美国联邦信息安全局 (BSI) 现在提出紧急建议，要求您的 Microsoft Exchange Server 保持最新状态。尽管关键安全更新已发布数月，但许多 Exchange 服务器仍可通过 Exchange Web 服务公开访问，并且数千台 Exchange 服务器已暴露于一个或多个漏洞 (CVE-2020-0688)。
最重要的是，太多用户忽略了现有的安全更新，从而承担了不必要的风险。这在这种情况下尤其重要，因为可以通过互联网利用漏洞。特别是因为相关的攻击代码是公开可用的或已经集成到已知的攻击工具中。 Exchange 服务器所需的安全更新已于二月份推出。
Exchange 服务器通常在管理上与 Active Directory 集成。这为计算机和服务帐户提供了与域管理员相同的权限。通过破坏 Exchange 服务器，攻击者可以获得域管理员凭据并可能破坏 Active Directory。总的来说，这是一个不应该掉以轻心的问题。
BSI 建议检查是否有漏洞版本正在使用并尽快更新。了解您实际需要使用哪些协议来通过 Internet 访问 Exchange 服务器也很重要。为了降低利用此类漏洞的风险，访问应仅限于严格必要的协议和授权人员，并且应通过加密安全连接进行。再次，我们建议使用 VPN 网关。
BSI 还指出，Exchange 2010 将于 2020 年 10 月 13 日停止支持 (EoS)。从此时起，将不再提供安全更新。 Microsoft 还计划将 Exchange 2013 的 EoS 日期定为 2023 年 4 月 11 日。使用 Exchange 2013 的组织应立即开始迁移规划，以确保应用关键漏洞的未来更新。
