• Client Firewall– Géré par le service Firewall
• Les requêtes HTTP peuvent être redirigées vers le service Web Proxy si le redirecteur est activé
• Client Web proxy– Géré par le service Web Proxy
• Exemple de client Web proxy : Internet Explorer
Authentification
Client Proxy WebAuthentification dépendante du navigateur et de l’OS.
Client FirewallAuthentification basée sur les crédentiels Windows
Client SecureNATPas d’authentification basée sur l’utilisateur.
Serveur ISAServeur ISA
Résolution DNS• Web proxy client
– ISA Server s’occupe de la requête DNS
• Client SecureNAT– Doit avoir accès à un serveur DNS – ISA Server ne va
pas « proxyser » les requêtes DNS
• Firewall client– ISA Server ou le client font la requête DNS ISA Server
• Dépend des paramètres du fichiers de configuration MSPCLNT.INI
Tableau récapitulatif
Service Pare-feu Service Web proxy
•Création de règles de protocoles pour différents groupes d’utilisateurs
•Création de règles de sites et de contenu pour différents profils d’utilisateurs.
Démonstration
Démonstration
Partie 3 - protection des serveurs et des réseaux d’entreprise vis-à-vis
d’Internet
• La problématique des pare-feu traditionnels• Le besoin des pare-feu niveau applicatifs (niveau 7)• Le modèle ISA Server : pare-feu multicouches • La détection d’intrusion• ISA Server : la publication de serveur la publication Web• Exemple avec Exchange Server
– Publication Web : protection d’Outlook Web Access (OWA)– Publication de serveur : RPC sur Internet et SMTP
Le problème
Le filtrage de paquets & le statefull inspection ne Le filtrage de paquets & le statefull inspection ne sont plus suffisants pour se protéger des attaques sont plus suffisants pour se protéger des attaques
d’aujourd’hui !d’aujourd’hui !
• Les pare-feu traditionnels se focalisent sur le filtrage de paquets et le statefull inspection
• Aujourd’hui, la plupart des attaques contournent ce type de protection (ex: Nimda, Code Red, openssl/Slapper…).
• Les ports et protocoles ne suffisent plus à contrôler ce que font les utilisateurs– Hier, les port 80 et 443 était utilisées pour surfer sur le
Web– Aujourd’hui, ces ports sont utilisés pour la navigation
sur le Web, les Webmail, les messageries instantanées, les Web Services, les logiciels P2P…
InternetInternetVers réseau interneVers réseau interneVers réseau interneVers réseau interne
Firewall niveau Firewall niveau ApplicationApplication
Firewall niveau Firewall niveau ApplicationApplication
Firewall Firewall traditionneltraditionnel
Firewall Firewall traditionneltraditionnel
Les Firewalls niveau Application• Sont nécessaires pour se protéger des attaques
d’aujourd’hui…• …, ils permettent une analyse approfondie du
contenu des paquets réseaux…• …car comprendre ce qu’il y a dans le Payload est
désormais un pré requis
• Filtrage de paquets & stateful inspection• Filtrage au niveau de la couche application
(analyse approfondie du contenu)• Architecture proxy avancée• Produit évolutif et extensible
– Plus de 30 partenaires
http://www.microsoft.com/isaserver/partners/default.asp
ISA Server = pare-feu multi couches
Un des meilleurs pare-feu pour les environnements Microsoft.
Détection d’intrusion
Publication de serveur
1. Le paquet arrive sur l’interface externeSADR = client
Règle pour créer une Règle pour créer une socket sur l’interface socket sur l’interface
externeexterne
2. Le Payload est extrait (et analysé si un filtre applicatif est présent)
3. Le nouveau paquet est créé sur l’interface internenuméro de séquence différent
4. Rajout d’un nouvel entête IP, le paquet est envoyé SADR = client (également possible : SADR = IP interne ISA)
InternetInternet
ISA ServerISA ServerServeur Serveur publiépublié
IPIP npnp payldpayld IPIP npnp payldpayldIPIP npnp payldpayld
Publication de plusieurs serveurs
• Rappel :socket = {IPAddr, port, protocol}
• Différents protocoles– Peuvent utiliser la même adresse IP externe; les numéros de
ports seront différents– {IPAddr, port1, protA} {IPAddr, port2, protB}
• Les mêmes protocoles– Nécessite des adresses IP externes supplémentaires; les
numéros de port sont les mêmes– {IPAddr1, port, protA} {IPAddr2, port, protA}
Publication Web (http/https)
1. Le paquet arrives sur l’interface externeSADR = client
Le listener crée une Le listener crée une socket sur l’interface socket sur l’interface
externeexterne
2. Le Payload est extrait
4. Le nouveau paquet est créé sur l’interface internenuméro de séquence différent
5. Un nouvel entête IP est ajouté. Le paquet est envoyéSADR = adresse IP interne d’ISA Server
3. L’URL est examinée pour déterminer la destination. Le contenu est analysé.
InternetInternet
ISA ServerISA ServerServeur Serveur
Web publiéWeb publié
IPIP npnp payldpayld IPIP npnp payldpayldIPIP npnp payldpayldURLURL
URLScan 2.5 pour ISA Server
• Permet de filtrer les requêtes Web (http et https) entrantes selon des règles définies
• Améliore la protection des attaques basées sur des requêtes web:– Présentant des actions non usuelles (ex: appel d’un .exe)– Contenant un grand nombre de caractères (pour Buffer Overflow)– Encodées avec des caractères alternatifs
• Peut être utilisé en conjonction de l’inspection SSL pour détecter les attaques au dessus de SSL
Web serverWeb serverWeb serverWeb serverISA ServerISA ServerISA ServerISA Server
InternetInternet
clientclientclientclient
Client demande au serveur Client demande au serveur Web l’accès à du contenu Web l’accès à du contenu protégéprotégé
ISA Server transmet les crédentiels ISA Server transmet les crédentiels au serveur protégé ou OWAau serveur protégé ou OWA
Délégation de l’authentification
• Pour l’authentification basique et SecurID
• L’authentification se déroule sur ISA Server– Élimine les multiples boîtes de dialogues d’authentification– Seul le trafic autorisé passe ISA Server– Utilisable par règle de publication Web
ISA Server pré-authentifie les ISA Server pré-authentifie les utilisateurs et journalise leur utilisateurs et journalise leur
activitéactivité
Publication Web & SSLGestion du SSL
• Trois options1. “Passthrough” ou “tunneling”
2. “Terminaison”
3. “Regénération”
• Les options 2 and 3 font références à une fonctionnalité appelé Bridging
Gestion du SSL
Passthrough (Publication de serveur)
InternetInternet ISAISAServerServer
ServeurServeurpubliépublié
IPIP npnp payldpayld IPIP npnp payldpayldIPIP npnp payldpayld
• La charge utile reste chiffrée• Aucune analyse du contenu ici• Peut être utilisé si la politique favorise la
confidentialité par rapport à l’inspection
Gestion du SSL
Terminaison (Publication Web)
InternetInternet ISAISAServerServer
ServeurServeurpubliépublié
IPIP npnp payldpayld IPIP npnp payldpayldIPIP npnp payldpayld
• La charge utile est déchiffrée
• L’analyse du contenu est donc possible
• Utilisée si la politique privilégie l’inpection
• Non sécurisé: données non chiffrées dans le réseau interne
Gestion du SSL
Regénération (Publication Web)
InternetInternet ISAISAServerServer
ServeurServeurpubliépublié
IPIP npnp payldpayld IPIP npnp payldpayldIPIP npnp payldpayld
• La charge utile est déchiffrée• L’analyse du contenu est possible• Utilisée si la politique privilégie l’inpection• La charge utile est re-chiffrée• Sécurisé: données chiffrées même dans le réseau
interne
Stratégie d’accès – Filtrage de paquets
• Les filtres de paquets permettent d’autoriser les trafics depuis ou à destination des interfaces externes
• Ils sont indépendants des règles de protocoles et des règles de publication
• Ce filtrage de paquet doit toujours être activé pour protéger le serveur ISA.
• Le paramétrage par défaut– Bloque tout sauf…
– …certaines requêtes ICMP, et les requêtes DNS sortantes
Exemple de publication de site Web : Outlook Web Access
• Accès universel car :– Tous les ordinateurs disposent d’un navigateur Web– Interface familière aux utilisateurs– OWA 2003 ressemble à Outlook 2003
• Contraintes de sécurité– HTTPS est le protocole
• Détection d’intrusion?• Conforme à la politique sécurité de messagerie?
– OWA 2000 ne propose pas de timeout de session• Corrigé avec OWA 2003
“Architecture classique” OWA• Bon points
–Distinction entre les protocoles utilisés vers le front End et vers le Back End
- Segmentation et protection des réseaux
• Mauvais points–Tunnel HTTPS traversant le pare-feu externe : pas d’inspection
HTTPS est LE protocole universel pour outrepasser et traverser les pare-feu !!!–Nombreux ports ouverts, sur le pare-feu interne, car nécessaire pour l’authentification–Connexion initiale sur OWA possible en anonyme
ExBEExBE ADAD
OWAOWA
Pare-feuPare-feu traditionneltraditionnel
externeexterne
Pare-feuPare-feuinterneinterne
InternetInternet
Améliorer la sécurité d’OWA
• Objectifs de sécurité– Inspecter le trafic SSL– Maintenir la confidentialité– Vérifier la conformité des requêtes HTTP– Autoriser uniquement la construction et le
traitement d’URL connues• Bloquer les attaques par URLs
• Optionnel– Pré authentifier les connections entrantes
Protéger OWA avec ISA – mécanismes (1/2)
• ISA Server devient le “bastion host”– Le service Web proxy
termine toutes les connexions
– Déchiffrer HTTPS– Inspecte le contenu– Inspecte l’URL (avec
URLScan)
Optionnel– Ré encrypte pour envoyer
au serveur OWA
OWAOWA
ISA ServerISA Server
ExchangeExchange ADAD
x36dj23sx36dj23s2oipn49v2oipn49v<a href…<a href…http://...http://...
InternetInternet
Protéger OWA avec ISA – mécanismes (2/2)
• Authentification facile avec Active Directory
• Pré authentification– ISA Server demande à
l’utilisateur ses crédentiels– Vérifie auprès de l’Active
Directory (ou du domaine NT)– Encapsule les informations
dans l’entête HTTP à destination d’OWA
• Évite une seconde saisie !
– Nécessite ISA FP1
OWAOWA
ISA ServerISA Server
ExchangeExchange ADAD
InternetInternet
Le traffic inspecté peut être envoyé au Le traffic inspecté peut être envoyé au
serveur interne re-chiffré ou en clair.serveur interne re-chiffré ou en clair.
URLScan for URLScan for ISA ServerISA Server
URLScan pour ISA Server peut URLScan pour ISA Server peut stopper les attaques Web à la stopper les attaques Web à la
bordure du réseau, même pour bordure du réseau, même pour celles chiffrées avec SSLcelles chiffrées avec SSL
Protéger Outlook Web Access
Firewall Firewall TraditionnelTraditionnel
Firewall Firewall TraditionnelTraditionnel
OWAOWAOWAOWAclientclientclientclient
Le serveur OWA Le serveur OWA demande une demande une
authentification — tout authentification — tout utilisateur Internet peut utilisateur Internet peut
accéder à cet inviteaccéder à cet invite
SSLSSLSSLSSL
Le tunnel SSL traverse le Le tunnel SSL traverse le firewall traditionnel car le firewall traditionnel car le
flux est chiffré…flux est chiffré…
……ce qui permet au ce qui permet au virus et aux vers de virus et aux vers de traverser sans être traverser sans être
détectés…détectés…
……et d’infecter les serveurs internes!et d’infecter les serveurs internes!
Délégation de l’authentification basiqueDélégation de l’authentification basique
ISA Server pré-authentifie les ISA Server pré-authentifie les utilisateurs, éliminant les utilisateurs, éliminant les
boîtes de dialogues multiples boîtes de dialogues multiples et autorise uniquement le trafic et autorise uniquement le trafic
validevalide
URLScan pour ISA ServerURLScan pour ISA Server
SSL ou SSL ou HTTPHTTP
SSL ou SSL ou HTTPHTTP
SSLSSLSSLSSL
ISA Server peut ISA Server peut déchiffrer et inspecter déchiffrer et inspecter
le trafic SSLle trafic SSL
InternetInternetInternetInternet
ISA Server avec ISA Server avec Feature Pack 1Feature Pack 1
ISA Server avec ISA Server avec Feature Pack 1Feature Pack 1
Démonstration : publication OWA
Exchange RPC sur Internet
• Mais pourquoi ???– Beaucoup d’utilisateurs souhaitent ou ont
besoin d’utiliser l’ensemble des fonctionnalités d’Outlook :
• Produits tiers additionnels• Synchronisation de la boîte au lettres• Règles côté client• Carnet d’adresses complet
– La solution VPN est souvent trop coûteuse si il faut satisfaire uniquement ce besoin
Serveur RPC Serveur RPC (Exchange)(Exchange)
Serveur RPC Serveur RPC (Exchange)(Exchange)Client RPC Client RPC
(Outlook)(Outlook)Client RPC Client RPC (Outlook)(Outlook)
Service UUID Port
Exchange {12341234-1111… 4402
Réplication AD {01020304-4444… 3544
MMC {19283746-7777… 9233
Les services RPC obtiennent Les services RPC obtiennent des port aléatoires (> 1024) des port aléatoires (> 1024) lors de leur démarrage, le lors de leur démarrage, le serveur maintient une tableserveur maintient une table
RPC Exchange - Concepts
135/tcp135/tcp
Le client se connecte Le client se connecte au portmapper sur le au portmapper sur le serveur (port tcp 135)serveur (port tcp 135)
Le client connait Le client connait l’UUID du service qu’il l’UUID du service qu’il souhaite utilisersouhaite utiliser
{12341234-1111…}{12341234-1111…}
Le client accède à Le client accède à l’application via le l’application via le port reçuport reçu
Le client demande Le client demande quel port est associé quel port est associé à l’UUID ?à l’UUID ?
Le serveur fait Le serveur fait correspondre l’UUID avec correspondre l’UUID avec le port courant…le port courant…
44024402
Le portmapper répond Le portmapper répond avec le port et met fin à avec le port et met fin à la connexionla connexion
4402/tcp4402/tcp
• Du fait de la nature aléatoire des ports utilisés par les RPC, l’implémentation est difficile via Internet– L’ensemble des 64,512 ports supérieurs à 1024 ainsi que le port
135 doivent être ouverts sur des pare feu traditionnels
Attaques RPC potentielles
• Reconnaissance– NETSTAT– RPCDump
• Denis de service contre le portmapper• Elévation de privilèges ou attaques sur d’autres
services• Blaster !!!!!
Les RPC à nu sur Internet
• Bons points– Facile à mettre en oeuvre
• Mauvais points– Facile à compromettre!– Le pare-feu doit autoriser
tous les trafics sur les ports élevés
– Le pare-feu traditionnel ne peut distinguer ce qui est du trafic Exchange et ce qui n’en est pas.
• Aucune protection contre RPCDump par exemple
InternetInternet
ExchangeExchange
FirewallFirewalltraditionneltraditionnel
Fixer les ports RPC
• Bons points– Toujours facile à implémenter– Ouverture limitée de ports sur
le pare-feu• 135/tcp + 3 ports élevés
• Mauvais points– Toujours facile à attaquer
• Ne stoppe pas les attaques décrites précédemment
– Le pare-feu ne peut toujours pas distinguer ce qui est du trafic Exchange et ce qui n’en est pas
InternetInternet
ExchangeExchange
FirewallFirewalltraditionneltraditionnel
Assistant filtre RPCAccès granulaire aux services RPC
• 2 méthodes supplémentaires de création des définitions des services RPC peuvent être utilisés dans les règles de publication– L’assistant énumère les services disponibles sur un serveur– Les UUID’s peuvent aussi être saisis manuellement
ISA Server:ISA Server:
ISA Server avec ISA Server avec Feature Pack 1:Feature Pack 1:
Exchange Exchange ServerServer
OutlookOutlook ISA ServerISA Server
InternetInternet
Filtre RPC Exchange
• Filtre RPC Exchange pour ISA Server
• Seul le port 135 est ouvert (Portmapper)– Les ports élevés sont ouverts et fermés quand
c’est nécessaire pour les clients Outlook– Inspection au niveau de la couche application
du trafic portmapper• Seuls l’UUID Exchange est autorisé
Exchange Exchange ServerServer
Exchange Exchange ServerServer
OutlookOutlookOutlookOutlook
RPCRPCRPCRPC
Réseau
interne
Réseau
interne
Réseau
externe
Réseau
externe
Filtre RPC Exchange
• Impose un chiffrement RPC– Le chiffrement des RPC Outlook est imposé de manière
centralisée
• Permet également des connexions sortantes RPC– Les clients Outlook derrière ISA Server peuvent désormais
accéder à des serveurs Exchange externes
ISA Server avec ISA Server avec le Feature Pack le Feature Pack
11
ISA Server avec ISA Server avec le Feature Pack le Feature Pack
11
Protection contre les attaques RPC
• Reconnaissance?– NETSTAT net montre que 135/tcp– RPCDump ne fonctionne pas simplement
• DoS contre le portmapper?– Les attaques connues échouent– Les attaques qui fonctionnent laissent Exchange
protégé
• Attaques de service sur Exchange?– L’obtention d’information n’est plus possible– Les connexions entre ISA Server et Exchange vont
échouer tant que les connexions entre ISA et le client ne sont pas correctement formatées
Oui!
Oui!
Oui!
Protection du service SMTP : le filtre SMTP
• Utilise les capacités de filtrage applicatif de ISA Server
• Filtre les messages avec une fiabilité et une sécurité accrue en fonction de plusieurs attributs– Expéditeur– Domaine– Mots clé– Pièces jointes (extension, nom, taille)– Commandes SMTP (y compris taille)
Filtre SMTP
Rappel sur une architecture typique
ExFEExFE SMTPSMTP
ExBEExBE ADAD
InternetInternet
Nouveaux besoins, nouveau design
• Déplacer les serveurs critiques vers l’intérieur pour une meilleure protection
• Ajouter ISA Server à votre DMZ existante
• Augmenter la sécurité en publiant:– OWA sur HTTPS– RPC Exchange– SMTP (filtre de contenu)
ExFEExFE SMTPSMTP
ExBEExBE ADAD
ISA ServerISA Server
InternetInternet
Aucun déploiement Exchange ou IIS n’est Aucun déploiement Exchange ou IIS n’est complet sans la protection d’ISA Server!complet sans la protection d’ISA Server!
• Evaluer– La sécurité de votre architecture Exchange et/ou de
vos serveurs Internet– ISA Server 2000. Version d’évaluation disponible gratuitement sur
http://toolstore.microsoft.fr/gpub/product.asp?dept%5Fid=2&sku=56
• Télécharger le Feature Pack 1 d’ISA Server• Intègrer ISA 2000 dans vos architectures en place• Utiliser les nouvelles sécurités pare-feu conçues
pour aider à protéger Exchange Server et IIS
Que pouvez-vous faire aujourd’hui ?
Questions / Réponses
Pour aller plus loin…• Informations générales:
http://www.microsoft.com/isaserver/ • Pare-feu: Certification ICSA
www.icsalabs.com/html/communities/firewalls/certification/vendors/microsoft/index.shtml
• Pare-feu : Certification Common Criteria Evaluation Assurance Level 2 (EAL 2) http://www.microsoft.com/isaserver/techinfo/deployment/commoncrit.asp
Produits complémentaires:http://www.microsoft.com/isaserver/partners
• Sites partenaires:http://www.isaserver.org http://www.isatools.org
top related