複数の連邦機関のサイバーセキュリティ専門家が、オンプレミスのMicrosoft Exchange Serverへの攻撃から組織を守るための防御策を強化するガイダンスを発表しました。これは、以前共有された一般的な技術に適用できるアドバイスを再提示し、さらに発展させたものです。
サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、Microsoft Exchange Serverのセキュリティ設計図が、緊急指令の後続措置であると述べています。この指令は、CVE-2025-53786という、オンプレミスのMicrosoft Exchange Serverに影響する深刻な欠陥に対して8月に発表されたものです。CISAはこのガイドを、国家安全保障局（NSA）およびオーストラリア、カナダのサイバー機関と共同で木曜日に発表しました。
CISAのサイバーセキュリティ担当副局長であるニック・アンダーセン氏は、このガイダンスは特定の脆弱性や攻撃に対応したものではなく、組織が常に脅威にさらされている現状を反映したものだと述べました。「多くの組織がMicrosoft Exchangeに依存して重要な通信機能を果たしており、それゆえ悪意ある攻撃者からの強固な保護が必要です」と、木曜日の記者会見で語りました。
この推奨事項は特に新しいものではなく、セキュリティやITの専門家にとって驚くべきものではありません。ガイドは、Microsoftやセキュリティ専門家、業界全体が共有してきたセキュリティアドバイスをまとめたものです。ガイドで引用されている資料の大半、60件以上は、Microsoftのサイトに点在するブログやアドバイスにリンクしています。
「個々の推奨事項は、既知の良い実践です。私が注目したのは、詳細な実装ガイダンスと、推奨事項をまとめてセキュリティ向上のための行動計画としてまとめている点です」と、スタンフォード大学国際安全保障協力センターの研究員アンドリュー・グロット氏はCyberScoopに語りました。
「これは実用的で非常に使いやすいガイドです」と彼は述べました。「また、なぜMicrosoftがこれまでこのようなものを作成しなかったのかという疑問も生じます。」
Microsoftは質問への回答や追加情報の提供を拒否しました。
ガイドは、オンプレミスのMicrosoft Exchange Server利用者に対し、管理者アクセスの制限、多要素認証の導入、厳格なトランスポート層セキュリティ設定の実施、ゼロトラストセキュリティ原則の採用を推奨しています。また、定期的なパッチ適用や、サポート終了となったMicrosoft Exchange Serverからの移行も助言しています。
「最も効果的な防御策は、すべてのExchange Serverが最新バージョンおよび累積アップデートパッチを適用していることを確認することです」とアンダーセン氏は述べました。「セキュリティパッチの適用を遅らせたり怠ったりすると、脆弱性の悪用リスクが高まり、ネットワーク全体、さらにはより広いエコシステム全体が危険にさらされます。」
このガイダンスの作成におけるMicrosoftの関与の程度は不明です。アンダーセン氏はそれについて直接言及しませんでしたが、CISAは連邦政府とベンダーエコシステムで協力するMicrosoftや他のベンダーに感謝していると述べました。
「このパートナーとの関与の重要性やレベルを踏まえ、ベストプラクティスをまとめたものを用意したかったのです」とアンダーセン氏は述べました。
Microsoft Exchange Serverは国家レベルの攻撃者やサイバー犯罪者から集中的に狙われています。この人気のエンタープライズ技術は、2021年以降、CISAの既知の悪用済み脆弱性カタログに16回登場しており、そのうち12件はランサムウェア攻撃で使用されていることが知られています。その年、米国政府とその同盟国は、中国を非難し、Exchangeの脆弱性を悪用したことで数万件の被害をもたらすランサムウェア攻撃が発生したとしています。
グロット氏によれば、ガイドの推奨事項はMicrosoft Exchangeの複雑さを浮き彫りにしているといいます。「複雑さはセキュリティの敵です」と彼は述べました。「Microsoftにとって、複雑さは顧客の問題であり、自分たちの問題ではありません。」
連邦および国際機関によるこの取り組みは、彼らが満たされていないニーズがあると判断したことが動機である可能性が高いとグロット氏は述べています。
「政府が通常、民間企業の製品を安全に運用するための詳細なガイダンスを提供することはありません」と彼は述べました。「しかし、複数国のセキュリティ・情報機関がこのようなものを作成する必要があると感じたという事実は、Microsoftのセキュリティ体制に対する痛烈な批判です。」
翻訳元: https://cyberscoop.com/cisa-nsa-microsoft-exchange-server-guidance/
