Приведенные ниже рекомендации помогут создать более безопасную среду Exchange 2010.

• Делегированная установка   При установке первого сервера Exchange 2010 в организации для запуска программы установки необходимо использовать учетную запись, которая входит в группу администраторов предприятия. Используемая учетная запись добавляется в группу ролей «Управление организацией» (Organization Management), созданную программой установки Exchange 2010. Делегированную установку можно использовать, чтобы разрешить администраторам, которые не входят в группу ролей «Управление организацией», настраивать последующие серверы. Дополнительные сведения см. в разделе Подготовка сервера Exchange Server 2010 и делегирование установки.
  
  
• Разрешения файловой системы   Программа установки Exchange 2010 назначает минимальные требуемые разрешения в файловой системе, в которой хранятся двоичные файлы и данные Exchange. В списки управления доступом (ACL), расположенные в корневых папках и папке Program Files файловой системы, запрещается вносить какие-либо изменения.
  
  
• Пути установки   Двоичные файлы Exchange 2010 рекомендуется устанавливать на несистемном диске (томе, на котором не установлена операционная система). Размеры баз данных и журналов транзакций Exchange могут расти быстрыми темпами, поэтому их необходимо размещать на несистемных томах, поддерживающих изменение размера для дополнительной емкости и производительности. Многие прочие журналы, создаваемые другими компонентами Exchange, например журналы транспорта, также сохраняются по пути установки двоичных файлов Exchange и могут значительно увеличиться в размере, что зависит от конфигурации и параметров среды обмена сообщениями. В системе Exchange 2010 максимальный размер многих файлов журналов, а также максимальное пространство для хранения, занимаемое папкой с файлами журналов, можно настраивать. Указанное значение по умолчанию составляет 250 мегабайтов. Чтобы предотвратить возможные сбои системы вследствие недостаточного места на диске, рекомендуется оценить требования к ведению журналов для каждой роли сервера и настроить параметры ведения журналов и места хранения их файлов в соответствии с существующими потребностями организации.
  
  
• Блокировка прежних версий клиентов Outlook   В зависимости от существующих потребностей организации можно настроить блокировку прежних версий клиентов Outlook. Некоторые компоненты Exchange 2010, например правила защиты Outlook и личные архивы, не поддерживают прежние версии клиентов Outlook. Дополнительные сведения о блокировке клиентских приложений Outlook см. в разделе Настройка блокирования клиентов Outlook для управления записями сообщений.
  
  
• Разделение имен пользователей и SMTP-адресов   По умолчанию система Exchange создает псевдонимы и адреса электронной почты на основе имен пользователей почтовых ящиков. Многие организации создают дополнительную политику адресов электронной почты, чтобы разделить имена пользователей и их адреса электронной почты в целях повышения безопасности. Например, если имя пользователя Ben Smith — bsmith, а домен — contoso.com, основным адресом электронной почты, созданным с помощью политики адресов электронной почты по умолчанию, будет bsmith@contoso.com. Для создания адресов электронной почты, в которых не используется псевдоним или имя пользователя, можно создать дополнительную политику адресов электронной почты. Например, при создании политики адресов электронной почты для использования шаблона %g.%s@domain итоговые адреса электронной почты будут иметь формат Имя.Фамилия@домен. Для пользователя Ben Smith политика создаст адрес Ben.Smith@contoso.com. Можно также отделить адреса электронной почты от имен пользователей. Для этого при создании или активации почтового ящика необходимо указать псевдоним, отличающийся от имени пользователя.
  
  

  Примечание.

  Если основной SMTP-адрес пользователя не соответствует имени участника-пользователя в учетной записи, пользователь не может входить в приложение Microsoft Office Outlook Web App с помощью своего адреса электронной почты, но должен указать для входа имя пользователя в формате ДОМЕН\имя_пользователя. При работе в приложении Microsoft Outlook пользователю необходимо указать свое имя в формате ДОМЕН\имя_пользователя, если при подключении Outlook к службе автообнаружения отображается запрос на ввод учетных данных.

Центр обновления Microsoft — это служба, которая обеспечивает загрузку тех же обновлений, что и Центр обновления Microsoft Windows, а также последних обновлений для других продуктов Microsoft. Она помогает поддерживать сервер максимально защищенным и работающим наилучшим образом.

Ключевой возможностью Центра обновления Microsoft является автоматическое обновление Windows. Этот компонент позволяет автоматически устанавливать критические обновления, необходимые для обеспечения безопасности и надежности вашего компьютера. Без этих обновлений безопасности компьютер значительно менее защищен от атак взломщиков и вредоносных программ.

Наиболее надежным способом использования возможностей Центра обновления Microsoft является автоматическая загрузка обновлений на компьютер с помощью компонента автоматического обновления Windows. Включить автоматическое обновление можно при подписке на использование Центра обновления Microsoft.

При этом система Windows проанализирует установленное на компьютере программное обеспечение Microsoft для определения необходимости установки текущих и пропущенных наиболее важных обновлений, а затем автоматически загрузит и установит их. После этого при подключении к Интернету система Windows повторяет процедуру обновления для поиска новых важных обновлений.

Сведения о включении Центра обновления Microsoft см. в разделе Центр обновления Майкрософт.

Режим работы Центра обновления Microsoft по умолчанию требует, чтобы для получения автоматических обновлений каждый сервер Exchange был подключен к Интернету. Если серверы не подключены к Интернету, можно установить службы Windows Server Update Services (WSUS) для управления распространением обновлений в организации. Затем можно настроить Центр обновления Microsoft на внутренних компьютерах Microsoft Exchange на получение обновлений с внутреннего сервера WSUS. Дополнительные сведения см. в статье Microsoft Windows Server Update Services 3.0 (на английском языке).

Службы WSUS не являются единственным доступным решением по управлению Центром обновления Microsoft. Дополнительные сведения о выпусках, процессах, вариантах связи и средствах Microsoft, созданных для обеспечения безопасности, см. в руководстве Майкрософт по обновлениям для системы безопасности.

Больше не требуется устанавливать или запускать следующие средства.

• Средство обеспечения безопасности URLScan не является обязательным для служб IIS 7. В более ранних версиях Microsoft Exchange распространенной практикой являлась установка средств IIS, таких как URLScan, для обеспечения безопасности установки IIS. Для работы Exchange 2010 требуется ОС Windows Server 2008, в состав которой входят службы IIS 7. Многие функции безопасности, которые изначально были доступны в UrlScan, теперь присутствуют в компонентах фильтрации запросов IIS 7.
  
  
• Больше не требуется устанавливать анализатор соответствия рекомендациям для Exchange. Перед установкой более ранних версий Microsoft Exchange и обычно после нее распространенной практикой являлись установка и запуск анализатора соответствия рекомендациям для Exchange. Программа установки Exchange 2010 содержит компоненты анализатора соответствия рекомендациям для Exchange, запускаемые во время установки. Перед установкой не требуется запускать анализатор соответствия рекомендациям для Exchange.
  
  
• Теперь необязательно использовать мастер настройки безопасности или шаблоны Exchange для него. Программа установки Exchange 2010 устанавливает только службы, необходимые для заданной роли сервера Exchange, и создает правила брандмауэра Windows в режиме повышенной безопасности для открытия только тех портов, которые требуются для работы служб и процессов, связанных с указанной ролью сервера. Для этого больше не требуется использовать мастер настройки безопасности (SCW). В отличие от Exchange Server 2007 версия Exchange 2010 не входит в комплект поставки шаблонов SCW.
  
  

Как упоминалось ранее, рекомендуется использовать Центр обновления Microsoft. Помимо использования Центра обновления Microsoft на всех серверах очень важной задачей является поддержание актуальности программного обеспечения на всех клиентских компьютерах и обновление антивирусных программ на всех компьютерах в организации.

Убедитесь в наличии последних обновлений не только для продуктов Microsoft, но также для всего программного обеспечения, используемого в организации.

В версии Exchange 2010 используется инфраструктура Центра обновления Microsoft для обновления фильтров нежелательной почты. По умолчанию администратору необходимо вручную перейти на веб-сайт Центра обновления Microsoft, чтобы загрузить и установить обновления фильтров содержимого. Новые данные для обновления фильтра содержимого становятся доступными каждые две недели.

Обновления, загруженные вручную с веб-сайта Центра обновления Microsoft, содержат данные службы репутации IP-адресов Microsoft или сигнатуры нежелательной почты. Данные службы репутации IP-адресов Microsoft и сигнатуры нежелательной почты доступны только при использовании автоматического обновления средств защиты от нежелательной почты в составе Forefront Security для Exchange Server.

Дополнительные сведения о включении автоматического обновления средств защиты от нежелательной почты Forefront см. в разделе Общие сведения об обновлениях средства защиты от нежелательной почты.

Вирусы, черви и другое вредоносное содержимое, передаваемое через системы электронной почты, представляют собой реальную опасность, с которой приходится сталкиваться большинству администраторов серверов Microsoft Exchange. Поэтому необходимо разработать и развернуть действенную систему защиты от вирусов для всех систем обмена сообщениями. В этом разделе приведены рекомендации по развертыванию антивирусного программного обеспечения для сервера Exchange 2010.

При выборе поставщика антивирусного программного обеспечения следует уделять особое внимание двум важным изменениям в системе Exchange 2010:

• начиная с версии Exchange Server 2007 сервер Microsoft Exchange основан на 64-разрядной архитектуре;
  
  
• Exchange 2010 содержит функции агента транспорта.
  
  

Принимая во внимание данные изменения, поставщики должны предоставлять антивирусное программное обеспечение, разработанное специально для сервера Exchange 2010. Антивирусное программное обеспечение, предназначенное для более ранних версий Exchange, может работать неправильно в среде Exchange 2010.

Для использования подхода глубокой защиты рекомендуется развертывать антивирусное программное обеспечение, разработанное для систем обмена сообщениями, либо на шлюзе SMTP, либо на серверах Exchange, на которых размещаются почтовые ящики, в дополнение к антивирусному ПО на рабочих компьютерах пользователей.

Решение о том, какой тип антивирусного ПО использовать и где его развертывать, принимается путем поиска компромисса между возможными затратами и предполагаемыми рисками. Например, некоторые организации запускают антивирусное ПО для систем обмена сообщениями на шлюзе SMTP, поиск вирусов на уровне файловой системы на сервере Exchange и клиентское антивирусное ПО на рабочих компьютерах пользователей. Такой подход обеспечивает защиту операций обмена сообщениями в клиентских системах. Другие организации могут позволить себе более высокие затраты и улучшить безопасность, применяя антивирусное программное обеспечение для обмена сообщениями на шлюзе SMTP, защиту на уровне файлов на сервере Exchange и клиентское антивирусное ПО на рабочих местах совместно с антивирусным ПО, поддерживающим программный интерфейс для поиска вирусов (VSAPI) версии 2.5 в системе Exchange на сервере почтовых ящиков Exchange.

Запуск антивирусного программного обеспечения на пограничном транспортном сервере и на транспортном сервере-концентраторе

Антивирусные программы для защиты на уровне транспорта реализуются в системе в качестве агентов транспорта или содержат их. Агенты транспорта действуют по отношению к событиям транспорта почти таким же образом, как и приемники событий в более ранних версиях Microsoft Exchange. Дополнительные сведения см. в разделе Общие сведения об агентах транспорта.

Примечание.
Сообщения, не маршрутизируемые через транспортную службу, например элементы общедоступных папок, элементы папки «Отправленные» и элементы календаря, которые можно проверить только на сервере почтовых ящиков, не защищены функцией поиска вирусов на транспортном уровне.

Сторонние разработчики могут создавать специальные агенты транспорта, использующие преимущества базового механизма анализа MIME для выполнения тщательного поиска вирусов на уровне транспорта. Список партнеров-изготовителей ПО для защиты от вирусов и нежелательной почты в системе Exchange см. на странице независимых поставщиков программных продуктов.

Кроме того, можно использовать службу Forefront Protection для Exchange Server — пакет антивирусного программного обеспечения, который тесно интегрирован с системой Exchange 2010 и обеспечивает дополнительную защиту среды Exchange от вирусов. Дополнительные сведения см. в разделе Microsoft Forefront Protection 2010 для Exchange Server.

Наиболее важным фактором является использование антивирусного программного обеспечения на первой линии защиты организации. Такой «линией» является шлюз SMTP, через который внешние сообщения попадают в среду обмена сообщениями. На сервере Exchange 2010 роль первой линии защиты выполняет пограничный транспортный сервер.

Если для получения входящих сообщений электронной почты до их передачи на сервер Exchange не используется SMTP-сервер или шлюз Exchange, на SMTP-узлах, не являющихся узлами Exchange, следует добавить достаточный объем функций защиты от вирусов и нежелательной почты.

В системе Exchange 2010 все сообщения маршрутизируются через транспортный сервер-концентратор. К ним относятся сообщения, получаемые из внешних источников или отправляемые за пределы организации Exchange, а также сообщения, передаваемые в пределах организации Exchange. Сообщения отправляются в почтовый ящик, расположенный на сервере почтовых ящиков отправителя. Для создания более эффективной защиты от массового распространения вирусов внутри организации и обеспечения второй линии защиты также рекомендуется установить на транспортных серверах-концентраторах антивирусное программное обеспечение для защиты на уровне транспорта.

Запуск антивирусного программного обеспечения на серверах почтовых ящиков

Сервер Exchange Server и антивирусные программы на уровне файловой системы

Использование служб Exchange Hosted Services

В системе Exchange 2010 компонент фильтрации вложений позволяет применять фильтры на уровне пограничных транспортных серверов с целью контроля вложений электронной почты, которые получают пользователи. В современных условиях важность фильтрации вложений постоянно возрастает, так как многие типы вложений содержат вирусы и другое недопустимое содержимое, что может принести существенный ущерб компьютеру пользователя или организации в целом, если будет повреждена важная документация или будут обнародованы секретные сведения.

Для контроля вложений, поступающих в организацию или исходящих из нее через пограничный транспортный сервер, можно использовать следующие типы фильтрации вложений.

Фильтрация на основе имени или расширения имени файла   Фильтрацию вложений можно выполнять с указанием точного имени или расширения имени файла, в отношении которого будет действовать фильтр. Пример фильтра по точному имени файла — BadFilename.exe. Пример фильтра по расширению имени файла — *.exe.

Фильтрация на основе типа содержимого MIME   Фильтрацию вложений можно выполнять с указанием типа содержимого MIME, в отношении которого будет действовать фильтр. Типы содержимого MIME указывают, что представляет собой вложение, например, является ли оно изображением JPEG, исполняемым файлом, файлом Microsoft Office Excel 2010 или относится к другому типу файлов. Типы содержимого представлены в формате тип/подтип. Например, тип содержимого «изображение JPEG» представлен как image/jpeg.

Если вложение соответствует одному из критериев фильтра, в отношении него могут быть выполнены следующие действия:

• блокировка всего сообщения и вложения;
  
  
• отделение вложения с разрешением самого сообщения;
  
  
• автоматическое удаление сообщения и вложения.
  
  

Дополнительные сведения см. в разделе Общие сведения о фильтрации вложений.

Примечание.

Агент фильтрации вложений невозможно использовать для фильтрации вложений на основе их содержимого. Чтобы проверять содержимое сообщений и вложений, а также выполнять такие действия, как удаление, отклонение сообщения либо защита сообщений и вложений с помощью службы управления правами на доступ к данным (IRM), можно использовать правила транспорта. Дополнительные сведения см. в разделе Общие сведения о правилах транспорта.

В число функций фильтрации файлов, предоставляемых решением Forefront Protection для Exchange Server, входят расширенные возможности, недоступные при использовании агента фильтрации вложений, входящего в состав Exchange 2010.

Например, файлы-контейнеры (то есть файлы, содержащие другие файлы) могут проверяться на обнаружение запрещенных типов файлов. Функция фильтрации, имеющаяся в приложении Forefront Protection для Exchange Server, позволяет проверять следующие типы файлов-контейнеров и применять действия к внедренным файлам:

• PKZip (расширение ZIP)
  
  
• GNU Zip (расширение GZIP)
  
  
• Самоизвлекающиеся сжатые файловые архивы (расширение ZIP)
  
  
• Сжатые файлы (расширение ZIP)
  
  
• Архивные файлы Java (расширение JAR)
  
  
• Файлы TNEF (winmail.dat)
  
  
• Файлы в формате структурированного хранилища (расширения DOC, XLS, PPT и т. п.)
  
  
• Файлы MIME (расширение EML0)
  
  
• Файлы SMIME (расширение EML)
  
  
• Файлы UUEncode (расширение UUE)
  
  
• Файлы ленточного архива Unix (расширение TAR)
  
  
• Архивные файлы RAR (расширение RAR)
  
  
• Файлы MACBinary (расширение BIN)
  
  

Примечание.

Агент фильтрации вложений, входящий в состав Exchange 2010, позволяет определять типы файлов даже в том случае, когда файлы переименованы. Фильтрация вложений также позволяет убедиться, что файлы ZIP и LZH не содержат заблокированных вложений. Это обеспечивается за счет проверки совпадения расширений, выполняемой для файлов, сжатых в контейнерах ZIP или LZH. Фильтрация файлов в составе решения Forefront Protection для Exchange Server позволяет определить, переименовано ли заблокированное вложение, которое содержится в файле-контейнере.

Фильтрацию можно также осуществлять по размеру файла. Кроме того, приложение Forefront Protection для Exchange Server можно настроить таким образом, чтобы отправлять отфильтрованные файлы на карантин или производить рассылку почтовых уведомлений по итогам обнаруженных соответствий критериям фильтрации файлов Exchange.

Дополнительные сведения см. в статье Защита организации Microsoft Exchange с помощью Microsoft Forefront Security для сервера Exchange Server.

Анализатор соответствия рекомендациям для Exchange является одним из наиболее эффективных средств, которое можно регулярно использовать для проверки безопасности среды Exchange. Анализатор соответствия рекомендациям для Exchange автоматически проверяет развертывание сервера Microsoft Exchange и определяет соответствие его настройки рекомендациям Microsoft. В версии Exchange 2010 анализатор соответствия рекомендациям для Exchange устанавливается в процессе работы программы установки Exchange и может быть запущен в разделе «Сервис» консоли управления Exchange. При наличии соответствующего доступа к сети анализатор соответствия рекомендациям для Exchange проверяет все серверы доменных служб Active Directory (AD DS) и серверы Exchange. Анализатор соответствия рекомендациям для Exchange включает в себя механизмы проверки наследования разрешений. Кроме того, он проверяет действительность разрешений RBAC. При этом проверяется обеспечение доступа всех пользователей к панели управления Exchange (ECP), правильность настройки всех ролей RBAC по умолчанию, созданных программой установки Exchange, а также наличие по меньшей мере одной учетной записи администратора в организации Exchange.

На транспортных серверах Exchange 2010 параметры регулирования сообщений реализуются на самом сервере и на соединителях отправки и получения с целью контроля скорости обработки сообщений, подключений по протоколу SMTP и значений времени ожидания SMTP-сеансов. В совокупности эти параметры регулирования защищают транспортные серверы от перегрузки в результате приема и доставки большого количества сообщений, а также обеспечивают защиту от подключения незаконных SMTP-клиентов и атак типа «отказ в обслуживании».

На транспортных серверах Exchange 2010 можно настроить следующие политики регулирования с помощью командлета Set-TransportServer.

Параметры регулирования транспортного сервера

На соединителях отправки доступны следующие параметры регулирования. Для настройки этих параметров используется командлет Send-Connector.

Параметры регулирования на соединителе отправки

На соединителях получения транспортных серверов Exchange 2010 можно настроить следующие параметры регулирования для управления такими параметрами подключений, как время ожидания при бездействии, максимальное количество подключений и число ошибок протокола SMTP, разрешенных во время подключения. Для настройки этих параметров используется командлет Set-ReceiveConnector.

Параметры регулирования на соединителе получения

Для службы POP3 Microsoft Exchange на серверах клиентского доступа применяются следующие параметры регулирования. Для настройки этих параметров используется командлет Set-POPSettings. Дополнительные сведения см. в разделе Установка предельного числа подключений для протокола POP3.

Параметры регулирования службы POP3

Для службы IMAP4 Microsoft Exchange на серверах клиентского доступа применяются следующие параметры регулирования. Для настройки этих параметров используется командлет Set-IMAPSettings. Дополнительные сведения см. в разделе Установка предельного числа подключений для протокола IMAP4.

Параметры регулирования службы IMAP4

На сервере Exchange 2010 можно использовать политики регулирования клиентов, чтобы управлять производительностью сервера клиентского доступа путем контроля таких параметров, как число одновременных подключений для каждого протокола клиентского доступа, процент времени, в течение которого в клиентском сеансе можно выполнять операции по протоколу LDAP, а также операции удаленного вызова процедур (RPC) и клиентского доступа. Как правило, политики регулирования клиентов, настроенной по умолчанию, достаточно для управления нагрузкой на серверы клиентского доступа. Можно изменить параметры политики по умолчанию или создать настраиваемые политики, соответствующие требованиям текущего развертывания.

Политики регулирования применяются для следующих групп пользователей и методов доступа:

• анонимный доступ;
  
  
• перекрестный доступ (CPA);
  
  
• Exchange ActiveSync (EAS);
  
  
• веб-службы Exchange (EWS);
  
  
• IMAP;
  
  
• POP;
  
  
• Outlook Web App (OWA);
  
  
• клиентский доступ RPC (RCA).
  
  

В политиках регулирования клиентов для каждой из перечисленных групп пользователей (анонимный доступ и CPA) и методов доступа (EAS, EWS, IMAP, OWA, POP и RCA) применяются следующие параметры регулирования.

Параметры политики регулирования клиентов

CPA   Перекрестный доступ

EAS   Exchange ActiveSync

EWS   Веб-службы Exchange

OWA   Outlook Web App

Помимо указанных параметров регулирования, основанных на группах пользователей и методах доступа, в политике регулирования клиентов доступны следующие параметры регулирования.

Параметры политики регулирования клиентов

Дополнительные сведения о политиках регулирования Exchange 2010 см. в разделе Общие сведения о политиках регулирования клиентов.

В системе Exchange 2010 изменена архитектура хранилища Exchange и подключений клиентов MAPI, например Outlook. Клиенты MAPI подключаются к серверу клиентского доступа, изолируя сервер почтовых ящиков от клиентского трафика. Серверы почтовых ящиков взаимодействуют только с серверами клиентского доступа, использующими протокол RPCSec, а также с серверами доменных служб Active Directory (AD DS) в текущей организации. Для серверов почтовых ящиков не требуется подключение к Интернету.

Хранилище

Высокая доступность

Разрешения и доступ к почтовым ящикам

Для доступа к почтовым ящикам в системе Exchange 2010 к серверам клиентского доступа подключаются следующие клиенты:

• клиенты Outlook, использующие интерфейс MAPI;
  
  
• клиенты Outlook, использующие Outlook Anywhere;
  
  
• веб-браузеры, использующие Outlook Web App;
  
  
• мобильные устройства, использующие Exchange ActiveSync;
  
  
• клиенты POP3 и IMAP4;
  
  
• приложения, использующие веб-службы Exchange (EWS).
  
  

По умолчанию безопасность указанных методов клиентского доступа обеспечивается с помощью зашифрованных путей к данным. Кроме того, по умолчанию клиенты Outlook, подключающиеся к серверу клиентского доступа с помощью интерфейса MAPI, используют шифрование RPC. Безопасность доступа через приложения Outlook Web App, Outlook Anywhere и Exchange ActiveSync обеспечивается с помощью протокола SSL.

Для внешнего клиентского доступа необходимо получить и установить сертификаты, подписанные центром сертификации (ЦС), которому доверяет клиент. Дополнительные сведения см. в разделе Управление протоколом SSL на сервере клиентского доступа.

По умолчанию на серверах клиентского доступа Exchange 2010 службы POP3 и IMAP4 отключены. Если они включены, рекомендуется использовать протокол TLS или SSL для обеспечения безопасности взаимодействия. Дополнительные сведения см. в следующих разделах:

• Общие сведения о протоколах POP3 и IMAP4
  
  
• Настройка протоколов TLS и SSL для доступа к службам POP3 и IMAP4
  
  

При публикации серверов клиентского доступа для внешнего использования рекомендуется применять соответствующие брандмауэры и элементы управления доступом. В состав шлюза Microsoft Forefront Threat Management Gateway (TMG) 2010 входят мастеры публикации, позволяющие быстро и безопасно опубликовать серверы клиентского доступа Exchange 2010 для внешнего использования. Дополнительные сведения см. в статье Forefront Threat Management Gateway (TMG) 2010.

Важно!
Поиск серверов клиентского доступа в сетях периметра не поддерживается.

На серверах клиентского доступа сервер IIS используется для предоставления доступа по протоколу HTTP к таким службам, как Outlook Web App, Exchange ActiveSync, Outlook Anywhere, автообнаружение, панель управления Exchange (ECP), веб-службы Exchange и автономная адресная книга (OAB). Удаленная среда Remote PowerShell (RPS) также использует сервер IIS. При этом все запросы RPS, в том числе запросы консоли управления Exchange, регистрируются в журналах IIS. Журналы IIS могут увеличиваться в размере и занимать большой объем пространства на диске. Службы IIS, являющиеся компонентом Windows Server, не содержат механизма удаления более старых версий журналов на основе размера каталога, в котором хранятся файлы журналов. Журналы IIS рекомендуется переместить на несистемный том, чтобы рост размера файлов журналов не приводил к переполнению системного тома, что может вызвать простои в работе служб. Следует отслеживать рост размера файлов журналов и реализовать механизм архивации или удаления журналов вручную в соответствии с требованиями организации. Дополнительные сведения см. в статье Настройка ведения журнала в службах IIS 7.

Система Exchange 2010 предоставляет две роли транспортного сервера, предназначенные для различных целей.

• Пограничный транспортный сервер   Роль пограничного транспортного сервера выполняет транспортный сервер, не входящий в домен и обычно расположенный в сетях периметра. Он передает сообщения между организацией Exchange и внешними узлами SMTP. Несмотря на то что пограничные транспортные серверы предназначены для сетей периметра, их также можно размещать во внутренней сети и присоединять к домену Служба каталогов Active Directory в качестве рядовых серверов.
  
  
• Транспортный сервер-концентратор   Роль транспортного сервера-концентратора обеспечивает передачу сообщений в организации, в том числе сообщений между серверами Exchange, сообщений от клиентов SMTP, например пользователей, работающих со службами POP3 и IMAP4, а также от серверов приложений и устройств.
  
  

По умолчанию на сервере Exchange 2010 безопасность SMTP-подключения обеспечивается с помощью протокола TLS.

SMTP-соединение между транспортными серверами-концентраторами   Для обеспечения безопасности SMTP-подключений на транспортных серверах-концентраторах в организации Exchange используется протокол TLS. На таких серверах рекомендуется оставить протокол TLS включенным. В системе Exchange 2010 организации, использующие для шифрования по протоколу TLS устройства или оборудование без поддержки Exchange, могут перенести функции шифрования TLS с транспортных серверов-концентраторов на это оборудование. Дополнительные сведения см. в разделе Отключение TLS между сайтами Active Directory для поддержки оптимизации глобальной сети.

SMTP-соединение между транспортными серверами-концентраторами и пограничными транспортными серверами   Весь трафик между пограничными транспортными серверами и транспортными серверами-концентраторами проходит проверку подлинности и шифруется. В качестве механизма проверки подлинности и шифрования используется Mutual TLS. Вместо стандарта X.509 для проверки подлинности сертификатов в системе Exchange 2010 используется прямое доверие. Прямое доверие означает, что наличие сертификата в службе каталогов Служба каталогов Active Directory или службах Служба каталогов Active Directory облегченного доступа к каталогам (AD LDS) подтверждает подлинность сертификата. Использование службы Служба каталогов Active Directory считается доверенным механизмом хранения. Когда используется прямое доверие, не имеет значения, применяется ли самозаверяющий сертификат или сертификат, подписанный центром сертификации. При подписке пограничного транспортного сервера на сайт Служба каталогов Active Directory пограничная подписка обеспечивает публикацию сертификата пограничного транспортного сервера в службе Служба каталогов Active Directory. Транспортные серверы-концентраторы считают опубликованный сертификат действительным. Служба Microsoft EdgeSync обновляет службы Active Directory облегченного доступа к каталогам (AD LDS) на пограничных транспортных серверах, содержащих сертификаты транспортных серверов-концентраторов, которые пограничный транспортный сервер считает действительными.

SMTP-соединение между пограничными транспортными серверами и внешними узлами   В системе Exchange 2010 безопасность SMTP-соединения между пограничными транспортными серверами и анонимными внешними узлами обеспечивается по умолчанию с помощью гибкого протокола TLS. При этом не требуются дополнительные действия по настройке и сертификат, выданный доверенным центром сертификации. Соединители получения обеспечивают согласование протокола TLS для входящих SMTP-подключений. Соединители отправки также пытаются согласовать протокол TLS для всех исходящих SMTP-подключений. Гибкий протокол TLS не обеспечивает выполнения проверки сертификатов и разрешает использование самозаверяющих сертификатов. Дополнительные сведения см. в разделе Функции TLS и связанные термины в Exchange 2010.

Примечание.

По умолчанию транспортные серверы-концентраторы не могут взаимодействовать с внешними узлами SMTP, так как на них отсутствуют соединители получения, разрешающие связь анонимных узлов. Транспортные серверы-концентраторы можно настроить для взаимодействия с анонимными узлами. Дополнительные сведения см. в разделе Настройка потока почты Интернета непосредственно через транспортный сервер-концентратор. Использовать данную топологию не рекомендуется, поскольку она увеличивает угрозу безопасности из-за открытого представления в Интернете сервера Exchange 2010 и всех ролей, установленных на этом сервере. Вместо этого рекомендуется развернуть шлюз SMTP на основе сети периметра, например пограничный транспортный сервер.

SMTP-соединение между пограничными транспортными серверами или транспортными серверами-концентраторами и промежуточными узлами   В системе Exchange 2010 можно настроить соединитель отправки, чтобы маршрутизировать почту (в том числе почту Интернета) для удаленных доменов на шлюз SMTP, который обычно располагается в сети периметра. Несмотря на то что можно создать соединитель отправки для маршрутизации электронной почты на промежуточный узел без выполнения проверки подлинности, для таких соединителей рекомендуется использовать соответствующий метод проверки подлинности. Если используется обычная проверка подлинности, ее рекомендуется выполнять по протоколу TLS. Если выбран вариант с внешним обеспечением безопасности, предполагается, что проверка подлинности выполняется с помощью механизмов, не связанных с сервером Exchange, например по протоколу IPsec. При настройке соединителя с адресом промежуточного узла можно использовать его IP-адрес или имя FQDN. Вместо удобного применения имени FQDN рекомендуется использовать IP-адрес промежуточного узла, так как он обеспечивает защиту от подделки DNS-записей.

Использование безопасности домена для SMTP-соединения с партнерами   В системе Exchange 2010 можно использовать функцию безопасности домена для защиты путей обмена сообщениями с партнерскими доменами. Для шифрования и проверки подлинности во время одного сеанса функция безопасности домена использует протокол Mutual TLS. Для обеспечения проверки подлинности по протоколу Mutual TLS исходный узел и узел назначения проверяют подключение и сертификат по стандарту X.509. Транспортные серверы, взаимодействующие с партнерскими доменами, настроенными для использования функции безопасности домена, требуют сертификат, подписанный доверенной сторонней организацией или внутренним центром сертификации. Если используется внутренний ЦС, список отзыва сертификатов должен быть опубликован и доступен для партнерского узла. Дополнительные сведения см. в следующих разделах:

• Общие сведения о безопасности домена
  
  
• Технический документ: безопасность домена в системе Exchange 2007
  
  

Система Exchange 2010 использует SMTP-порт (TCP-порт 25) по умолчанию для SMTP-подключения. Программа установки Exchange создает требуемые правила брандмауэра Windows в режиме повышенной безопасности, чтобы разрешить взаимодействие через порты по умолчанию. Если указать другой порт для соединителя, система Exchange не изменяет правила брандмауэра и не создает автоматически новое правило для взаимодействия через нестандартный порт. Чтобы разрешить взаимодействие через нестандартные порты, необходимо вручную изменить конфигурацию брандмауэра. При настройке соединителя получения для нестандартного порта также потребуется настроить для его использования клиенты SMTP, отправляющие сообщения соединителю.

В системе Exchange 2010 роль транспортного сервера-концентратора можно расположить на сервере почтовых ящиков Exchange 2010. В эту категорию относится сервер почтовых ящиков, являющийся членом группы обеспечения доступности баз данных. Чтобы изолировать серверы почтовых ящиков от Интернета, не рекомендуется размещать роль транспортного сервера-концентратора на сервере почтовых ящиков, особенно в топологиях, не содержащих развернутых пограничных транспортных серверов. Роль транспортного сервера-концентратора можно располагать на серверах клиентского доступа. При размещении нескольких ролей на одном сервере необходимо соблюдать инструкции по определению размера для каждой роли сервера.

Если для соединителя отправки на транспортном сервере-концентраторе или пограничном транспортном сервере указывается промежуточный узел, рекомендуется использовать IP-адреса вместо полного доменного имени (FQDN) промежуточного узла, чтобы обеспечить защиту от подделки DNS-записей и спуфинга. Это также минимизирует влияние любых простоев службы DNS в транспортной инфраструктуре. DNS-серверы, используемые в сетях периметра, должны применяться только для разрешения исходящего трафика. DNS-серверы сети периметра могут содержать записи для транспортных серверов-концентраторов. Кроме того, можно использовать файлы узлов на пограничных транспортных серверах, чтобы избежать создания записей для транспортных серверов-концентраторов на DNS-серверах, расположенных в сетях периметра.

Помимо действий, описанных в этом разделе, следует рассмотреть использование достаточных ограничений размера сообщений на соединителях, а также параметры регулирования сообщений на транспортных серверах. Дополнительные сведения см. в следующих разделах:

• Общие сведения об ограничениях размера сообщения
  
  
• Общие сведения о регулировании количества сообщений
  
  

При планировании развертывания роли сервера единой системы обмена сообщениями необходимо учитывать различные каналы связи, используемые этой системой для взаимодействия со шлюзами IP или IP-УАТС.

По умолчанию при создании абонентской группы единой системы обмена сообщениями взаимодействие будет осуществляться в небезопасном режиме. Кроме того, серверы единой системы обмена сообщениями, связанные с соответствующей абонентской группой, будут отправлять и получать данные со шлюзов IP, IP-УАТС и других компьютеров Exchange 2010 без шифрования. В небезопасном режиме каналы данных протокола RTP и сигнальные данные SIP не шифруются.

Сервер единой системы обмена сообщениями можно настроить на использование протокола Mutual TLS, чтобы шифровать трафик SIP и RTP, передаваемый другим устройствам и серверам и получаемый от них. Когда сервер единой системы обмена сообщениями добавляется в абонентскую группу этой системы и группа настраивается на использование режима с защитой SIP, будет шифроваться только сигнальный трафик SIP, а каналы данных протокола RTP по-прежнему будут использовать протокол TCP. Трафик TCP не шифруется. Однако когда сервер единой системы обмена сообщениями добавляется в абонентскую группу этой системы и группа настраивается на использование безопасного режима, шифруются как сигнальный трафик SIP, так и каналы данных протокола RTP. Защищенный сигнальный канал данных, использующий протокол SRTP, также применяет протокол Mutual TLS для шифрования данных VoIP.

Если используемый шлюз IP или IP-УАТС поддерживает протокол IPsec, можно с его помощью обеспечить безопасность связи между сервером единой системы обмена сообщениями и шлюзом IP или IP-УАТС.

Дополнительные сведения см. в разделе Общие сведения о безопасности VoIP единой системы обмена сообщениями.

Кроме того, единая система обмена сообщениями отправляет текстовые сообщения, например уведомления о пропущенных вызовах, и сообщения голосовой почты на транспортные серверы-концентраторы. По умолчанию такое взаимодействие выполняется по протоколу SMTP с использованием шифрования TLS.

Политику почтовых ящиков единой системы обмена сообщениями можно настроить для доступа без использования ПИН-кода. Это позволяет вызывающей стороне получить доступ к голосовой почте без необходимости ввода ПИН-кода на основе идентификатора вызова CallerID. Спуфинг идентификатора CallerID маловероятен. Не рекомендуется включать доступ без ПИН-кода для голосовой почты. Кроме того, рекомендуется проверить параметры ПИН-кода по умолчанию и настроить их в соответствии с требованиями по безопасности в организации. Для политики почтовых ящиков единой системы обмена сообщениями можно настроить следующие параметры с помощью командлета Set-UMMailboxPolicy.

Параметры управления ПИН-кодами пользователей для доступа к голосовой почте

На сервере Exchange 2010 сообщения голосовой почты можно пометить в качестве защищенных. Сообщения голосовой почты защищаются с помощью функции управления правами на доступ к данным (IRM). Настроить параметры защиты голосовой почты можно с помощью указанного ниже параметра в политике почтовых ящиков единой системы обмена сообщениями. Дополнительные сведения см. в следующих разделах:

• Общие сведения о защищенной голосовой почте
  
  
• Общие сведения об управлении правами на доступ к данным
  
  

Параметры защищенной голосовой почты

Важно!
Чтобы серверы единой системы обмена сообщениями продолжали отвечать на вызовы, необходимо предоставить им доступ к службе каталогов Служба каталогов Active Directory. Для этого рекомендуется отслеживать доступность службы Служба каталогов Active Directory.

• Общие сведения о функциях защиты от нежелательной почты и вирусов
  
  
• Управление средствами защиты от нежелательной почты и вирусов
  
  
• Командлеты защиты от нежелательной почты
  
  

• Общие сведения о сертификатах TLS
  
  
• Управление сертификатами TLS
  
  
• Управление протоколом SSL на сервере клиентского доступа
  
  
• Настройка SSL для Exchange ActiveSync
  
  
• Настройка SSL для мобильного Outlook
  
  
• Настройка протоколов TLS и SSL для доступа к службам POP3 и IMAP4
  
  
• Настройка виртуальных каталогов Outlook Web App для использования протокола SSL
  
  
• Создание нового сертификата Exchange
  
  
• Импорт сертификата Exchange
  
  
• Просмотр свойств сертификатов Exchange
  
  
• Назначение служб сертификату
  
  

• Настройка проверки подлинности для Exchange ActiveSync
  
  
• Настройка проверки подлинности для POP3 и IMAP4
  
  
• Настройка проверки подлинности на основе форм для Outlook Web App
  
  
• Настройка стандартных методов проверки подлинности для Outlook Web App
  
  

• Управление безопасностью Outlook Web App
  
  
• Настройка виртуальных каталогов Outlook Web App для использования протокола SSL
  
  
• Настройка проверки подлинности на основе форм для Outlook Web App
  
  
• Настройка стандартных методов проверки подлинности для Outlook Web App
  
  
• Настройка Outlook Web App для использования со службами федерации Active Directory
  
  
• Outlook Web App и S/MIME
  
  

• Управление безопасностью в Outlook Anywhere
  
  

• Управление безопасностью POP3 и IMAP4
  
  
• Настройка проверки подлинности для работы с протоколом POP3
  
  
• Настройка проверки подлинности для протокола IMAP4
  
  
• Настройка протоколов TLS и SSL для доступа к службам POP3 и IMAP4
  
  

• Справочник по разрешениям развертывания Exchange 2010
  
  
• Общие сведения об управлении доступом на основе ролей
  
  
• Общие сведения о разделенных разрешениях
  
  
• Общие сведения о совместимости разрешений с Exchange 2003
  
  
• Общие сведения о сосуществовании разрешений в Exchange 2007
  
  
• Общие сведения о разрешениях при использовании нескольких лесов
  
  
• Разрешения на функции
  
  
• Управление администраторами и специалистами
  
  
• Управление конечными пользователями
  
  
• Роли управления и записи ролей
  
  
• Области применения ролей управления
  
  
• Назначения ролей управления
  
  
• Управление разделенными разрешениями
  
  
• Разрешения на управление серверами почтовых ящиков
  
  
• Обеспечение безопасности серверов единой системы обмена сообщениями
  
  

• Общие сведения о безопасности домена
  
  
• Включение инфраструктуры открытых ключей на пограничном транспортном сервере для безопасности домена
  
  
• Использование безопасности домена: настройка протокола MTLS
  
  
• Проверка инфраструктуры открытого ключа и конфигурации прокси-сервера
  
  

• Общие сведения об управлении правами на доступ к данным
  
  
• Общие сведения о ведении журнала
  
  
• Защита отчетов журнала
  
  
• Общие сведения об управлении записями обмена сообщениями
  
  
• Общие сведения о тегах и политиках хранения
  
  
• Общие сведения о поиске по нескольким почтовым ящикам
  
  
• Общие сведения о ведении журнала аудита почтовых ящиков
  
  
• Управление ведением журнала аудита почтовых ящиков
  
  

• Общие сведения о федерации
  
  
• Доверенные корневые центры сертификации для доверия федерации