Guia de segurana do Exchange 2010

Exchange 2010 Outras verses

Este tpico ainda no foi avaliado como - Avalie este tpico Aplica-se a: Exchange Server 2010 SP3, Exchange Server 2010 SP2 Tpico modificado em: 2012-03-08 Este guia foi escrito para o administrador de TI responsvel por proteger a implantao do Microsoft Exchange Server 2010 e foi projetado para ajud-lo a compreender e gerenciar o ambiente de segurana geral no qual o Exchange est instalado. Antigamente, para cada verso do Microsoft Exchange, a equipe do Exchange publicava guias de segurana independentes com informaes sobre segurana e permisses. Essa abordagem funcionava para bloquear servios e diretrios depois da execuo da Instalao do Exchange 2010. No entanto, desde o Microsoft Exchange Server 2007, a Instalao do Exchange s permite os servios exigidos pela funo de servidor instalada. O Microsoft Exchange deixou de ser instalado e teve a segurana reforada. Ele foi projetado para ajudar voc a estar mais protegido por padro. Portanto, diferentemente de verses anteriores do Microsoft Exchange, nas quais os administradores de TI tinham que executar vrios procedimentos para bloquear seus servidores que executavam o Microsoft Exchange, o Exchange 2010 no precisa de bloqueio o reforo de segurana. Escopo O Exchange 2010 foi desenvolvido usando-se os princpios do Microsoft Ciclo de Vida do Desenvolvimento de Segurana (SDL). Uma reviso de segurana foi realizada para cada recurso e componente. Configuraes padro escolhidas com cuidado garantem uma implantao mais segura. O escopo deste guia informar administradores sobre recursos relacionados segurana e recursos que podem afetar consideraes de segurana. Este guia est relacionado a tpicos referentes segurana na documentao do Exchange 2010. Estes tpicos esto listados no Apndice 1: Documentao adicional relacionada segurana. Esse guia no aborda nenhuma etapa para reforar o sistema operacional Windows Server. Contedo O que h de novo O Ciclo de Vida do Desenvolvimento de Segurana do Exchange 2010

Proteo Prticas recomendadas Mantendo a segurana Prticas recomendadas Uso da porta de rede e proteo de firewall Parmetros de limitao e polticas de limitao do cliente Controle de Acesso Baseado em Funo Active Directory Contas do Exchange Server Sistema de arquivos Services Certificados Consideraes de NTLM Autenticao de Fator Duplo Federao Secure/Multipurpose Internet Mail Extensions (S/MIME) Consideraes da funo de servidor Apndice 1: Documentao adicional relacionada segurana O que h de novo O Exchange 2010 inclui os seguintes recursos de segurana novos:

Controle de Acesso Baseado na Funo O Exchange 2010 inclui um novo controle de acesso baseado na funo que permite organizao gerenciar de maneira granular as permisses atribudas a participantes diferentes, como administradores de destinatrio, administradores de servidor, registros e gerentes de descoberta e administradores de organizao. Polticas de Limitao O Exchange 2010 apresenta mecanismos de limitao em servidores de Caixa de Correio, de Acesso do Cliente e de Transporte para proteger a organizao contra ataques de negao de servio e reduzir o impacto desses ataques. Delegao Federada O Exchange 2010 apresenta novos recursos de delegao federada que possibilitam permitir aos usurios colaborar com usurios de maneira segura em organizaes externas. Usando a delegao federada, os usurios podem compartilhar calendrios e contatos com usurios em

organizaes federadas externas. A colaborao entre florestas tambm possvel, sem a necessidade de configurar e gerenciar relaes de confiana do Active Directory.

Gerenciamento de Direitos de Informao O Exchange 2010 inclui novos recursos de proteo e controle de informaes que permitem proteger contedo de mensagem confidencial em vrios nveis enquanto mantm a possibilidade da organizao de descriptografar, pesquisar e aplicar polticas do sistema de mensagens a contedo protegido. Sem Assistente de Configurao de Segurana No Exchange 2010, a Instalao torna as alteraes feitas na configurao necessrias instalao e s permite os servios obrigatrios para uma determinada funo de servidor do Exchange, alm de limitar a comunicao apenas s portas necessrias aos servios e aos processos em execuo em cada funo de servidor. Isso remove a necessidade de ferramentas como o Assistente de Configurao de Segurana (ACS) de definirem essas configuraes.

O Ciclo de Vida do Desenvolvimento de Segurana do Exchange 2010 No comeo de 2002, a Microsoft apresentou a iniciativa Trustworthy Computing (Computao Confivel). Desde ento, o processo de desenvolvimento na Microsoft e na equipe do Microsoft Exchange se concentrou em desenvolver softwares que ajudassem voc a ter mais segurana. Para obter mais informaes, consulte Trustworthy Computing (em ingls). No Exchange 2010, o Trustworthy Computing foi implementado nas reas fundamentais a seguir:

Design seguro O Exchange 2010 foi projetado e desenvolvido de acordo com O ciclo de vida do desenvolvimento de segurana de Trustworthy Computing (em ingls). A primeira etapa na criao de um sistema de mensagens mais seguro foi projetar modelos de ameaas e testar todos os recursos conforme eram desenvolvidos. Vrios aprimoramentos relacionados segurana foram incorporados s prticas e processos de codificao. As ferramentas do tempo de compilao detectam estouros de buffer e outras ameaas segurana em potencial. Nenhum sistema pode garantir a segurana completa. No entanto, com a incluso de princpios de design seguros no projeto geral de desenvolvimento, o Exchange 2010 mais seguro do que as verses anteriores. Seguro por padro Um objetivo do Exchange 2010 era desenvolver um sistema no qual a maior parte das comunicaes de rede fossem criptografadas por padro. Com exceo de comunicaes SMB (bloco de mensagens do servidor) e de algumas comunicaes da UM (Unificao de Mensagens), o objetivo foi alcanado. Usando certificados auto-assinados, o protocolo Kerberos, SSL e outras tcnicas de criptografia padronizadas, quase todos os dados do Exchange 2010 so protegidos na rede. Alm disso, a instalao com base em funes possibilita a instalao do Exchange 2010 de modo que apenas os servios e as permisses relacionadas a estes sejam instaladas com uma funo de servidor especfica e adequada. Em verses anteriores do Microsoft Exchange, todos os servios para todas as funcionalidades tinham que ser instalados.

Funcionalidade anti-spam e antivrus O Exchange 2010 inclui um pacote de aplicativos de agentes antispam executados na rede de permetro na funo de servidor Transporte de Borda e que tambm podem ser instalados na funo de servidor Transporte de Hub residente na rede interna. A funcionalidade antivrus foi aprimorada com a adio do Microsoft Forefront Protection 2010 para Exchange Server como uma soluo da Microsoft. Seguro na implantao Durante o desenvolvimento do Exchange 2010, a verso pr-lanamento foi implantada no ambiente de produo de TI da Microsoft. Com base nos dados dessa implantao, o Microsoft Exchange Server Best Practices Analyzer foi atualizado para analisar configuraes de segurana reais, e foram documentadas prticas recomendadas pr e psimplantao na Ajuda do Exchange 2010. Antes, o gerenciamento de permisses era documentado e entregue depois que a documentao principal era concluda. No entanto, sabemos que o gerenciamento de permisses no um processo suplementar. Ele deve ser incorporado no planejamento e na implantao geral da sua instalao do Exchange 2010. Por isso, simplificamos nossa documentao de permisso e a integramos documentao bsica para fornecer contexto remoto a administradores enquanto eles se planejam para e implantam o modelo administrativo. O Exchange 2010 inclui um novo modelo de permisses baseadas na funo que permite conceder permisses granulares a administradores e usurios para permitir que eles realizem tarefas com o mnimo de permisses exigidas. Comunicaes Agora que o Exchange 2010 foi lanado, a equipe do Exchange se dedica a manter o software atualizado e voc bem informado. Mantendo o sistema atualizado com o Microsoft Update, voc pode garantir que as atualizaes de segurana mais recentes sejam instaladas em sua organizao. O Exchange 2010 tambm inclui atualizaes anti-spam. Alm disso, ao assinar Notificaes Tcnicas de Segurana da Microsoft, voc pode acompanhar os ltimos problemas de segurana no Exchange 2010.

Proteo Prticas recomendadas Algumas prticas recomendadas bsicas ajudaro a criar e a manter um ambiente mais seguro. Normalmente, a execuo peridica de ferramentas de anlise e a manuteno de software e de arquivos antivrus atualizados so as formas mais eficientes de otimizar o ambiente do Exchange 2010 em termos de segurana. Recomendaes de configurao e instalao Estas prticas recomendadas ajudaro a criar um ambiente do Exchange 2010 mais seguro:

Instalao Delegada O primeiro servidor do Exchange 2010 instalado na organizao exige que a conta usada na execuo da Instalao deva ser membro do grupo Administradores de Empresas. A conta usada adicionada ao grupo de funes Gerenciamento da Organizao criado pela Instalao do Exchange 2010. possvel usar a instalao delegada para permitir que os administradores

que no sejam membros do grupo de funes Gerenciamento da Organizao configurem servidores subsequentes. Para mais detalhes, consulte Provisionar a instalao do representante e do servidor Exchange 2010. Permisses do sistema de arquivos A Instalao do Exchange 2010 atribui o mnimo de permisses obrigatrias no sistema de arquivos no qual os binrios e os dados do Exchange so armazenados. Voc no deve fazer nenhuma alterao nas listas de controle de acesso (ACLs) nas pastas raiz e na pasta Arquivos de Programa no sistema de arquivos. Caminhos de instalao Recomendamos a instalao dos binrios do Exchange 2010 em uma unidade de no sistema (um volume diferente de onde o sistema operacional est instalado). Os bancos de dados e os logs de transao do Exchange podem crescer rapidamente, devendo estar localizados em volumes de no sistema dimensionados para a capacidade e o desempenho. Muitos outros logs gerados por componentes do Exchange diferentes, como logs de transporte, tambm so armazenados no mesmo caminho de instalao dos binrios do Exchange, podendo crescer de maneira significativa, dependendo da configurao e do ambiente do sistema de mensagens. No Exchange 2010, o tamanho mximo de muitos arquivos de log e o espao de armazenamento mximo que uma pasta de arquivo de log podem ocupar so configurveis, sendo definidos como um padro de 250 Megabytes. Para evitar uma interrupo do sistema em potencial por conta de pouco espao em disco, recomendamos avaliar os requisitos de registro em log para cada funo de servidor e configurar as opes do registro em log, alm dos locais de armazenamento de arquivo de log, de acordo com os requisitos. Bloqueando clientes do Outlook herdados Com base nos requisitos, possvel configurar o bloqueio do cliente Outlook para bloquear verses do cliente Outlook herdados. Determinados recursos do Exchange 2010, como Regras de Proteo e Arquivos Pessoais do Outlook, no oferecem suporte a clientes do Outlook herdados. Para obter mais informaes sobre o bloqueio do cliente Outlook, consulte Configurar o bloqueio do cliente Outlook para o gerenciamento de registros de mensagens. Desvinculando endereos SMTP de nomes de usurio Por padro, o Exchange gera endereos de email e aliases com base no nome do usurio da caixa de correio. Muitas organizaes criam uma poltica de endereo de email adicional para desvincular endereos de email do usurio de nomes de usurio tendo em vista uma segurana ainda maior. Por exemplo, caso o nome de usurio Ben Smith seja bsmith e o domnio seja contoso.com, o endereo de email primrio gerado pela poltica de endereo de email padro bsmith@contoso.com. possvel criar uma poltica de endereo de email adicional para gerar endereos de email que no usam o alias ou o nome de usurio. Por exemplo, a criao de uma poltica de endereo de email para usar o modelo %g.%s@domain gera endereos de email no formato Nome.Sobrenome@domnio. Para o usurio Ben Smith, a poltica gerar o endereo Ben.Smith@contoso.com. Ou ser possvel desvincular endereos de email de nomes de usurio especificando-se um alias diferente do nome de usurio quando voc criar ou habilitar uma caixa de correio. Observao:

Se o endereo SMTP primrio de um usurio no corresponder ao UPN da conta, o usurio no poder utilizar o endereo de email para entrar no Microsoft Escritrio Outlook Web App e dever fornecer um nome de usurio usando o formato DOMNIO\nome_de_usurio. Ao utilizar o Microsoft Outlook, o usurio deve fornecer o nome de usurio no formato DOMNIO\nome_de_usurio caso credenciais sejam solicitadas quando o Outlook se conectar ao servio Descoberta Automtica. Microsoft Update O Microsoft Update um servio que oferece os mesmos downloads que o Microsoft Windows Update mais as atualizaes mais recentes para outros programas da Microsoft. Ele pode ajudar a manter o servidor mais seguro e com melhor desempenho. Um recurso fundamental do Microsoft Update a Atualizao Automtica do Windows. Esse recurso instala automaticamente as atualizaes de alta prioridade fundamentais para a segurana e confiabilidade do computador. Sem essas atualizaes de segurana, seu computador fica mais vulnervel a ataques de criminosos da Internet ou de softwares mal intencionados (malware). O modo mais confivel de usar o Microsoft Update receber as atualizaes automaticamente no computador com a Atualizao Automtica do Windows. Voc pode ligar as Atualizaes Automticas quando se inscrever no Microsoft Update. O Windows ento analisar o software Microsoft instalado em seu computador e ver se h atualizaes de alta prioridade atuais ou antigas que sejam necessrias e em seguida far o download e instalao automaticamente. Depois disso, quando voc se conectar Internet, o Windows repetir o processo de atualizao se houver novas atualizaes de alta prioridade. Para habilitar o Microsoft Update, consulte Microsoft Update (em ingls). O modo padro do Microsoft Update exige que todos os servidores do Exchange estejam conectados Internet para receber atualizaes automticas. Se voc estiver executando servidores sem conexo Internet, poder instalar o WSUS (Windows Server Update Services) para gerenciar a distribuio de atualizaes para os computadores da organizao. Voc poder ento configurar o Microsoft Update nos computadores internos do Microsoft Exchange para que entre em contato com o servidor WSUS interno para fazer atualizaes. Para obter mais informaes, consulte Microsoft Windows Server Update Services 3.0 (em ingls). O WSUS no a nica soluo disponvel para gerenciamento do Microsoft Update. Para obter mais informaes sobre as verses de segurana, os processos, as comunicaes e as ferramentas da Microsoft, consulte Microsoft Security Update Guide. Tarefas que Deixaram de ser Obrigatrias no Exchange 2010 No mais necessrio instalar ou executar as seguintes ferramentas:

A ferramenta de segurana URLScan no obrigatria para o IIS 7. Em verses anteriores do Microsoft Exchange, era uma prtica comum instalar ferramentas do IIS, como URLScan para proteger uma instalao do IIS. O Exchange 2010 exige o Windows Server 2008, que inclui o IIS 7. Muitos dos recursos de segurana originalmente disponveis na UrlScan agora esto disponveis nos recursos de Filtragem de Solicitaes do IIS 7. No mais necessrio instalar o Analisador de Prticas Recomendadas do Exchange. Em verses anteriores do Microsoft Exchange, era uma prtica comum instalar e executar o Analisador de Prticas Recomendadas do Exchange antes da instalao e regularmente depois disso. A Instalao do Exchange 2010 inclui os componentes do Analisador de Prticas Recomendadas do Exchange e os executa durante a instalao. No necessrio executar o Analisador de Prticas Recomendadas do Exchange antes da instalao. Voc no precisa mais usar o Assistente de Configurao de Segurana (ACS) ou os modelos do Exchange para ACS. A Instalao do Exchange 2010 s instala os servios necessrios a uma determinada funo de servidor do Exchange e cria regras do Firewall do Windows Segurana Avanada para abrir apenas as portas necessrias aos servios e aos processos para essa funo de servidor. No mais necessrio executar o Assistente de Configurao de Segurana (ACS) para isso. Diferentemente do Exchange Server 2007, o Exchange 2010 no est includo nos modelos do ACS.

Mantendo a segurana Prticas recomendadas Essas prticas recomendadas ajudaro a manter o ambiente do Exchange 2010 protegido. Mantendo o software atualizado Como mencionado anteriormente, executar o Microsoft Update uma prtica recomendada. Alm de executar o Microsoft Update em todos os servidores, tambm muito importante manter todos os computadores clientes atualizados e manter atualizaes antivrus em todos os computadores da organizao. Alm dos softwares da Microsoft, verifique se voc est executando as atualizaes mais recentes de todos os softwares executados na organizao. Atualizaes de antispam O Exchange 2010 tambm usa a infra-estrutura do Microsoft Update para atualizar os filtros anti-spam. Por padro, com atualizaes manuais, o administrador deve visitar o Microsoft Update para baixar e instalar as atualizaes de filtro de contedo. Os dados de atualizao do filtro de contedo so atualizados e disponibilizados a cada duas semanas. Atualizaes manuais do Microsoft Update incluem o Servio de Reputao de IP da Microsoft ou dados de assinatura de spam. O Servio de Reputao de IP da Microsoft e dados de assinatura de spam esto disponveis somente com o Forefront Security para atualizaes automticas anti-spam do Exchange Server.

Para obter mais informaes sobre como habilitar as atualizaes automticas anti-spam do Forefront, consulte Noes Bsicas Sobre Atualizaes de Antispam. Executando software antivrus Vrus, worms e outros contedos mal intencionados transmitidos por sistemas de email so uma realidade destrutiva enfrentada por muitos administradores do Microsoft Exchange. Portanto, voc precisa desenvolver uma implantao de antivrus defensiva para todos os sistemas de mensagens. Esta seo fornece prticas recomendadas para a implantao de software antivrus para o Exchange 2010. Voc deve dar ateno adicional a duas alteraes importantes no Exchange 2010 quando voc selecionar um fornecedor de software antivrus:

Desde o Exchange Server 2007, o Microsoft Exchange baseado em uma arquitetura de 64 bits. O Exchange 2010 inclui funcionalidade do agente de transporte.

Essas duas alteraes significam que os fornecedores de antivrus devem fornecer softwares especficos do Exchange 2010. Qualquer software antivrus desenvolvido para verses anteriores do Exchange provavelmente no funcionar corretamente com o Exchange 2010. Para usar abordagem de defesa em profundidade, recomendamos que voc implante um software antivrus projetado para sistemas de mensagens no gateway do protocolo SMTP ou nos servidores Exchange que hospedam caixas de correio, alm de softwares antivrus no computador do usurio. Voc decide quais tipos de software antivrus usar e onde o software implantado determinando o equilbrio apropriado entre o custo e o risco que est disposto a assumir. Por exemplo, algumas organizaes executam software antivrus para mensagens no gateway SMTP, varredura antivrus no nvel dos arquivos no servidor Exchange e software de cliente antivrus no computador do usurio. Essa abordagem fornece proteo especfica do sistema de mensagens no cliente. Outras organizaes podem tolerar custos mais altos e melhorar a segurana, executando softwares antivrus para mensagens no gateway SMTP, varredura antivrus no nvel dos arquivos no servidor Exchange e software cliente antivrus no computador do usurio, juntamente com um software antivrus compatvel com o VSAPI 2.5 (Virus Scanning Application Programming Interface) do Exchange no servidor de Caixa de Correio do Exchange. Executando software antivrus em Servidores de Transporte de Hub e de Transporte de Borda O software antivrus baseado no transporte implementado como ou inclui agentes de transporte. Os agentes de transporte agem em eventos de transporte, semelhantes aos coletores de eventos em verses anteriores do Microsoft Exchange. Para mais detalhes, consulte Noes Bsicas Sobre Agentes de Transporte. Observao: Mensagens que no so roteadas por transporte, como itens em postas pblicas, Itens

enviados e itens de calendrio, que s podem ser analisadas em um servidor de Caixa de Correio, no so protegidas por anlise de vrus somente em transporte. Os desenvolvedores de terceiros podem gravar agentes de transporte personalizados para tirar proveito do mecanismo subjacente de anlise de MIME do para verificao robusta antivrus no nvel de transporte. Para uma lista dos parceiros de antispam ou antivrus do Exchange, consulte Fornecedores de Software Independentes. Alm disso, o Forefront Protection for Exchange Server um pacote de software antivrus altamente integrado com o Exchange 2010 e oferece proteo antivrus adicional para o seu ambiente do Exchange. Para obter mais informaes, consulte Microsoft Forefront Protection 2010 para Exchange Server. O local mais importante para executar o software antivrus de mensagens seja na primeira linha de defesa de sua organizao. Este o gateway SMTP por meio do qual as mensagens externas entram no ambiente do sistema de mensagens. No Exchange 2010, a primeira linha de defesa o servidor Transporte de Borda. Se usar um servidor SMTP ou gateway do Exchange para receber email de entrada antes do Exchange, voc dever implementar funcionalidade anti-spam e antivrus suficiente nos hosts SMTP do Exchange. No Exchange 2010, todas as mensagens so roteadas por meio de um servidor Transporte de Hub. Isso inclui mensagens enviadas ou recebidas fora da organizao do Exchange e mensagens enviadas dentro da organizao do Exchange. Mensagens enviadas para uma caixa de correio localizada no mesmo servidor Caixa de Correio do remetente. Para se proteger bem contra epidemias de vrus de dentro da organizao e para fornecer uma segunda linha de defesa, tambm recomendamos que voc execute o software antivrus com base em transporte no servidor de Transporte de Hub. Executando software antivrus em servidores Caixa de Correio Alm da verificao de vrus em servidores de transporte, uma soluo de verificao API de Verificao de Vrus do Microsoft Exchange (VSAPI) em execuo nos servidores Caixa de Correio pode ser uma camada importante de defesa em muitas organizaes. Voc deve considerar a possibilidade de usar uma soluo antivrus VSAPI se alguma das seguintes condies for verdadeira:

Sua organizao no possui produtos antivrus de rea de trabalho completos e confiveis implantados. Sua organizao deseja a proteo adicional que a verificao dos bancos de dados de caixa de correio pode oferecer. Sua organizao desenvolver aplicativos personalizados com acesso programtico a um banco de dados do Exchange. Sua comunidade de usurios costuma postar mensagens em pastas pblicas.

Solues antivrus que usam o VSAPI do Exchange so executadas diretamente do processo do repositrio de informaes do Exchange. As solues VSAPI so

provavelmente as nicas que podem proteger contra vetores de ataque que colocam contedo infectado dentro do repositrio de informaes do Exchange, ignorando a verificao de transporte e no cliente padro. Por exemplo, VSAPI a nica soluo que verifica dados enviados a um banco de dados por CDO (objetos de colaborao de dados), WebDAV e Servios Web do Exchange (EWS). Alm disso, quando ocorre uma epidemia de vrus, freqentemente uma soluo VSAPI fornece o modo mais rpido de remover e eliminar vrus de um banco de dados de email infectado. Exchange Server e antivrus do sistema de arquivos Se voc implantar o software antivrus do sistema de arquivos para proteger os servidores do Exchange, considere o seguinte:

Voc deve excluir diretrios de servidor do Exchange nos quais as caixas de correio e os bancos de dados de pastas pblicas do Exchange esto armazenados dos verificadores de vrus. Para detalhes, consulte Verificao Antivrus em Nvel de Arquivo no Exchange 2010. Verificadores antivrus do sistema de arquivos s protegem arquivos. Para proteger mensagens de email, voc tambm deve considerar a implementao do antivrus com suporte ao Exchange ou produtos de segurana do sistema de mensagens, como incluir o Microsoft Forefront ou produtos apropriados de terceiros ou de parceiros. Para obter detalhes sobre a proteo anti-spam e antivrus, consulte Noes Bsicas Sobre a Funcionalidade Antispam e Antivrus. Para obter detalhes, consulte Forefront Protection 2010 for Exchange Server: Viso geral. Voc deve manter assinaturas de antivrus e anti-spam atualizadas para obter uma proteo efetiva. Os relatrios de software ou servios de antivrus e anti-spam devem ser revisados regularmente para assegurar que a proteo esteja habilitada e funcionando conforme desejado, detectar incidentes rapidamente e realizar qualquer ao necessria.

Usando o Exchange Hosted Services A filtragem de spam e vrus aprimorada por ou tambm est disponvel como um servio dos Servios Hospedados pelo Microsoft Exchange. O Exchange Hosted Services representa um conjunto de quatro servios hospedados distintos:

Filtragem Hospedada, que ajuda as organizaes a se protegerem contra malware proveniente de email Arquivo Hospedado, que ajuda organizaes a atender aos requisitos de reteno e conformidade Criptografia Hospedada, que ajuda as organizaes a criptografar dados para preservar a confidencialidade Continuidade Hospedada, que ajuda organizaes a preservar o acesso ao email durante e aps interrupes

Esses servios se integram a todos os servidores do Exchange locais gerenciados internamente. Para mais informaes, consulte Forefront Online Protection para Exchange. Usando filtragem de anexos No Exchange 2010, a filtragem de anexos permite aplicar filtros nos servidores Transporte de Borda para controlar os anexos que os usurios recebem. A filtragem de anexos muito importante no ambiente atual, em que vrios tipos de anexo contm vrus perigosos ou materiais inadequados que podem causar danos significativos ao computador do usurio ou organizao como um todo, danificando documentaes importantes ou liberando informaes confidenciais ao pblico. Voc pode usar os seguintes tipos de filtragem de anexos para controlar anexos que entram ou saem da organizao por meio de um servidor Transporte de Borda: Filtragem baseada no nome do arquivo ou na extenso do nome do arquivo Voc pode filtrar anexos especificando o nome exato do arquivo ou a extenso do nome do arquivo a ser filtrado. Um exemplo de um nome de arquivo exato BadFilename.exe. Um exemplo de um filtro de extenso de nome de arquivo *.exe. Filtragem baseada no tipo de contedo MIME do arquivo Tambm possvel filtrar anexos especificando o tipo de contedo MIME a ser filtrado. Os tipos de contedo MIME indicam o que o anexo, uma imagem JPEG, um arquivo executvel, um arquivo do Microsoft Escritrio Excel 2010 ou algum outro tipo de arquivo. Os tipos de contedo so expressados como tipo/subtipo. Por exemplo, o tipo de contedo de imagem JPEG expressado como image/jpeg. Se um anexo corresponder a um desses critrios de filtragem, voc poder configurar as seguintes aes a serem executadas no anexo:

Bloquear mensagem inteira e anexo Remover anexo, mas permitir mensagem Excluir mensagem e anexo de maneira silenciosa

Para mais detalhes, consulte Noes Bsicas Sobre Filtragem de Anexos. Observao: No possvel usar o agente Filtro de Anexos para filtrar anexos com base no contedo. possvel usar regras de transporte para inspecionar a mensagem e o contedo do anexo, alm de realizar aes, como excluir ou rejeitar a mensagem ou proteger a mensagem e os anexos do IRM. Para detalhes, consulte Noes Bsicas Sobre Regras de Transporte. Filtragem de Arquivos Usando o Forefront Protection para Exchange Server A funcionalidade de filtragem de arquivos fornecida pelo Forefront Protection for Exchange Server inclui recursos avanados no disponveis no agente Filtro de Anexos includo no Exchange 2010.

Por exemplo, possvel verificar nos arquivos de continer, que so arquivos que contem outros arquivos, a presena de tipos de arquivo ofensivos. Forefront A filtragem do Exchange Protection para Server pode verificar os seguintes arquivos de continer e agir sobre os arquivos incorporados:

PKZip (.zip) GNU Zip (.gzip) Arquivo compactado de extrao automtica (.zip) Arquivos compactados (.zip) Arquivo Java (.jar) TNEF (winmail.dat) repositrio estruturado (.doc, .xls, .ppt, etc.) MIME (.eml0) SMIME (.eml) UUEncode (.uue) Arquivo de fita Unix (.tar) Arquivo RAR (.rar) MACBinary (.bin)

Observao: O agente Filtro de Anexos includo no Exchange 2010 detecta tipos de arquivo, mesmo que tenham sido renomeados. A Filtragem de Anexo tambm assegura que os arquivos Zip e LZH compactados no contenham anexos bloqueados, comparando uma extenso de nome de arquivo com os arquivos contidos no Zip ou no LZH compactado. A filtragem de arquivos do Forefront Protection for Exchange Server tem o recurso adicional de determinar se um anexo bloqueado foi renomeado dentro de um arquivo de continer. Tambm possvel filtrar arquivos pelo tamanho. Alm disso, possvel configurar o Forefront Protection for Exchange para colocar os arquivos filtrados em quarentena ou para enviar notificaes de email com base nas correspondncias do filtro de arquivos do Exchange. Para obter mais informaes, consulte Protegendo sua organizao do Microsoft Exchange com o Microsoft Forefront Security para Exchange Server (em ingls). Executando o Exchange Best Practices Analyzer O Best Practices Analyzer do Exchange um das ferramentas mais eficazes que voc pode executar regularmente para ajudar a verificar se seu ambiente do Exchange est seguro. O Best Practices Analyzer do Exchange examina automaticamente uma implantao do Microsoft Exchange Server e determina se est configurada de acordo

com as prticas recomendadas do Microsoft. No Exchange 2010, o Analisador de Prticas Recomendadas do Exchange instalado como parte da Instalao do Exchange e pode ser executado na seo Ferramentas do Console de Gerenciamento Exchange (EMC). Com o acesso de rede apropriado, o Analisador de Prticas Recomendadas do Exchange examina todos os servidores dos Servios de Domnio Active Directory (AD DS) e os servidores do Exchange. O Analisador de Prticas Recomendadas do Exchange inclui verificaes de herana das permisses. Alm disso, ele testa a validao das permisses RBAC. Isso inclui testes para garantir que todos os usurios possam acessar o Painel de Controle do Exchange (ECP), se todas as funes RBAC padro criadas pela Instalao do Exchange esto configuradas corretamente e se h pelo menos uma conta administrativa presente na organizao do Exchange. Uso da porta de rede e proteo de firewall O Windows Server 2008 inclui o Firewall do Windows com Segurana Avanada, um firewall de inspeo do pacote com estado habilitado por padro. O Firewall do Windows com Segurana Avanada fornece a seguinte funcionalidade:

Filtragem de todo o trfego IP verso 4 (IPv4) e IP verso 6 (IPv6) que entra ou sai do computador. Por padro, todo o trfego de entrada bloqueado, a menos que seja uma resposta a uma solicitao de sada anterior no computador (trfego solicitado), ou seja especificamente permitido por uma regra criada para permitir esse trfego. Por padro, todo o trfego de sada permitido, exceto por regras de proteo do servio que impeam servios padro de se comunicarem de maneiras inesperadas. possvel optar por permitir trfego com base em nmeros de porta, endereos IPv4 ou IPv6, caminho e nome de um aplicativo, ou o nome de um servio em execuo no computador, ou outros critrios. Proteo do trfego de rede ou que deixa o computador usando o protocolo IPsec para verificar a integridade do trfego de rede, autenticar a identidade dos computadores ou usurios de envio e recebimento, alm de criptografar como opo para fornecer confidencialidade.

O Exchange 2010 foi projetado para ser executado com o Firewall do Windows Server com Segurana Avanada habilitado. A Instalao do Exchange cria as regras de firewall obrigatrias para permitir a comunicao dos servios e dos processos do Exchange. Ela s cria as regras obrigatrias para os servios e os processos instalados em uma determinada funo de servidor. Para obter mais detalhes sobre o uso da porta de rede e as regras de firewall criadas para cada funo de servidor do Exchange 2010, consulte Referncia de porta de rede do Exchange. No Windows Server 2008 e no Windows Server 2008 R2, o Firewall do Windows com Segurana Avanada permite especificar o processo ou servio para o qual a porta aberta. Isso mais seguro porque restringe o uso da porta para o processo ou servio especificado na regra. A Instalao do Exchange 2010 cria regras de firewall com o nome do processo especificado. Em alguns casos, uma regra adicional que no restrita ao processo tambm criada para fins de compatibilidade. possvel desabilitar ou remover as regras que no so restritas aos processos e manter as regras correspondentes tambm criadas pela Instalao do Exchange 2010 e restritas aos processos se a implantao oferece suporte para elas. Regras no restritas a processos so diferenciadas pela palavra (GFW) no nome da regra. Recomendamos realizar testes

das regras o suficiente no ambiente para ser possvel desabilitar as regras restritas a um processo. Esta tabela lista as regras do Firewall do Windows criadas pela Instalao Exchange, incluindo as portas abertas em cada funo de servidor.

Regras do Firewall do Windows

Nome da regra MSExchangeRPCEPMap (GFW) (TCP-In) MSExchangeRPC (GFW) (TCP-In) Funes de servidor Todas as funes Porta RPC-EPMap

Acesso para Cliente, Transporte de Hub, Caixa de Correio e RPC dinmico Unificao de Mensagens 143, 993 (TCP) 110, 995 (TCP) 5075, 5076, 5077 (TCP) 808 (TCP) 6001, 6002, 6003, 6004 (TCP) 25, 587 (TCP) qualquer um 5060, 5061 (TCP) 5065, 5066, 5067, 5068

MSExchange - IMAP4 (GFW) (TCPAcesso para cliente In) MSExchange - POP3 (GFW) (TCP-In) Acesso para cliente MSExchange - OWA (GFW) (TCPAcesso para cliente In) MSExchangeMailboxReplication Acesso para cliente (GFW) (TCP-In) MSExchangeIS (GFW) (TCP-In) Caixa de Correio

MSExchangeTransportWorker (GFW) Transporte de Hub (TCP-In) SESWorker (GFW) (TCP-In) Unificao de Mensagens UMService (GFW) (TCP-In) Unificao de Mensagens

UMWorkerProcess (GFW) (TCP-In) Unificao de Mensagens

Importante: Ao modificar a porta padro usada por um servio do Exchange 2010, voc tambm deve modificar a regra de firewall do Firewall do Windows com Segurana Avanada para permitir a comunicao na porta no padro que optou por usar. O Exchange 2010 no altera regras de firewall quando voc altera portas padro usadas para um servio. Parmetros de limitao e polticas de limitao do cliente O Exchange 2010 inclui parmetros de limitao em funes de servidor Transporte, servidor de Acesso do Cliente e Caixa de Correio para controlar parmetros diferentes de conexes relacionadas a cada protocolo. O Exchange 2010 tambm inclui polticas de limitao do cliente para controlar a carga em servidores de Acesso do Cliente. Esses parmetros e polticas de limitao ajudam a controlar a carga e proteger servidores do Exchange 2010 de ataques de negao de servio direcionados a protocolos diferentes. Parmetros de limitao em servidores de transporte

Em servidores de Transporte do Exchange 2010, os parmetros de limitao de mensagem so implementados no servidor e nos conectores Enviar e Receber para controlar taxas de processamento da mensagem, taxas de conexo SMTP e valores de tempo limite da sesso SMTP. Juntos, esses parmetros de limitao protegem servidores de transporte de serem sobrecarregados aceitando e entregando muitas mensagens, oferecendo proteo contra clientes no autorizados SMTP e ataques de negao de servio. possvel configurar as polticas de limitao a seguir em servidores Transporte do Exchange 2010 usando-se o cmdlet Set-TransportServer.

Parmetros de limitao do servidor de transporte

Parameter Descrio O parmetro MaxConcurrentMailboxDeliveries especifica o nmero mximo de threads de entrega que o servidor de Transporte de Hub pode ter abertos ao mesmo tempo para entregar mensagens a caixas de correio. O driver de repositrio no servidor de Transporte de Hub responsvel pela entrega de mensagens de e para servidores de Caixa de Correio. Esse limite se aplica entrega de mensagens a qualquer caixa de correio na organizao do Exchange. Padro 20 entregas O parmetro MaxConcurrentMailboxSubmissions especifica o nmero mximo de threads de entrega que o servidor de Transporte de Hub pode ter abertos ao mesmo tempo para aceitar mensagens de caixas de correio. O driver de repositrio no servidor de Transporte de Hub responsvel pela entrega de mensagens de e para servidores de Caixa de Correio. Esse limite se aplica aceitao de novas mensagens de qualquer caixa de correio na organizao do Exchange. Padro 20 envios O parmetro MaxConnectionRatePerMinute especifica a taxa mxima em que novas conexes de entrada podem ser abertas no servidor de Transporte de Hub ou servidor de Transporte de Borda. Essas conexes so abertas para qualquer Conector de recebimento que existe no servidor.

MaxConcurrentMailboxDeliveries

MaxConcurrentMailboxSubmissions

MaxConnectionRatePerMinute

MaxOutboundConnections

Padro 1.200 conexes por minuto. O parmetro MaxOutboundConnections especifica o nmero mximo de conexes de sada simultneas que o servidor de Transporte de Hub ou o servidor de Transporte de Borda pode ter abertas ao mesmo tempo. As conexes de sada ocorrem usando os Conectores de envio existentes no servidor. O valor que especificado pelo parmetro MaxOutboundConnections se aplica a todos os Conectores de envio existentes no servidor de transporte. Padro 1.000 conexes. Se voc inserir um valor ilimitado, no ser imposto um limite para o nmero de conexes de sada. Esse valor pode ser configurado com a EMC. O parmetro MaxPerDomainOutboundConnections especifica o nmero mximo de conexes que um servidor de Transporte de Hub ou servidor de Transporte de Borda voltado para a Internet pode ter abertas para qualquer domnio remoto nico. As conexes de sada com domnios remotos ocorrem usando os Conectores de envio existentes no servidor. Padro 20 conexes por domnio Se voc inserir um valor ilimitado, no ser imposto um limite para o nmero de conexes de sada por domnio.

MaxPerDomainOutboundConnections

Esse valor pode ser configurado com a EMC. PickupDirectoryMaxMessagesPerMinute O parmetro MaxPerDomainOutboundConnections especifica a taxa de processamento de mensagens para os diretrios Retirada e Repetio. Cada diretrio pode processar arquivos de mensagem independentemente na velocidade que especificada pelo parmetro PickupDirectoryMaxMessagesPerMinute. Padres Por padro, o Diretrio de recebimento pode processar 100 mensagens por minuto, e o Diretrio de repetio pode processar 100 mensagens por minuto

simultaneamente. O Diretrio de recebimento e o Diretrio de repetio verificam novos arquivos de mensagem a cada 5 segundos ou 12 vezes por minuto. Esse intervalo de sondagem de 5 segundos no configurvel. Isso significa que o nmero mximo de mensagens que podem ser processadas durante cada intervalo de sondagem o valor atribudo ao parmetro PickupDirectoryMaxMessagesPerMinute dividido por 12 (PickupDirectoryMaxMessagesPerMinute/12). Por padro, s podem ser processadas aproximadamente oito mensagens por intervalo de sondagem de 5 segundos. Parmetros de limitao em conectores de envio Os parmetros de limitao a seguir esto disponveis em conectores de envio. Use o cmdlet Send-Connector para configurar esses parmetros.

Parmetros de limitao do conector de envio

Parameter Descrio O parmetro ConnectionInactivityTimeOut especifica o tempo mximo que uma conexo SMTP aberta com um servidor de mensagem de destino pode permanecer ociosa antes que a conexo seja fechada.

ConnectionInactivityTimeOut

Padro 10 minutos. O parmetro SmtpMaxMessagesPerConnection especifica o nmero mximo de mensagens que esse SmtpMaxMessagesPerConnection servidor do conector de envio pode enviar por conexo. Padro 20 mensagens Parmetros de limitao em conectores de recebimento possvel configurar os parmetros de limitao a seguir em conectores de recebimento nos servidores Transporte do Exchange 2010 para controlar parmetros de conexo, como tempos limite de inatividade, nmero mximo de conexes e nmero de erros do protocolo SMTP permitidos durante uma conexo. Use o cmdlet SetReceiveConnector para configurar esses parmetros.

Parmetros de limitao do conector de recebimento

Parameter ConnectionInactivityTimeOut Descrio O parmetro ConnectionInactivityTimeOut especifica o tempo mximo que uma conexo SMTP aberta com um servidor de

mensagem de origem pode permanecer ociosa antes que a conexo seja fechada. Padro em servidores Transporte de Hub 5 minutos. Padro em servidores Transporte de Borda 1 minuto. O parmetro ConnectionTimeOut especifica o tempo mximo que uma conexo SMTP aberta com um servidor de mensagem de origem pode permanecer aberta, mesmo se o servidor de mensagem de origem estiver transmitindo dados. ConnectionTimeOut Padro em servidores Transporte de Hub 10 minutos Padro em servidores Transporte de Borda 5 minutos. O valor especificado pelo parmetro ConnectionTimeout deve ser maior que o valor especificado pelo parmetro ConnectionInactivityTimeout. O parmetro MaxInboundConnection especifica o nmero mximo de conexes SMTP de entrada que esse Conector de recebimento permite simultaneamente.

MaxInboundConnection

Padro 5.000 O parmetro MaxInboundConnectionPercentagePerSour ce especifica o nmero mximo de conexes SMTP que um Conector de recebimento permite simultaneamente a partir de um nico servidor de mensagens MaxInboundConnectionPercentagePerSour de origem. O valor expresso como a ce porcentagem de conexes restantes disponveis em um conector de recebimento. O nmero mximo de conexes permitidas pelo Conector de recebimento definido pelo parmetro MaxInboundConnection. Padro 2 por cento MaxInboundConnectionPerSource O parmetro MaxInboundConnectionPerSource especifica o nmero mximo de conexes SMTP que um Conector de recebimento permite simultaneamente a partir de um

nico servidor de mensagens de origem. Padro 100 conexes O parmetro MaxProtocolErrors especifica o nmero mximo de erros de protocolo SMTP que um Conector de Recebimento permite antes de fechar a conexo com o servidor de mensagens de origem.

MaxProtocolErrors

Padro 5 erros Parmetros de limitao para o servio POP3 Os parmetros de limitao a seguir esto disponveis para o servio POP3 do Microsoft Exchange em servidores Acesso do Cliente. Use o cmdlet Set-POPSettings para configurar esses parmetros. Para detalhes, consulte Definir Limites de Conexo para POP3.

Parmetros de limitao do servio POP3

Parameter MaxCommandSize Descrio O parmetro MaxCommandSize especifica o tamanho mximo de um nico comando. Os valores possveis so de 40 a 1.024 bytes. Padro 40 bytes. O parmetro MaxConnectionFromSingleIP especifica o nmero de conexes que o servidor especificado aceita de um nico endereo IP. Os valores possveis so de 1 a 25.000. Padro 2.000 conexes O parmetro MaxConnections especifica o nmero total de conexes que o servidor especificado aceita. Isso inclui conexes autenticadas e no autenticadas. Os valores possveis so de 1 a 25.000. Padro 2,000 conexes. O parmetro MaxConnectionsPerUser especifica o nmero mximo de conexes que o servidor de Acesso do Cliente aceita de um determinado usurio. Os valores possveis so de 1 a 25.000.

MaxConnectonFromSingleIP

MaxConnections

MaxConnectionsPerUser

Padro 16 conexes. O parmetroPreAuthenticatedConnectionTimeout especifica o tempo a aguardar antes de encerrar PreAuthenticationConnectionTimeOut uma conexo ociosa que no seja autenticada. Os valores possveis so de 10 a 3,600 segundos. Padro 60 segundos.

Parmetros de limitao para o servio IMAP4 Os parmetros de limitao a seguir esto disponveis para o servio IMAP4 do Microsoft Exchange em servidores Acesso do Cliente. Use o cmdlet Set-IMAPSettings para configurar esses parmetros. Para detalhes, consulte Definir os Limites de Conexo para IMAP4. Parmetros de limitao do servio IMAP4

Parameter

AuthenticationConnectionTimeOut

Descrio O parmetro AuthenticatedConnectionTimeout especifica o perodo para aguardar antes de encerrar uma conexo autenticada ociosa. Os valores possveis so de 30 a 86.400 segundos. Padro 1.800 segundos O parmetro MaxCommandSize especifica o tamanho mximo de um nico comando. O tamanho padro de 40 bytes. Os valores possveis so de 40 a 1.024 bytes. Padro 40 bytes. O parmetro MaxConnectionFromSingleIP especifica o nmero de conexes que o servidor especificado aceita de um nico endereo IP. Os valores possveis so de 1 a 25.000. Padro 2.000 conexes O parmetro MaxConnections especifica o nmero total de conexes que o servidor especificado aceita. Isso inclui conexes autenticadas e no autenticadas. Os valores possveis so de 1 a 25.000. Padro 2.000 conexes O parmetro MaxConnectionsPerUser especifica o nmero mximo de conexes que o servidor de Acesso do Cliente aceita de um determinado usurio. Os valores possveis so de 1 a 25.000.

MaxCommandSize

MaxConnectionFromSingleIP

MaxConnections

MaxConnectionsPerUser

Padro 16 conexes. O parmetroPreAuthenticatedConnectionTimeout especifica o tempo a aguardar antes de encerrar PreAuthenticatedConnectionTimeOut uma conexo ociosa que no seja autenticada. Os valores possveis so de 10 a 3600 segundos. Padro 60 segundos Diretivas de Acelerao de Cliente

No Exchange 2010, possvel usar polticas de limitao do cliente para gerenciar o desempenho do servidor Acesso do Cliente controlando-se parmetros, como o nmero de conexes simultneas para cada protocolo de acesso do cliente, a porcentagem de tempo que uma sesso do cliente pode usar para executar operaes LDAP, RPC e operaes de acesso do cliente. Existe uma poltica de limitao do cliente padro que costuma ser suficiente para gerenciar a carga colocada em servidores Acesso do Cliente. possvel modificar os parmetros de poltica padro ou criar polticas personalizadas para atender aos requisitos da implantao. H polticas de limitao disponveis para os seguintes grupos de usurios e os mtodos de acesso:

Acesso annimo Acesso na instalao (CPA) Exchange ActiveSync (EAS) Servios Web do Exchange (EWS) IMAP POP Outlook Web App (OWA) Acesso para Cliente do RPC (RCA)

As configuraes de limitao a seguir esto disponveis em polticas de limitao do cliente para cada um destes grupos de usurios (EAS, EWS, IMAP, OWA, POP, e RCA).

Configuraes de poltica de limitao do cliente

Acesso annimo Simultaneidade mxima Sim Porcentagem de tempo no AD Sim Porcentagem de tempo no CAS Sim Porcentagem de tempo na RPC Sim da caixa de correio Configurao de limitao CPA Acesso na instalao EAS Exchange ActiveSync EWS Servios Web do Exchange OWA Outlook Web App CPA EAS EWS IMAP OWA POP RCA Sim Sim Sim Sim N. D. Sim Sim Sim Sim Sim Sim Sim Sim Sim Sim Sim Sim Sim Sim Sim Sim Sim Sim Sim Sim Sim Sim Sim

Alm dessas configuraes de limitao baseadas em grupos de usurios e mtodos de acesso, as configuraes de limitao a seguir esto disponveis em uma poltica de limitao do cliente.

Parmetros de poltica de limitao do cliente

Descrio O parmetro CPUStartPercent especifica a porcentagem da CPU da base por processo com que os usurios governados por esta diretiva comeam a CPUStartPercent ser retirados. Os valores vlidos so de 0 a 100. Use $null para desativar a limitao com base na porcentagem da CPU para esta diretiva. O parmetro EASMaxDeviceDeletesPerMonth especifica um limite do nmero de sociedade do Exchange ActiveSync que um usurio pode excluir por ms. Por padro, cada usurio pode excluir um EASMaxDeviceDeletesPerMonth mximo de 20 sociedades por ms corrido. Quando o limite atingido, a tentativa de eliminao de sociedade falha e uma mensagem de erro exibida ao usurio. O parmetro EASMaxDevices especifica um limite do nmero de sociedade do Exchange ActiveSync que um usurio pode ter por vez. Por padro, cada usurio pode criar 10 Exchange ActiveSync parcerias com suas contas do Exchange. Aps os usurios excederem este limite, eles devem excluir EASMaxDevices uma de suas parcerias existentes antes de criar quaisquer parcerias novas. Uma mensagem de erro de email que descreve a limitao enviada ao usurio quando o limite excedido. Alm disso, um evento registrado em log no log do Aplicativo quando um usurio excede o limite. O parmetro EWSFastSearchTimeoutInSeconds especifica o tempo que as pesquisas usando os Servios Web do Exchange continuam antes que EWSFastSearchTimeOutInSeconds atinjam o tempo limite. Se a pesquisa dura mais que o tempo indicado pelo valor da diretiva, a pesquisa para e retornado um erro. O valor padro dessa configurao de 60 segundos. EWSFindCountLimit O parmetro EWSFindCountLimit especifica o tamanho mximo do resultado das chamadas FindItem ou FindFolder que podem existir na memria no servidor Acesso para Cliente ao mesmo tempo para este usurio nesse processo atual. Se uma tentativa feita para localizar mais itens ou pastas que seu limite de diretiva permite, retornado um erro. No entanto, o limite no ser reforado exclusivamente se a chamada for feita Parameter

EWSMaxSubscriptions

ExchangeMaxCmdlets

dentro do contexto de uma visualizao de pgina indexada. Especificamente, neste cenrio, os resultados da pesquisa so truncados para incluir o nmero de itens e pastas que se encaixa dentro do limite da poltica. Voc pode ento continuar paginando em seus resultados definidos via chamadas FindItem ou FindFolder adicionais. O parmetro EWSMaxSubscriptions especifica o nmero mximo de inscries push and pull ativas que um usurio pode ter em um servidor de Acesso para Cliente especfico simultaneamente. Se um usurio tentar criar mais inscries que a mxima configurada, a inscrio falhar e um evento ser registrado no Visualizador de Eventos. O parmetro ExchangeMaxCmdlets especifica o nmero de cmdlets que podem ser executados dentro de um perodo de tempo especfico antes que sua execuo diminua a velocidade. O valor especificado por este parmetro deve ser menor que o valor especificado por PowerShellMaxCmdlets parameter. O perodo de tempo usado para este limite especificado pelo parmetro PowerShellMaxCmdletsTimePeriod. Recomendamos que voc defina valores para ambos os parmetros ao mesmo tempo. O parmetro ForwardeeLimit especifica os limites para o nmero de destinatrios que podem ser configurados nas Regras de caixa de entrada ao usar a ao encaminhar ou redirecionar. Este parmetro no limita o nmero de mensagens que podem ser encaminhadas ou redirecionadas para destinatrios que so configurados. O parmetro MessageRateLimit especifica o nmero de mensagens por minuto que pode ser enviado para transportar. Para mensagens enviadas atravs da funo de servidor da Caixa de Correio (Outlook Web App, Exchange ActiveSync ou Servios Web do Exchange), isto resulta no adiamento de mensagens at que a cota para o usurio esteja disponvel. Especificamente, mensagens aparecem na pasta Caixa de Sada ou Rascunhos para perodos mais longos de tempo quando usurios enviam mensagens em uma taxa maior que o parmetro MessageRateLimit. Para clientes POP ou IMAP enviarem mensagens diretamente para transporte usando SMTP, os clientes recebero um erro transitrio se eles

ForwardeeLimit

MessageRateLimit

fizerem o envio em uma taxa que exceder o parmetro MessageRateLimit. O Exchange tenta conectar e enviar as mensagens mais tarde. O parmetro PowerShellMaxCmdletQueueDepth especifica o nmero de operaes permitidas serem executadas pelo usurio. Esse valor afeta diretamente o comportamento dos parmetros PowerShellMaxCmdlets e PowerShellMaxConcurrency. Por exemplo, o parmetro PowerShellMaxConcurrency consome pelo menos duas operaes definidas pelo parmetro PowerShellMaxCmdletQueueDepth, mas PowerShellMaxCmdletQueueDepth as operaes adicionais tambm so consumidas por execuo Cmdlet. O nmero de operaes depende dos cmdlets executados. Recomendamos que o valor para o parmetro PowerShellMaxCmdletQueueDepth seja pelo menos trs vezes maior que o valor de PowerShellMaxConcurrency parameter. Esse parmetro no afetar as operaes do Painel de Controle do Exchange ou dos Servios Web do Exchange. O parmetro PowerShellMaxCmdlets especifica o nmero de cmdlets que podem ser executados dentro de um perodo de tempo especfico antes que sua execuo pare. O valor especificado por este parmetro deve ser maior que o valor especificado PowerShellMaxCmdlets pelo parmetro ExchangeMaxCmdlets. O perodo de tempo usado para este limite especificado pelo parmetro PowerShellMaxCmdletsTimePeriod. Ambos os valores devem ser definidos ao mesmo tempo. O parmetro PowerShellMaxCmdletsTimePeriod especifica o perodo de tempo, em segundos, que a diretiva de otimizao usa para determinar se o PowerShellMaxCmdletsTimePeriod nmero de cmdlets a serem executados excede os limites especificados pelos parmetros PowerShellMaxCmdlets e ExchangeMaxCmdlets. PowerShellMaxConcurrency O parmetro PowerShellMaxConcurrency especifica informaes diferentes dependendo de contexto: No contexto do Remote PowerShell, o parmetro PowerShellMaxConcurrency especifica o nmero mximo de sesses do Remote PowerShell que um usurio Remote PowerShell pode abrir ao mesmo tempo. No contexto dos Servios Web do Exchange, o parmetro PowerShellMaxConcurrency especifica o

nmero de execues simultneas cmdlet que um usurio pode ter ao mesmo tempo. Este valor de parmetro no se relaciona necessariamente com o nmero de navegadores abertos pelo usurio O parmetro RecipientRateLimit especifica os limites no nmero de destinatrios que um usurio pode enderear em um perodo de 24 horas.

RecipientRateLimit

Para obter mais detalhes sobre polticas de limitao do Exchange 2010, consulte Noes Bsicas Sobre Diretivas de Limitao de Cliente. Controle de Acesso Baseado em Funo Controle de Acesso Baseado na Funo (RBAC) o novo modelo de permisses do Exchange 2010 que permite controlar, em nveis ampliados e granulares, o que administradores e usurios podem fazer. Com o RBAC, no mais necessrio modificar Listas de Controle de Acesso (ACLs) em objetos do Active Directory como Unidades Organizacionais e contineres para permitir a delegao granular de permisses a grupos como operadores de assistncia tcnica ou para funes como o gerenciamento de destinatrios. Active Directory Para mais detalhes, consulte Noes Bsicas Sobre Controle de Acesso Baseado em Funo. Para obter uma lista das funes de gerenciamento RBAC padro includas no Exchange 2010, consulte Funes de Gerenciamento Integradas. Para obter uma lista dos grupos de funes vlidas, consulte Grupos de Funo Integrados. Grupos de funes criadas pela Instalao do Exchange 2010 ou por voc so criadas no Active Directory como grupos de segurana universal na UO Grupos de Segurana do Microsoft Exchange. possvel adicionar membros a um grupo de funes usando-se o cmdlet New-RoleGroupMember ou o Painel de Controle do Exchange (ECP). Quando voc adiciona um membro a um grupo de funes, o usurio ou o grupo adicionado ao grupo de segurana do Active Directory correspondente. possvel usar uma poltica Grupo Restrito para restringir a associao para grupos de funes RBAC crticos, como o Gerenciamento de Descoberta. Quando voc implementa uma poltica Grupo Restrito, a associao do grupo monitorada por controladores de domnio do Active Directory e todos os usurios no includos na poltica so automaticamente removidos. Importante: Se voc usar Grupos Restritos para restringir a associao do grupo para grupos de funes RBAC, todas as alteraes feitas em um grupo de funes que use ferramentas do Exchange 2010 tambm devero ser feitas na poltica Grupo Restrito do Active Directory. Para obter detalhes, consulte Group Policy Security Settings. Active Directory O Exchange Server armazena dados de configurao na partio Configurao e dados do destinatrio na partio Domnio do Servios de Domnio Active Directory (AD

DS). Para obter detalhes sobre permisses necessrias configurao de uma organizao do Exchange 2010, consulte Referncia de permisses de implantao do Exchange 2010. A comunicao com os controladores de domnio do Active Directory protegida usando-se autenticao e criptografia Kerberos. O Exchange 2010 fornece uma nova camada de autorizao dentro do Exchange, conhecida como Controle de Acesso Baseado na Funo (RBAC), em vez de contar com a aplicao de entradas de controle de acesso (ACEs) para cada conta que exija as permisses apropriadas. Em verses anteriores do Microsoft Exchange, a Instalao do Exchange contava com ACEs dentro do Active Directory para que administradores do Exchange pudessem gerenciar objetos dentro da partio do domnio. Os administradores do Exchange tm a possibilidade de realizar determinadas operaes dentro de um escopo especfico por meio do RBAC . O servidor do Exchange executa as aes autorizadas em nome do administrador ou dos usurios utilizando as permisses concedidas dentro do Active Directory por meio dos grupos de segurana Permisses do Exchange Windows e Subsistema de Confiana do Exchange. Para obter mais informaes sobre o RBAC, consulte Noes Bsicas Sobre Controle de Acesso Baseado em Funo. No Exchange 2010, /PrepapareDomain no aplica nenhuma ACE para o grupo de segurana universal Permisses do Exchange Windows ao continer AdminSDHolder no Active Directory. Se /PrepareDomain detectar alguma ACE concedida ao grupo de segurana universal Permisses do Exchange Windows, as ACEs sero removidas. Isso tem as seguintes implicaes:

Os membros do grupo de segurana universal Permisses do Exchange Windows no podem modificar a associao de grupos de segurana protegidos, como Administradores de Empresa e Administradores de Domnio. Isso tem as implicaes a seguir. Os membros do grupo de segurana universal Permisses do Exchange Windows no podem forar a redefinio de senha de uma conta protegida por AdminSDHolder. Os membros do grupo de segurana universal Permisses do Exchange Windows no podem alterar as permisses de nenhum grupo ou conta protegida pelo AdminSDHolder.

Como uma prtica recomendada, sugerimos que voc no habilite a caixa de correio em contas protegidas pelo AdminSDHolder e mantenha contas separadas para administradores do Active Directory: uma conta para administrao do Active Directory e uma conta para uso dirio regular, inclusive email. Para obter informaes detalhadas, consulte os seguintes tpicos:

Descrio e atualizao do objeto do Active Directory AdminSDHolder Exchange 2010 e resoluo do problema de elevao de AdminSDHolder

Contas do Exchange Server

A Instalao do Exchange 2010 cria uma nova unidade organizacional (UO) no domnio raiz chamada Grupos de Segurana do Microsoft Exchange. A tabela a seguir mostra os novos grupos de segurana universais.

Grupos de segurana do Microsoft Exchange

Grupo de segurana Todas as Organizaes Hospedadas do Exchange Descrio Esse grupo contm todos os grupos Caixas de Correio Hospedadas pela Organizao do Exchange. Ele usado na aplicao de Objetos de Configurao de Senha a todas as caixas de correio hospedadas. Esse grupo no deve ser excludo. Esse grupo contm todos os servidores do Exchange. Esse grupo no deve ser excludo. Desaconselhamos qualquer alterao feita na associao desse grupo. Esse grupo contm servidores do Exchange. O Exchange executa cmdlets do Exchange em nome dos usurios por meio do servio Gerenciamento. Os membros tero permisso para ler e modificar todas as configuraes do Exchange, alm de contas e grupos de usurios. Esse grupo no deve ser excludo. Esse grupo contm servidores do Exchange que executam cmdlets do Exchange em nome dos usurios por meio do servio Gerenciamento. Os membros tero permisso para ler e modificar todas as contas e grupos do Windows. Esse grupo no deve ser excludo. Desaconselhamos qualquer alterao feita na associao desse grupo, e sugerimos o monitoramento da associao do grupo. Esse grupo se destina interoperabilidade com servidores do Exchange 2003 dentro da mesma floresta. Esse grupo no deve ser excludo.

Servidores Exchange

Subsistema confivel do Exchange

Exchange Permisses do Windows

ExchangeLegacyInterop

Alm desses grupos de segurana, a instalao tambm cria os grupos de segurana a seguir que correspondem a grupos de funes RBAC com o mesmo nome.

Grupos de segurana que correspondem a grupos de funes RBAC

Grupo de segurana Instalao Representada Gerenciamento de descoberta Assistncia tcnica Gerenciamento de Higienizao Gerenciamento da Organizao Gerenciamento de Pasta Pblica Gerenciamento de Destinatrios Gerenciamento de Registros Gerenciamento do Servidor Gerenciamento da UM Grupo de seguranas RBAC Instalao Representada Gerenciamento de Descoberta Suporte tcnico Gerenciamento de Higienizao Gerenciamento da Organizao Gerenciamento de Pasta Pblica Gerenciamento de Destinatrios Gerenciamento de Registros Gerenciamento do Servidor Gerenciamento da UM

Gerenciamento da Organizao Somente para Exibio

Gerenciamento da Organizao Somente para Exibio

Alm disso, quando voc cria um novo grupo de funes, o Exchange 2010 cria um grupo de segurana com o mesmo nome do grupo de funes. Para obter informaes detalhadas, consulte os seguintes tpicos:

Grupos de Funo Integrados Criar um Grupo de Funo

Os usurios so adicionados ou removidos desses grupos de segurana quando voc adiciona ou remove usurios de grupos de funes usando os cmdlets AddRoleGroupMember ou Remove-RoleGroupMember, ou usando o Editor de Usurio do Controle de Acesso Baseado em Funo (RBAC) no ECP. Sistema de arquivos A Instalao do Exchange 2010 cria diretrios com o mnimo de permisses necessrio para que o Exchange 2010 funcione. No recomendamos nenhuma proteo adicional de permisses para as listas de controle de acesso (ACLs) padro em diretrios criados pela instalao. Services A Instalao do Exchange 2010 no desabilita nenhum servio do Windows por padro. A tabela a seguir lista servios habilitados por padro em cada funo de servidor. Apenas os servios obrigatrios para a operao de uma determinada funo de servidor do Exchange 2010 so habilitados por padro.

Servios instalados pela Instalao do Exchange

Necess Contex Tipo de Fune rio Nome do Nome abreviado do to de Descrio e inicializ s de (N) ou servio servio segura dependncias ao servido opcion na padro r al (O) Microsoft MSExchangeADTopol Sistem Fornece Automt Caixa N Exchange ogy a local informaes de ica de Topologia do topologia do Correio Active Active , Directory Directory para Transp os servios do orte de Exchange. Se Hub, esse servio for Acesso parado, a para maior parte dos Cliente, servios do Unifica Exchange no o de podero ser Mensag

iniciados. Esse servio no tem dependncias. Armazena dados de configurao e de destinatrio no servidor de Transporte de Borda. Esse servio representa a instncia nomeada do Active Directory Ligh tweight Directory Microsoft Servio Service (AD Automt Exchange ADAM_MSExchange de LDS) que ica ADAM Rede criada automaticamen te pelo programa de instalao durante a instalao do servidor de Transporte de Borda. Esse servio depende do servio Sistema de Eventos COM+. Gerencia conexes de catlogo de endereo do Catlogo de cliente. Esse Endereos do Sistem servio Automt MSExchangeAB Microsoft a local depende do ica Exchange servio de Topologia do Microsoft Exchange Acti ve Directory. Atualizao MSExchangeAntispam Sistem Fornece o Automt

ens

Transp orte de N Borda

Acesso para N cliente

Transp O

do Microsoft Exchange Update Anti-spam

a local

Servio de Credencial do MSExchangeEdgeCred Sistem Microsoft ential a local Exchange

Microsoft MSExchangeEdgeSync Sistem Exchange Ed a local geSync

Microsoft Fore front Protection 2010 para o servio de atualizao de anti-spam do Exchange Server. Em servidores de Transporte de Hub, esse servio depende do servio de Topologia do Microsoft Exchange Acti ve Directory. Em servidores de Transporte de Borda, esse servio dependente do servio Microsoft Exchange ADAM. Monitora alteraes de credencial nos servios AD LDS e instala as alteraes no servidor de Transporte de Borda. Esse servio depende do servio Microsoft Exchange ADAM. Estabelece conexo com a instncia dos servios AD LDS nos servidores de Transporte de

ica

orte de Hub, Transp orte de Borda

Transp Automt orte de N ica Borda

Automt Transp O ica orte de Hub

Distribuio de Arquivos MSExchangeFDS do Microsoft Exchange

Sistem a local

Autenticao MSExchangeFBA Baseada em Formulrios do Microsoft Exchange

Sistem a local

Borda assinados, por meio de um canal LDAP seguro, para sincronizar dados entre um servidor de Transporte de Hub e um servidor de Transporte de Borda. Esse servio depende do servio de Topologia do Microsoft Exchange Acti ve Directory. Se a Inscrio de Borda no estiver configurada, o servio poder ser desabilitado. Distribui prompts de OAB (catlogo de endereos offline) e de Unificao de Mensagens personalizada. Automt O servio ica depende dos servios Topologia e Estao de Trabalho do Microsoft Exchange Acti ve Directory. Fornece Automt autenticao ica baseada em formulrios ao Outlook Web App e ao

Acesso para Cliente, Unifica N o de Mensag ens

Acesso N para cliente

Microsoft Exchange IMAP4

MSExchangeIMAP4

repositrio de MSExchangeIS Informaes do Microsoft Exchange

Painel de Controle do Exchange. Se o servio for interrompido, o Outlook Web App e o Painel de Controle do Exchange no autenticaro usurios. Esse servio no tem dependncias. Fornece servios IMAP4 a clientes. Se esse servio for parado, os clientes no conseguiro se conectar ao Servio computador de Manual utilizando o Rede protocolo IMAP4. Esse servio depende do servio de Topologia do Microsoft Exchange Acti ve Directory. Sistem Gerencia o Automt a local Armazenament ica o de Informaes do Exchange. Isso inclui bancos de dados de caixas de correio e de pastas pblicas. Se o servio for interrompido, os bancos de dados de

Acesso para O cliente

Caixa N de Correio

Servio de Envio de Email do Microsoft Exchange

MSExchangeMailSubm Sistem ission a local

Assistentes de MSExchangeMailboxA Sistem Caixa de ssistants a local Correio do Microsoft Exchange

caixas de correio e de pastas pblicas neste computador no ficaro disponveis. Se esse servio estiver desabilitado, qualquer servio que dependa dele diretamente falhar ao iniciar. Esse servio depende dos servios de RPC, Servidor, Log de Eventos do Windows e Estao de Trabalho. Envia mensagens do servidor Caixa de Correio para os servidores Transporte de Hub do Exchange Automt 2010. Esse ica servio depende do servio de Topologia do Microsoft Exchange Acti ve Directory. Executa o Automt processamento ica em segundo plano de caixas de correio no repositrio do Exchange. Esse servio depende do

Caixa de N Correio

Caixa N de Correio

servio de Topologia do Microsoft Exchange Acti ve Directory. Processa movimentae s de caixa de correio e solicitaes de Servio de movimentao. Replicao de Esse servio Caixa de MSExchangeMailboxR Sistem depende dos Automt Correio do eplication a local servios de ica Microsoft Compartilhame Exchange nto de Porta Net.Tcp e de Topologia do Microsoft Exchange Acti ve Directory. Permite aos aplicativos chamar os Monitorament cmdlets de o do MSExchangeMonitorin Sistem diagnstico do Manual Microsoft g a local Exchange. Exchange Esse servio no tem dependncias. Fornece o servio POP3 para clientes. Se esse servio for parado, os clientes no conseguiro se conectar ao Microsoft Servio computador Exchange MSExchangePOP3 de utilizando o Manual POP3 Rede protocolo POP3. Esse servio depende do servio de Topologia do Microsoft Exchange Acti ve Directory. Host de MSExchangeProtected Sistem Fornece um Automt

Acesso para O cliente

All

Acesso para O cliente

Transp N

Servio Protegido do ServiceHost Microsoft Exchange

Servio de Replicao do MSExchangeRepl Microsoft Exchange

Acesso para Cliente RPC MSExchangeRPC do Microsoft Exchange

Indexador de MSExchangeSearch Pesquisa do Microsoft Exchange

host para vrios servios do Exchange que devem ser protegidos de outros servios. Esse a local ica servio depende do servio de Topologia do Microsoft Exchange Acti ve Directory. Oferece a funcionalidade de replicao para bancos de dados de caixa de correio em servidores de Caixa de Correio em um DAG (grupo Sistem Automt de a local ica disponibilidade de banco de dados). Esse servio depende do servio de Topologia do Microsoft Exchange Acti ve Directory. Gerencia conexes RPC do cliente para o Exchange. Servio Esse servio Automt de depende do ica Rede servio de Topologia do Microsoft Exchange Acti ve Directory. Sistem Conduz a Automt a local indexao de ica contedo de caixa de

orte de Hub, Acesso para Cliente

Caixa de O Correio

O Caixa (Caixa de de Correio Correio , ), R Acesso (Acesso para para Cliente Cliente) Caixa O de Correio

Microsoft Exchange Server Extension WSBExchange para Backup do Windows Server

Sistem a local

Host de Servio do Microsoft Exchange

MSExchangeServiceHo Sistem st a local

correio, que melhora o desempenho da pesquisa de contedo. O servio depende dos servios Topologia do Microsoft Exchange Acti ve Directory e Pesquisa do Microsoft (Exchange Server). Permite que os usurios de Backup do Servidor do Windows faam backup e recuperem Manual dados de aplicativo do Microsoft Exchange. Esse servio no tem dependncias. Proporciona Automt um host para ica vrios servios do Exchange. Em funes de servidor internas, esse servio depende do servio de Topologia do Microsoft Exchange Acti ve Directory. Em servidores de Transporte de Borda, esse servio dependente do servio

Caixa de O Correio

All

Mecanismo de Fala do Microsoft Exchange

MSSpeechService

Atendedor do MSExchangeSA Sistema do Microsoft Exchange

Microsoft Exchange ADAM. Fornece servios de processamento de fala para Unificao de Mensagens. Servio Esse servio Automt de depende do ica Rede servio de WMI (Instrumenta o de Gerenciamento do Windows). Sistem Encaminha Automt a local pesquisas de ica diretrio para um servidor de catlogo global para clientes herdados do Outlook, gera endereos de email e OABs, atualiza informaes de disponibilidade para clientes herdados e mantm permisses e associaes de grupo para o servidor. Se esse servio estiver desabilitado, qualquer servio que dependa dele diretamente falhar ao iniciar. Esse servio depende dos servios de RPC, Servidor,

Unifica o de N Mensag ens

Caixa N de Correio

Log de Eventos do Windows e Estao de Trabalho. Limita a taxa de operaes de usurio. Esse servio Limitao do Servio depende do Automt Microsoft MSExchangeThrottling de servio de ica Exchange Rede Topologia do Microsoft Exchange Acti ve Directory. Fornece o servidor SMTP e pilha de transporte. Em servidores de Transporte de Hub, esse servio depende do servio de Transporte do Servio Topologia do Automt Microsoft MSExchangeTransport de Microsoft ica Exchange Rede Exchange Acti ve Directory. Em servidores de Transporte de Borda, esse servio dependente do servio Microsoft Exchange ADAM. Pesquisa de MSExchangeTransport Sistem Fornece Automt Log de LogSearch a local capacidade de ica Transporte do pesquisa Microsoft remota para Exchange arquivos de log do Transporte do Microsoft Exchange. Em servidores de Transporte de Hub, esse servio

Caixa de N Correio

Transp orte de Hub, N Transp orte de Borda

Transp O orte de Hub, Caixa de Correio , Transp orte de Borda

Unificao de MSExchangeUM Mensagens do Microsoft Exchange

depende do servio de Topologia do Microsoft Exchange Acti ve Directory. Em servidores de Transporte de Borda, esse servio dependente do servio Microsoft Exchange ADAM. Sistem Habilita Automt a local recursos de ica Unificao de Mensagens do Microsoft Exchange. Isso permite que mensagens de voz e de fax sejam armazenadas no Exchange e concede aos usurios acesso por telefone a email, caixa postal, calendrio, contatos ou um atendedor automtico. Se o servio for parado, a Unificao de Mensagens ficar indisponvel. Esse servio depende do servio de Topologia do Microsoft Exchange Acti ve Directory e do servio de

Unifica N o de Mensag ens

Pesquisa do Microsoft (Exchange Server)

msftesql-Exchange

Mecanismo de Fala do Microsoft Exchange. Essa uma verso personalizada Transp pelo Microsoft orte de Exchange do Sistem Hub, Microsoft Manual O a local Caixa Search. Esse de servio Correio depende do servio de RPC.

Certificados A Instalao do Exchange 2010 cria certificados autoassinados para proteger a comunicao em protocolos diferentes como HTTP, SMTP, POP3 e IMAP4. Os certificados autoassinados criados pela Instalao so vlidos por cinco anos. Isso garante que os certificados autoassinados no precisem ser renovados para uma parte significativa de uma implantao do Exchange 2010 e que servios do sistema de mensagens no sejam afetados pela expirao de certificados autoassinados. Para mecanismos e protocolos de acesso do cliente, como Outlook Web App, POP3, IMAP4, Outlook Anywhere e Descoberta Automtica, recomendamos que voc:

Use certificados assinados por uma autoridade de certificao (CA) comercial confivel por clientes que acessam esses servios. Use o assistente Novo Certificado do Exchange ou o cmdlet NewExchangeCertificate para criar solicitaes de assinatura de certificado para CAs comerciais. As solicitaes de certificado geradas usando-se essas ferramentas garantem que todos os requisitos de certificado do Exchange sejam atendidos. Considere os requisitos de certificado de cada protocolo ou servio para o qual voc deseja permitir o acesso do cliente externo.
o

Em servidores Acesso do Cliente, os certificados so usados para proteger trfego HTTP (Outlook Anywhere, Outlook Web App, Descoberta Automtica, Exchange ActiveSync e Servios Web do Exchange) usando protocolo SSL, alm de trfego POP3 e IMAP4 usando SSL ou protocolo TLS. Para detalhes, consulte Gerenciando SSL para um Servidor de Acesso para Cliente. Em servidores de transporte, os certificados so usados para proteger o trfego SMTP usando TLS. Para detalhes, consulte Noes Bsicas Sobre Certificados TLS. Em servidores Unificao de Mensagens, os certificados so usados para proteger o trfego do protocolo VoIP. Para detalhes, consulte Noes Bsicas Sobre a Segurana VoIP da Unificao de Mensagens.

Para Federao, os certificados so usados para criptografar tokens SAML trocados com o Microsoft Federation Gateway (MFG) e com organizaes de parceiro federadas. Para detalhes, consulte Noes Bsicas Sobre Federao.

Monitore datas de validade do certificado e renove certificados de CAs em tempo hbil para evitar a interrupo do servio. Ao armazenar certificados exportados com a chave privada associada, proteja o arquivo exportado usando controles de acesso apropriados na pasta/arquivo onde ele est armazenado. Dependendo dos requisitos de segurana da organizao, considere a habilitao da auditoria do acesso do arquivo para pastas nas quais arquivos de certificado com chaves privadas esto armazenados.

Consideraes de NTLM O protocolo de NTLM significativamente menos seguro do que o protocolo Kerberos. No Exchange 2010, os protocolos POP3 e IMAP4 no oferecem suporte autenticao NTLM quando SecureLogin est especificado como LoginType. Para obter detalhes, consulte Configurando a Autenticao para POP3 e IMAP4. Os servios do Exchange 2010 que usam a Autenticao Integrada do Windows podem usar protocolos NTLM ou Kerberos. Kerberos usado para comunicao de servidor Acesso do Cliente com um servidor Caixa de Correio do Exchange 2010 e entre servidores Acesso do Cliente para Outlook Web App, Exchange ActiveSync e Servios Web do Exchange. Para obter detalhes sobre servios que usem NTLM na autenticao, consulte Referncia de porta de rede do Exchange. Autenticao de Fator Duplo Os mecanismos de autenticao de fator duplo usam outro autenticador alm das credenciais de logon do usurio (nome de usurio e senha), como tokens gerados aleatoriamente ou um certificado digital em um carto inteligente com um PIN. Muitas organizaes implantam autenticao de fator duplo para permitir o acesso seguro rede da organizao. O Exchange 2010 no inclui suporte nativo para autenticao de fator duplo. O Exchange 2010 usa o Internet Information Server (IIS) 7 para acesso cliente por meio de HTTP (Descoberta Automtica, Outlook Web App, Outlook Anywhere, Exchange ActiveSync e Servios Web do Exchange). Muitos produtos de autenticao de fator duplo que se integram ao IIS so disponibilizados por parceiros e terceiros, alm de funcionarem com servios de acesso cliente do Exchange como o Outlook Web App. Antes de implantar produtos de autenticao de fator duplo para servios do Exchange, recomendamos que voc os teste corretamente para garantir que eles atendam aos requisitos de segurana da organizao e forneam a funcionalidade desejada. Federao O Exchange 2010 apresenta novos recursos de federao para permitir uma colaborao segura entre organizaes do Exchange federadas. As organizaes do Exchange 2010 podem criar uma confiana de federao com o Microsoft Federation Gateway e, em

seguida, estabelecer relacionamentos de organizao com outras organizaes federadas para compartilhar informaes de disponibilidade e calendrios. As organizaes tambm podem permitir que os usurios compartilhem informaes de disponibilidade, calendrios e contatos com usurios em organizaes federadas externas usando Polticas de Compartilhamento. Para obter mais detalhes sobre confianas de federao e compartilhamento federado, consulte Noes Bsicas Sobre Federao e Noes bsicas sobre delegao federada. Depois de estabelecer uma confiana de federao com MFG, o compartilhamento entre duas organizaes federadas no ocorre, a menos que voc crie um relacionamento de organizao. Porm, por padro, o compartilhamento entre os usurios e os usurios em organizaes federadas externas habilitado usando-se a Poltica de Compartilhamento Padro atribuda a usurios. A poltica permite o compartilhamento de calendrio com informaes de disponibilidade apenas com usurios em todas as organizaes federadas externas. Se no quiser permitir que os usurios compartilhem informaes de calendrio e disponibilidade com usurios em todos os domnios federados externos, voc dever desabilitar a Poltica de Compartilhamento Padro ou alterar o nome de domnio especificado na poltica apenas para os domnios com os quais voc deseja permitir o compartilhamento. Voc deve fazer essa alterao antes de criar uma confiana de federao com MFG. Para mais detalhes, consulte Desabilitar uma diretiva de compartilhamento e Configurar as Propriedades da Diretiva de Compartilhamento. possvel desabilitar todos os recursos de federao para uma organizao, inclusive Delegao Federada, removendo-se a confiana de federao da organizao com MFG. Para mais detalhes, consulte Remover uma Confiana de Federao. S/MIME (Secure/Multipurpose Internet Mail Extensions) Secure/Multipurpose Internet Mail Extensions (S/MIME) um padro para criptografia de chave pblica e assinatura de dados MIME que fornece autenticao, integridade de mensagem, no repdio e privacidade de dados para dados do sistema de mensagens. Os usurios podem assinar ou criptografar mensagens, ou ambos, usando certificados S/MIME. Para obter mais informaes sobre o S/MIME, consulte Compreendendo S/MIME. S/MIME uma tecnologia do lado do cliente sem nenhum requisito de interoperabilidade para servidores de email. De uma perspectiva da transferncia de mensagem, as mensagens assinadas ou criptografadas S/MIME so transferidas da mesma forma como mensagens em texto no criptografado. A renderizao real da mensagem feita no lado do cliente depois das verificaes de validao de certificado e mensagem. Para o Outlook Web App, o suporte a S/MIME fornecido usando-se um controle ActiveX. Muito embora o Outlook Web App oferea suporte maioria dos navegadores mais populares, como o Microsoft Internet Explorer, o Mozilla FireFox e o Safari, os controles ActiveX so um recurso do Internet Explorer. Os usurios do Outlook Web App que utilizam outros navegadores no podem acessar recursos S/MIME e talvez precisem usar outro cliente de email com suporte a S/MIME. Para obter mais detalhes sobre o suporte a S/MIME no Outlook Web App, consulte Outlook Web App e S/MIME.

Para obter mais detalhes sobre o suporte oferecido para S/MIME no Outlook, consulte Viso geral de certificados e mensagens de emails criptigrafados no Outlook. Enquanto S/MIME oferece benefcios de segurana a uma organizao, ao avaliar a tecnologia, voc deve considerar o seguinte:

As mensagens criptografadas S/MIME so opacas organizao. Um software de segurana do sistema de mensagens, como antivrus e anti-spam, no pode inspecionar o contedo da mensagem, inclusive o corpo da mensagens e todos os anexos. Como o contedo da mensagem e os anexos so criptografados, as polticas do sistema de mensagens da organizao, inclusive regras de transporte, no podem ser aplicadas a mensagens criptografadas por S/MIME. A modificao de mensagens assinadas por S/MIME de acordo com as polticas do sistema de mensagens da organizao, por exemplo, para aplicar um aviso de iseno de responsabilidade ou assinatura personalizada, invalida a mensagem. O contedo do sistema de mensagens criptografadas no pode ser inspecionado para nenhuma violao de contedo, e a organizao no pode proteger informaes confidenciais. Isso inclui todas as informaes de identificao pessoal (PII) que deixam a organizao. As mensagens criptografadas por S/MIME no podem ser indexadas pela Pesquisa do Exchange e, assim, no so pesquisveis por descoberta. Para atender aos regulamentos locais ou aos requisitos de descoberta durante o litgio, a organizao pode precisar produzir cpias de todas as mensagens criptografadas no criptografadas.

O Exchange 2010 oferece recursos do Gerenciamento de Direitos de Informao (IRM) que permitem organizao aplicar proteo persistente ao contedo do sistema de mensagens confidenciais para que apenas os destinatrios especificados possam acessar mensagens protegidas por IRM. A organizao tambm pode implementar controles sobre como esse contedo usado depois de entregue aos destinatrios. Por exemplo, possvel impedir que as mensagens sejam impressas, respondidas ou encaminhadas dentro ou fora da organizao. Alm disso, a organizao ainda pode descriptografar o contedo protegido por IRM para verificao pelo software antivrus ou anti-spam e outros agentes de transporte, aplicando polticas do sistema de mensagens usando regras de transporte e permite o arquivamento e a descoberta de mensagens protegidas por IRM. Os recursos do IRM tambm esto disponveis em todos os navegadores da Web suportados pelo Outlook Web App e em dispositivos do Windows Mobile. Para obter mais detalhes sobre o IRM, consulte Noes Bsicas Sobre o Gerenciamento de Direitos de Informao. Consideraes da funo de servidor Esta seo lista consideraes relacionadas segurana para a funo de servidor do Exchange 2010. Consideraes do servidor Caixa de Correio

No Exchange 2010, as alteraes arquitetnicas foram feitas no repositrio do Exchange e na conectividade dos clientes MAPI, como o Outlook. Os clientes MAPI se conectam ao servidor Acesso do Cliente, que isolam o servidor Caixa de Correio do trfego do cliente. Os servidores Caixa de Correio s se comunicam com servidores Acesso do Cliente que usem RPCSec e com servidores Servios de Domnio Active Directory (AD DS) na organizao. Os servidores Caixa de Correio no exigem conectividade com a Internet. Armazenamento O armazenamento um componente crtico de servidores Caixa de Correio. Voc deve planejar o subsistema de armazenamento do servidor Caixa de Correio para garantir o desempenho satisfatrio e a disponibilidade do espao de armazenamento para a implantao. Para obter mais detalhes sobre como se planejar para o armazenamento do servidor Caixa de Correio, consulte Design do Armazenamento do Servidor de Caixa de Correio. Aps a implantao do servidor Caixa de Correio, voc deve monitorar o seguinte:

Disponibilidade do subsistema de armazenamento. Disponibilidade de espao livre em disco suficiente que contenha logs do banco de dados e da transao da caixa de correio. Um banco de dados de caixa de correio ou Pasta Pblica desmontado quando o volume que armazena os logs do banco de dados ou da transao ficam sem espao livre em disco.

possvel usar o Microsoft Federation Gateway Systems Center Operations Manager para monitorar a disponibilidade do armazenamento e o espao livre em disco. Para obter mais detalhes, consulte Systems Center Operations Manager 2007. Ao se planejar para e monitorar o armazenamento, se pretender usar os recursos a seguir, voc dever considerar os requisitos de armazenamento:

Registro no dirio Quando voc usar o registro no dirio para manter mensagens para um arquivamento por longo tempo, dependendo do uso do registro no dirio padro (por banco de dados da caixa de correio) ou premium (regras de dirio), as mensagens enviadas para e de todos os destinatrios em um banco de dados da caixa de correio ou os destinatrios especificados em uma regra de dirio so entregues em um relatrio de dirio para a caixa de correio do registro no dirio ou o destinatrio especificado. O resultado pode ser um nmero grande de relatrios de dirio entregues para uma caixa de correio do registro no dirio. Ao planejar o armazenamento para servidores Caixa de Correio, voc deve considerar tamanhos da caixa de correio do registro no dirio. possvel controlar tamanhos da caixa de correio do registro no dirio configurando-se cotas de caixa de correio suficientes para uma caixa de correio de registro no dirio. Para obter mais detalhes sobre registro no dirio e cotas da caixa de correio, consulte os seguintes tpicos: o Noes Bsicas Sobre Registro no Dirio
o

Configurar cotas de armazenamento para uma caixa de correio

Reteno de litgio Quando voc coloca uma caixa de correio em reteno de litgio, os itens excludos pelo usurio utilizando a funcionalidade Recuperar Itens Excludos no Outlook e no Outlook Web App e as mensagens excludas por processos automatizados, como MRM, so mantidos at a reteno de litgio ser removida. No Exchange 2010, a cota de aviso de itens recuperveis e a cota de itens recuperveis so definidas como 20 GB e 30 GB. Para obter mais detalhes, consulte os seguintes tpicos:
o o

Noes Bsicas Sobre Armazenamento Legal Informaes sobre itens recuperveis

Alta Disponibilidade A alta disponibilidade dos servidores Caixa de Correio essencial na garantia da disponibilidade do servio do sistema de mensagens. O Exchange 2010 inclui grupos de disponibilidade do banco de dados (DAGs) para alta disponibilidade dos servidores Caixa de Correio. Os DAGs podem fornecer disponibilidade quando a implantao do Exchange apresenta uma falha do subsistema de armazenamento, do servidor, da conectividade de rede ou uma interrupo de um datacenter inteiro. Para obter mais detalhes sobre como se planejar e implementar uma implantao do Exchange 2010 altamente disponvel, consulte Alta disponibilidade e resilincia do site. Por padro, no Exchange 2010, o trfego de replicao (envio de logs) entre membros DAG localizados em locais do Active Directory diferentes criptografado. possvel criptografar o trfego de replicao entre servidores no mesmo local do Active Directory definindo-se a propriedade NetworkEncryption do DAG como Habilitada. Use o cmdlet Set-DatabaseAvailabilityGroup para modificar a propriedade de um DAG. A replicao ocorre em uma nica porta TCP, por padro, porta TCP 64327. possvel modificar a porta usada na replicao. Para detalhes, consulte Configurar as Propriedades do Grupo de Disponibilidade do Banco de Dados.

Parmetros para alta disponibilidade

Parameter Descrio O parmetro NetworkEncryption especifica se a criptografia de rede est habilitada. Os valores vlidos incluem:
Disabled Enabled

desabilitada em todas as redes habilitada em todas as redes Habilitada apenas para comunicao

NetworkEncryption

InterSubnetOnly

entre sub-redes
SeedOnly

habilitada apenas para propagao

ReplicationPort

Padro InterSubnetOnly O parmetro ReplicationPort especifica uma porta TCP para

atividade de replicao (envio de logs e propagao). Padro Se o parmetro no for especificado, a porta padro para replicao a TCP 64327. Permisses e acesso da caixa de correio Por padro, o Exchange 2010 no permite que os administradores acessem caixas de correio. Se a organizao usar aplicativos ou servios que exijam acesso a uma caixa de correio, voc dever atribuir permisses de caixa de correio apropriadas a contas usadas por esses aplicativos ou servios. Recomendamos que voc no configure esses aplicativos ou servios para usarem credenciais de administrador. Muito embora todas as caixas de correio possam conter informaes confidenciais importantes para uma organizao, todas as caixas de correio merecem ateno especial de um ponto de vista da segurana, e as permisses para acessar essas caixas de correio devem ser controladas e monitoradas para atender aos requisitos de segurana da organizao.

Caixas de correio de descoberta As caixas de correio de descoberta so usadas pelo recurso Procura nas Vrias Caixas de Correio do Exchange 2010. Isso permite que gerentes de descoberta membros do grupo de funes Gerenciamento de Descoberta pesquisem mensagens em todas as caixas de correio em uma organizao do Exchange 2010. As mensagens retornadas por uma pesquisa de descoberta so copiadas para a caixa de correio Descoberta especificada. A instalao do Exchange 2010 cria uma caixa de correio de pesquisa de descoberta. Para mais detalhes, consulte Noes Bsicas Sobre Pesquisa em Vrias Caixas de Correio. Caixas de correio de registro no dirio Quando voc configura registro no dirio para um banco de dados de caixa de correio ou cria regras de dirio para mensagens de dirio para e de destinatrios especificados, relatrios de dirio so entregues na caixa de correio de registro no dirio especificada. Para obter mais detalhes, consulte os seguintes tpicos:
o o

Noes Bsicas Sobre Registro no Dirio Criar e configurar uma caixa de correio de registro no dirio

Alm de proteger essas caixas de correio, observe que um administrador pode usar regras de transporte para inspecionar o contedo da mensagem e tambm entregar uma cpia da mensagem em outro destinatrio, mesmo como um destinatrio Cco. As permisses obrigatrias para gerenciar regras de transporte so listadas na entrada de regras de transporte no tpico Permisses de diretivas e conformidade no envio e recebimento de mensagens. Recomendamos que voc use controles adequados para monitorar e controlar a criao e a modificao das regras de transporte e tambm audite regularmente aes de regra de transporte para todas as regras. Consideraes do servidor de Acesso do Cliente No Exchange 2010, os seguintes clientes se conectam a servidores de Acesso do Cliente para acessar caixas de correio:

Clientes do Outlook que usam MAPI Clientes do Outlook que usam o Outlook Anywhere Navegadores da Web que usam o Outlook Web App, Dispositivos mveis que usam o Exchange ActiveSync Clientes do POP3 & IMAP4 Aplicativos que usam os Servios Web do Exchange (EWS)

Por padro, esses mtodos de acesso do cliente so protegidos usando-se caminhos de dados criptografados. Tambm por padro, os clientes do Outlook que se conectam ao servidor de Acesso do Cliente usando MAPI utilizam a criptografia RPC. O acesso do Outlook Web App, Outlook Anywhere e Exchange ActiveSync protegido usando-se o protocolo SSL. Para o acesso do cliente externo, voc deve obter e instalar certificados assinados por uma autoridade de certificao (CA) confivel do cliente. Para mais detalhes, consulte Gerenciando SSL para um Servidor de Acesso para Cliente. Por padro, os servios POP3 e IMAP4 so desabilitados em servidores de Acesso do Cliente do Exchange 2010. Se voc habilit-los, recomendamos usar os protocolos TLS ou SSL para ajudar a proteger a comunicao usando esses protocolos. Para obter mais detalhes, consulte os seguintes tpicos:

Noes Bsicas Sobre POP3 e IMAP4 Configurando TLS e SSL para Acesso POP3 e IMAP

recomendamos que voc use os firewalls apropriados e os controles de acesso ao publicar servidores de Acesso para Cliente para acesso externo. Microsoft O Forefront Threat Management Gateway (TMG) 2010 inclui assistentes de publicao para publicar com facilidade e segurana servidores de Acesso do Cliente do Exchange 2010 para acesso externo. Para obter mais detalhes, consulte Forefront Threat Management Gateway (TMG) 2010. Importante: A localizao dos servidores de Acesso do Cliente em redes de permetro no suportada. Nos servidores de Acesso do Cliente, o Internet Information Server (IIS) usado para fornecer ao protocolo HTTP acesso a servios como o Outlook Web App, o Exchange ActiveSync, o Outlook Anywhere, a Descoberta Automtica, o Painel de Controle do Exchange (ECP), os Servios Web do Exchange e o catlogo de endereos offline (OAB). O PowerShell Remoto tambm usa o IIS, e todas as solicitaes RPS, inclusive solicitaes feitas pelo Console de Gerenciamento do Exchange(EMC), so registradas em logs do IIS. Os logs do IIS podem crescer para consumir uma grande quantidade de espao em disco. O IIS, um componente Windows Server, no inclui um mecanismo para limpar logs anteriores com base no tamanho do diretrio no qual os arquivos de log residem. Como prtica recomendada, os logs do IIS devem ser movidos para um volume que no seja do sistema, para que o crescimento dos arquivos de log no resulte

na falta de espao em disco do volume do sistema, o que pode causar uma interrupo do servio. Voc deve monitorar o crescimento do arquivo de log e implementar um mecanismo para arquivar manualmente ou excluir logs conforme necessrio. Para obter detalhes, consulte Configurando o log no IIS 7. Consideraes do servidor de transporte O Exchange 2010 oferece duas funes de servidor de transporte projetadas para fins diferentes.

Transporte de Borda A funo de servidor Transporte de Borda um servidor de transporte ingressado de no domnio, normalmente localizado em redes de permetro, que transfere mensagens entre a organizao do Exchange e os hosts SMTP externos. Muito embora projetado para redes de permetro, tambm possvel localizar servidores Transporte de Borda na rede interna e ingressar o servidor em um domnio do Active Directory como um servidor membro. Transporte de Hub A funo de servidor Transporte de Hub transfere mensagens dentro da organizao, inclusive mensagens entre servidores do Exchange, mensagens de clientes SMTP, como usurios que utilizam POP3 e IMAP4, alm de servidores de aplicativos e dispositivos.

Por padro, no Exchange 2010, a comunicao SMTP protegida usando-se TLS. Comunicao SMTP entre servidores Transporte de Hub Os servidores Transporte de Hub em uma organizao do Exchange usam TLS para ajudar a proteger a comunicao SMTP dentro da organizao. Recomendamos que voc mantenha o protocolo TLS habilitado em servidores Transporte de Hub. No Exchange 2010, as organizaes que usam dispositivos ou aplicativos que no sejam do Exchange na realizao da criptografia TLS podem descarregar TLS a partir de servidores Transporte de Hub nesses dispositivos. Para mais detalhes, consulte Desabilitando TLS entre sites do Active Directory para otimizao de WAN de suporte. Comunicao SMTP entre servidores Transporte de Hub e Transporte de Borda Todo o trfego entre servidores Transporte de Hub e Transporte de Borda autenticado e criptografado. O mecanismo subjacente de autenticao e criptografia TLS mtuo. Em vez de usar a validao de X.509 para validar certificados, o Exchange 2010 usa a confiana direta para autenticar os certificados. Confiana direta significa que a presena do certificado no Active Directory ou no Active Directory Lightweight Directory Services (AD LDS) valida o certificado. O Active Directory considerado um mecanismo de armazenamento confivel. Quando a confiana direta usada, no importa se o certificado autoassinado ou assinado por uma autoridade de certificao (CA). Quando voc inscreve um servidor Transporte de Hub em um local do Active Directory, a Inscrio de Borda publica o certificado do servidor Transporte de Borda no Active Directory. Os servidores Transporte de Borda consideram o certificado publicado vlido. O servio EdgeSync do Microsoft atualiza AD LDS em servidores Transporte de Borda que tenham certificados de servidor Transporte de Hub, considerados vlidos pelo servidor Transporte de Borda. Comunicao SMTP entre servidores Transporte de Borda e hosts externos No Exchange 2010, a comunicao SMTP entre servidores Transporte de Borda e hosts

externos annimos protegida, por padro, usando-se TLS oportunista. Voc no precisa de um certificado emitido por uma CA confivel e nenhuma etapa de configurao necessria. Os conectores de recebimento oferecem negociao TLS para conexes SMTP de entrada. Os conectores de envio tambm tentam a negociao TLS para todas as conexes SMTP de sada. O TLS oportunista no realiza a validao de certificado, o que permite o uso de certificados autoassinados. Para detalhes, consulte Funcionalidade do TLS e terminologia relacionada no Exchange 2010. Observao: Por padro, os servidores Transporte de Hub no podem se comunicar com hosts SMTP externos porque no h nenhum conector de recebimento em servidores Transporte de Hub que permita a comunicao de hosts annimos. possvel configurar servidores Transporte de Hub para se comunicarem com hosts annimos. Para detalhes, consulte Configurar o Fluxo de Mensagens da Internet Diretamente por meio de um Servidor de Transporte de Hub. No recomendamos essa topologia porque ela aumenta os riscos de segurana ao expor Internet o servidor Exchange 2010 e todas as funes instaladas nele. Recomendamos implementar um gateway SMTP baseado em rede de permetro, como o servidor de Transporte de Borda. Comunicao SMTP entre servidores Transporte de Hub ou de Borda e hosts inteligentes No Exchange 2010, possvel configurar um conector de envio a fim de rotear email para domnios remotos, inclusive Internet mail, at um gateway SMTP normalmente residente na rede de permetro. Embora seja possvel criar um conector de envio para rotear um email para um host inteligente sem usar nenhuma autenticao, recomendamos que voc use uma autenticao apropriada a esses conectores. Se voc usar autenticao Bsica, recomendaremos usar autenticao Bsica em TLS. Se voc selecionar a opo protegida externamente, ser pressuposto que a autenticao seja realizada usando-se um mecanismo que no seja do Exchange como IPsec. Ao configurar o conector com o endereo de um host inteligente, voc pode usar o endereo IP do host inteligente ou seu fqdn. Recomendamos o uso do endereo IP do host inteligente porque ele oferece proteo contra o envenenamento DNS, em comparao com a praticidade de usar o FQDN. Usando segurana de domnio para comunicao SMTP com parceiros No Exchange 2010, possvel usar Segurana de Domnio para ajudar a proteger os caminhos de comunicao da mensagem com domnios de parceiro. A Segurana de Domnio usa TLS mtuo para fornecer criptografia baseada em sesso e autenticao. Para autenticao TLS mtua, os hosts de origem e de destino verificam a conexo realizando a validao do certificado X.509. Os servidores de transporte que se comunicam com domnios de parceiro configurados para Segurana de Domnio exigem um certificado assinado por um terceiro confivel ou uma autoridade de certificao interna. Se voc estiver usando uma CA interna, a lista de certificados revogados (CRL) dever ser publicada e alcanvel pelo host de parceiro. Para obter informaes detalhadas, consulte os seguintes tpicos:

Noes Bsicas Sobre Segurana de Domnio White Paper: Domain Security in Exchange 2007

O Exchange 2010 usa a porta SMTP padro (porta TCP 25) para a comunicao SMTP. A Instalao do Exchange cria as regras de firewall obrigatrias no Firewall do

Windows com Segurana Avanada para permitir a comunicao em portas padro. Se voc especificar uma porta diferente para um conector, o Exchange no modificar regras de firewall ou criar automaticamente uma nova regra para permitir a comunicao por uma porta no padro. Voc deve modificar manualmente a configurao do firewall para permitir a comunicao em portas no padro. Quando voc configura um conector de recebimento para uma porta no padro, os clientes SMTP que enviam mensagens para o conector tambm devem ser configurados para usar a porta no padro. No Exchange 2010, possvel localizar a funo de servidor Transporte de Hub em um servidor Caixa de Correio do Exchange 2010. Isso inclui um servidor Caixa de Correio membro de um grupo de disponibilidade do banco de dados (DAG). Recomendamos que voc no localize a funo de servidor Transporte de Hub em um servidor Caixa de Correio, especialmente em topologias nas quais nenhum servidor Transporte de Borda seja implantado, para isolar servidores Caixa de Correio da Internet. possvel localizar a funo de servidor Transporte de Hub em servidores de acesso do cliente. Voc deve seguir as diretrizes de dimensionamento para cada funo de servidor ao colocar funes de servidor no mesmo servidor. Ao especificar um host inteligente para um conector de sada em um servidor Transporte de Hub ou Transporte de Borda, recomendamos que voc use endereos IP em lugar do nome de domnio totalmente qualificado (FQDN) de um host inteligente para se proteger do envenenamento e da falsificao do DNS. Isso tambm minimiza o efeito de qualquer interrupo de DNS na infraestrutura de transporte. Os servidores DNS usados em redes de permetros s devem ser usados na resoluo de sada. Os servidores DNS do permetro podem conter registros para servidores Transporte de Hub. Tambm possvel usar arquivos de hosts em servidores Transporte de Borda para evitar a criao de registros para servidores Transporte de Hub em servidores DNS localizados em redes de permetro. Alm das etapas abordadas nesta seo, voc tambm deve considerar o uso de restries quanto ao tamanho da mensagem suficiente em conectores, alm de configuraes de limitao de mensagem sem servidores de transporte. Para obter mais detalhes, consulte os seguintes tpicos:

Noes Bsicas Sobre Limites de Tamanho de Mensagem Noes Bsicas Sobre Otimizao de Mensagens

Consideraes de unificao de mensagens Ao se planejar para implantar uma funo de servidor Unificao de Mensagens (UM), voc deve considerar os canais de comunicao diferentes usados na comunicao com gateways IP ou IP PBX. Por padro, quando voc criar um plano de discagem de UM, ele executa sua comunicao em modo no seguro. Alm disso, os servidores Unificao de Mensagens associados ao plano de discagem UM iro enviar e receber dados de gateways IP, PBXs IP e outros computadores do Exchange 2010 no usando nenhuma criptografia. No modo no seguro, tanto o canal de mdia RTP (Protocolo de Transporte em Tempo Real) e as informaes de sinalizao SIP no so criptografadas.

Voc pode configurar um servidor de Unificao de Mensagens para usar TLS mtuo para criptografar o trfego SIP e RTP que enviado e recebido de outros dispositivos e servidores. Ao adicionar um servidor de Unificao de Mensagens em um plano de discagem da UM e configurar o plano de discagem para usar o modo SIP seguro, apenas o trfego de sinalizao SIP ser criptografado e os canais de mdia de RTP continuaro a usar TCP. O TCP no criptografado. Entretanto, se voc adicionar um servidor de Unificao de Mensagens a um plano de discagem da UM e configurar o plano de discagem para usar modo seguro, o trfego de sinalizao SIP e os canais de mdia de RTP sero criptografados. Um canal de mdia de sinalizao seguro que usa o SRTP (Protocolo de Transporte em Tempo Real Seguro) usa tambm TLS mtua para criptografar os dados VoIP. Se o gateway IP ou o PBX IP usado oferecer suporte a IPSec, tambm ser possvel usar IPSec para ajudar a proteger a comunicao entre um servidor UM e o gateway IP ou PBX IP. Para mais detalhes, consulte Noes Bsicas Sobre a Segurana VoIP da Unificao de Mensagens. O UM tambm envia mensagens como notificaes de chamada perdida e mensagens de correio de voz para servidores Transporte de Hub. Por padro, essa comunicao ocorre em SMTP que utiliza a criptografia TLS. possvel configurar uma poltica de caixa de correio UM para acesso com menos PIN. Isso permite que um chamador acesso correio de voz sem precisar inserir um PIN, com base no ID de Chamador da chamada. A falsificao do ID de Chamador insignificante. Tambm recomendamos que voc no habilite acesso com menos PIN ao correio de voz. Alm disso, recomendamos que voc revise as configuraes de PIN padro e as defina de acordo com os requisitos de segurana da organizao. As configuraes a seguir podem ser definidas para uma poltica de caixa de correio UM usando o cmdlet Set-UMMailboxPolicy.

Parmetros para controlar o PIN de usurio para acesso ao correio de voz

Parameter Descrio O parmetro AllowCommonPatterns especifica se PINs bvios devem ser permitidos. Exemplos de PINs bvios incluem os subconjuntos do nmero de telefone ou de nmeros sequenciais ou repetidos. Se esse parmetro estiver definido como $false, os nmeros sequenciais e repetidos e o sufixo do ramal de caixa de correio so rejeitados. Se definido como $true, apenas o sufixo do ramal de caixa de correio rejeitado. O parmetro AllowPinlessVoiceMailAccess especifica se usurios associados diretiva de caixa de correio do UM so necessrias para usar um PIN para acessar sua mensagem de voz. Ainda necessrio usar um PIN para acessar o email e o calendrio.

AllowCommonPatterns

AllowPinlessVoiceMailAccess

Padro desabilitado ($false). O parmetro LogonFailuresBeforePINReset especifica o nmero de tentativas sequenciais de logon malsucedidas antes de o PIN da caixa de correio ser automaticamente redefinido. Para desabilitar esse LogonFailusresBeforePINReset recurso, defina esse parmetro como Unlimited. Se esse parmetro no estiver definido como Unlimited, ele deve ser definido como menor que o valor do parmetro MaxLogonAttempts. O intervalo varia de 0 a 999. Padro 5 falhas. O parmetro MaxLogonAttempts especifica o nmero de vezes que usurios possam tentar fazer logon sem xito, em sequncia, antes de a caixa de correio do UM ser bloqueada. O intervalo varia de 1 a 999. Padro 15 tentativas. O parmetro MinPINLength especifica o nmero mnimo de dgitos necessrios em um PIN para usurios habilitados para UM. O intervalo varia de 4 a 24. Padro 6 dgitos O parmetro PINHistoryCount especifica o nmero de PINs anteriores que so lembrados e no so permitidos durante uma redefinio de PIN. Esse nmero inclui a primeira vez em que o PIN foi definido. O intervalo varia de 1 a 20. Padro 5 PINs O parmetro PINLifetime especifica o nmero de dias at que uma nova senha seja exigida. O intervalo de 1 a 999. Se voc especificar Unlimited, o PIN do usurio no expirar. Padro 60 dias No Exchange 2010, as mensagens de correio de voz podem ser marcadas como protegidas. As mensagens do correio de voz so protegidas usando-se o Gerenciamento de Direitos de Informao (IRM). possvel definir as configuraes de proteo do correio de voz determinando o parmetro a seguir em uma poltica da caixa de correio UM. Para obter mais detalhes, consulte os seguintes tpicos:

MaxLogonAttempts

MinPINLength

PINHistoryCount

PINLifetime

Noes Bsicas Sobre a Caixa Postal Protegida Noes Bsicas Sobre o Gerenciamento de Direitos de Informao

Parmetros de correio de voz protegidos

Parameter ProtectAuthenticatedVoicemail Descrio O parmetro ProtectAuthenticatedVoiceMail especifica se os servidores de Unificao de

Mensagens que atende as chamadas de Acesso de Voz do Outlook para usurios habilitados para UM associados diretiva de caixa de correio do UM criarem mensagens de email protegidas. Se o valor definido como Private, apenas mensagens marcadas como privadas so protegidas. Se o valor definido como All, todas as mensagem de correio de voz so protegidas. Padro Nenhum (Nenhuma proteo aplicada a mensagens de correio de voz) O parmetro ProtectUnauthenticatedVoiceMail especifica se os servidores de Unificao de Mensagens que atende as chamadas para usurios habilitados para UM associados diretiva de caixa de correio do UM criarem mensagens de voz protegidas. Isto tambm se aplica quando uma mensagem enviada de um atendedor automtico de UM para um ProtectUnauthenticatedVoiceMail usurio habilitado para UM associado diretiva de caixa de correio do UM. Se o valor definido como Private, apenas mensagens marcadas como privadas so protegidas. Se o valor definido como All, todas as mensagem de correio de voz so protegidas. Padro Nenhum (Nenhuma proteo aplicada a mensagens de correio de voz) O parmetro RequireProtectedPlayOnPhone especifica se usurios associados diretiva de caixa de correio do UM podem apenas usar o recurso Tocar no Telefone para mensagens de voz protegidas ou se os usurios podem usar software multimdia para tocar a mensagem protegida. Padro $false. Os usurios podem usar ambos os mtodos para ouvir as mensagens de voz protegidas. Importante: Para servidores UM continuarem atendendo chamadas, fundamental que eles tenham acesso ao Active Directory. Recomendamos que voc monitore a disponibilidade do Active Directory Apndice 1: Documentao adicional relacionada segurana Esta seo contm links para outros documentos do Exchange relacionados segurana. Funcionalidade anti-spam e antivrus Noes Bsicas Sobre a Funcionalidade Antispam e Antivrus Gerenciando recursos anti-spam e antivrus

RequireProtectedPlayOnPhone

Cmdlets antispam

Certificados

Noes Bsicas Sobre Certificados TLS Gerenciando SSL para um Servidor de Acesso para Cliente Configurar SSL para o ActiveSync do Exchange Configurar SSL para o Outlook Anywhere Configurando TLS e SSL para Acesso POP3 e IMAP Configurar os Diretrios Virtuais do Outlook Web App para que Usem SSL Criar um Novo Certificado do Exchange Importar um Certificado do Exchange Exibir Propriedades de Certificado do Exchange Atribuir Servios a um Certificado

Autenticao de cliente e segurana Configurando autenticao para o ActiveSync do Exchange Configurando a Autenticao para POP3 e IMAP4

Configurando a Autenticao Baseada em Formulrios para o Outlook Web App Configurando Mtodos de Autenticao Padro para o Outlook Web App

Outlook Web App Gerenciando a Segurana do Outlook Web App Configurar os Diretrios Virtuais do Outlook Web App para que Usem SSL

Configurando a Autenticao Baseada em Formulrios para o Outlook Web App Configurando Mtodos de Autenticao Padro para o Outlook Web App Configurar o Outlook Web App para Trabalhar com os Servios de Federao do Active Directory Outlook Web App e S/MIME

Outlook Anywhere Gerenciando a segurana do Outlook em Qualquer Lugar POP3 e IMAP Gerenciando a segurana POP3 e IMAP4 Configurar a Autenticao para POP3

Configurar Autenticao para IMAP4 Configurando TLS e SSL para Acesso POP3 e IMAP

Permissions Referncia de permisses de implantao do Exchange 2010

Noes Bsicas Sobre Controle de Acesso Baseado em Funo Noes Bsicas sobre Permisso de Diviso Noes Bsicas Sobre a Coexistncia de Permisses com o Exchange 2003 Entendendo a coexistncia de permisses com o Exchange 2007 Noes Bsicas Sobre Permisses de Vrias Florestas Permisses de Recurso Gerenciando Usurios Administradores e Especialistas Gerenciando Usurios Finais Funes de Gerenciamento e Entradas de Funo Escopos de Funo de Gerenciamento Atribuies de Funo de Gerenciamento Gerenciando Permisses Divididas Permisses para Gerenciar Servidores de Caixa de Correio Protegendo Servidores da Unificao de Mensagens

Protegendo o fluxo de mensagens Noes Bsicas Sobre Segurana de Domnio Usando PKI no servidor de transporte de borda para a segurana de domnio

Usando a segurana de domnio: Configurando TLS mtuo Testar a configurao de PKI e proxy

Diretiva e conformidade de mensagens Noes Bsicas Sobre o Gerenciamento de Direitos de Informao Noes Bsicas Sobre Registro no Dirio

Protegendo Relatrios de Dirio Noes Bsicas Sobre o Gerenciamento de Registros de Mensagens Noes Bsicas Sobre Marcas e Diretivas de Reteno Noes Bsicas Sobre Pesquisa em Vrias Caixas de Correio Informaes sobre o registro em log de auditoria de caixa de correio Gerenciando o Registro em Log de Auditoria de Caixa de Correio

Federao Noes Bsicas Sobre Federao Autoridades de certificao raiz confiveis para confianas de federao