Täglicher Exchange Scan der Mailboxen / Datenbanken

[Chriss]

Hallo zusammen,
wir setzen seit einigen Jahren NoSpamProxy in unserer Umgebung erfolgreich ein und sind sehr zufrieden damit.

Unsere Architektur umfasst:

• 2x Exchange 2019 Mailbox Server
• 2x Edge Transport Server (darüber ließe sich streiten )
• 2x NoSpamProxy Gateway Server

Auf allen Clients ist Trend Micro Apex One installiert.
Zusätzlich läuft auf allen Servern ein aktueller Malware-Scanner (mit den empfohlenen Exchange-Ausschlüssen).

Nun stellen wir uns folgende Frage:

Ist es in der heutigen Zeit überhaupt noch notwendig oder sinnvoll, ein separates Produkt zu betreiben, das regelmäßig auf den Exchange Mailbox-Servern die Datenbanken und Postfächer auf Malware/Viren scannt?

Mein Bauchgefühl sagt „ja“ – denn wenn eine Malware-belastete Mail doch mal durchkommt, würde sie theoretisch dauerhaft im Exchange Store verbleiben, ohne dass jemand es bemerkt.

Daher würden wir gerne wissen:

• Gibt es von NoSpamProxy ein passendes Produkt oder eine Erweiterung für diesen Zweck?
• Und wie steht ihr grundsätzlich zu diesem Thema? Wird ein zusätzlicher Mailbox-/Datenbank Scan überhaupt noch empfohlen?

Danke im Voraus für eure Einschätzungen und viele Grüße!

 

[JanJäschke]

Hey,

das freut mich erstmal sehr zu hören und ich hoffe das bleibt noch eine Weile so

Zu der gesuchten Funktion:
Ich teasere mal an, dass wir genau das als Modul in 32Guards realisieren werden und damit grade begonnen haben. Die zweite Jahreshälfte bringt also hoffentlich Neuigkeiten mit sich
Angedacht ist:
- informieren des admins
- entfernen der E-Mail aus EXO oder On-Prem Exchange
- entfernen der bösartigen Anhänge der entsprechenden Email
(Konfigurierbar)

32Guards informiert dann den NSP darüber und dieser führt die entsprechenden Aktionen aus.


Wie sinnvoll ist das weitere zusätzliche Scannen der Postfächer mit anderen Tools?
Zu dieser Frage kann ich dir keine allgemeine und „richtige“ Antwort geben, das wäre unseriös.
Prinzipiell muss das jede IT für sich entscheiden.

Aus persönlicher Sicht kann ich nur sagen, dass es keine 100% Lösung gibt. Kein Tool der Welt wird jemals zu 100% alles richtig erkennen, daher profitierst du immer davon unterschiedliche Tools einzusetzen. Es erhöht einfach die Chance etwas zu erkennen was ein anderes nicht erkannt hat.

Hoffe das hilft dir erstmal weiter ^^

LG
Jan

 

[Chriss]

Hey,

das freut mich erstmal sehr zu hören und ich hoffe das bleibt noch eine Weile so

Zu der gesuchten Funktion:
Ich teasere mal an, dass wir genau das als Modul in 32Guards realisieren werden und damit grade begonnen haben. Die zweite Jahreshälfte bringt also hoffentlich Neuigkeiten mit sich
Angedacht ist:
- informieren des admins
- entfernen der E-Mail aus EXO oder On-Prem Exchange
- entfernen der bösartigen Anhänge der entsprechenden Email
(Konfigurierbar)

32Guards informiert dann den NSP darüber und dieser führt die entsprechenden Aktionen aus.


Wie sinnvoll ist das weitere zusätzliche Scannen der Postfächer mit anderen Tools?
Zu dieser Frage kann ich dir keine allgemeine und „richtige“ Antwort geben, das wäre unseriös.
Prinzipiell muss das jede IT für sich entscheiden.

Aus persönlicher Sicht kann ich nur sagen, dass es keine 100% Lösung gibt. Kein Tool der Welt wird jemals zu 100% alles richtig erkennen, daher profitierst du immer davon unterschiedliche Tools einzusetzen. Es erhöht einfach die Chance etwas zu erkennen was ein anderes nicht erkannt hat.

Hoffe das hilft dir erstmal weiter ^^

LG
Jan

Hey Jan,

das läuft dann über die Exchange EWS oder API oder?

Wird das dann ein neues lizenzpflichtiges Produkt?

Lg, Christian

 

[JanJäschke]

Ja genau, über die APIs agieren wir dann mit dem Exchange.

Ja, es wird ein neues kostenpflichtiges Modul in 32Guards geben welches die Funktion dann beinhaltet.

 

[869288141]

Hallo Chriss,

Mein Bauchgefühl sagt „ja“ – denn wenn eine Malware-belastete Mail doch mal durchkommt, würde sie theoretisch dauerhaft im Exchange Store verbleiben, ohne dass jemand es bemerkt.

wo ist da aus deiner Sicht das Risiko bzw. mögliche Folgeschäden?

Gruß,
Daniel

 

[Fabian]

wo ist da aus deiner Sicht das Risiko bzw. mögliche Folgeschäden?

Anbei meine fünf Cent: Das Restrisiko wäre ein schädlicher Anhang welcher beim Passieren des NSP nicht erkannt wurde und dann erstmalig später geöffnet wird.

Sofern dieser jedoch vorher geöffnet wird, brauchst ne andere Lösung.

Bei Links hast ja die "Protection at clicktime".

Für mich Kategorie "Wahrscheinlichkeit eher gering" zumal ja die EDR auch noch greifen sollte.

LG
Fabian