La diffusione delle email e dei server di posta elettronica sono funzionali alla comprensione della multidisciplinarietà della cyber security.
Va preso in considerazione che la sicurezza di un server Exchange non è garantita da un solo prodotto o servizio e per quanto più tecnologie possano essere usate in sinergia, avranno un effetto ridotto se il server è obsoleto o amministrato senza una strategia coerente. Questo assunto vale per qualsiasi dispositivo o software di un’infrastruttura ICT.
Un server Exchange installato nell’infrastruttura aziendale (on-premise) permette agli utenti di consultare la posta e dialoga con Active Directory, il sistema che gestisce identità e autorizzazioni nella rete Windows.
Può quindi essere contemporaneamente un archivio di informazioni sensibili, un servizio esposto all’esterno e un punto di accesso ai sistemi interni, anche se il traffico proveniente da internet può essere instradato attraverso un gateway o un Edge Transport Server.
Indice degli argomenti
I server Exchange sono bersagli
Un server Exchange on-premise, cioè installato e gestito direttamente dall’organizzazione, è bersaglio prezioso. Una vulnerabilità nell’interfaccia web, nei servizi di autenticazione o nei componenti che elaborano le richieste può consentire di leggere le caselle, sottrarre credenziali, installare una web shell – una porta di accesso nascosta nel server – oppure muoversi verso altre macchine della rete, il cosiddetto movimento laterale.
Il problema non è soltanto teorico. Nel 2021 le vulnerabilità note come ProxyLogon hanno permesso di colpire migliaia di organizzazioni. A posteriori è stato ricostruito che gli aggressori hanno potuto accedere ai server locali, leggere le caselle e installare strumenti utili a mantenere nel tempo il controllo dell’infrastruttura.
Altre vulnerabilità sono state indicate con i nomi ProxyShell e ProxyToken. ProxyShell era una catena di tre vulnerabilità che poteva portare all’esecuzione remota di codice e all’installazione di web shell.
ProxyToken consentiva invece ad attaccanti non autenticati di aggirare alcuni controlli di autenticazione e ottenere accesso a funzionalità amministrative del server.
Il dato più significativo arriva dal Data Breach Investigations Report 2026 di Verizon, report secondo il quale lo sfruttamento delle vulnerabilità software è all’origine del 31% delle violazioni prese in esame.
L’email è archivio, identità e reputazione
La posta elettronica viene spesso trattata come uno strumento di comunicazione, ma nelle organizzazioni svolge almeno tre funzioni più profonde. È una memoria informale nella quale rimangono decisioni, contratti, pareri, fatture e negoziazioni.
È un sistema di identità, perché molti servizi affidano proprio all’email il recupero delle password e la conferma delle operazioni.
È, infine, una rete di fiducia, perché un messaggio proveniente da una casella conosciuta viene normalmente considerato più credibile di una comunicazione arrivata da uno sconosciuto. Questo al netto delle campagne di phishing che, però, sono discorso parallelo.
Compromettere una mailbox va oltre l’entrare in possesso di documenti, è il contesto necessario per imitarne il legittimo proprietario.
L’aggressore può ricostruire rapporti gerarchici, fornitori, abitudini linguistiche, scadenze e flussi di pagamento.
Può attendere il momento più opportuno, inserirsi in una conversazione reale e chiedere di modificare un conto corrente o aprire un allegato apparentemente coerente con il lavoro in corso.
Queste frodi, chiamate Business Email Compromise (BEC) hanno comportato un’esposizione economica dichiarata di circa 55,5 miliardi di dollari (48,15 miliardi di euro circa) nel periodo tra ottobre 2013 e dicembre 2023, come sottolinea il Federal Bureau of Investigation. (FBI)
Il paradosso della fiducia
La fragilità dell’email nasce da un paradosso. L’attendibilità di un mittente dipende dalla fiducia accumulata nel tempo, ma la stessa fiducia può trasformarsi in un’arma quando la casella, il dominio o il server vengono compromessi.
La sicurezza di Exchange non protegge soltanto i messaggi. Protegge la possibilità di attribuire una comunicazione alla persona che l’ha effettivamente inviata e, quindi, di continuare a fidarsi delle relazioni digitali su cui si basa il lavoro quotidiano.
Proteggere i server Exchange restando al passo coi tempi
Nel 2026 non si può affrontare la sicurezza di Exchange ignorandone il ciclo di vita. Exchange Server 2016 e 2019 hanno raggiunto la fine del supporto il 14 ottobre 2025. Microsoft distribuisce ancora determinati aggiornamenti di sicurezza alle organizzazioni ammesse al programma Extended Security Update, ma si tratta di una soluzione transitoria.
La versione on-premise corrente è Exchange Server Subscription Edition, pubblicata il primo luglio 2025 e gestita attraverso il Modern Lifecycle: per rimanere supportato, il sistema deve essere mantenuto costantemente aggiornato.
Il 14 luglio 2026 Microsoft ha pubblicato nuovi aggiornamenti di sicurezza per Exchange, distinguendo Exchange Server Subscription Edition dalle vecchie versioni 2016 e 2019 coperte soltanto dal programma di aggiornamenti estesi.
Non è un dettaglio di poco conto, perché un reverse proxy può filtrare alcune richieste, uno scanner può segnalare una vulnerabilità e un sistema Endpoint Detection and Response (EDR) può riconoscere un comportamento anomalo, ma nessuno di questi strumenti può correggere definitivamente il codice vulnerabile di un prodotto abbandonato.
La guida congiunta pubblicata nel 2025 da NSA, CISA, FBI e altre agenzie internazionali raccomanda di mantenere aggiornati i sistemi supportati e di migrare da qualsiasi versione non più supportata a Exchange Server Subscription Edition o a un altro servizio di posta ancora mantenuto.
Ridurre ciò che internet può raggiungere
Mettere in sicurezza Exchange non significa soltanto bloccare le richieste malevole, significa anzitutto diminuire il numero di componenti che possono essere interrogati dall’esterno.
La porta 443, utilizzata dal traffico web cifrato, è necessaria per Outlook sul web e per diversi protocolli di accesso remoto. La porta 25 serve invece al trasporto dei messaggi mediante SMTP, il protocollo che instrada la posta tra i server. Non tutto ciò che funziona attraverso queste porte deve però essere pubblicamente disponibile.
L’Exchange Admin Center, la console web di amministrazione, e PowerShell remoto non dovrebbero essere raggiungibili indiscriminatamente da internet. Microsoft documenta sia la possibilità di disabilitare l’accesso esterno alla console amministrativa, sia l’impiego delle Client Access Rules per limitare le connessioni in base all’indirizzo IP, al protocollo e al tipo di autenticazione.
Un reverse proxy inserito tra internet ed Exchange può terminare la connessione esterna, verificare la richiesta e aprirne una nuova verso il server interno. Se dotato delle relative funzioni, può inoltre applicare autenticazione preventiva, limitazioni di frequenza, controlli geografici e regole di un Web Application Firewall, progettato per riconoscere richieste web anomale.
Non è però una barriera assoluta. Deve essere configurato per lasciare passare soltanto i percorsi realmente necessari e deve essere aggiornato come qualsiasi altro apparato esposto a internet.
Occorre anche verificare la compatibilità con Extended Protection, la funzione di Windows che lega l’autenticazione alla connessione cifrata per ostacolare gli attacchi di inoltro delle credenziali.
La documentazione Microsoft avverte che il TLS offloading non è compatibile con Extended Protection e che il TLS bridging è supportato soltanto a precise condizioni, fra cui l’impiego dello stesso certificato sul proxy o bilanciatore e sul server Exchange. Un proxy installato senza comprenderne gli effetti può interrompere Extended Protection anziché rafforzarla.
Separare la sicurezza del server da quella dei messaggi
Un reverse proxy protegge principalmente le connessioni web. Non esamina necessariamente il contenuto della posta che arriva tramite SMTP. Per separare il filtraggio dei messaggi dal Mailbox Server si può utilizzare un email security gateway collocato davanti a Exchange, un servizio cloud di protezione della posta oppure un Edge Transport Server opportunamente configurato.
Il gateway riceve i messaggi destinati al dominio, verifica mittente, allegati, collegamenti e reputazione degli indirizzi, poi consegna a Exchange soltanto ciò che supera i controlli.
Può sottoporre i file sospetti a una sandbox, un ambiente isolato nel quale osservarne il comportamento, e riscrivere i collegamenti per verificarli anche quando l’utente prova ad aprirli.
Il gateway deve lavorare insieme ai meccanismi di autenticazione del dominio.
SPF specifica quali server sono autorizzati a inviare posta per conto di un dominio. DKIM applica ai messaggi una firma crittografica e DMARC verifica che almeno uno tra SPF e DKIM superi il controllo con un dominio allineato al mittente visibile e pubblica una politica che indica ai destinatari come trattare le comunicazioni che falliscono la verifica e permette di ricevere rapporti sugli abusi.
Queste tecnologie non impediscono che una casella autentica venga violata, ma riducono la possibilità di falsificare il dominio dall’esterno.
La difesa del server e la verifica dei messaggi rispondono a minacce diverse e nessuna può sostituire l’altra.
Aggiornare non significa avere bonificato
La lezione più importante di ProxyLogon è che installare una patch e rimuovere un’intrusione sono due operazioni differenti.
La patch chiude la vulnerabilità, ma non cancella automaticamente web shell, account creati dall’aggressore, regole di inoltro, processi pianificati o malware installati prima dell’aggiornamento.
Il patching da solo ha dei limiti, se il server è rimasto esposto durante una campagna attiva, è imperativo cercare indicatori di compromissione, controllare le modifiche amministrative, verificare i file nelle directory web e ricostruire le connessioni avvenute nel periodo a rischio.
Lo script PowerShell ufficiale Microsoft Exchange Health Checker consente di inventariare le installazioni, controllare aggiornamenti cumulativi e di sicurezza, configurazione TLS, Extended Protection e altre impostazioni rilevanti.
È uno strumento diagnostico utile ma non è un sistema di rilevamento delle intrusioni.
L’identità amministrativa non deve coincidere con la posta
Exchange dipende strettamente da Active Directory. Per questa ragione un amministratore che utilizza lo stesso account privilegiato per leggere la posta, navigare e gestire il server concentra rischi diversi in una sola identità.
Gli account amministrativi devono essere separati da quelli utilizzati nel lavoro quotidiano e autorizzati secondo il principio del privilegio minimo.
Exchange offre un sistema di controllo basato sui ruoli, chiamato Role-Based Access Control, che consente di assegnare soltanto le operazioni necessarie. Gli accessi più delicati dovrebbero inoltre partire da workstation amministrative dedicate o da un jump server controllato e non da un qualsiasi computer aziendale.
Dove l’architettura lo permette, l’accesso remoto deve richiedere un secondo fattore resistente al phishing, preferibilmente una chiave hardware o una passkey. L’autenticazione a più fattori non risolve una vulnerabilità del server, limitandosi a ridurre la possibilità che una password rubata diventi automaticamente un accesso valido.
Osservare ciò che il server fa, non soltanto ciò che riceve
Un sistema EDR osserva ciò che avviene nel sistema operativo. Può rilevare la creazione di una web shell, l’avvio anomalo di PowerShell, l’accesso ai processi che conservano credenziali, il caricamento di file eseguibili e i tentativi di collegarsi ad altre macchine.
Microsoft Defender include una regola di riduzione della superficie di attacco specificamente destinata a bloccare la creazione di web shell sui server Exchange.
La protezione deve tuttavia essere configurata seguendo le esclusioni antivirus indicate per Exchange, poiché una scansione indiscriminata di database e processi critici può compromettere prestazioni e stabilità, mentre esclusioni troppo ampie creano zone nelle quali il malware può nascondersi.
I log di Exchange, Internet Information Services, Windows, Active Directory, proxy, gateway ed EDR devono confluire in un sistema centrale di analisi, normalmente un SIEM, Security Information and Event Management.
Conservare le sole registrazioni locali significa lasciare all’aggressore la possibilità di cancellarle insieme alle proprie tracce.
Prepararsi anche alla perdita del server
Prevenzione e capacità di recupero rispondono a fasi diverse della sicurezza. Un’organizzazione deve potere ricostruire Exchange, recuperare le caselle e riprendere il servizio senza dipendere dalla macchina compromessa.
I backup devono quindi essere separati dal dominio amministrativo ordinario, protetti da credenziali differenti e, quando possibile, resi immutabili per un periodo prestabilito. Devono essere verificate la possibilità di recuperare un database e quelle di ripristinare configurazione, certificati, connettori e dipendenze da Active Directory.
Un backup mai sottoposto a una prova di recupero deve essere considerato come una speranza vana.
La guida CISA contro il ransomware raccomanda copie frequenti, isolate o protette nel cloud, insieme alla centralizzazione dei log e alla preparazione delle procedure di risposta. Per Exchange questa pianificazione è importante: un ripristino tecnicamente riuscito ma privo delle informazioni necessarie a ricostruire la compromissione può riportare in produzione anche il problema che si voleva eliminare.
Cinque strumenti per proteggere i server Exchange
Il mercato offre una quantità di tool per la protezione dei server di posta elettronica. Ne abbiamo scelti cinque che, per costi, garanzie offerte e praticità d’uso andrebbero prese in considerazione con il supporto di personale competente e di fornitori specchiati.
Microsoft Web Application Proxy
Web Application Proxy è un ruolo di Windows Server che permette di pubblicare applicazioni interne senza esporre direttamente il server che le ospita. Microsoft fornisce una procedura specifica per la pubblicazione di Exchange e, per Outlook sul web in determinate configurazioni, consente di utilizzare Active Directory Federation Services per autenticare l’utente prima che la richiesta raggiunga l’applicazione.
Altri servizi, tra cui Exchange Control Panel, Outlook Anywhere, Exchange Web Services e Autodiscover, prevedono invece nella documentazione citata la modalità pass-through.
Web Application Proxy è utile per Outlook sul web e per gli altri servizi compatibili, ma non sostituisce il gateway SMTP, non corregge Exchange e deve essere progettato tenendo conto di certificati, protocolli e Extended Protection.
Proofpoint Email Protection
Proofpoint Email Protection è un secure mail gateway che filtra i messaggi prima della consegna a Exchange.
Analizza spam, phishing, malware, collegamenti, allegati e tentativi di BEC. Può essere collocato nel percorso della posta in entrata e in uscita, impedendo che Exchange riceva direttamente tutto il traffico SMTP proveniente da internet. Le funzionalità effettivamente disponibili dipendono dalla licenza e dalla configurazione.
Le percentuali di rilevamento dichiarate nella documentazione commerciale di Proofpoint sono affermazioni del produttore, non garanzie applicabili indistintamente a ogni ambiente.
Tenable Nessus
Nessus permette di individuare versioni vulnerabili, aggiornamenti mancanti, servizi esposti e configurazioni deboli. Tenable mantiene controlli specifici per Exchange, compresi plugin capaci di riconoscere dall’esterno la presenza del servizio e plugin dedicati ai singoli aggiornamenti, come quello relativo alle vulnerabilità corrette nell’agosto 2025.
Le scansioni autenticate offrono normalmente una visibilità maggiore, ma devono essere eseguite con account dedicati e privilegi controllati. Inoltre, alcuni plugin si limitano a confrontare la versione dichiarata dal sistema e non verificano realmente lo sfruttamento della falla.
Questo rimanda alla necessità di interpretare il risultato e non limitarsi a condividerlo con i vertici aziendali.
Exchange Emergency Mitigation Service
L’Exchange Emergency Mitigation Service viene installato automaticamente sui server con ruolo Mailbox a partire dagli aggiornamenti cumulativi di settembre 2021 per Exchange 2016 e 2019, ma non sugli Edge Transport Server. Controlla ogni ora il servizio cloud di Microsoft, scarica un file XML firmato, ne verifica l’integrità e può applicare regole di riscrittura degli indirizzi, disabilitare un servizio vulnerabile o fermare un application pool di Internet Information Services.
Come abbiamo spiegato serve a ridurre rapidamente il rischio quando Microsoft conosce una minaccia e dispone già di una contromisura. Non è un sistema autonomo di hardening e, soprattutto, non sostituisce gli aggiornamenti di sicurezza.
Microsoft Defender for Endpoint
Microsoft Defender for Endpoint aggiunge rilevamento comportamentale, raccolta degli eventi, investigazione e risposta sul server.
Può segnalare processi insoliti, attività di rete sospette, strumenti usati per sottrarre credenziali e comportamenti compatibili con una web shell.
Le funzioni di live response permettono agli operatori autorizzati di raccogliere file e informazioni dalla macchina durante un’indagine. Non protegge però i messaggi come farebbe un gateway e non deve essere confuso con il solo antivirus, il suo valore nasce dalla correlazione dei comportamenti e dalla capacità di ricostruire la sequenza dell’attacco.
Nessuno strumento può difendere ciò che non viene governato
I cinque componenti che abbiamo proposto coprono punti differenti.
Web Application Proxy controlla l’accesso web, Proofpoint filtra la posta, Nessus individua esposizioni note, Emergency Mitigation applica contromisure provvisorie e Defender osserva il comportamento del server.
La loro sovrapposizione costituisce una difesa stratificata, ma lascia aperte le questioni organizzative. Non stabilisce (né può farlo) chi controlla gli aggiornamenti, entro quanto tempo vengono installati, chi analizza gli avvisi, quali accessi amministrativi sono consentiti e come viene verificato un possibile incidente.
Una vulnerabilità di Exchange non nasce il giorno in cui diventa nota. La qualità della gestione determina invece quanto a lungo e con quale esposizione la debolezza rimane sfruttabile: il rischio aumenta quando l’organizzazione non sa con precisione quale versione sta eseguendo, quali servizi espone, chi può amministrarlo e che cosa dovrebbe accadere se smettesse improvvisamente di funzionare.
Gli strumenti possono rispondere a molte domande tecniche. Non possono sostituire le responsabilità.
Partecipa alla community