IT Showcase: Messaging Hygiene at Microsoft Technical White Paper
Werbung
Messaginghygiene bei Microsoft Wie sich Microsoft IT vor Spam, Viren und E-Mail-Angriffen schützt Technisches Whitepaper Veröffentlicht: April 2006 INHALT Zusammenfassende Darstellung ....................................................................................... 3 Einführung ........................................................................................................................... 6 Übersicht über die Netzwerk- und Messaginginfrastruktur von Microsoft 6 Die frühere Messaginghygieneinfrastruktur 7 Die aktuelle Messaginghygieneinfrastruktur 9 Antispam und Antiphishing................................................................................................ 11 Intelligenter Nachrichtenfilter 11 Weitere Spamabwehrmöglichkeiten 14 Virenschutz .......................................................................................................................... 16 Architektur 16 Richtlinien für ankommende und ausgehende E-Mails 18 SMTP-Routingserver von Exchange Server 2003 SP2 19 Vor- und Nachteile von Virenüberprüfungen auf Datei- und Messagingebene 22 Antivirenmaßnahmen auf Clientebene 22 Andere Messaginghygienetechnologien ........................................................................... 24 Verbindungsfilterung 24 Absenderfilterung 26 Filtern absenderloser Nachrichten 27 Empfängerabgleich 27 Empfängerfilterung 27 Eingeschränkte Verteilergruppen 28 Unterdrückung der Auflösung des angezeigten Absendernamens 28 Bewährte Methoden ............................................................................................................ 29 Schlussbemerkung ............................................................................................................. 32 Weitere Informationen ........................................................................................................ 33 Situation Messagingumgebungen von Unternehmen werden durch die Zunahme von Spam, Viren und anderer Malware, die in E-Mails über das Internet verschickt wird, erheblich belastet. Teilweise droht eine Überlastung der Messagingressourcen. Wenn diese Bedrohungen nicht ernst genommen werden, können die Messagingumgebungen von Unternehmen und unter Umständen das gesamte Unternehmensnetzwerk Sicherheitsverletzungen zum Opfer fallen. ZUSAMMENFASSENDE DARSTELLUNG Die wachsende Bedrohung durch unerwünschte E-Mails (Spam), Viren, Phishing und bösartige Software (Malware) aus dem Internet ist für Microsoft genauso beunruhigend wie für jedes andere Unternehmen. In den letzten Jahren hat sich die Problematik derart verstärkt, dass jedes Unternehmen mit Verbindung ins Internet Vorkehrungen gegen solche Angriffe treffen muss. Dabei ist die Bedrohung nicht mehr nur auf die eigentliche E-Mail beschränkt, sondern betrifft auch andere E-Mail-bezogene Bedrohungen. Denial-of-ServiceAngriffe (DoS) auf SMTP-Ebene (Simple Mail Transfer Protocol), gezieltes Mailbombing zum Überlasten des Messagingsystems durch die hohe E-Mail-Anzahl und Directory-HarvestAngriffe, bei denen in großem Umfang versucht wird, an gültige E-Mail-Adressen heranzukommen, gehören zu dieser Art von Bedrohung. Lösung Microsoft IT begegnet dem Ansturm von Spam und Malware mit einem Mehrebenenkonzept. Dieses sorgt dafür, dass nur wenige E-Mails die äußere Netzwerkgrenze überwinden können. Mithilfe verschiedener Überprüfungs- und Filtermechanismen schafft es Microsoft IT, Spam und Malware zu entfernen und gleichzeitig die Zahl der fälschlicherweise als Spam klassifizierten Mails (FalschPositive) auf ein Minimum zu reduzieren. Exchange Server 2003 SP2 verfügt über mehrere Technologien zur Bewältigung dieser Vorgehensweise, die den Vorgang für Messagingadministratoren vereinfachen. Vorteile Durch das Überprüfen auf Spam an der äußeren Netzwerkgrenze muss netzwerkintern wesentlich weniger Messaginginhalt verarbeitet und gespeichert werden. Wenn Anhänge entfernt werden und nach Malware gescannt wird, bevor Mails an den Posteingang weitergeleitet werden, verringert sich für den Benutzer die Bedrohung erheblich. Durch einen weiteren Scanvorgang auf der Clientebene werden die Bedrohungen durch Malware und nachteilige Auswirkungen auf die Mitarbeiterproduktivität weiter reduziert. So erübrigt sich das Sichten der E-Mails und das Löschen von Spam-Mails. Produkte und Technologien Microsoft Exchange Server 2003 SP2 Microsoft Office Outlook 2003 Intelligenter Nachrichtenfilter in Microsoft Exchange Sender ID (Absenderkennung) Echtzeit-Sperrlisten Verbindungsfilterung Absender- und Empfängerfilterung Antivirusscanner Microsoft Windows Server 2003 Outlook Web Access Vor 1998 gab es nur wenige oder überhaupt keine Tools zum Schutz vor Spam, Viren und anderen E-Mail-Angriffen, weil das Problem praktisch nicht existent war. Vom heutigen Internet ausgehend ist die Microsoft IT-Gruppe (Microsoft Information Technology) überzeugt, dass es unumgänglich ist, viele Schutzmechanismen einzusetzen. Dabei kommen auf mehreren Ebenen der Messagingumgebung, vom Gateway bis zum Client, MicrosoftProdukte, Sperrlisten von Drittanbietern und Sybari-Virenscanner zum Einsatz. Microsoft IT verwendet den Begriff Messaginghygiene als Bezeichnung für alle verwendeten Schutzmechanismen gegen diese und ähnliche Bedrohungen. Seit 1998 wurden von Microsoft IT in allen Bereichen der Microsoft® Exchange-Infrastruktur verschiedenste Messaginghygienefunktionen eingesetzt. Durch die neuesten Verbesserungen an der Architektur der Antivirus- und Antispamsysteme konnte Microsoft IT fast 50 % der Server konsolidieren, auf denen diese Funktionen in der Umgebung ausgeführt werden. Neben Architekturänderungen wurden von Microsoft IT zusätzlich noch die Sicherheitsmaßnahmen für die Internet-Mailgateway- und die Clientebene verstärkt. Auf diese Weise konnten die Betriebskosten trotz besserem Schutz vor bösartigen und unerwünschten E-Mails gesenkt werden. Dabei wurden die Messaginghygienefunktionen von Microsoft Exchange Server 2003, dem Servermessagingprodukt von Microsoft, eingesetzt, um die Antivirus- und Antispamfunktionen zu intensivieren, für die zuvor E-Mail-Scansoftware von Drittanbietern verwendet wurde. Unter anderem wurden die folgenden Features von Microsoft IT implementiert: Verbindungsfilterung über Echtzeit-Sperrlisten von Drittanbietern, die bekannte Spamversender enthalten Absender- und Empfängerfilterung und Empfängerabgleich Intelligenter Nachrichtenfilter von Microsoft Exchange, eine inhaltsbasierte Spamfiltersoftware Von Microsoft IT wurde diese Messaginginfrastruktur auf Exchange Server 2003 Service Pack 2 (SP2) aktualisiert. Microsoft Exchange Server 2003 SP2 wird für den verbesserten Spamschutz und zum Bereitstellen einer sicheren und zuverlässigen Messagingumgebung eingesetzt. Unter anderem wurden folgende Verbesserungen erreicht: Aktualisierter und integrierter intelligenter Nachrichtenfilter Sender ID-E-Mail-Authentifizierungsprotokoll Verbesserter intelligenter Nachrichtenfilter mit Phishingfiltersoftware Messaginghygiene bei Microsoft Seite 3 Als dieses Whitepaper verfasst wurde, wurden durchschnittlich jeden Tag zwischen 10 und 12 Millionen Nachrichten aus dem Internet an die E-Mail-Gateways von Microsoft IT gesandt. Der Mehrebenenansatz zur E-Mail-Filterung sieht vor, dass mehrere Mechanismen zum Analysieren ankommender E-Mails eingesetzt werden und dass bei jeder Ebene weniger Spam durchkommt. Die nachfolgenden Filterschritte verdeutlichen die Wirksamkeit der EMail-Filterebenen von Microsoft IT vom Zeitpunkt dieser Veröffentlichung an. Die Prozentangaben beziehen sich auf das durchschnittliche Tagesvolumen. 1. Die Verbindungsfilterung blockiert etwa 80 % aller ankommenden SMTP-Nachrichten. Diese Verbindungen stammen aus bekannten Spamquellen, die in Echtzeit-Sperrlisten von Drittanbietern aufgelistet sind. 2. Durch Absender- und Empfängerfilterung werden etwa 70 % der nach der Verbindungsfilterung übrig gebliebenen Nachrichten gelöscht. 3. Durch Verbindungs-, Absender- und Empfängerfilterung werden etwa 95 % der Nachrichten als Spam gelöscht. Der intelligente Nachrichtenfilter weist 6 % der restlichen Mails als Spam zurück. Nach der Filterung werden die verbliebenen E-Mails der Virenüberprüfung unterzogen. Nicht beanstandete E-Mails werden für den Benutzerzugriff an die Postfachserver weitergeleitet. Auf E-Mail-Clients wird ebenfalls Filtersoftware ausgeführt, wodurch sich die Spammenge, die beim Benutzer ankommt, weiter verringert. Wie in dargestellt, überstehen im Schnitt nur etwa 5 % der ankommenden Internet-E-Mails alle Filterebenen. Abbildung 1: Wirksamkeit der Spamfilterung bei ankommenden Internet-E-Mails Messaginghygiene bei Microsoft Seite 4 Bei früheren Spam- oder Virenangriffen traf bis zum Vierfachen des normalen täglichen EMail-Volumens bei Microsoft IT ein. Mit den aktuellen Schutzebenen wird dagegen die Messagingumgebung so gut geschützt, dass die Auswirkungen auf die Benutzer minimal oder nicht spürbar sind. Die Microsoft IT-Gruppe erhält jeden Tag Anfragen zu den verwendeten Methoden gegen Spam-, Phishing-, Viren- und E-Mail-Angriffe auf die Messaginginfrastruktur. Dieses Dokument gewährt einen Einblick in die Strategien, Verfahren und Herausforderungen, die Teil der Bekämpfung dieses wachsenden Problems sind. Das Whitepaper beschäftigt sich auch intensiv mit den Erfahrungen von Microsoft IT mit den Features von Exchange Server 2003 und Exchange Server 2003 SP2 wie z. B. dem intelligenten Nachrichtenfilter und der Sender ID zum Ausfiltern unerwünschter E-Mails und zur Erkennung von Phishing-Exploits. Das Dokument wendet sich vor allem an Microsoft-Kunden, die in einer verteilten Umgebung auf Exchange Server 2003 oder Exchange Server 2003 SP2 aktualisieren möchten oder diese bereits einsetzen und die den Zufluss von Spam- und bösartigen E-Mails in die Messaginginfrastruktur ihres Unternehmens einschränken möchten. Dabei richten sich die Ausführungen insbesondere an Entscheidungsträger mit unternehmerischer, wirtschaftlicher und technischer Verantwortung sowie an IT-Architekten und Produktionsleiter, die für die Verwaltung des Internet-E-Mail-Verkehrs ihrer Infrastrukturen verantwortlich sind. Die hier beschriebenen Konzepte basieren überwiegend auf Technologien von Exchange Server 2003 SP2, aber Sie finden hier auch Informationen für Umgebungen mit früheren Versionen von Exchange. Hinweis: Weitere Informationen zu Antispamfeatures von Exchange Server 2003 SP2 finden Sie unter http://msdn.microsoft.com/library/default.asp?url=/library/ en-us/e2k3/e2k3/ast_anti_spam.asp (in englischer Sprache). Messaginghygiene bei Microsoft Seite 5 EINFÜHRUNG Die Verbreitung von Spam, Phishing und bösartigem Code (einschließlich Viren, Würmern, Trojanern, Makros, Skripts und nicht autorisierten ActiveX®-Steuerelementen) stellt weiterhin eine wachsende Gefahr für jeden dar, der das Internet oder E-Mails nutzt. Von Identitätsdiebstahl durch Domainspoofing im persönlichen Bereich bis hin zu bösartigen, geplanten Angriffen auf Organisationen, Unternehmen und Behörden ist heute kein Benutzer von der Sicherheitsbedrohung durch E-Mails ausgenommen. Wie viele andere große Unternehmen ist auch Microsoft ein Ziel für Sicherheitsbedrohungen. Daher ist Microsoft IT auch permanent darauf bedacht, seine Ressourcen, vom Rechenzentrum bis hin zum Desktopcomputer, zu schützen. Dabei geht Microsoft IT das Problem proaktiv an und überarbeitet seine Strategien, Implementierungen und Verfahren zur Abwehr von Spam-, Viren- und anderen E-Mail-Angriffen fortlaufend. Die Auswirkungen von Spam, Phishing, Domainspoofing-, Viren- und anderen E-MailAngriffen auf Unternehmen sind beträchtlich. Für Unternehmen, die auf derartige Angriffe nicht vorbereitet sind, kann dies katastrophale Folgen haben. Spam ist nicht mehr nur lästig, sondern auch kostspielig, und das nicht nur in finanzieller Hinsicht, sondern auch in Bezug auf Verarbeitungszeit, Bandbreitennutzung, Verwaltung und Ressourcenauslastung. So verursachen Viren und andere E-Mail-Angriffe im günstigsten Fall vermehrt Ausfallzeiten und gefährden im schlimmsten Fall die entscheidenden Ressourcen und das unverzichtbare geistige Eigentum eines Unternehmens. Übersicht über die Netzwerk- und Messaginginfrastruktur von Microsoft Wie sich die Messaginghygienestrategie von Microsoft IT schrittweise entwickelte, erschließt sich am ehesten, wenn die Größe und der Umfang des Microsoft-Netzwerks und der zugehörigen Messaginginfrastruktur klar ist. Das Unternehmensnetzwerk von Microsoft ist eines der größten Computernetzwerke der Welt. Es besteht aus zahlreichen, weltweit verteilten regionalen Teilnetzwerken und umfasst die folgenden Komponenten: Drei Unternehmensrechenzentren (Enterprise Data Centers) 19 weltweit verteilte regionale Rechenzentren Über 300 Niederlassungen in ca. 230 Städten in 77 Ländern Über 3300 IP-Teilnetze Über 2000 Router Weltweit über 10.000 Server Über 350.000 LAN-Anschlüsse Damit alle Vorteile dieser enormen Netzwerkinfrastruktur genutzt werden können, bedarf es einer komplexen Messagingumgebung mit 80 Exchange Server 2003 SP2-Servern an weltweit sieben Standorten. 36 dieser Exchange-Server werden als Postfachserver mit Microsoft Windows Server™ 2003 betrieben. Die Postfachserver sind mit wenigen Ausnahmen als Cluster konfiguriert. Messaginghygiene bei Microsoft Seite 6 Die Verwaltung dieser Messaginginfrastruktur erfordert erheblichen Aufwand. Die Infrastruktur unterstützt für die etwa 92.000 Mitarbeiter ca. 116.000 Postfächer mit jeweils mindestens 200 MB verfügbarem Speicher. Global werden durchschnittlich über 12 Millionen Nachrichten pro Tag transportiert, von denen 3 Millionen interne E-Mails sind. Täglich werden dabei ca. 95 % der aus dem Internet kommenden E-Mails als Spam, vireninfiziert oder ungültig adressiert ausgefiltert. Der Ansatz von Microsoft IT zum Schutz der Messagingumgebung wird dabei permanent weiterentwickelt. Die offensichtlichsten Gründe liegen in der gewaltigen Zunahme von Spam und Viren im Internet und in der sich ständig ändernden Natur der Bedrohung über E-Mails. Unternehmen müssen beim Zuweisen von Ressourcen zu diesem Problembereich immer wachsamer, flexibler und reaktionsschneller agieren. Microsoft IT ist überzeugt, dass ein Mehrebenenansatz für die Messaginghygiene unerlässlich ist. Eine einzelne Methode reicht einfach nicht aus, um den mit Internet-E-Mails verknüpften Risiken ausreichend zu begegnen. Der Einsatz verschiedener Methoden zum Filtern von Spam und Viren an mehreren Standorten eines Netzwerks bietet mehrere Schutzebenen und ist unerlässlich für den Aufbau einer umfassenden Schutzmaßnahme. Ein weiterer Grund für die permanente Weiterentwicklung des Messaginghygieneansatzes von Microsoft IT ist in der Natur der Produktionsumgebung zu suchen. Microsoft IT verwendet in der Produktion häufig unveröffentlichte Beta-Versionen von Microsoft-Software. Auf diese Weise versorgt Microsoft IT die Produktionsgruppe bereits in einem frühen Entwicklungsstadium mit hilfreichem Feedback und trägt dazu bei, dass das Produkt bei der Veröffentlichung den Kunden mit höherer Qualität erreicht. Ein Beispiel für diese Vorgehensweise ist der Einsatz des intelligenten Nachrichtenfilters durch Microsoft IT in der Produktion, bevor er für Kunden verfügbar gemacht wurde. Hinweis: Weitere Informationen zum intelligenten Nachrichtenfilter finden Sie unter http://www.microsoft.com/exchange/imf (in englischer Sprache). Die Verwendung unveröffentlichter Software stellt Microsoft IT vor einzigartige, aber nicht unüberwindbare Herausforderungen in Bezug auf die verwendeten Strategien und Softwarelösungen von Drittherstellern sowie in Bezug auf die Serververwaltung selbst. Die frühere Messaginghygieneinfrastruktur Von 1999 bis Juni 2004 wurde von Microsoft ein dreistufiger Ansatz bei der Internet-E-Mailund Messaginghygienearchitektur verwendet. Die Topologie beruhte auf drei Servergruppen. Die Server jeder Gruppe waren für die Spam-, Viren- und Inhaltsfilterung sowie für das Routing von Internet-E-Mails verbunden. Wie in dargestellt, mussten ankommende InternetE-Mails zunächst alle Server der Gruppe durchlaufen, bevor Sie an die ExchangePostfachserver weitergeleitet wurden. Messaginghygiene bei Microsoft Seite 7 Abbildung 2: Messaging-Infrastruktur von Microsoft vor Juli 2004 Unmittelbar vor Juli 2004 bestand die erste Serverebene am äußersten Rand des Netzwerks aus Exchange Server 2003-Gateways. Auf der ersten Ebene wurde die Absender- und Empfängerfilterung durchgeführt. Der intelligente Nachrichtenfilter und eine Antispamlösung eines Drittherstellers blockierten Spamnachrichten aus dem Internet. Alle nicht als Spam erkannten Nachrichten wurden zur Virenüberprüfung an die dafür dedizierten SMTP-Server der nächsten Ebene weitergeleitet. Im Anschluss an die Virenüberprüfung wurden alle virenfreien Nachrichten von der zweiten an die dritte Serverebene weitergeleitet, die aus Exchange-Servern bestand, die als SMTP-Routingserver konfiguriert und für die interne Nachrichtenweiterleitung zuständig waren. Von der dritten Ebene wurden die Nachrichten schließlich an die Exchange-Postfachserver weitergeleitet, auf denen die E-Mail-Clients auf die Nachrichten zugreifen konnten. Zum Zeitpunkt der Implementierung dieser Architektur wurden von Microsoft IT Dritthersteller von Antispam- und Antivirussoftware evaluiert. Lösungen, die die Anforderungen erfüllten (und die anfangs auf Microsoft Exchange 2000 Server und Microsoft Windows® 2000 Server ausgeführt wurden), wurden ausgewählt. Diese Architektur war zwar bei der Bekämpfung der Bedrohungen durch Internet-E-Mails einige Jahre lang erfolgreich, aber die fortschreitende Entwicklung bei den Bedrohungen und die Erweiterungen der Exchange Server-Plattform veranlassten Microsoft IT, die vorhandene Architektur nach und nach anzupassen. Dabei wurden von Microsoft IT die folgenden Ziele verfolgt: Senkung der Gesamtbetriebskosten (TCO) der Umgebung durch die Integration der Virenüberprüfung in die Gatewayplattform von Exchange Server 2003 SP2 Homogenität des Internet-E-Mail-Transports und Nachrichtenrouting ohne SMTP-Server von Drittherstellern Messaginghygiene bei Microsoft Seite 8 Integration der Lösung in andere Funktionen von Exchange Server 2003 SP2 wie z. B. SCL (Spam Confidence Level) Vereinfachen der Routingtopologien von Microsoft IT für Internet-E-Mails Erstellen einer skalierbaren Gatewayplattform mit integrierter Messaginghygiene auf Grundlage von Exchange Server 2003 SP2 Die aktuelle Messaginghygieneinfrastruktur Mit der in dargestellten aktuellen Infrastruktur für Internet-E-Mails und für die E-MailÜberprüfung wurden von Microsoft IT die Zielsetzungen für die Messaginghygiene verwirklicht. Durch die Entscheidung für Exchange Server 2003 (später aktualisiert auf Exchange Server 2003 SP2) als Plattform für die Antivirusfunktionen auf Gatewayebene konnten von Microsoft IT die Gesamtbetriebskosten durch die Einsparung dedizierter Server für die Virenüberprüfung unmittelbar gesenkt werden. Durch die Exchange Server 2003 SP2Plattform konnte Microsoft IT eine neue Antiviruslösung eines Drittherstellers auswählen, die dem Integrationsansatz folgt und den systemeigenen SMTP-Stack von Exchange verwendet. Abbildung 3: Messaginginfrastruktur von Microsoft IT seit Juli 2004 Exchange Server 2003 SP2 verstärkt die Spamabwehr mithilfe der folgenden Erweiterungen: Aktualisierter und integrierter intelligenter Nachrichtenfilter Unterstützung des Sender ID-E-Mail-Authentifizierungsprotokolls Verbesserte Spaminhaltsfilterung durch den neuen Antiphishingfilter Messaginghygiene bei Microsoft Seite 9 Im Vergleich zur vorherigen Konfiguration des Messaginghygienesystems werden bei den aktuell von Microsoft IT umgesetzten Entwürfen und Ansätzen mehr integrierte Features von Exchange verwendet. Alle ankommenden E-Mails werden nicht nur durch den intelligenten Nachrichtenfilter überprüft, sondern auch den nachfolgenden zusätzlichen Sicherheitsmechanismen unterzogen, die die Exchange Server 2003 SP2-Software zur Verfügung stellt: Verbindungsfilterung mit Echtzeit-Sperrlisten Absender- und Empfängerfilterung, einschließlich Ausfiltern absenderloser Nachrichten Empfängerabgleich Abgleich der Absenderkennung (mittels Sender ID) Unterdrückung der Auflösung des Absendernamens Vierzehntägige Aktualisierung der Antispam- und Antiphishingheuristik des intelligenten Mailfilters Diese Mechanismen bieten einen besseren Schutz als herkömmliche Spamfiltersoftware. Microsoft IT implementiert diese Mechanismen auf den äußersten ExchangeGatewayservern, um an dieser Stelle so viele bösartige Nachrichten wie möglich zu beseitigen. Die verbleibenden Nachrichten werden für die Virenüberprüfung an die SMTPRoutingserver von Exchange Server 2003 SP2 weitergeleitet, bevor sie an die Postfachserver übertragen werden. Die aktuelle Gatewaykonfiguration von Microsoft IT bietet nicht nur besseren Spam- und Virusschutz, sondern sorgt auch für höheren Lastausgleich und größere Verfügbarkeit für Internet-E-Mails. Durch die Beseitigung der Abhängigkeit von SMTP-Servern von Drittherstellern und die alternative Verwendung der in Exchange Server 2003 SP2 integrierten Transportfunktionen in der gesamten Gatewayinfrastruktur, wurde von Microsoft IT eine vernetzte Topologie zwischen den Gatewayservern von Exchange Server 2003 SP2 und den SMTP-Routingservern von Exchange Server 2003 SP2 geschaffen. Damit auf einzelnen Netzwerkebenen oder in der gesamten Umgebung keine umfassenden Probleme auftreten, verteilt Microsoft IT die Internet-Gateway- und Messaginghygieneinfrastruktur auf mehrere Rechenzentren. Durch die Aufteilung werden Fehlerquellen vermieden, bei denen der Ausfall einer einzelnen Komponente einen Fehler des gesamten Systems nach sich zieht. Zudem stehen zahlreiche physische und logische Pfade für den Transport und die Überprüfung von Internet-E-Mails zur Verfügung. Messaginghygiene bei Microsoft Seite 10 ANTISPAM UND ANTIPHISHING Das Filtern und Löschen von Spam- und Phishing-E-Mails aus dem Internet ist eine wichtige Funktion der Messaginginfrastruktur von Microsoft IT. Da ein sehr großer Anteil der ankommenden Mails aus Spam besteht, der auf die Microsoft-E-Mail-Domäne abzielt (ca. 95 %), wurde von Microsoft IT die Spamfilterlösung am äußersten Netzwerkrand, auf den Gatewayservern von Exchange Server 2003 SP2, implementiert. Durch das frühestmögliche Abfangen unerwünschter Nachrichten am Netzwerkrand wird der Aufwand für die Verarbeitung und den Transport dieser Nachrichten durch das interne System vermieden, und die Bandbreitenbelastung sowie die Verarbeitungszeit werden minimiert. Microsoft IT verwendet mehrere Methoden zur Spamfilterung, einschließlich des intelligenten Nachrichtenfilters. Intelligenter Nachrichtenfilter Der Eingangsfilter für ankommende E-Mails ist der intelligente Nachrichtenfilter, der auf den Exchange Server 2003 SP2-Gatewayservern am äußersten Rand der Messagingumgebung ausgeführt wird. Die Forschungsgruppe von Microsoft entwickelte die im intelligenten Nachrichtenfilter verwendete Smartscreen-Technologie für Microsoft Hotmail®, wo Spam zu einer wesentlichen Ursache für Kundenbeschwerden geworden war. Der intelligente Nachrichtenfilter verwendet das in Exchange Server 2003 SP2 integrierte Framework aus SCL, PCS und Sender ID (Absenderkennung). Der intelligente Nachrichtenfilter kategorisiert bestimmte Nachrichtenteile, führt heuristische Nachrichtenanalysen durch und weist jeder überprüften Nachricht eine SCL-Bewertung zu. Die SCL-Bewertungsskala reicht von 0 bis 9. Je höher die Bewertung einer Nachricht, desto größer die Wahrscheinlichkeit, dass es sich um eine Spamnachricht handelt. Exchange Server 2003 SP2 enthält die neuesten Daten und Aktualisierungen zum intelligenten Nachrichtenfilter. Verbesserungen am intelligenten Nachrichtenfilter und vierzehntägige Aktualisierungen tragen dazu bei, dass die Spamerkennung weiterhin im Zentrum der Aufmerksamkeit bleibt und dass die Anzahl der fälschlicherweise als Spam klassifizierten Mails (Falsch-Positive) verringert wird. Teil dieser Verbesserungen sind neue Möglichkeiten bei der Spamabwehr, wie z. B. das Blockieren von Phishingangriffen. Bei Phishingangriffen wird in betrügerischer Absicht vorgetäuscht, im Auftrag einer seriösen Website persönliche Kundendaten zu benötigen. Exchange Server 2003 SP2 kann so konfiguriert werden, dass Filteraktionen auf Nachrichten angewandt werden, die eine SCL-Bewertung besitzen, die größer ist, als der vom Administrator festgelegte Schwellenwert. Der intelligente Nachrichtenfilter verwendet zwei Schwellenwerte, die in Exchange Server 2003 SP2 konfiguriert werden: Gateway- und Speicherschwellenwert. Konfigurieren des Gatewayschwellenwerts Der Gatewayschwellenwert besteht aus zwei Komponenten: Durchzuführende Aktion SCL-Bewertung, bei der die eingerichtete Aktion durchgeführt wird Wurde für den Gatewayschwellenwert beispielsweise 8 ausgewählt, wird jede Nachricht mit einer SCL-Bewertung von mindesten 8 der festgelegten Filteraktion unterzogen. Zu diesen Aktionen zählen: Messaginghygiene bei Microsoft Seite 11 Löschen. Die Nachricht wird ohne Archivierung gelöscht. Zurückweisen. Zunächst wird die gesamte Nachricht empfangen, aber nach der Klassifizierung als Spam wird eine Ablehnungsbenachrichtigung an den Absender verschickt. Archivieren. Die Nachricht wird gelöscht, aber eine Kopie wird für den späteren Zugriff auf dem Server abgelegt. Keine Aktion. Mit der Nachricht wird keine Aktion durchgeführt. Die Nachricht wird ganz normal mit der zugehörigen SCL-Bewertung weitergeleitet. Hinweis: Bei allen ankommenden E-Mails wird zunächst der Gateway- und danach erst der Speicherschwellenwert zugewiesen. Die Lösch-, Zurückweisungs- und Archivierungsaktionen besitzen jeweils für sie typische Vor- und Nachteile. Werden Nachrichten ab einem bestimmten SCL-Wert gelöscht oder zurückgewiesen, werden diese nicht mehr weitergeleitet. Der Vorteil beim Löschen liegt darin, dass die betroffenen Nachrichten nicht auf die Festplatte geschrieben, nicht auf Viren überprüft und nicht durch das System transportiert werden und dadurch auch keine teuere Verarbeitungszeit in Anspruch nehmen. Allerdings ist das Löschen eine sehr kategorische Aktion, da die Nachrichten ohne Wiederherstellungsmöglichkeit endgültig aus dem E-MailVerkehr entfernt werden. Das Löschen ist eine effektive Vorgehensweise, wenn die Anzahl falsch-positiver, also fälschlicherweise als Spam klassifizierter Mails beim ausgewählten Schwellenwert sehr niedrig ist. Ähnlich wie beim Löschen werden beim Zurückweisen als Spam klassifizierte Nachrichten aus dem E-Mail-Verkehr entfernt. Anders als beim Löschen erhält der Absender jedoch eine Statusmitteilung in Form einer SMTP-Fehlermeldung (nicht zustellbar). In einigen Umgebungen soll der Absender von Spamnachrichten aus Sicherheitsgründen möglicherweise nicht über die Filteraktion informiert werden. Exchange Server 2003 SP2 enthält die folgenden Verbesserungen für den intelligenten Nachrichtenfilter: Administratoren können bei der Zurückweisung durch den intelligenten Nachrichtenfilter einen selbst erstellen Text versenden lassen. Administratoren können mithilfe der benutzerdefinierten Nachrichtenbeurteilung (Custom Weighting), die auch unter der Bezeichnung "Ausschlussliste" bekannt ist, den Filter so konfigurieren, dass er nach bestimmten Wörtern oder Wortfolgen sucht und entsprechend dem Nachrichteninhalt agiert. Die Nachrichtenbeurteilung ist eine dateibasierte Implementierung, die über keine Benutzerschnittstelle verfügt. In die Datei können die unerwünschten Wörter und Ausdrücke gemeinsam mit dem betroffenen Textabschnitt (Betreff oder Nachrichtentext) und dem zugehörigen Bearbeitungswert eingegeben werden. Eine Organisation kann mithilfe der Archivierungsaktion als Spam blockierte Mails überprüfen und aufgrund der Anzahl Falsch-Positiver einen angemessen SCL-Gatewayschwellenwert auswählen. Ohne ein geeignetes Tool zur Untersuchung des Archivinhalts und zur Auswertung der Falsch-Positiven verringert sich der Vorteil der Archivierungsaktion für den täglichen Betrieb erheblich. Oft ist die persönliche Sichtung die zuverlässigste Methode zur physischen Überprüfung der Nachrichteninhalte. Bei Hunderttausenden oder Millionen Mails pro Tag ist die visuelle Überprüfung aller Nachrichtigen einfach nicht durchführbar. Alternativ können die Daten mithilfe eines benutzerdefinierten automatisierten Verfahrens anhand der Betreffzeile oder anderer Nachrichteneigenschaften gruppiert und stichprobenartig (ein paar Tausend Mails) überprüft werden. Zur Vereinfachung des Verfahrens können Administratoren einfache Skripts zur Datengruppierung schreiben. Messaginghygiene bei Microsoft Seite 12 Da der Speicherbedarf für die Nachrichtenarchivierung proportional zum Volumen des EMail-Verkehrs und zur Spamrate einer Umgebung ansteigt, müssen Organisationen mit hohem E-Mail-Aufkommen vor einer Aktivierung der Archivierungsfunktion den benötigten Speicherbedarf der Spamfiltergateways sorgfältig planen. Aufgrund des hohen E-MailVolumens, das täglich aus dem Internet in der Messagingumgebung von Microsoft ankommt, verwendet Microsoft IT für den Gatewayschwellenwert gegenwärtig die Zurückweisungsaktion. Allerdings wurde während der frühen Testphase des intelligenten Nachrichtenfilters die Archivierungsaktion verwendet. Konfigurieren des Speicherschwellenwerts Der Speicherschwellenwert bezeichnet den SCL-Wert, bei dem eine am Postfachserver ankommende E-Mail in den Junk-E-Mail-Ordner des jeweiligen Benutzerpostfachs verschoben wird. Damit die Speicherweiterleitung durchgeführt wird, muss der Speicherschwellenwert niedriger sein als der Gatewayschwellenwert. Wurde beispielsweise der Gatewayschwellenwert auf 8 festgelegt, muss für den Speicherschwellenwert 6 ausgewählt werden, damit eine Aktion ausgeführt wird. Von der Speichereinstellung werden Aktionen nur dann durchgeführt, wenn der jeweilige SCL-Wert größer als der ausgewählte Speicherschwellenwert ist. Dadurch unterscheidet sich diese Einstellung vom Gatewayschwellenwert, bei dem Aktionen durchgeführt werden, wenn der SCL-Wert größer oder gleich dem festgelegten Schwellenwert ist. Beispiel: Wenn eine ankommende Nachricht mit einem SCL-Wert von 5 die Gatewayschwelle passiert, der SCL-Wert aber größer ist als der Speicherschwellenwert, dann wird die Mail automatisch zum Junk-E-Mail-Ordner weitergeleitet. Eine ankommende Nachricht mit dem Wert 4 wird direkt in den Posteingang des jeweiligen Benutzers weitergeleitet, da beide Schwellen passiert werden. Anpassen der Schwellenwerte Die wirkungsvollste Kombination aus Gateway- und Speicherschwellenwert hängt vollständig von der jeweiligen Messagingumgebung ab. Idealerweise sollte möglichst bald nach Eintreten in die Infrastruktur möglichst viel Spam blockiert werden, wobei die Anzahl der Falsch-Positiven so gering wie möglich sein sollte. Jeder Administrator wird sich, abhängig von der jeweiligen Umgebung, vermutlich für eine andere Feineinstellung des intelligenten Nachrichtenfilters entscheiden. Ein hoher Gatewayschwellenwert hat den Nachteil, dass mehr Nachrichten durch die Infrastruktur transportiert werden müssen und dass sich letztendlich die Benutzer auf Desktopebene mit den Mails beschäftigen müssen. Dadurch werden höhere Kosten in mehreren Bereichen der Infrastruktur, vom Speicher bis zur Bandbreitenverwaltung, verursacht. Die fälschliche Löschung seriöser Mails wird von Microsoft IT praktisch nicht toleriert. Microsoft IT setzt den Gatewayschwellenwert sehr vorsichtig an, um den Anteil der FalschPositiven möglichst gering zu halten. Im Allgemeinen sind Benutzereskalationen der beste Indikator für Falsch-Positive. In der Regel sollte mit konservativen Einstellungen begonnen werden, indem für die Schwellenwerte des intelligenten Nachrichtenfilters hohe Zahlen ausgewählt werden, die dann so weit wie nötig nach unten korrigiert werden. Der intelligente Nachrichtenfilter stellt zahlreiche Leistungsindikatoren zur Verfügung, mit denen Administratoren die Verteilung der SCL-Bewertungen bei den ankommenden Nachrichten untersuchen und dadurch die Schwellenwerte genauer an die eigene Umgebung anpassen können. Messaginghygiene bei Microsoft Seite 13 Weitere Spamabwehrmöglichkeiten Als vor Jahren Spam erstmals zum Problem für E-Mail-Benutzer wurde, wurden bei Microsoft IT wie in vielen anderen Firmen ausschließlich Antispam-Softwarelösungen eingesetzt, die von Drittherstellern stammten, und für die Unternehmensebene konzipiert waren. Inzwischen verwendet Microsoft IT den intelligenten Nachrichtenfilter in der Produktionsumgebung. Der intelligente Nachrichtenfilter bildet am Internetgateway die Schutzebene gegen Spam. Durch die Entwicklung neuer Antivirus- und Antispamarchitekturen sowie den Einsatz des intelligenten Nachrichtenfilters, von Verbindungsfilterung, Echtzeit-Sperrlisten, Absenderfilterung, den Abgleich von Absenderkennungen (mittels Sender ID) und das Blockieren von Anlagen konnte Microsoft IT das Spamaufkommen bei seinen Internet-EMails erheblich reduzieren. Sender ID-Framework Bei Sender ID handelt es sich um ein Branchenstandard-Framework zur Abwehr von E-MailDomainspoofing (falsche Absenderidentität). Sender ID beseitigt Unklarheiten in Bezug auf die Absenderidentität, indem es anhand der IP-Adresse des Absenderservers überprüft, ob eine E-Mail wirklich von der als Absender genannten Internet-Domäne versendet wurde. Durch die Beseitigung des Domainspoofing wird der Domänenname und die Reputation seriöser Absender geschützt, und die wirksame Erkennung und Filterung von Junk-E-Mails und Phishingbetrugsversuchen durch die Empfänger wird erleichtert. Das Sender ID-Framework wird in zwei Phasen implementiert: Phase 1 schützt die Firmendomäne (und die Reputation des Unternehmens) vor Spoofing und Identitätsfälschungen, indem Sender ID-Informationen zu SMTPGatewayservern, die mit Internet-Hosts kommunizieren, veröffentlicht werden. Dadurch wird die Firmendomäne (und die Reputation des Unternehmens) vor Spoofing und Identitätsfälschungen geschützt. Phase 2 beinhaltet die Implementierung von Purported Responsible Address (PRA) und von Überprüfungsmechanismen für die Absenderadresse, damit von Internethosts übertragene seriöse E-Mails beim Empfang durch Sender ID-Überprüfungen validiert werden können. Auf diese Weise kann der Empfänger einer E-Mail die Echtheit der SMTP-Domäne des Absenders verifizieren. Die Implementierung des Sender ID-Framework wurde von Microsoft IT durch das Erstellen und Veröffentlichen der Sender ID-Frameworkeinträge auf dem DNS-Gatewayserver, auf dem Exchange Server 2003 SP2 ausgeführt wurde, begonnen. Dieser Server kann so konfiguriert werden, dass er den Sender ID-Abgleich für ankommende E-Mails durchführt. Schlägt die Sender ID-Abfrage fehl, sind folgende Aktionen möglich: Löschen. Diese Aktion wird automatisch ausgeführt. Es wird kein Unzustellbarkeitsbericht erzeugt. Zurückweisen. Die Mail wird auf Protokollebene zurückgewiesen. Annehmen. Die Mail wird für die Weiterverarbeitung durch den intelligenten Nachrichtenfilter mit dem Sender ID-Ergebnis gestempelt. Bei den ersten beiden Aktionen werden Mails mit fehlgeschlagener Sender ID-Verifizierung (z. B. bei eindeutigen Spoofingfällen) gelöscht oder zurückgewiesen. Alle anderen Mails werden mit dem jeweiligen Sender ID-Status gestempelt und weitergeleitet. Bei der letzten Aktion erhalten die Mails lediglich den Sender ID-Status als Stempel (selbst bei Spoofingfällen). Der Status wird an den intelligenten Nachrichtenfilter weitergegeben und löst die angemessene Änderung des SCL-Werts aus. Messaginghygiene bei Microsoft Seite 14 Hinweis: Weitere Informationen zur Implementierung des Sender ID-Framework finden Sie unter http://www.microsoft.com/senderid (in englischer Sprache). Spamfilterung auf Clientebene Spam sollte im Idealfall niemals die Clientebene erreichen. In der Praxis gelangt Spam vereinzelt doch durch das Microsoft-Netzwerk und auf Benutzercomputer. Einer der Hauptgründe ist in der Tatsache zu suchen, dass einige seriöse E-Mails wie z. B. Newsletter oft Spamcharakteristiken aufweisen. Dadurch kann der Filterschwellenwert nicht so niedrig gehalten werden, dass alle verdächtigen Nachrichten gelöscht werden. Außerdem können einheitliche unternehmensweite Einstellungen die persönlichen Präferenzen der einzelnen Benutzer nicht erfüllen. Da durch die von Microsoft IT verwendeten, nicht ganz so strengen Schwellenwerte einige Nachrichten mit Spamcharakteristiken Benutzercomputer erreichen, stellt Microsoft IT zusätzliche Schutzmaßnahmen auf Clientebene zur Verfügung. Benutzer von Microsoft Office Outlook® 2003, mit auf den Clientcomputern installierter Smartscreen-Antispam- und Antiphishingtechnologie, und Outlook Web Access 2003 können ebenfalls eine Liste sicherer Absender und eine Liste blockierter Absender einrichten. Die Liste sicherer Absender enthält vertrauenswürdige E-Mail-Adressen und Domänennamen, deren Nachrichten der Benutzer immer empfangen möchte. Im Gegensatz dazu enthält die Liste blockierter Absender E-Mail-Adressen und Domänennamen, von denen der Benutzer niemals Nachrichten empfangen möchte. Exchange Server 2003 SP2 leitet alle Nachrichten vertrauenswürdiger Absender in den Posteingang und alle Nachrichten blockierter Absender in den Junk-E-Mail-Ordner des Benutzers weiter. Dieser Vorgang geschieht unabhängig vom SCL-Wert, der einer Mail zuvor zugewiesen wurde. Die Benutzer von Outlook 2003 und Outlook Web Access 2003 können daher für ihre eigenen Postfächer den Junk-E-Mail-Filter der Speicherebene entsprechend ihren persönlichen Anforderungen außer Kraft setzen. Die Filteraktionen auf Gatewayebene können allerdings von Benutzern auf Clientebene nicht aufgehoben werden. Wenn eine Nachricht den Gatewayschwellenwert überschreitet, wird sie unabhängig von den Einstellungen auf Clientebene nicht zum Posteingang des Benutzers weitergeleitet. Benutzer können auch den Junk-E-Mail-Filter von Outlook 2003 anpassen, der Nachrichten bei ihrer Ankunft am Client analysiert und ggf. als Spam klassifiziert. Dabei können die gewünschten Schutzeinstellungen festgelegt werden, die vom kompletten Deaktivieren der Schutzfunktion bis zum ausschließlichen Akzeptieren von Mails von sicheren Absendern reichen. Nachrichten, die vom Junk-E-Mail-Filter aussortiert werden, werden direkt in den Junk-E-Mail-Ordner des Benutzers verschoben, der diese dort anzeigen oder löschen kann. Outlook 2003 beschäftigt sich auch mit einer weiteren tückischen Praktik, dem so genannten Web Beaconing, einer Methode zum Ermitteln und Sammeln gültiger E-Mail-Adressen. Beispiel: Ein Absender schickt eine E-Mail, die ein speziell kodiertes Bild enthält, an einen nichts ahnenden Empfänger. Durch die spezielle Kodierung wird beim Anzeigen des Bilds die gültige E-Mail-Adresse des Empfängers an den Absender übermittelt. Benutzer von Outlook 2003 sind vor Web Beaconing geschützt, da Bilder nicht mehr automatisch angezeigt werden. Messaginghygiene bei Microsoft Seite 15 VIRENSCHUTZ Spam ist zwar lästig und verursacht in Messagingumgebungen Leistungs- und Produktivitätsprobleme, aber bösartige Software wie Viren, Würmer und Trojaner stellen für jedes Unternehmen weitaus mehr als nur ein Sicherheitsproblem dar. Ein einziger Virenangriff kann beträchtliche Auswirkungen haben. Im günstigsten Fall fällt das System zur Virenbeseitigung für eine begrenzte Zeit aus, aber im ungünstigsten Fall wird die gesamte Infrastruktur beschädigt und kritische Daten werden beeinträchtigt oder zerstört. Bevor sich eine Organisation näher mit E-Mail-Viren beschäftigt, sollte zunächst Spam aus der Messagingumgebung entfernt werden, da dies zu einer wesentlichen Verringerung der Kosten für die Virenfilterung führt. An jedem beliebigen Tag werden von Microsoft IT normalerweise mehr als 12 Millionen E-Mails aus dem Internet empfangen. Da mindestens 95 % dieser Nachrichten als Spam erkannt und aus dem Mailverkehr entfernt werden, können beträchtliche Einsparungen in Form von Verarbeitungszyklen, Bandbreiten und Speicherplatz für Nachrichten erzielt werden, wenn die Spamfilterung auf Gatewayebene vor der Virenüberprüfung durchgeführt wird. Architektur Bei den meisten Nachrichtentopologien können Virenabwehrmaßnahmen an verschiedenen Stellen angewandt werden. In Einklang mit dem eigenen Messaginghygieneansatz ist Microsoft IT überzeugt, dass Virenabwehrmaßnahmen am besten auf mehreren Ebenen der Netzwerkumgebung angewandt werden. Diese Praxis verursacht zwar zusätzlichen Leistungsaufwand, minimiert jedoch die Risiken. Microsoft IT ist überzeugt, dass ein Ausgleich zwischen Leistung und Risiken gefunden werden kann. Jede Organisation muss auf Grundlage der eigenen Umgebung entscheiden, an wie vielen Stellen und auf welchen Ebenen Virenabwehrmaßnahmen zur Ausführung kommen. Üblicherweise bieten sich in den Messagingumgebungen von Organisationen drei Ebenen für die Installation von Antivirenlösungen an: Gateway Postfachserver Client Als Verfechter umfassender Schutzmaßnahmen konzentriert Microsoft IT die E-MailAntivirussystem, wie in dargestellt, auf der SMTP-Gateway- und der Clientebene. Aufgrund der vorhandenen Internet-E-Mail-Topologie und spezieller Optimierungen beim E-MailRouting können Nachrichten, die zwischen externen Messagingsystemen und der verwalteten Umgebung von Microsoft IT ausgetauscht werden, die bewährten Antivirenmechanismen nicht umgehen. Messaginghygiene bei Microsoft Seite 16 Abbildung 4: Virenschutzmaßnahmen in der Messaginginfrastruktur von Microsoft IT Nachrichten aus dem Internet werden zunächst auf Spam überprüft und dann an die auf Exchange Server 2003 SP2 basierenden SMTP-Routingserver weitergeleitet, wo alle E-Mails auf Viren überprüft werden, bevor Sie an die Postfachserver übertragen werden. Trotz des Virenschutzes auf Gatewayebene verfolgt Microsoft IT durch die Einrichtung weiterer Virenschutzmechanismen auf den Benutzercomputern auf Clientebene konsequent den Mehrebenenabwehransatz. Auf allen Clientcomputern der verwalteten Umgebung von Microsoft IT muss Antivirussoftware von Drittherstellern installiert, konfiguriert, aktiviert und jederzeit aktuell sein. Aufgrund der konsequenten Durchführung von Virenschutzmaßnahmen auf Clientebene mithilfe technischer Überwachung und Richtlinien ist Microsoft IT in der Lage, virusrelevante Bedrohungen zu bekämpfen, die von messagingfremden Angriffsmechanismen übertragen wurden. So trägt die Antivirensoftware auf Benutzercomputern dazu bei, die Infizierung von Dateien und die Virenausbreitung über Netzwerkverbindungen zu verhindern. Ausgehende E-Mails werden zunächst auf Clientebene und anschließend noch auf SMTPGatewayebene auf Viren überprüft, um die versehentliche Ausbreitung von Viren außerhalb der verwalteten Umgebung von Microsoft IT gering zu halten und das Haftungsrisiko zu minimieren. Messaginghygiene bei Microsoft Seite 17 Microsoft-Kunden möchten oft wissen, warum Microsoft IT die Antivirusmechanismen nicht auf der Speicherebene konzentriert und dort als Teil der täglichen Betriebsaufgaben die Exchange Server-Postfachserver mithilfe von Drittherstellersoftware überprüft. Da Microsoft IT nach Möglichkeit Microsoft-Betasoftware durch deren Verwendung in der Betriebsumgebung testet, unterliegen die Server häufigen Änderungen. So werden z. B. häufig nacheinander mehrere Vorabbuilds von Exchange Server-Software installiert. Damit der Virenschutz der Messaginginfrastruktur durch möglicherweise auftretende Anwendungskompatibilitätsprobleme während der Tests nicht in Mitleidenschaft gezogen wird, konzentriert Microsoft IT gegenwärtig die Antivirenmechanismen auf der Client- und Gatewayebene. In anderen Umgebungen können die jeweiligen Anforderungen an die Virenabwehr auch dazu führen, dass der Virenschutz auf anderen Ebenen implementiert wird. Unabhängig von der Lösung, die eine Organisation auswählt, sollte beachtet werden, dass eine umfassende Abwehr auf mehreren Ebenen wirksameren Schutz bietet als Maßnahmen auf nur einer Ebene. Bei einer Vireninfektion stehen Microsoft IT neben den proaktiven Überprüfungsmechanismen auf Gateway- und Clientebene auf den Exchange Server 2003 SP2-Postfachservern noch weitere Antivirusnotfallmechanismen und -verfahren zur Verfügung. Hinweis: Weitere Informationen zu den erwähnten Mechanismen und Verfahren finden Sie im IT Showcase-Whitepaper Incident Response: Managing Security at Microsoft unter http://www.microsoft.com/technet/itsolutions/msit/security/msirsec.mspx (in englischer Sprache). Richtlinien für ankommende und ausgehende E-Mails Microsoft IT verwendet für ankommende und ausgehende E-Mails unterschiedliche Überprüfungsrichtlinien und -verfahren. Da aus dem Internet kommende E-Mails weniger vertrauenswürdig sind als ausgehende, sind die Richtlinien für ankommende E-Mails restriktiver. Die Virenbenachrichtigung ist ein Beispiel für unterschiedliche Richtlinien bei ankommenden und ausgehenden E-Mails. Beispiel: Wenn in einer aus dem Internet ankommenden Nachricht ein Virus gefunden wird, wird dieser entfernt, und der interne Empfänger wird unter Umständen benachrichtigt. Die Benachrichtigung enthält alle notwendigen Informationen zur Bestimmung des Infektionsherds und für mögliche Gegenmaßnahmen. Der externe Absender einer ankommenden infizierten Nachricht wird aus den folgenden Gründen nicht automatisch benachrichtigt: Möglicherweise ist die Identität des Absenders vorgetäuscht (Spoofing), sodass die Benachrichtigung nicht an den eigentlichen Absender geschickt wird. Wenn durch viele infizierte E-Mails viele Benachrichtigungen ausgelöst werden, können diese bei einem seriösen Absender, dessen Adresse lediglich für Spoofingzwecke missbraucht wurde, einen DoS-Angriff verursachen. Ein externer Benutzer erhält durch Benachrichtigungen Einblick in die Möglichkeiten des Antivirensystems und kann diese Informationen möglicherweise missbrauchen. Messaginghygiene bei Microsoft Seite 18 Ein weiteres Beispiel für restriktive Sicherheitsrichtlinien für ankommende E-Mails ist das so genannte Attachment Stripping. Beim Attachment Stripping werden potenziell gefährliche Anlagen (z. B. ausführbare Dateien) aus den eingehenden Internet-E-Mails entfernt. Dadurch wird das Risiko verringert, dass bösartiger Programmcode über E-Mails in die Umgebung gelangt. Mehr zum Thema Attachment Stripping erfahren Sie weiter unten in diesem Dokument. Da ausgehende E-Mails vertrauenswürdiger sind als ankommende, sind die Richtlinien von Microsoft IT für ausgehende E-Mails weniger restriktiv. Es gibt Dateitypen, die als Anlagen nicht routinemäßig von ausgehenden Nachrichten entfernt werden. Wird jedoch bei einer ausgehenden Nachricht eine Infektion erkannt, wird diese entfernt, und eine Benachrichtigung wird an den internen Benutzer geschickt, in der er aufgefordert wird, seinen Computer auf Viren zu überprüfen. Verschickt ein Microsoft-Mitarbeiter unwissentlich einen Virus, wird dieser interne Absender von Microsoft IT benachrichtigt, damit er den Infektionsherd ermitteln kann. Damit für ankommende und ausgehende E-Mails unterschiedliche Sicherheitsrichtlinien implementiert werden können, muss die verwendete Antiviruslösung die Richtung einer EMail erkennen. Die Lösung muss auch in der Lage sein, die Richtung überprüfter E-Mails anhand verbindlicher Kriterien (wie z. B. der IP-Adresse oder der Authentifizierung) zu erkennen. Andernfalls könnte ein von einer Spoofingmail getäuschtes Virenüberprüfungssystem die falschen Sicherheitsrichtlinien anwenden. SMTP-Routingserver von Exchange Server 2003 SP2 Nach der Entscheidung für die Implementierung von Virenabwehrmaßnahmen auf mehreren Ebenen (SMTP-Gateway- und Clientebene), mussten von Microsoft IT die geeigneten technischen Lösungen bestimmt werden. Aus Leistungs-, Interoperabilitäts- und Sicherheitsgründen sollte die Virenüberprüfungslösung auf Gatewayebene auf der Gatewayplattform von Exchange Server 2003 SP2 und speziell auf den Exchange-SMTPRoutingservern von Microsoft IT implementiert werden. Microsoft IT standen die beiden folgenden Möglichkeiten für die Integration der Antivirenlösung in die Exchange Server 2003 SP2-Plattform zur Verfügung: Verwenden von Virus Scanning Application Programming Interface (VSAPI), Version 2.5, von Exchange Server 2003 SP2 auf Transportebene Verwenden des Transportereignissenkenmodells von Exchange Server 2003 SP2 Ein Hersteller von Antivirensoftware könnte seine Lösung entweder über VSAPI 2.5 oder die Transportereignissenke implementieren. Beide Alternativen verfügen über ähnliche Features, haben jedoch unterschiedliche Auswirkungen auf das fertige Produkt. So kann eine Lösung mittels VSAPI Nachrichtenparsing und -dekodierung von Exchange Server 2003 SP2 nutzen. Ein Hersteller, der sich nicht intensiver mit dem Öffnen von Nachrichten beschäftigen und kein eigenes Nachrichtenparsing durchführen möchte, wird sich vermutlich für die VSAPILösung entscheiden. Ein Hersteller, der den Nachrichtenfluss stärker und genauer steuern möchte, wird wahrscheinlich den Transportereignissenkenansatz verfolgen. Bei der Verwendung von Transportereignissenken werden Nachrichtenparsing, Berichtserstellung, Leistungsüberwachung und andere ähnliche Aktionen von der Antivirenlösung durchgeführt. Messaginghygiene bei Microsoft Seite 19 Vor der Entscheidung für eine Antivirussoftware, wurde von Microsoft IT in umfangreichen Untersuchungen ermittelt, welcher Hersteller die Anforderungen der vorhandenen Umgebung am besten erfüllt. Jede Umgebung ist einmalig und hat daher ganz spezielle Anforderungen, die sich deutlich von denen von Microsoft IT unterscheiden können. Ein Teil der Evaluierungsaspekte dürfte jedoch in vielen Umgebungen ähnlich sein. Von Microsoft IT wurde Sybari Antigen for SMTP als Virenüberprüfungslösung für seine Umgebung ausgewählt. Microsoft IT hat sich auch dafür entschieden, mehrere Virenüberwachungsmodule, die die Nachrichten verarbeiten und das Parsing und die Überprüfung durchführen, einzusetzen, um die Wahrscheinlichkeit, Virusinfektionen zu entdecken und zu beheben, zu vergrößern. Die folgenden technischen Faktoren wurden, neben anderen Kriterien, von Microsoft IT als Grundlage für die Evaluierung verwendet. Funktionsumfang: Möglichkeiten zur Erkennung von Viren und anderer Malware Unterstützung verschiedener Nachrichtentypen, Kodierungen und Formate Möglichkeit der Integration in die Exchange Server 2003 SP2-Gatewayplattform, einschließlich der Unterstützung mehrerer virtueller SMTP-Server Erkennung der Mailrichtung; unterschiedliche Richtlinien für ankommende, ausgehende und interne E-Mails Möglichkeiten zur Dateifilterung und Anlagensperrung Fehlertoleranz und -wiederherstellung Unterstützung benutzerdefinierter Antivirusaktionen und -benachrichtigungen Unterstützung mehrerer Virusüberprüfungsmodule Leistung (Auswahl): Gesamtdurchsatz der Lösung Systemverwaltungsaufwand Leistungsmerkmale bei normaler Last und Spitzenlast Nutzbarkeit und Unterstützung (Auswahl): Remoteüberwachung und -verwaltung Komplexität und Verwaltungsaufwand Qualität des Produktsupports durch den Hersteller Integration in bestehende Produktionstools und -abläufe Attachment Stripping Als Teil seiner Antivirenstrategie entfernt Microsoft IT bestimmte Anlagen aufgrund der Dateierweiterung und des Dateityps automatisch aus ankommenden E-Mails. Unabhängig von einer möglichen Vireninfizierung entfernt die Antivirussoftware der Gatewayebene bestimmte Dateitypen, wie z. B. EXE, CMD und COM, automatisch. Diese Anlagen stellen ein größeres Infektionsrisiko dar, und das Entfernen am äußersten Netzwerkrand trägt zum Schutz der Umgebung vor unbekannter und neuer Malware bei, für die möglicherweise noch keine Virensignaturen vorliegen. Nach dem Entfernen einer Anlage wird die entsprechende Nachricht selbst weitergeleitet, und der interne Empfänger erhält eine Benachrichtigung. Messaginghygiene bei Microsoft Seite 20 Microsoft IT ist überzeugt, dass es wichtig ist, Nachrichten auch ohne die entfernten Anlagen an die Empfänger weiterzuleiten. Hatte die entfernte Anlage seriösen Inhalt, kann der Empfänger andere Methoden nutzen, um an diese Informationen zu gelangen. So kann der Absender die Daten in einem anderen Format schicken, oder es können andere Dateiübertragungswege wie z. B. FTP genutzt werden. Einige Malwarearten wie Würmer sind dafür verantwortlich, dass für viele Empfänger große E-Mail-Mengen an einem bestimmten E-Mail-Gateway oder SMTP-Routingserver zusammentreffen. Neben der Bedrohung durch die infizierte Nutzlast führt oft auch die große Menge der Nachrichten zu Leistungsproblemen im E-Mail-System. Bei solchen E-Mails wird zwar durch Attachment Stripping und das Entfernen des Virus aus E-Mails die Infektion beseitigt, aber der DoS-Aspekt des Angriffs bleibt unvermindert bestehen. Zur wirksamen Bekämpfung derartiger Bedrohungen wurde von Microsoft IT eine Lösung entwickelt, die Attachment Stripping und Nachrichtenlöschung integriert. Ist eine E-Mail mit einem Massenmailvirus infiziert, entfernt das System die gesamte Nachricht aus dem Mailverkehr und minimiert so den zusätzlichen Leistungsaufwand für die Umgebung. Aktualisierung von Antivirendateien Die signaturbasierte Antivirenabwehr kann nur so wirksam sein wie die Qualität der Virendefinitionsdateien, auch bekannt als Signatur- oder Musterdateien, es zulässt. Damit der Schutz vor der Bedrohung durch Viren erhalten bleibt, müssen die Signaturdateien einer Organisation immer auf dem neuesten Stand sein. Eine andere wichtige Überlegung betrifft die Verwendung der aktuellsten Überprüfungsmodule. Microsoft IT lädt mittels Pull immer die neuesten Virensignaturdateien und -überprüfungsmodule herunter. Durch den Pull-Mechanismus kann Microsoft IT flexible selbst definierte Zeitpläne für das Herunterladen erstellen und so alle E-MailVirenüberprüfungssysteme konsistent und aktuell halten. Wird eine Aktualisierung im Zeitraum zwischen den geplanten Aktualisierungen zur Verfügung gestellt, kann Microsoft IT diese auch manuell mittels Pull herunterladen. Auf diese Weise besitzt Microsoft IT die nötige Flexibilität, um auf potenzielle Notfälle zu reagieren. Verwaltungsaspekte Microsoft IT ist überzeugt, dass klare Richtlinien und eindeutig definierte und strukturierte Abläufe für ein erfolgreiches Antivirenmanagement unumgänglich sind. Microsoft IT automatisiert Abläufe und Verfahren, wann immer dies möglich ist. So wurden von Microsoft IT Abläufe zur Verifizierung der Versionsnummern von den an den Gateways eingesetzten Virensignaturdateien und Überprüfungsmodulen automatisiert, um sicherzustellen, dass die Antivirussoftware jederzeit auf allen Servern aktuell und aktiviert ist. Bei Abweichungen erhält ein Administrator eine Warnmeldung zu diesem Problem. Dies wäre beispielsweise der Fall, wenn auf einem bestimmten Server nicht die aktuellste Signaturdatei verwendet wird. Eine weitere wichtige Verwaltungsaufgabe besteht in der Überprüfung der täglichen Statistiken, und das nicht nur im Hinblick auf erkannte Viren, sondern auch im Hinblick auf die Anzahl verarbeiteter E-Mails. An einem Tag werden bei Microsoft IT vielleicht 20.000 Viren entdeckt und an einem anderen vielleicht 200.000. Dabei sind Trends schwer zu erkennen, weil die Statistiken direkt die Virenangriffe wiedergeben, die gerade stattfinden. Microsoft wird zwar regelmäßig angegriffen, aber manchmal kann ein spezieller Angriff bei anderen Unternehmen negativere Auswirkungen haben als bei Microsoft. Der Grund für die Diskrepanz liegt insbesondere in der Zieldomäne des Angriffs. Anhand von Daten auf Grundlage täglicher Statistiken kann ein Administrator den Bezug zum Zeitpunkt eines in der Branche stattgefundenen Angriffs herstellen und ermitteln, welche Auswirkungen dieser Angriff zu einem bestimmten Zeitpunkt hatte. Messaginghygiene bei Microsoft Seite 21 Vor- und Nachteile von Virenüberprüfungen auf Datei- und Messagingebene Der Schwerpunkt dieser Publikation liegt auf der Messagingumgebung. Daher befassen sich auch die Erläuterungen zur Virusüberprüfung in erster Linie mit den Messagingebenen. Dabei sollte allerdings nicht übersehen werden, dass Microsoft IT auch auf den Exchange Server 2003 SP2-Servern Virenüberprüfungen auf Dateiebene durchführt. Diese Überprüfung wird unabhängig von der Überprüfung auf der Messagingebene durchgeführt und zielt auch nicht darauf ab, die Messagingumgebung vor Infizierungen durch E-Mails zu schützen. Die Überprüfung auf Dateiebene ist vor allem entscheidend für den Schutz der ExchangeServer als Infrastrukturelemente. Ohne Virenschutz auf Betriebssystemebene könnte ein Server bei Routinearbeiten wie Serverwartung, Patchen und Fehlerbehebung versehentlich infiziert werden. Verminderte Verfügbarkeit von Messagingdiensten und potenzielle Datenverluste wären die Folge. Organisationen, die auf Exchange Server 2003 SP2-Servern Antivirensoftware auf Dateiebene einsetzen möchten, sollten besondere Vorkehrungen treffen. Da Antivirensoftware für die Dateiebene in der Regel die interne Struktur Exchange-spezifischer Daten (wie z. B. Exchange-Datenbanken und -protokolldateien) nicht erkennt, führt die Überprüfung dieser Daten oft zu Serverausfällen und unter Umständen zur Beschädigung von Daten. Antivirussoftware für die Dateiebene muss so konfiguriert werden, dass Exchange-spezifische Daten, wie z. B. Postfachspeicher, Transaktionsprotokolle, temporäre Verzeichnisse, Nachrichtenwarteschlangen und andere maßgebliche Dateispeicherorte, von der Überprüfung ausgeschlossen werden. In Messagingumgebungen ist die falsche Konfigurierung von Dateiebenensoftware für Exchange-Server ein weit verbreiteter Fehler. Hinweis: Weitere Informationen zur Verwendung von Antivirentools mit Exchange finden Sie in den Microsoft Knowledge Base-Artikeln „Überblick über Exchange Server 2003 und Antivirus-Software“ unter http://support.microsoft.com/kb/823166 und „Exchange und Antivirus-Software“ unter http://support.microsoft.com/kb/328841. Antivirenmaßnahmen auf Clientebene Der mehrschichtige Abwehransatz von Microsoft IT bedingt Virenüberprüfungen auf Clientebene, und das gilt sowohl für Desktopcomputer im Büro als auch für remote genutzte Notebooks. Neben Outlook 2003 wird auf allen Clientsystemen Antivirussoftware zum Schutz vor Viren eingesetzt. eTrust-Antivirussoftware Microsoft IT unterhält strenge Richtlinien für Antivirussoftware auf Clientebene. Für den Zugriff auf das Unternehmensnetzwerk muss auf den Clientcomputern, wie z. B. Desktopcomputern oder Notebooks, der Microsoft-Mitarbeiter die eTrust-Antivirussoftware von Computer Associates installiert, konfiguriert und aktualisiert haben. Die eTrust-Software überprüft alle Dateien in Echtzeit, wenn sie aktiv auf dem Benutzersystem ausgeführt wird. Sie ist für den Benutzer vollkommen transparent, überprüft ununterbrochen und lädt verfügbare Updates auf den Computer. Messaginghygiene bei Microsoft Seite 22 Mithilfe von Anmeldeskripts stellt Microsoft IT sicher, dass auf den Clientcomputern aller Mitarbeiter eTrust installiert ist und ausgeführt wird. Bei der Anmeldung eines Benutzers im Unternehmensnetzwerk werden durch das Anmeldeskript Sicherheitsüberprüfungen auf dem System durchgeführt, bei denen u. a. der Status des Antivirusdienstes auf Clientebene überprüft wird. Mithilfe intern entwickelter Tools und Abläufe überprüft Microsoft IT fortlaufend das Unternehmensnetzwerk. Tagsüber wird jeder mit dem Netzwerk verbundene Computer in regelmäßigen Abständen auf Patch-Übereinstimmung und die Anwesenheit der eTrustAntivirussoftware überprüft. Wird auf einem Clientsystem eTrust nicht ausgeführt, erhält der Benutzer eine Benachrichtigung mit Anweisungen zum Installieren der neuesten Antivirussoftware. Wird die Software nicht innerhalb eines bestimmten Zeitraums installiert, verweigert Microsoft IT diesem Benutzer so lange den Zugriff auf das Netzwerk, bis das Benutzersystem konform ist. Outlook 2003 Wie auf Gatewayebene so tragen auch auf Clients vermehrte Virenüberprüfungen mit integriertem Anlagenmanagement entscheidend zur Gewährleistung der Sicherheit auf Benutzercomputern bei. Outlook 2003 verfügt noch aus früheren Versionen über Features zum Sperren von Anlagen. In Übereinstimmung mit dem Konzept des Attachment Stripping auf Gatewayebene besitzen Outlook-Benutzer nun die Möglichkeit, unterschiedlichste potenziell gefährliche Dateitypen vom Empfang auszuschließen. Hinweis: Weitere Informationen zum Sperren von Anlagen finden Sie im Microsoft Knowledge Base-Artikel „Anlagen in Outlook 2003 lassen sich nicht öffnen“ unter http://support.microsoft.com/kb/829982. Zusätzlich zum Sperren von Anlagen schränkt Outlook 2003 auch den Programmzugriff auf das Adressbuch ein und minimiert dadurch die Möglichkeit, dass sich bösartiger Programmcode mithilfe von E-Mail-Adressen aus dem Adressbuch selbständig verbreitet. Outlook 2003 zeigt automatisch eine Benachrichtigung auf dem Bildschirm an, wenn auf das Outlook-Adressbuch von einem Benutzer, der nicht der aktuell angemeldete Benutzer ist, oder von einem externen Programm, außer Outlook 2003, zugegriffen wird. Microsoft IT führt in seiner Nachrichteninfrastruktur eine routinemäßige Clientversionsüberprüfung durch, indem ältere Outlook-Clientversionen proaktiv am Zugriff auf die Exchange-Server gehindert werden. Versionsüberprüfungen für E-Mail-Clientsoftware tragen dazu bei, dass Benutzer von den Sicherheitsfeatures der jeweils aktuellsten Version von Outlook profitieren können. Messaginghygiene bei Microsoft Seite 23 ANDERE MESSAGINGHYGIENETECHNOLOGIEN Eine umfassende Messaginghygienestrategie schützt nicht nur vor Viren und Spam, sondern auch vor anderen E-Mail-Bedrohungen wie Mailbombing, bei dem ein bestimmter Empfänger oder ein ganzes E-Mail-System mit einer riesigen Menge unerwünschter E-Mails überschwemmt wird, um das System außer Betrieb zu setzen. Bei diesem Typ handelt es sich nicht nur um Belästigung oder Spam, sondern um einen gezielten DoS-Angriff. Eine weitere Bedrohung sind Directory-Harvest-Angriffe, bei denen versucht wird, in Besitz sehr vieler gültiger Empfängeradressen zu kommen, indem die Serverantworten zu den versendeten E-Mails analysiert werden. Directory-Harvest-Angriffe liegen dann vor, wenn Spammer Spamnachrichten mit zahllosen unterschiedlichen alphanumerischen Benutzernamen als Empfänger an einen E-Mail-Server schicken. Ist ein E-Mail-Server so konfiguriert, dass er nicht zustellbare Nachrichten an den Absender zurückschickt, kann der Spammer anhand der erhaltenen Antworten bestimmen, an welche Adressen die Mails zugestellt werden konnten und welche daher gültige Adressen sind. Zum Bekämpfen dieser Bedrohungen reichen Antispam- und Antiviruslösungen nicht aus. Microsoft IT setzt heute die in diesem Abschnitt beschriebenen Sicherheitsfeatures von Exchange Server 2003 SP2 ein, um diese und ähnliche Bedrohungen abzuwehren. Verbindungsfilterung Exchange Server 2003 SP2 enthält Verbindungsfilterfunktionen, die die IP-Adresse von Servern, die eine Verbindung herstellen möchten, mit einer Liste abgelehnter IP-Adressen (auch bekannt als Echtzeit-Sperrliste) vergleichen. Der Vergleich der IP-Adressen findet sofort bei der Initialisierung der SMTP-Sitzung statt und macht es dadurch Organisationen möglich, Verbindungen zu ihrem Gateway zum frühest möglichen Zeitpunkt der Nachrichtenübermittlung zu blockieren. Bevor ein Server aus der Echtzeit-Sperrliste Nachrichten übertragen kann, wird die Verbindung beendet. Dieser Ansatz ermöglicht Leistungseinsparungen auf der Messaging- und der Netzwerkebene. Die Verbindungsfilterung kann in Exchange Server 2003 SP2 eingerichtet werden, indem entweder eine globale Annahmeliste und eine globale Verweigerungsliste erstellt wird oder eine Drittherstellerdatenbank mit bekannten gesperrten IP-Adressen verwendet wird. Die Mehrzahl der Exchange Server 2003 SP2-Server werden im Inneren des Unternehmensnetzes eingesetzt und kommen dadurch nicht direkt mit dem Internet in Berührung. Dieser Standort eignet sich wenig für die Verbindungsfilterung, da dieses Feature zum Ausführen der DNS-Abfrage die IP-Adresse des Originalabsenders benötigt. Mit SP2 wurde dieser Mangel durch die Einführung eines neuen Header-Parsingalgorithmus für den Zugriff auf die ursprüngliche IP-Adresse behoben. Exchange Server 2003 SP2 kann nun an jeder beliebigen Position im Netzwerk die Verbindungsfilterungen so durchführen wie an der Peripherie. Globale Annahme- und Verweigerungslisten Jede Organisation kann ihre eigene statische Liste abgelehnter IP-Adressen erstellen. Wie der Name schon sagt, enthält die globale Verweigerungsliste IP-Adressen und Netzwerke, von denen E-Mails niemals angenommen werden sollen. Umgekehrt kann eine Organisation auch eine globale Annahmeliste erstellen, die IP-Adressen und Netzwerke enthält, auf deren E-Mails keine Richtlinien zur E-Mail-Blockierung oder -Filterung angewandt werden sollen. So eignet sich die globale Annahmeliste beispielsweise für IP-Adressen von Niederlassungen oder Handelspartnern, zu denen eine vertrauenswürdige Beziehung besteht. Wenn in diesen Fällen die vertrauenswürdigen IP-Adressen der E-Mail-Server in die globale Annahmeliste aufgenommen werden, kann für diese Absender das Risiko FalschPositiver ausgeschaltet werden. Messaginghygiene bei Microsoft Seite 24 Hinweis: Exchange Server 2003 kann für die Verwendung globaler Annahme- und Verweigerungslisten konfiguriert werden. Darüber hinaus kann die Annahme oder Ablehnung anhand von IP-Adressen konfiguriert werden. Die Konfiguration kann auf jedem virtuellen SMTP-Server eingerichtet werden und besitzt eine höhere Priorität als die globale IPFilterung anhand globaler Annahme- und Verweigerungslisten oder anhand von EchtzeitSperrlisten. Echtzeit-Sperrlisten Bei einer Echtzeit-Sperrliste handelt es sich um eine DNS-basierte Datenbank mit IPAdressen bekannter und verifizierter Spamquellen. Echtzeit-Sperrlisten können von Firmen bezogen werden, die sich professionell mit der Internet-Überwachung beschäftigen und Spamquellen ausfindig machen. Ermittelte Spammer-IP-Adressen werden zur EchtzeitSperrlistendatenbank hinzugefügt. Diese Listen werden häufig kostenlos zur Verfügung gestellt, oder sind in Verbindung mit weiteren Dienstleistungen gegen eine Gebühr erhältlich. Exchange Server 2003 SP2 unterstützt die Verwendung von Echtzeit-Sperrlisten von Drittherstellern. Wenn ein Exchange Server 2003 SP2-Server für die Verwendung einer Dritthersteller-Echtzeit-Sperrliste konfiguriert ist, durchsucht er die Datenbank mit der Echtzeit-Sperrliste nach der IP-Adresse des Absenderservers und verweigert die Verbindung, wenn die Adresse dort gefunden wird. Da die Filterung über Echtzeit-Sperrlisten anhand der IP-Adresse des sendenden Servers und nicht aufgrund des Nachrichteninhalts erfolgt, gehören Echtzeit-Sperrlisten einer eigenen Kategorie von Dritthersteller-Antispamsoftware an. Echtzeit-Sperrlisten erfüllen die Funktion von Türstehern, die Nachrichten von bekannten bösartigen oder fragwürdigen Servern den Zugang zur Umgebung verwehren. Übersteht eine Nachricht die Echtzeit-Sperrliste, rückt das Netzwerk einen Schritt näher. Allerdings erfolgt auf der nächsten Ebene der Messaginghygieneverteidigung die Untersuchung des Inhalts, beispielsweise durch den intelligenten Nachrichtenfilter. Wegen der bei Microsoft IT täglich anfallenden großen Menge Echtzeit-Sperrlisten-basierter DNS-Abfragen (Dutzende von Millionen) werden in festgelegten, regelmäßigen Abständen (im Allgemeinen mehrmals täglich) Spiegelungskopien der Echtzeit-Sperrliste an die lokalen DNS-Server übertragen. Bei den meisten Listenanbietern müssen bei mehr als 250.000 Abfragen pro Tag lokale Kopien der Echtzeit-Sperrlisten angelegt werden. Die Übertragung einer Kopie der Echtzeit-Sperrliste durch den Anbieter wird als Zonenübertragung bezeichnet. Die Exchange Server 2003 SP2-Gateways wurden von Microsoft IT so konfiguriert, dass Echtzeit-Sperrlisten-basierte DNS-Abfragen an die lokalen DNS-Server übermittelt werden. Anbieter von Echtzeit-Sperrlisten Da die verschiedenen Anbieter von Echtzeit-Sperrlisten verschiedene Arten von Listen und Diensten bereitstellen, wurden von Microsoft IT eingehende Vergleiche angestellt, bevor ein Anbieter ausgewählt wurde. Die Entscheidung von Microsoft IT basierte auf den Antworten der Anbieter auf die folgenden Fragen: Qualität der Liste. Wird verifiziert, ob die neu zur Liste hinzugefügten IP-Adressen tatsächlich Spammeradressen sind? Kann die Liste erweitert werden? Sicherheit der Liste. Durchläuft die Liste Sicherheitsüberprüfungen? Wird überprüft, ob IP-Adressen fälschlicherweise oder böswillig hinzugefügt wurden? Messaginghygiene bei Microsoft Seite 25 Ablauf der Listenaktualisierung. Wie sieht der Überprüfungsablauf aus? Wenn der Eintrag in die Liste automatisch erfolgt, sollte auch der Austrag aus der Liste automatisch erfolgen, wenn keine Spamaktivitäten mehr registriert werden. Wie schnell werden die Listen aktualisiert? Listenübertragungsablauf. Ermöglicht der Anbieter vollständige oder inkrementelle BIND-Übertragungen (Berkeley Internet Name Domain), die unmittelbar kompatibel zu Windows-DNS sind? Unterstützung durch den Sperrlistenanbieter. Welcher Support wird angeboten? Verwaltungsaspekte Bei der Inanspruchnahme von Echtzeit-Sperrlisten-Dienstleistungen ist einer der wichtigsten Aspekte der Umgang mit den Adressen seriöser Absender, die versehentlich in die Liste eingetragen wurden. Die Gateways von Microsoft IT wurden so konfiguriert, dass Absender, die von der Echtzeit-Sperrliste zurückgewiesen werden, eine Benachrichtigung erhalten. Die für eine gesperrte Verbindung erzeugte Nachricht enthält den Grund für die Zurückweisung und nennt den Anbieter, dessen Echtzeit-Sperrliste dafür verantwortlich ist. Ein Absender kann sich dann an den Anbieter der Echtzeit-Sperrliste wenden, das Problem lösen und seine IP-Adressen aus der Liste entfernen lassen. Organisationen, die auf jeden Fall vermeiden möchten, dass seriöse Absender gesperrt werden, oder sich nicht darauf verlassen möchten, dass sich der Absender mit dem Anbieter der Echtzeit-Sperrliste in Verbindung setzt, können ein E-Mail-Konto oder eine Verteilergruppe erstellen und zur Ausnahmeliste in Exchange Server 2003 SP2 hinzufügen. Nachrichten, die direkt an die Empfänger in der Ausnahmeliste geschickt werden, umgehen die Echtzeit-Sperrliste. Ein Vorbehalt gegen diese Vorgehensweise liegt in der Möglichkeit begründet, dass Spammer die Umleitungsadresse für Spamnachrichten verwenden. Sollte dieser Fall jedoch eintreten, kann die Adresse sehr einfach geändert werden. Große Unternehmen, die auf ihren DNS-Servern lokale Datenbankkopien der EchtzeitSperrliste einsetzen, müssen vor allem darauf achten, dass alle betroffenen Teams koordiniert und eng zusammenarbeiten. So hat beispielsweise das DNS-Entwicklungsteam von Microsoft die lokale Spiegelungskopie der Echtzeit-Sperrliste in den DNS-Datenbanken eingerichtet, aber die Exchange Server-Gateways werden als Erstnutzer dieser Informationen von der Exchange-Supportgruppe verwaltet. Daher wurden die Aktivitäten der beiden Gruppen sorgfältig koordiniert und folgen einem strengen Ablauf. Die Größe einiger Listen stellte eine potenzielle Gefahr für die Leistung der DNS-Infrastruktur dar. Daher wurden vom DNS-Entwicklungsteam die Tests und Evaluierungen durchgeführt, die nötig waren, um mögliche Auswirkungen der Listen auf die Umgebung zu bestimmen. Beide Gruppen arbeiten weiterhin eng zusammen, um ihre Ziele zu erreichen. Absenderfilterung Bei der Absenderfilterung wird die Absenderadresse ankommender E-Mails untersucht und mit einer vom Administrator konfigurierten Liste gesperrter Absender verglichen. Die Liste enthält E-Mail- und Domänenadressen, deren E-Mails von Microsoft IT nicht angenommen werden. In der Regel sind dies Adressen, die große Mengen unerwünschter E-Mails verschicken, wie z. B. von Sites ohne Geschäftsbezug. Diese Absender werden von Microsoft IT nicht als Spammer klassifiziert, sondern lediglich als Domänen oder Personen, deren E-Mails unerwünscht sind. Messaginghygiene bei Microsoft Seite 26 Die Absenderfilterung allein stellt keine adäquate Maßnahme gegen sich ständig ändernde Spamnachrichten dar. Da Spam-E-Mails oft von Absendern mit dynamischen bzw. willkürlich gewählten IP-Adressen stammen, ist die Filterung nach bestimmten Adressen ziemlich wirkungslos. Die Absenderfilterung trägt jedoch dazu bei, das Risiko von MailbombingAngriffen zu verringern, die von einer speziellen Quelle oder E-Mail-Domäne ausgehen. In der Umgebung von Microsoft IT blockiert allein die Absenderfilterung täglich Hunderttausende Nachrichten. Filtern absenderloser Nachrichten Normale seriöse E-Mails enthalten eine gültige E-Mail-Absenderadresse. Nachrichten mit leerer Absenderadresse sind in der Regel nicht seriös. Microsoft IT verlässt sich darauf, dass diese Nachrichten an den Exchange Server 2003 SP2-Gateways blockiert werden. Dadurch wird gleichzeitig die Spambelastung der Umgebung verringert. Empfängerabgleich Auf den Exchange Server 2003 SP2-Gatewayservern wird von Microsoft IT auch ein Empfängerabgleich durchgeführt. Bei diesem Feature von Exchange Server 2003 SP2 wird die Gültigkeit des Empfängers auf Protokollebene überprüft, bevor die Verantwortung für die Weiterleitung der Nachricht übernommen wird. Dabei werden Nachrichten zurückgewiesen, die an nicht existierende Benutzer adressiert sind. Da andere Filter diese Art von Nachrichten nicht unbedingt blockieren, erfüllt der Empfängerabgleich eine nützliche Funktion. Die Verarbeitung großer Mengen unerwünschter E-Mails beansprucht unnötigerweise die Messagingserver und das gesamte Netzwerk. Durch dieses Feature wird die E-Mail-Menge verringert, für die das System für den Transport und Rücktransport Ressourcen hätte bereitstellen müssen. Administratoren sollten den Empfängerabgleich jedoch mit Vorsicht implementieren, da er die Messagingumgebung unter Umständen anfällig für Directory-Harvest-Angriffe machen kann. Das Angriffsrisiko kann ganz einfach dadurch verringert werden, dass die Antworten an ungültige Empfänger verzögert versendet werden. Bei diesem Ansatz wird der Versuch vereitelt, schon E-Mail-Adressen zu sammeln, während Nachrichten an ungültige Empfänger noch blockiert werden. Microsoft IT konfiguriert seine Exchange Server 2003 SP2-Gateways so, dass Serverantworten an ungültige Empfänger langsamer erfolgen, während gültige Nachrichten ganz normal verarbeitet werden. Hinweis: Weitere Informationen zu diesem Ablauf finden Sie im Microsoft Knowledge BaseArtikel „Es steht ein Softwareupdate zur Verfügung, das die Auflistung von E-Mail-Adressen in Exchange Server 2003 verhindert“ unter http://support.microsoft.com/kb/842851. Empfängerfilterung Durch die Empfängerfilterung von Exchange Server 2003 SP2 kann sich Microsoft IT vor gezieltem Mailbombing schützen oder zumindest dessen Auswirkungen verringern. Oft benötigen die Empfänger, die Ziel dieser Angriffe werden, überhaupt keine Nachrichten aus dem Internet. Bei der Empfängerfilterung werden Nachrichten am Gateway aufgrund von Kriterien wie z. B. dem Empfänger einer Nachricht zurückgewiesen. Messaginghygiene bei Microsoft Seite 27 Die Empfängerfilterung ist zwar nicht so wirksam bei der Bekämpfung von EchtzeitSpamangriffen wie Echtzeit-Antispamlösungen, aber sie kann sehr viel zur Verringerung des Risikos von Mailbombing-Angriffen beitragen. Erst kürzlich konnten von Microsoft IT mithilfe der Empfängerfilterung Millionen Nachrichten blockiert werden, die an einem einzigen Tag an ganz wenige Empfänger adressiert waren. Eingeschränkte Verteilergruppen E-Mail-Verteilergruppen sind in Organisation von unschätzbarem Wert, besitzen jedoch das Potenzial, die Nachrichtenmenge anwachsen zu lassen und in einer Messagingumgebung neue Sicherheitsanfälligkeiten zu verursachen. Verteilergruppen können sehr viele Empfänger aufweisen und sind Hauptziele für Absender nicht angeforderter und bösartiger E-Mails. Die erfolgreiche Übertragung einer bösartigen E-Mail an große Verteilergruppen hat weitaus ernstere Folgen, als wenn diese Nachricht einen einzelnen Benutzer erreicht. Microsoft IT verwendet Features von Exchange Server 2003 SP2, mit denen ein Administrator E-Mail-Verteilergruppen auf zwei Arten einschränken kann. Erste Möglichkeit: Der Administrator konfiguriert die Verteilergruppe so, dass sie nur Nachrichten von Absendern aus einer festgelegten Absenderliste annimmt. Zweite Möglichkeit: Der Administrator konfiguriert die Verteilergruppe so, dass sie nur Nachrichten von authentifizierten Absendern annimmt. Bei nicht authentifizierten Absendern werden Nachrichten an geschützte Verteilergruppen blockiert. Microsoft IT geht noch weiter und schränkt alle Verteilergruppen ein, die keine E-Mails ins Internet schicken oder aus dem Internet empfangen müssen. Auf diese Weise können externe Benutzer keine E-Mails an diese Verteilergruppen schicken. Unterdrückung der Auflösung des angezeigten Absendernamens Microsoft IT setzt ein Feature von Exchange Server 2003 SP2 ein, mit dem Administratoren die automatische Auflösung des Absendernamens bei ankommenden, anonym gesendeten E-Mails unterdrücken können. Normalerweise löst der Outlook 2003-Client automatisch Absenderadressen in die entsprechenden Anzeigenamen auf, wenn die Adresse des Absenders mit einer Proxyadresse in den Active Directory®-Verzeichnisdiensten übereinstimmt. Wird die automatische Auflösung mithilfe von Exchange Server 2003 SP2 unterdrückt, dann wird die Nachricht markiert, damit Outlook 2003 keine Namensauflösung durchführt und dem Empfänger auch wirklich im Outlook Nachrichtenkopf statt des Namens aus der globalen Adressliste (GAL) die Internet-E-Mail-Adresse anzeigt. Der Empfänger kann sehen, dass die Nachricht von außerhalb der Exchange Server 2003 SP2-Organisation kommt und möglicherweise eine Spoofingnachricht ist. Messaginghygiene bei Microsoft Seite 28 BEWÄHRTE METHODEN Die Erkenntnis, dass sich jede Kundenumgebung von den anderen Umgebungen unterscheidet, ist nicht neu für Microsoft IT, aber trotzdem sind die Anliegen aller in Bezug auf Spam, Viren, E-Mail-Angriffe und andere E-Mail-Bedrohungen gleich. Von Microsoft IT wurden die nachfolgenden bewährten Methoden entwickelt oder implementiert, um sicherzustellen, dass der größtmögliche Schutz bei gleichzeitiger Nutzbarkeit gewährleistet ist. Verwenden Sie eine Abwehr mit mehreren Ebenen, um die größte Wirkung zu erreichen. Aufgrund der heute sehr großen Verbreitung von Spam und bösartiger Software im Internet bietet eine einzige Abwehrreihe keinen wirksamen Schutz mehr für ein Unternehmen. Noch vor wenigen Jahren verwendete Microsoft IT nur eine einzige Filterlösung, von der lediglich 40 % des Spamaufkommens blockiert wurden. Gegenwärtig werden jeden Tag Dutzende Millionen Nachrichten aus dem Internet übertragen, und etwa 95 % davon werden blockiert. Durch den mehrschichtigen Verteidigungsansatz kann Microsoft IT heute fast alle Spammails blockieren. Führen Sie die Überprüfung auf Spam und Domainspoofing am Messaginggateway durch. Durch die Überprüfung auf Spam bereits auf Gatewayebene kann Microsoft IT die Anzahl der Spam- und Spoofingnachrichten, die durch das interne Netzwerk transportiert werden, minimieren. Wesentlich ist dabei, dass die Überprüfung so weit wie möglich am äußersten Netzwerkrand durchgeführt wird. Nach der Überprüfung können verdächtige Nachrichten archiviert, zurückgewiesen, gelöscht oder nicht speziell behandelt werden. Für die vielen E-Mails, die täglich aus dem Internet in der Messagingumgebung von Microsoft eintreffen, verwendet Microsoft IT für die Gatewayschwelle gegenwärtig die Zurückweisungsaktion. Das Löschen von Spam am Gateway ist am sinnvollsten, da die Kosten für den Transport und die Speicherung verdächtiger Spamnachrichten zu hoch sind. Das Ziel ist, so wenig Spam wie möglich zu verarbeiten und im Netzwerk zu transportieren. Führen Sie die Spamüberprüfung vor der Virenüberprüfung durch. Da bei der Spamüberprüfung ein großer Prozentsatz der aus dem Internet ankommenden Nachrichten abgeblockt wird, ist es sinnvoll, die Spamüberprüfung vor der Virenüberprüfung durchzuführen. Nachrichten auf Viren zu überprüfen, die später als Spam klassifiziert und schließlich abgeblockt werden, ist nicht rentabel. Die Speicherung und der Netzwerktransport dieser Nachrichten erfordert zusätzlichen Speicherplatz, eine größere Netzwerkbandbreite und mehr Serververarbeitungszyklen. Löschen Sie infizierte Nachrichten statt dass Sie sie bereinigen. Einige Antiviruslösungen sind zwar in der Lage, erkannte Viren aus einer Nachricht zu entfernen, ohne dass der Nachrichteninhalt beschädigt wird, aber dieses so genannte Bereinigen ist möglicherweise nicht immer erfolgreich. Daher stellt der Transport dieser Nachrichten durch das System ein potenzielles Risiko dar. Bei bestimmten Infektionsarten, wie z. B. Massenmailwürmern, können selbst viele bereinigte Nachrichten immer noch Leistungsabfälle im System verursachen. Aufgrund des täglich ankommenden E-Mail-Volumens werden infizierte Nachrichten von Microsoft IT gelöscht statt bereinigt. Bereinigte Nachrichten vergrößern das E-Mail-Gesamtvolumen, das gespeichert und im Netzwerk transportiert werden muss. Bei Microsoft IT besteht jedoch auch Klarheit darüber, dass einige Unternehmen E-Mails lieber nicht löschen möchten und versuchen, diese zu bereinigen. Messaginghygiene bei Microsoft Seite 29 Entfernen Sie Anlagen mit bestimmten Dateitypen. Microsoft IT ist überzeugt, dass das Sperren von Anlagen eine wertvolle Ergänzung zur signaturbasierten Virusüberprüfung darstellt. Attachment Stripping trägt zum Schutz der Umgebung vor unbekannter oder neuer Malware bei, die in E-Mail-Anlagen transportiert wird und für die noch keine Signaturdateien verfügbar oder installiert sind. Das Entfernen von Anlagen bietet dadurch eine weitere Verteidigungsmöglichkeit. In der Praxis bewährt hat sich die Implementierung des Attachment Stripping am E-Mail-Gateway bei gleichzeitiger Anpassung der Attachment Stripping-Richtlinien auf der Gatewayebene an die Richtlinien für die Sperrung von Anlagen auf der Clientebene. Deaktivieren Sie Sicherheitsbenachrichtigungen an Absender aus dem Internet. Aus den folgenden Gründen ist Microsoft IT überzeugt, dass niemals Benachrichtigung an Absender aus dem Internet verschickt werden sollten: Durch Benachrichtigungen werden die Möglichkeiten des Messaginghygienesystems aufgedeckt, und dadurch werden unnötige Sicherheitsrisiken geschaffen. Die Identität eines Absender kann in der Regel (wegen Spoofing) nicht bestätigt werden. Daher werden E-Mail-Benachrichtigungen möglicherweise an den falschen Benutzer geschickt, der möglicherweise von Benachrichtigungen überschwemmt wird. Liegen sehr viele infizierte Nachrichten vor, können die Benachrichtigungen auf dem anderen System einen verteilten DoS verursachen. Überprüfen Sie sowohl ankommende als auch ausgehende E-Mails auf Viren. Ein Hauptanliegen ist zwar der Schutz der Microsoft IT-Messagingumgebung vor Viren durch die Überprüfung ankommender E-Mails, aber gleichermaßen wichtig ist, dass interne Benutzer nicht versehentlich andere Benutzer und externe Empfänger mit Viren in ausgehenden E-Mails infizieren. Erzeugen Sie Sicherheitsbenachrichtigungen für infizierte ausgehende Internet-EMails. Wenn ein interner Benutzer versehentlich eine infizierte Nachricht verschickt, ist möglicherweise sein Computer infiziert. Der interne Benutzer muss daher benachrichtigt werden, damit er die Infektion aus seinem Benutzersystem entfernen kann, bevor er weitere infizierte E-Mails verschickt. Verwenden Sie eingeschränkte Verteilergruppen. Mithilfe eingeschränkter Verteilergruppen kann das E-Mail-Gesamtvolumen verringert und können Risiken entschärft werden, da ein Administrator festlegt, welche Benutzer Nachrichten an welche Verteilergruppen schicken können. Dieses Feature von Exchange Server 2003 SP2 bietet verschiedene Steuerungsmöglichkeiten. Achten Sie konsequent auf die Einhaltung der Antivirusrichtlinien auf Clientsystemen. Eine vollkommen konsistente Messaginginfrastruktur ist unerlässlich für die Sicherheit einer Messagingumgebung. Die einzelnen Benutzer müssen sich über ihre Bedeutung für den Ablauf und über ihre Steuerungsmöglichkeiten im Klaren sein. Überwachen Sie den äußersten Netzwerk- und Routingrand. Der schon mehrmals beschriebene mehrschichtige Messaginghygieneansatz von Microsoft IT sieht vor, dass eine Organisation in der gesamten Messaginginfrastruktur möglichst viele Verteidigungsmaßnahmen implementiert. Die Maßnahmen sollten so nah wie möglich am Internet beginnen und auf jeder Infrastrukturebene bis hin zur Clientebene fortgesetzt werden. Dabei sollten sich die Verteidigungsmaßnahmen ergänzen. Messaginghygiene bei Microsoft Seite 30 Blockieren Sie absenderlose Nachrichten. In der Regel sind absenderlose E-Mails nicht seriös. Spam-E-Mails werden häufig absenderlos verschickt, um die Identität des Nachrichtenurhebers zu verschleiern. Aus diesem Grund ist Microsoft IT von der Praxis überzeugt, absenderlose E-Mails abzublocken. Blockieren Sie E-Mails von Absendern mit bestimmten IP-Adressen und Domänennamen. Bei gezielten Spam- oder Mailbombing-Angriffen, bei denen die bösartigen Nachrichten aus einer identifizierten Quelle stammen, stellt die Filterung von IP-Adressen und Absendern eine schnelle und wirksame Gegenmaßnahme dar, durch die der unerwünschte Messagingverkehr blockiert und seine Auswirkungen auf die Infrastruktur gemindert werden. Messaginghygiene bei Microsoft Seite 31 SCHLUSSBEMERKUNG Wie heute die meisten anderen Unternehmen muss Microsoft IT bei der Bekämpfung von Spam, Viren, E-Mail-Angriffen und anderen Sicherheitsbedrohungen seiner Infrastruktur beständige Wachsamkeit walten lassen. Microsoft IT wird zwar aufgrund seiner einzigartigen Betriebsumgebung, einer komplexen Mischung aus Servern, Plattformen, Anwendungen und veröffentlichten und noch unveröffentlichten Betriebssystemen, mit ungewöhnlichen Herausforderungen konfrontiert, verfolgt aber beim Schutz seiner Infrastruktur dieselben grundlegenden Prinzipien wie seine Kunden. Das beherrschende Leitmotiv der Messaginghygienestrategie von Microsoft IT ist die grundlegende Bedeutung des Mehrebenenansatzes. Die Bekämpfung von Spam, Viren und anderen bösartigen Angriffen auf nur einer Ebene der Infrastruktur ist ganz einfach nicht ausreichend. Als Konsequenz wurde von Microsoft IT Antivirussoftware auf mehreren Ebenen der gesamten Messaginginfrastruktur implementiert. Durch eine Kombination aus Drittherstellerlösungen und zahllosen Features von Exchange Server 2003 SP2 und Outlook 2003 konnte Microsoft IT seine Abwehr verstärken. Eine Leitlinie in der Strategie von Microsoft IT besagt, dass der Großteil der Spam- und bösartigen Nachrichten vom Eindringen ins Netzwerk abgehalten werden muss. Aus diesem Grund hat Microsoft IT am Netzwerkgateway unterschiedlichste Filtermechanismen implementiert. Durch die Beseitigung einer Gruppe dedizierter Server aus der bisherigen Messagingtopologie konnte Microsoft IT seine Netzwerkinfrastruktur rationalisieren. Diese Anstrengungen haben ebenfalls zur Verringerung der Gesamtbetriebskosten von Microsoft IT beigetragen. Microsoft IT ist sich über seine ständigen Änderungen unterworfene Umgebung im Klaren und wird auch in Zukunft seine Messaginghygienestrategie an die sich permanent verändernden Gefahren anpassen, die über das Internet das Microsoft IT-Netzwerk bedrohen. Messaginghygiene bei Microsoft Seite 32 WEITERE INFORMATIONEN Wenn Sie weitere Informationen zu Produkten oder Dienstleistungen von Microsoft benötigen, wenden Sie sich telefonisch unter (800) 426-9400 an das Microsoft Sales Information Center. In Kanada erreichen Sie das Microsoft Canada Information Centre unter (800) 563-9048. In allen anderen Ländern können Sie sich direkt an die nächstgelegene Microsoft-Niederlassung vor Ort wenden. Informationen im Internet finden Sie unter folgenden Adressen: http://www.microsoft.com (in englischer Sprache) http://www.microsoft.com/itshowcase (in englischer Sprache) http://www.microsoft.com/technet/itshowcase (in englischer Sprache) http://www.microsoft.com/senderid (in englischer Sprache) Die in diesem Dokument enthaltenen Informationen stellen die behandelten Themen aus der Sicht der Microsoft Corporation zum Zeitpunkt der Veröffentlichung dar. Da Microsoft auf sich ändernde Marktanforderungen reagieren muss, stellt dies keine Verpflichtung seitens Microsoft dar, und Microsoft kann die Richtigkeit der hier dargelegten Informationen nach dem Zeitpunkt der Veröffentlichung nicht garantieren. Dieses Whitepaper dient nur zu Informationszwecken. MICROSOFT SCHLIESST FÜR DIE IN DIESEM DOKUMENT ENTHALTENEN INFORMATIONEN JEDE GARANTIE AUS, SEI SIE AUSDRÜCKLICH ODER KONKLUDENT. Die Benutzer/innen sind verpflichtet, sich an alle anwendbaren Urheberrechtsgesetze zu halten. Microsoft gewährt Ihnen das Recht, dieses Whitepaper ausschließlich zum Zweck Ihrer persönlichen Weiterbildung bzw. Information vollständig oder in Teilen zu reproduzieren. Microsoft kann Inhaber von Patenten bzw. Patentanträgen, von Marken, Urheberrechten oder anderem geistigen Eigentum sein, die den Inhalt dieses Dokuments betreffen. Das Bereitstellen dieses Dokuments gibt Ihnen jedoch keinen Anspruch auf diese Patente, Marken, Urheberrechte oder auf sonstiges geistiges Eigentum, es sei denn, dies wird ausdrücklich in den schriftlichen Lizenzverträgen von Microsoft eingeräumt. Sofern nichts anderes angegeben ist, sind die als Beispiele genannten Unternehmen, Organisationen, Produkte, Domänennamen, E-Mail-Adressen, Logos, Personen, Orte und Ereignisse frei erfunden. Jede Ähnlichkeit mit tatsächlichen Unternehmen, Organisationen, Produkten, Domänennamen, E-Mail-Adressen, Logos, Personen, Orten oder Ereignissen ist rein zufällig. © 2006 Microsoft Corporation. Alle Rechte vorbehalten. Dieses Dokument dient nur zu Informationszwecken. MICROSOFT SCHLIESST FÜR DIESE ZUSAMMENFASSUNG JEDE GARANTIE AUS, SEI SIE AUSDRÜCKLICH ODER KONKLUDENT. Microsoft, Active Directory, ActiveX, Hotmail, Outlook, Windows und Windows Server sind eingetragene Marken oder Marken der Microsoft Corporation in den USA und/oder anderen Ländern. Die in diesem Dokument aufgeführten Namen von tatsächlichen Unternehmen und Produkten können geschützte Marken ihrer jeweiligen Eigentümer sein. Messaginghygiene bei Microsoft Seite 33
