HAFNIUM: EOMT von Microsoft sichert ungepatchte Exchange Server ab
Microsoft stellt das Tool „Exchange On-premises Mitigation Tool (EOMT) zu Absicherung ungepatchter Exchange Server zum Download bereit: https://github.com/microsoft/CSS-Exchange/tree/main/Security EOMT sichert zunächst mittels URL-Rewrite den Exchang…
Exchange On-premises Mitigation Tool (EOMT)
Microsoft stellt mit dem Exchange On-premises Mitigation Tool (EOMT) ein kostenloses Werkzeug bereit, das ungepatchte Exchange-Server kurzfristig gegen bekannte Sicherheitslücken absichern und gleichzeitig auf Anzeichen einer bereits erfolgten Kompromittierung untersuchen kann.
Download:
Was macht EOMT?
Das Tool schützt Exchange-Server zunächst mittels einer IIS URL Rewrite-Regel vor der Schwachstelle CVE-2021-26855 und lädt anschließend automatisch den Microsoft Safety Scanner herunter, um den Server auf bekannte Anzeichen einer Kompromittierung zu überprüfen.
Wichtig ist dabei zu wissen, dass EOMT keine Sicherheitsupdates installiert. Das Tool implementiert lediglich einen Workaround und führt eine Überprüfung des Systems durch. Die eigentlichen Exchange-Sicherheitsupdates müssen anschließend weiterhin installiert werden.
Wann sollte EOMT eingesetzt werden?
Das Tool richtet sich insbesondere an Administratoren, die ihre Exchange-Server nicht sofort aktualisieren können, beispielsweise weil viele Server an verschiedenen Standorten oder bei Kunden betrieben werden.
Neben der temporären Absicherung versucht EOMT außerdem, Spuren bereits erfolgter Angriffe zu erkennen und teilweise zu bereinigen. Es ersetzt jedoch keine forensische Untersuchung eines kompromittierten Systems.
EOMT ersetzt keine Sicherheitsupdates. Jeder verwundbare Exchange-Server muss so schnell wie möglich auf den aktuellen Patchstand gebracht werden.
Auch wenn der Exchange-Server bereits aktualisiert wurde, kann EOMT weiterhin genutzt werden, um nach bekannten Hinweisen auf eine frühere Kompromittierung zu suchen.
Microsoft-Empfehlungen
| Situation | Empfehlung |
|---|---|
| Server wurde weder gepatcht noch abgesichert. | EOMT sofort ausführen und anschließend die aktuellen Exchange-Sicherheitsupdates installieren. |
| Server wurde bereits mit den Microsoft-Workarounds abgesichert. | EOMT trotzdem ausführen und danach den Server vollständig patchen. |
| Server wurde bereits gepatcht, jedoch nicht auf eine mögliche Kompromittierung untersucht. | EOMT ausführen, um vorhandene Hinweise auf einen Angriff zu erkennen. |
| Server wurde gepatcht und bereits vollständig auf Indicators of Compromise (IoCs) geprüft. | Keine weiteren Maßnahmen erforderlich. |
Ausführung
Das Tool wird direkt über PowerShell gestartet und arbeitet anschließend weitgehend automatisch.
Der Exchange-Server benötigt während der Ausführung Zugriff auf das Internet, damit folgende Komponenten heruntergeladen werden können:
- Microsoft Safety Scanner
- IIS URL Rewrite Module
Protokolle
Nach erfolgreicher Ausführung legt EOMT mehrere Protokolldateien im Stammverzeichnis
des Systemlaufwerks (C:\) ab.
Besonders interessant ist die Datei EOMTSummary.txt. Sie enthält
eine Zusammenfassung der durchgeführten Maßnahmen sowie den Speicherort weiterer
Logdateien, die für eine detaillierte Analyse herangezogen werden können.
Fazit
Das Exchange On-premises Mitigation Tool bietet eine sinnvolle Möglichkeit, ungepatchte Exchange-Server kurzfristig besser gegen bekannte Angriffe abzusichern und gleichzeitig nach Spuren einer möglichen Kompromittierung zu suchen.
Es ersetzt jedoch weder die Installation der aktuellen Exchange-Sicherheitsupdates noch eine gründliche Sicherheitsanalyse des gesamten Netzwerks, falls ein erfolgreicher Angriff vermutet wird.
Eigenes IT-Problem?
Nicht jeder Fall passt in einen Tipp
Wenn es bei Ihnen komplizierter wird, übernehmen wir das gerne direkt für Sie.
