Grupo El Comercio - Assessment Exchange v2

Su aliado en la Transformación Digital
ASSESSMENT EXCHANGE
Presentado a:
Grupo El Comercio
Noviembre del 2022
Carrera 16A No 75 - 29, Bogotá / PBX: (571) 543 7102 / FAX: (571) 211 6435
Medellín, Cali, Barranquilla, Bucaramanga, Cartagena, Neiva y Pereira
servicioalcliente@coem.co / www.controlesempresariales.com
Contenido
1. INTRODUCCIÓN....................................................................................................................2
2. SERVICIO EXCHANGE ONPREMISE...................................................................................2
2.1. Servidores...........................................................................................................................2
2.2. Certificados........................................................................................................................3
2.3. Servicios web.....................................................................................................................4
2.4. Conectores recepción.......................................................................................................4
2.5. Conectores de envío..........................................................................................................6
2.6. Dominios aceptados..........................................................................................................7
2.7. Reglas de transporte.......................................................................................................10
2.8. Configuración hibrida......................................................................................................11
3. PLATAFORMA OFFICE 365................................................................................................12

4. EXCHANGE ONLINE...........................................................................................................13
4.1. Dominios aceptados........................................................................................................15

4.2. Conectores.......................................................................................................................16
4.3. Microsoft Defender for O365.................................................¡Error! Marcador no definido.
4.4. Issue de correo electrónico..................................................¡Error! Marcador no definido.
5. ANALISIS DE IMPACTO REMOCION DEL SERVIDOR EXCHANGE ONPREMISE.........18
5.1. Consideraciones operativas...........................................................................................18

5.2. Consideraciones de seguridad.......................................................................................21
5.3. Consideraciones de Infraestructura..............................................................................23
5.4. Conclusiones del análisis del impacto..........................................................................26
6. RECOMENDACIONES..............................................¡ERROR! MARCADOR NO DEFINIDO.
1. INTRODUCCIÓN
El presente documento tiene como finalidad mostrar la situación actual de la infraestructura de
correo administrada por Grupo El Comercio la cual está compuesto un bosque de Active
Directory y una organización de Exchange Server on premise en modo hibrido con Exchange
Online.
2. SERVICIO EXCHANGE ONPREMISE

El Grupo El Comercio, tiene los buzones de correo de sus usuarios finales en la plataforma
Exchange Online, anteriormente utilizaban Google Gmail, para la etapa de migración tuvieron
que utilizar un servidor Exchange Hibrido el cual se encuentra activo a la fecha de este
documento.
2.1. Servidores
A continuación, se muestran los servidores que componen a la organización Exchange Sever.
El producto de Exchange Estandar se encuentra actualizado al 20 de abril del 2022. (CU23).
La información de los updates de Exchange se encuentra en: Exchange Server build numbers
and release dates | Microsoft Learn
2.2. Certificados
Se cuenta con un certificado tipo wildcard para todos los subdominios de COMERCIO.COM.PE
2.3. Servicios web

Los servicios web para Exchange se encuentran configurados para el entorno hibrido. El
servicio EWS está habilitado para las migraciones hacia Exchange Online.
2.4. Conectores recepción

Actualmente se utilizan conectores de recepción para realizar “relay” de correo para
aplicaciones internas y dispositivos multifunción.
2.5. Conectores de envío

Se tiene habilitado un conector de salida para Office 365, pero fue creado manualmente. Es
decir, no se tiene configurado un entorno hibrido.
2.6. Dominios aceptados

Los siguientes dominios están disponibles para ser utilizados en la organización Exchange, sin
embargo NO todos son gestionados por esta, ya que los registros MX de alguno de ellos
apuntan hacia otros sistemas de correo, como por ejemplo aptitud.pe, fonoventas.pe, entre
otros.
2.7. Reglas de transporte

Actualmente se tienen 3 reglas de transporte simples. La primera bloquea correos de no
respuesta y los últimos agregan un disclaimer en el pie del correo dependiendo si son externos
o internos.
2.8. Configuración hibrida

El entorno de Exchange Hibrido se puede explicar de manera sencilla en la siguiente gráfica:
Se cuenta con un entorno local donde tenemos a los componentes AD (1) y Exchange
onpremise (4). Las identidades son sincronizadas a través del servicio Azure AD Connect (2)
hacia la plataforma O365 (3). Este ultimo componente puede funcionar limitadamente sin el
resto de componentes pero tendrá limitaciones como: no poder cambiar datos de los usuarios o
contraseñas.
Por otro lado tenemos el esquema que fue implementando para la copia de buzones desde
Exchange Onpremise. Tener encuentra que este mismo modelo puede ser utilizado para “bajar”
los buzones de la nube.
3. PLATAFORMA OFFICE 365

Las organizaciones de Exchange Onpremise anteriormente mencionadas están relacionadas
con un Tenant de Office 365.
A continuación, se muestra la cantidad de licencias O365 que se cuenta en Grupo El Comercio:
Como se observa se tiene disponibles funcionalidades de Microsoft Defender for O365 Plan 1 y
capacidades de licencias O365 E3.
4. EXCHANGE ONLINE
El servicio de Exchange Online en Grupo El Comercio aloja buzones de usuario que la
organización administra con Microsoft. En la siguiente grafica se muestra como se encuentra
relacionado el entorno híbrido.
Nota: No todos los dominios aceptados están direccionados hacia el MX de Exchange Online
algunos de ellos apuntan a sistema de correo diferentes como hosting web.
4.1. Dominios aceptados
Todo el flujo de correo para algunos de los dominios mencionados, pasan por el servicio
antispam de Microsoft Defender. A la fecha del reporte se mencionó que se está realizado una
demo con la solución Checkpoint.
4.2. Conectores
Se cuenta con la siguiente lista de conectores que han sido creados manual y automáticamente
para la integración con las organizaciones de Exchange server y servicios auxiliares de correo
como antispam externo.
Los conectores marcados en amarillo han sido creados para una prueba de concepto con el
servicio de antispam de Checkpoint. El conector “Office2Google” fue utilizado durante la
coexistencia con Gmail.
5. ANALISIS DE IMPACTO REMOCION DEL SERVIDOR EXCHANGE

ONPREMISE
5.1. Consideraciones operativas

Actualmente la administración de características avanzadas de Exchange para buzones
migrados se debe realizar a través del panel ECP on premise. Esto se debe a que los buzones
migrados heredan la dependencia del Exchange on premise por tanto debe realizarse los
cambios a través de la sincronización de atributos de AD. A continuación, se listan las tareas
que deben realizarse a través del ECP para buzones que fueron migrados:
 Administración del buzón de archivado
 Gestión de la moderación de grupos de distribución
 Administración de entrega de grupos y buzones
 Delegación de buzones
Asimismo, mediante el ECP es posible generar la creación de buzones O365 directamente ya
que se encarga de crear el objeto en AD y solo seria necesario asignar la licencia en O365.
Por otro lado, de acuerdo con la revisión, se detecta que el Exchange Server es utilizado para
hacer relay de dispositivos multifuncionales como escáner y aplicaciones internas. A
continuación se muestran los conectores smtp relay:
Consecuencias de la remoción del Exchange Onpremise
 Si se desinstala el servidor Exchange la administración de las tareas descritas

anteriormente se deberán realizar mediante la edición de atributos de Active Directory.
 Para la creación de usuarios, esto se seguirá realizando a través de la creación directa
del usuario en las OUs sincronizadas.
 Para que los equipos multifuncionales o aplicaciones internas envíen correo será
necesario instalar un servidor Windows server con el servicio SMTP Relay.
5.2. Consideraciones de seguridad

En el aspecto de seguridad se analiza que al remover el servidor Exchange Onpremise se
evitaría un punto de ataque en el ámbito interno ya que a la fecha de este documento todos los
buzones productivos se encuentran en la nube. Sin embargo aún existen buzones onpremise
de usuario final y compartidos a continuación se muestran:
Buzones compartidos on premise
En el assesment se tomaron muestras de las conexiones SMTP que solo deberían estar
abiertas a las IPs de Microsoft y los escáneres y aplicaciones que envían correo interno. Esto
se comprobó que se hace efectivo.
104.47.0.0/17 pertenece a Exchange Online
Consecuencias de remover el servidor Exchange

A nivel de seguridad se estaría disminuyendo un punto de ataque, sin embargo esto puede ser
controlado si solo se permiten conexiones smtp internas a las IPs habilitadas para relay. Si ya
no es necesario flujo entre online y onpremise se podría deshabilitar las conexiones desde
Exchange Online.
Tener en cuenta que para remover el servidor Exchange es necesario eliminar o migrar los
buzones onpremise actuales.
5.3. Consideraciones de Infraestructura

Actualmente los recursos de servidor del Exchange Onpremise que ocupan en la
infraestructura de El Comercio son 36 GB de RAM y alrededor de 500GB de almacenamiento
Cabe mencionar que actualmente el servidor procesa información de flujo de correo que
Exchange Online descarta al no encontrarse en su ámbito. Por ejemplo:
Cuando llega un correo a Exchange Online y este no lo encuentra como buzon válido entonces
se lo reenvía al Exchange onpremise debido a que los dominios se encuentran en modo
“internal Relay” y no como “Authoritative”
En la siguiente figura podemos comprobar encolamiento que proviene de EXO:
Esto ocasiona un loop porque el correo llega a Exchange Onpremise y al tampoco encontrarlo
se lo devuelve a Excange Online.
También es importante considerar que para mantener el entorno hibrido según las
recomendaciones de Microsoft es necesario contar con un certificado SSL público, siempre y
cuando haya flujo de correo entre onpremise y online. Si es que esto no ocurriese no seria
necesario mantener un certificado público.
5.4. Conclusiones del análisis del impacto

 Por el aspecto administrativo se recomienda mantener el Exchange server, esto ayuda
a seguir gestionando los aspectos avanzados de los buzones que fueron migrados.
 Reducir los recursos a 8GB de RAM y 200GB de almacenamiento si se decide
mantener el servidor.
 Remover o migrar todos los buzones onpremise pendientes. Dichos buzones podrían
sufrir un ataque de phishing y replicar a buzones online debido a los conectores de
correo.
 En el Exchange onpremise cambiar a todos los dominios como autoritativos
 Implementar un servidor SMTP relay para no depender del funcionamiento de todos los
componentes del Exchange Server, reconfigurar las impresoras y escanares hacia este
nuevo relay.
 Limitar las conexiones SMTP únicamente a las IPs de las impresoras y servidores de
aplicaciones

Grupo El Comercio - Assessment Exchange v2

Cargado por

Información del documento

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Grupo El Comercio - Assessment Exchange v2

Cargado por

Copyright:

Formatos disponibles

Su aliado en la Transformación Digital

3. PLATAFORMA OFFICE 365................................................................................................12

4.1. Dominios aceptados........................................................................................................15

5. ANALISIS DE IMPACTO REMOCION DEL SERVIDOR EXCHANGE ONPREMISE.........18

5.1. Consideraciones operativas...........................................................................................18

6. RECOMENDACIONES..............................................¡ERROR! MARCADOR NO DEFINIDO.

2. SERVICIO EXCHANGE ONPREMISE

2.3. Servicios web

2.4. Conectores recepción

2.5. Conectores de envío

2.6. Dominios aceptados

2.7. Reglas de transporte

2.8. Configuración hibrida

3. PLATAFORMA OFFICE 365

4.1. Dominios aceptados

5. ANALISIS DE IMPACTO REMOCION DEL SERVIDOR EXCHANGE

5.1. Consideraciones operativas

Consecuencias de la remoción del Exchange Onpremise

 Si se desinstala el servidor Exchange la administración de las tareas descritas

5.2. Consideraciones de seguridad

Buzones compartidos on premise

104.47.0.0/17 pertenece a Exchange Online

Consecuencias de remover el servidor Exchange

5.3. Consideraciones de Infraestructura

En la siguiente figura podemos comprobar encolamiento que proviene de EXO:

5.4. Conclusiones del análisis del impacto

También podría gustarte