CVE-2021-27065

IMMEDIATE ACTIONS:

1. Identify all Microsoft Exchange Server instances in your environment (on-premises and hybrid deployments)

2. Isolate vulnerable Exchange servers from the internet if patching cannot be completed immediately

3. Review Exchange access logs for indicators of compromise (suspicious OWA/ECP access, unusual PowerShell activity)

4. Enable MFA on all Exchange administrative accounts immediately



PATCHING GUIDANCE:

1. Apply Microsoft security updates KB5001978 (Exchange 2016) or KB5001977 (Exchange 2013) or later versions

2. Prioritize patching for internet-facing Exchange servers

3. Test patches in non-production environment first

4. Schedule patching during maintenance windows with rollback plans



COMPENSATING CONTROLS (if immediate patching not possible):

1. Implement network segmentation to restrict Exchange access to authorized networks only

2. Deploy WAF rules to block ProxyLogon exploitation patterns

3. Disable unnecessary Exchange services (OWA, ECP) if not required

4. Implement strict firewall rules limiting access to Exchange ports (443, 80)

5. Monitor for suspicious PowerShell execution and script block logging



DETECTION RULES:

1. Monitor for POST requests to /autodiscover/autodiscover.json with suspicious parameters

2. Alert on PowerShell execution from Exchange processes (w3wp.exe)

3. Track creation of new Exchange admin accounts or privilege escalation

4. Monitor for suspicious file writes to Exchange directories

5. Implement YARA rules for ProxyLogon webshell detection

الإجراءات الفورية:

1. تحديد جميع مثيلات Microsoft Exchange Server في بيئتك (النشر المحلي والهجين)

2. عزل خوادم Exchange المعرضة للخطر عن الإنترنت إذا لم يكن التصحيح ممكنًا فورًا

3. مراجعة سجلات وصول Exchange للبحث عن مؤشرات الاختراق (وصول OWA/ECP المريب، نشاط PowerShell غير المعتاد)

4. تفعيل المصادقة متعددة العوامل على جميع حسابات إدارة Exchange فورًا



إرشادات التصحيح:

1. تطبيق تحديثات أمان Microsoft KB5001978 (Exchange 2016) أو KB5001977 (Exchange 2013) أو إصدارات أحدث

2. إعطاء الأولوية لتصحيح خوادم Exchange المتصلة بالإنترنت

3. اختبار التصحيحات في بيئة غير الإنتاج أولاً

4. جدولة التصحيح خلال نوافذ الصيانة مع خطط الاسترجاع



الضوابط البديلة (إذا لم يكن التصحيح الفوري ممكنًا):

1. تنفيذ تقسيم الشبكة لتقييد وصول Exchange للشبكات المصرح بها فقط

2. نشر قواعد WAF لحظر أنماط استغلال ProxyLogon

3. تعطيل خدمات Exchange غير الضرورية (OWA، ECP) إذا لم تكن مطلوبة

4. تنفيذ قواعد جدار الحماية الصارمة لتقييد الوصول إلى منافذ Exchange (443، 80)

5. مراقبة تنفيذ PowerShell المريب وتسجيل كتل البرامج النصية



قواعد الكشف:

1. مراقبة طلبات POST إلى /autodiscover/autodiscover.json بمعاملات مريبة

2. التنبيه على تنفيذ PowerShell من عمليات Exchange (w3wp.exe)

3. تتبع إنشاء حسابات مسؤول Exchange جديدة أو تصعيد الامتيازات

4. مراقبة عمليات الكتابة المريبة في دلائل Exchange

5. تنفيذ قواعد YARA للكشف عن webshell ProxyLogon