Powershell - Nur signierte Scripte auf dem Exchange zulassen

[RalphT 15]

Moin,

ich wollte gerne in unserer Umgebung das Ausführen fremder PS-Scripte unterbinden. Dazu habe ich ein GPO mit der Ausführungsrichtinie für die Scripte mit "AllSigned" erstellt.
Danach zeigte sich in der Ereignisanzeige vom Exchange 2016 folgende Fehlermeldung:

 

Einstellungen: Fehler beim Laden der Formatdatendatei:
Microsoft.Exchange.Management.PowerShell.E2010, , C:\Program Files\Microsoft\Exchange Server\V15\bin\Exchange.format.ps1xml: Die Datei wurde wegen folgender Validierungsausnahme übersprungen: Fehler bei der AuthorizationManager-Überprüfung..
 

Details:
    ExceptionClass=RuntimeException
    ErrorCategory=NotSpecified
    ErrorId=ErrorsUpdatingFormats
    ErrorMessage=Fehler beim Laden der Formatdatendatei:
Microsoft.Exchange.Management.PowerShell.E2010, , C:\Program Files\Microsoft\Exchange Server\V15\bin\Exchange.format.ps1xml: Die Datei wurde wegen folgender Validierungsausnahme übersprungen: Fehler bei der AuthorizationManager-Überprüfung..

Dann habe ich mir die Eigenschaften der Datei "Exchange.format.ps1xml" anzeigen lassen. Diese, wie viele andere PS-Scripte sind alle digital signiert.
Das Zertifikat ist von Microsoft ausgestellt, jedoch ist der Gültigkeitszeitraum überschritten. Da jedoch auch ein Zeitstempel dort vorhanden ist,
bin ich der Meinung, dass alle diese Scripte noch ausgeführt werden sollten.

Ich könnte jetzt die Scripte mit der hauseigenen PKI neu signieren. Nur das wolllte ich erst einmal nicht machen, da es bei den vielen Scripten sehr aufwändig ist.
Eigentlich könnte ich doch die vorhandene Signierung nutzen?

 

Meine Frage ist jetzt, was kann man da machen? Sollte ich für den Exchange Server eine Ausnahme erstellen, sodass dieser Server von der GPO nicht betroffen ist?

Das wäre natürlich etwas unsicherer.

[NorbertFe 1.805]

vor 1 Minute schrieb RalphT:

ich wollte gerne in unserer Umgebung das Ausführen fremder PS-Scripte unterbinden.

Wirst du damit aber sehr wahrscheinlich nicht, weil man afaik die execution Policy auf diversen Wegen jederzeit umgehen kann. Insofern würde ich mir da keine zu großen Hoffnungen machen. ;)

[RalphT 15]

Hatte ich auch schon gelesen - Leider. Ist dann eben nur eine kleine Hürde für den Angreifer.

bearbeitet 23. Mai 2023 von RalphT

[NorbertFe 1.805]

vor 40 Minuten schrieb RalphT:

Ist dann eben nur eine kleine Hürde für den Angreifer.

Naja am Ende eher für den Admin, denn der Angreifer wird darüber vermutlich eher lächeln.

[cj_berlin 1.138]

Execution Policy ist *kein* Sicherheitsfeature. Es ist nur ein Anti-Schludrigkeitsfeature.

[RalphT 15]

Na gut, dann lege ich das Thema mal zu den Akten.