En Exchange-server i eget miljø er en tjeneste, der både skal kunne nås fra internettet og hænger tæt sammen med jeres Active Directory. Når den indgår i en ekstern penetrationstest, ser testen især på tre ting: hvilken udgave der kører, og om den er opdateret; hvad serveren viser og tillader udadtil; og hvordan login til mail og webmail er beskyttet. For IT-afdelingen er det opdateringstakten og planen for serverens fremtid, der bliver det centrale spørgsmål.
Har I flyttet postkasserne til cloud, gælder en anden vinkel. Testen handler så om opsætning og adgange i tjenesten, ikke om en server. → Exchange Online
Hvorfor netop Exchange er et særligt testområde
En lokal mailserver skal være tilgængelig for at virke. Brugerne skal kunne læse mail hjemmefra, telefoner skal kunne synkronisere, og andre mailservere skal kunne aflevere post. Samtidig har serveren typisk vidtgående rettigheder i jeres katalog, fordi den skal kunne administrere brugeres postkasser og adresser.
Den kombination gør serveren til et værdifuldt mål. Exchange har gennem årene haft flere alvorlige sårbarheder, som producenten har udsendt rettelser til, og som er registreret med CVE-numre. En server, der halter efter med opdateringer, er derfor ikke en mindre risiko, men et stort fund. Det gælder særligt, fordi en svaghed i serveren ikke kun rammer mailen. Den kan give adgang til det katalog, som resten af miljøet bygger på. → Leverandøren advarer om en kritisk sårbarhed
Det, testen ser på
Den eksterne test ser serveren, som internettet ser den. Typiske fund falder i nogle få grupper:
- Udgave og opdatering · serveren kører en udgave, der mangler sikkerhedsrettelser, eller som ikke længere får dem.
- Tjenester udadtil · flere af serverens tjenester er tilgængelige udefra, end brugerne har brug for.
- Administration udadtil · administrationssider kan nås fra internettet sammen med webmail.
- Login · webmail og synkronisering accepterer login uden tofaktor, eller med ældre metoder ved siden af den nye.
- Oplysninger · serveren viser interne navne eller versionsoplysninger, der gør det lettere at vurdere den.
Det første punkt fylder mest i praksis. De andre er vigtige, men en server uden aktuelle rettelser overskygger dem.
Opdatering og support
Microsofts livscyklusside for Exchange Server 2019 angiver, at den udvidede support sluttede i oktober 2025. En server uden support får ikke længere sikkerhedsrettelser fra producenten, og hver ny sårbarhed bliver dermed permanent, så længe serveren kører. Har I en ældre udgave, gælder det samme med endnu større vægt. Kontrollér selv status for jeres udgave på Microsofts livscyklussider, før I lægger planen.
For en server med support handler fundet om takten. Hvor hurtigt installeres rettelser, når de kommer? Hvem holder øje med dem? Og er der planlagt nedetid til det? Exchange-opdateringer kan kræve mere tid end almindelige opdateringer, og det er en af grundene til, at servere halter efter. → Opdateringsstatus
For en server uden support er rettelsen ikke en opdatering, men en beslutning: flytning, udskiftning eller afskærmning, mens flytningen planlægges. → Servere uden support
Udfasning eller videre drift
Nogle virksomheder har en lokal Exchange-server, fordi en flytning til cloud aldrig blev helt færdig. Postkasserne er flyttet, men serveren står tilbage til administration af adresser eller til systemer, der sender mail internt. Den slags server er let at glemme, fordi den ikke længere føles som en mailserver.
Testen er en god anledning til at tage beslutningen. Spørg, hvad serveren stadig bruges til, og om opgaverne kan løses på anden vis. Hvis den skal blive, skal den behandles som den kritiske server, den er, med opdatering, overvågning og begrænset adgang udefra. Hvis den kan fjernes, skal den fjernes helt, også fra katalog, DNS og firewall. → Hybrid identitet
Kan serveren ikke opdateres eller fjernes inden for kort tid, skal risikoen håndteres i mellemtiden. Det kan være at begrænse, hvilke tjenester der kan nås udefra, eller hvem der kan nå dem. → Når et system ikke kan opdateres
Det, driften skal have klar
Før testen skal driften kunne svare på nogle få spørgsmål, så testeren og I taler om det samme.
- Udgave og opdateringsniveau · hvad kører, og hvornår blev seneste rettelse installeret?
- Tjenester udadtil · hvilke af serverens funktioner skal brugere og andre servere kunne nå?
- Loginformer · hvilke metoder er tilladt, og hvem er undtaget fra tofaktor?
- Hybrid eller ren lokal · hvilke opgaver har serveren i forhold til cloud?
- Kontakt · hvem kan reagere, hvis mailtjenesten påvirkes under testen?
Svarene skal ikke skjule noget for testeren. De gør rapporten lettere at læse, fordi fundene kan holdes op mod det, I mente var tilfældet.
Aftal også, hvordan en eventuel påvirkning af mailen håndteres. En mailserver mærkes hurtigt, når den bliver langsom, og kunder og medarbejdere ringer, før nogen i driften har set en alarm. Placér gerne testen på et tidspunkt, hvor en kort forstyrrelse kan tåles, og sørg for, at servicedesken ved, at testen kører, og hvem de skal kontakte. Har en leverandør ansvaret for serveren, skal leverandøren være orienteret og have accepteret testen, før den går i gang, og kende kontaktpersonen hos jer.
Det skal I lade være med
- At lade serveren stå uden for den faste opdateringsrutine · den har brug for planlagt tid.
- At glemme en server, der står tilbage efter flytning til cloud · den er stadig på internettet og i kataloget.
- At køre videre på en udgave uden support uden en plan · hver ny sårbarhed bliver permanent.
- At åbne alle tjenester, fordi det er nemmest · åbn kun det, der bruges.
- At bevare gamle loginmetoder ved siden af tofaktor · de bliver vejen uden om.
- At blande mailserverens fund sammen med domænets mailopsætning · de rettes af forskellige. → SPF, DKIM og DMARC i rapporten
Hvad kan og ikke kan konkluderes
Testen viser, hvordan serveren fremstod og opførte sig udefra på testtidspunktet: udgave, tilgængelige tjenester, login og eventuelle svagheder. Det giver et konkret grundlag for at prioritere opdatering, afskærmning eller udfasning.
Testen siger ikke, om serveren er blevet misbrugt tidligere, og den viser ikke serverens rettigheder i Active Directory, medmindre en intern test også indgik. En ren eksternt testet Exchange-server kan derfor se acceptabel ud, selv om den indefra har langt flere rettigheder, end den behøver.
Tjekliste til Exchange-serveren
- ☐ Kender I udgave, opdateringsniveau og supportstatus?
- ☐ Har serveren en fast plads i opdateringsrutinen med planlagt nedetid?
- ☐ Er kun de nødvendige tjenester tilgængelige udefra?
- ☐ Er administration lukket for adgang fra internettet?
- ☐ Er tofaktor og loginformer ens for alle brugergrupper?
- ☐ Er det besluttet, om serveren skal blive eller udfases?
- ☐ Er serverens rettigheder i kataloget med i en intern test?
Kilder
- Microsoft Learn: Exchange Server 2019 lifecycle: supportdatoer for Exchange Server 2019, herunder afslutningen af den udvidede support i oktober 2025.
- CVE: registrering af kendte sårbarheder med et fælles nummer.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Opdateringsstatus · Typiske fund i en ekstern test
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
