Nach Neuinstallation EX2019 OnPrem nur Juni 2023 Update nötig?

[LukiHoer 2]

N'Abend!

 

Ich habe heute seit langen einen Exchange Server neu aufgesetzt. Der Neukunde freut sich sehr über die Funktionen ;)

 

Installation kann ich mittlerweile im schlaf. NUR nach dem ich alles fertig gestellt habe und als letzten Step den EX aus dem Internet erreichbar machen wollte, habe ich nochmal den HealthChecker laufen lassen... als ob MS das Juni Update schon in die ISO packen würde.... pfff.... Aber ich lasse mich ja gerne positiv überraschen!

Überrascht war ich auf jeden Fall nachdem das Script mit jede Sicherheitslücke seit Januar 2022 aufgelistet hat!!

 

Mit Tränen in den Augen habe ich dann mit dem Juni 2023 Update angefangen... Tag war lang, wieso ich von hinten angefangen hab weiß ich selber nicht.

Seit dem zeigt aber das Script keine einzige Sicherheitslücken mehr an?!

Soweit ich mich erinnere waren zumindest die Oktober und November Updates deutlich größer als das Juni 2023. Ich kann mir also nicht vorstellen das diese mit dort mit drin sind.

Es stand doch bestimmt schon jemand von euch vor der selben Frage.

 

Lügt mich das Script nach dem Juni 2023 Update an und ich muss die anderen auch noch installieren?

Oder sind wirklich alle Sicherheitspatches im Update enthalten?

 

Noch zur Info: Server 2022 Std., EX2019 Std. neu von MS heruntergeladen.

 

ps. er ist natürlich noch nicht aus dem WWW erreichbar...

 

Wünsche vorab schonmal einen schönen (Feier)Abend!

 

Gruß

Luki

[NorbertFe 2.034]

vor 3 Minuten schrieb LukiHoer:

als ob MS das Juni Update schon in die ISO packen würde

Nein, warum sollten sie?

 

vor 4 Minuten schrieb LukiHoer:

Überrascht war ich auf jeden Fall nachdem das Script mit jede Sicherheitslücke seit Januar 2022 aufgelistet hat!!

 

Du hast mit CU13 installiert?

 

vor 4 Minuten schrieb LukiHoer:

Lügt mich das Script nach dem Juni 2023 Update an und ich muss die anderen auch noch installieren?

 

Welche Version vom Skript hast du denn?

[Nobbyaushb 1.471]

vor 3 Minuten schrieb LukiHoer:

 

Noch zur Info: Server 2022 Std., EX2019 Std. neu von MS heruntergeladen.

 

ps. er ist natürlich noch nicht aus dem WWW erreichbar...

Punkt 1 - Exchange installiert man immer mit dem letzten CU, also in deinem Fall CU13 auch bekannt als 2023H1 und dann das SU aus 06/23 hinterher

Punkt 2 - ja, auch die SU sind wie die CU kumulativ

Punkt 3 - Exchange veröffentlicht man über einen Reverse-Proxy z.B. von der Firewall (welche steht davor?)

 

Und eigentlich guckt der Healthchecker nach einem Update wenn der Server Internetzugang hat...

[NorbertFe 2.034]

Und eigentlich weiß man das inzwischen, wenn man dabei schläft. ;)

[LukiHoer 2]

vor 4 Minuten schrieb NorbertFe:

Nein, warum sollten sie?

Um dem Systemintegrator nicht in den Wahnsinn zu treiben. ;)

vor 5 Minuten schrieb NorbertFe:

Du hast mit CU13 installiert?

Jup, sorry hätte ich direkt schreiben sollen.

 

vor 6 Minuten schrieb NorbertFe:

Welche Version vom Skript hast du denn?

Auch frisch heruntergeladen:  V23.07.13.1135

[NorbertFe 2.034]

Naja und was ist jetzt die Frage? Man installiert das aktuellste CU und wenn vorhanden das aktuellste SU danach. 

vor 14 Minuten schrieb LukiHoer:

Soweit ich mich erinnere waren zumindest die Oktober und November Updates deutlich größer als das Juni 2023.

Im Oktober und November gabs auch kein CU13. :/

[LukiHoer 2]

vor 8 Minuten schrieb Nobbyaushb:

Punkt 1 - Exchange installiert man immer mit dem letzten CU, also in deinem Fall CU13 auch bekannt als 2023H1 und dann das SU aus 06/23 hinterher

Punkt 2 - ja, auch die SU sind wie die CU kumulativ

Punkt 3 - Exchange veröffentlicht man über einen Reverse-Proxy z.B. von der Firewall (welche steht davor?)

Zu Punkt 1 - Jaaa eine Info zu wenig ;) CU13 installiert, hatte die Hoffnung das auch das SU schon drinne ist um sicher zu gehen habe ich das Script ausgeführt.

Zu Punkt 2- Das ist die Antwort die erhofft hatte! :) :) 

Zu Punkt 3 -  Ja auch diese Info habe ich nicht geschrieben. Seit dem wir Exchange ohne VPN von Unterwegs verfügbar machen tunen wir das über ein Revers-Proxy. (Securepoint, falls das deine Frage war)

 

 

vor 7 Minuten schrieb NorbertFe:

Im Oktober und November gabs auch kein CU13. :/

Achja... aber kann man dann nicht zu mindestens davon ausgehen das alle SU's bis zum neuen CU mit drin sind. Es wurden mir definitiv die Lücken aus ganz 2022 angezeigt vor SU Juni 2023.

[Nobbyaushb 1.471]

vor einer Stunde schrieb LukiHoer:

Zu Punkt 1 - Jaaa eine Info zu wenig ;) CU13 installiert, hatte die Hoffnung das auch das SU schon drinne ist um sicher zu gehen habe ich das Script ausgeführt.

Zu Punkt 2- Das ist die Antwort die erhofft hatte! :) :) 

Zu Punkt 3 -  Ja auch diese Info habe ich nicht geschrieben. Seit dem wir Exchange ohne VPN von Unterwegs verfügbar machen tunen wir das über ein Revers-Proxy. (Securepoint, falls das deine Frage war)

Punkt 3 ist dann auch OK  - ich nehme auch immer gerne den von der Securepoint sofern vorhanden

In Verbindung mit dem recht guten Mailrelay der Securepoint hat der gar kein Bein im Internet, außer den Zugang für Updates - und das auch nur eingeschränkt
Beim Mailrelay muss man den Speicher im Auge behalten, je nach RC Version

[LukiHoer 2]

vor 5 Minuten schrieb Nobbyaushb:

Punkt 3 ist dann auch OK  - ich nehme auch immer gerne den von der Securepoint sofern vorhanden

In Verbindung mit dem recht guten Mailrelay der Securepoint hat der gar kein Bein im Internet, außer den Zugang für Updates - und das auch nur eingeschränkt
Beim Mailrelay muss man den Speicher im Auge behalten, je nach RC Version

Ich hoffe das es SPÄTESTENS nach den Hackerwellen keinen mehr gibt der den HTTPS Port an den Exchange weitergibt!

 

Die SP macht ihren Job bei uns schon seit Jahren (Wortmann Partner....) Nie große Probleme gehabt. Bei den Filtern sind wir mittlerweile bei vielen hingegangen und lassen betroffene Inhalte löschen und Markiert zustellen. Den Rest erledig dann das lokale Antivirenprogramm von anderen Herstellern... sind davon Fan das verschiedene von Engines laufen. Hatten schon das Problem mit der Festplatte ;) Auch wenn ich nach wie vor die Handhabung und vor allem die Begrifflichkeiten nicht top finde bei SP. Kabelmodem mit DHCP.... ne ist klar.

 

Aber zurück zum Thema!

Wieder Einmal schnell und unkompliziert Hilfe erhalten. Vielen Dank euch beiden!

Vielleicht sollten wir mal davon weg gehen alle Kunden alle 5 Jahre auf den "neusten" Stand zu bringen. ;) Dann fällt sowas schneller auf und man hat keinen Druck sich diese Infos innerhalb kürzester Zeit zu organisieren.

 

Gruß!

[cj_berlin 1.315]

vor 2 Minuten schrieb LukiHoer:

Vielleicht sollten wir mal davon weg gehen alle Kunden alle 5 Jahre auf den "neusten" Stand zu bringen. ;) Dann fällt sowas schneller auf und man hat keinen Druck sich diese Infos innerhalb kürzester Zeit zu organisieren.

Vielleicht solltet ihr diese Dinge nicht bei Kunden üben... Nur so ein Gedanke  

vor 3 Minuten schrieb LukiHoer:

Ich hoffe das es SPÄTESTENS nach den Hackerwellen keinen mehr gibt der den HTTPS Port an den Exchange weitergibt!

Du würdest Dich wundern. Shodan Basis gibt es übrigens noch ein paar Tage für $5. 

 

Und gegen Hafnium beispielsweise haben die Reverse Proxies auch nicht geholfen. Das ist das Doofe an Zero Days - keiner, der Dir helfen könnte, weiß davon, sondern nur die, die Dir schaden wollen.

[LukiHoer 2]

vor 15 Minuten schrieb cj_berlin:

Vielleicht solltet ihr diese Dinge nicht bei Kunden üben... Nur so ein Gedanke

Von üben kann hier nicht gesprochen werden. Der Kunde konnte sehr gut auf eine temporäre extern Synchronisation verzichten. Seine Outlook Kontakte hatten sich intern schon mit dem iPhone synchronisiert! ;)

 

vor 30 Minuten schrieb cj_berlin:

Du würdest Dich wundern. Shodan Basis gibt es übrigens noch ein paar Tage für $5. 

 

Das wundert mich leider nicht. 

 

vor 31 Minuten schrieb cj_berlin:

Und gegen Hafnium beispielsweise haben die Reverse Proxies auch nicht geholfen. Das ist das Doofe an Zero Days - keiner, der Dir helfen könnte, weiß davon, sondern nur die, die Dir schaden wollen.

Genau das ist das schlimme. Wir haben über "Nacht" alle Server gepatcht.. einen zu spät. Und das war ein Handwerker mit 3 Mitarbeitern/Postfächern, Pech bzw. nicht schnell genug. Nicht fahrlässig oder mutwillig. Einfach nur Pech. Aber verhindern können wir Systemintegratoren das in solchen Fällen auch nicht.

[NorbertFe 2.034]

vor 1 Stunde schrieb cj_berlin:

Das ist das Doofe an Zero Days - keiner, der Dir helfen könnte, weiß davon, sondern nur die, die Dir schaden wollen.

Nur das Hafnium blöderweise gar kein Zero Day (für MS war), sondern bewußt auf den nächsten Patchday gewartet wurde.

[MrCocktail 192]

vor 14 Stunden schrieb cj_berlin:

Du würdest Dich wundern. Shodan Basis gibt es übrigens noch ein paar Tage für $5. 

Hast du einen Link für mich?

[cj_berlin 1.315]

Ist leider schon  ausgelaufen, war doch nur ein Tag ☹️