CISA Rilis Panduan Global Amankan Microsoft Exchange Server

Cybersecurity and Infrastructure Security Agency (CISA), bersama beberapa lembaga keamanan dunia seperti National Security Agency (NSA) dari Amerika Serikat, Australian Cyber Security Centre (ACSC), dan Canadian Centre for Cyber Security, merilis sebuah panduan komprehensif berjudul “Microsoft Exchange Server Security Best Practices” pada Oktober 2025.

Panduan ini hadir sebagai respons terhadap meningkatnya serangan terhadap sistem email organisasi di seluruh dunia, khususnya yang menggunakan Microsoft Exchange Server secara lokal (on-premises).

Microsoft Exchange telah lama menjadi tulang punggung komunikasi digital bagi banyak lembaga pemerintah, perusahaan besar, hingga institusi pendidikan. Namun, karena posisinya yang sangat penting, server ini juga menjadi sasaran utama para peretas. Banyak kasus kebocoran data dan serangan ransomware besar yang berawal dari kelemahan konfigurasi atau keterlambatan pembaruan keamanan Exchange.

Melalui panduan ini, CISA menekankan bahwa organisasi perlu lebih proaktif dan preventif dalam memperkuat infrastruktur email mereka. Tidak lagi cukup hanya mengandalkan antivirus atau firewall — kini diperlukan strategi keamanan menyeluruh, mulai dari pembaruan rutin hingga penerapan prinsip Zero Trust.

 
Dukungan Exchange Lama Dihentikan, Risiko Semakin Meningkat

Panduan ini dirilis tepat setelah Microsoft menghentikan dukungan untuk versi lama Exchange Server pada 14 Oktober 2025. Artinya, versi lama tersebut tidak lagi menerima pembaruan keamanan atau patch resmi. Kondisi ini membuat banyak organisasi yang belum bermigrasi menghadapi risiko besar — mereka kini mengoperasikan server yang “tidak terlindungi” dan rentan diserang.

CISA mengingatkan bahwa organisasi harus mengubah cara pandang mereka terhadap keamanan, dari yang reaktif menjadi preventif. Langkah pertama yang disarankan adalah memastikan semua pembaruan keamanan diterapkan secara konsisten.

Administrator sistem Exchange dianjurkan untuk:

• Memasang Cumulative Update (CU) minimal dua kali dalam setahun.
• Menginstal patch keamanan dan hotfix bulanan untuk menutup celah baru.

Langkah-langkah ini dianggap penting karena peretas kini bisa mengembangkan eksploitasi baru hanya dalam hitungan hari setelah celah ditemukan. Untuk membantu proses ini, Microsoft telah menyediakan alat seperti Exchange Health Checker dan SetupAssist yang berfungsi memeriksa kesiapan sistem sebelum pembaruan dilakukan.

Dengan manajemen patch yang disiplin, risiko kebocoran data akibat kerentanan yang tak diperbaiki bisa ditekan secara signifikan.

 
Wajib Migrasi ke Exchange Subscription Edition (SE)

Salah satu poin penting dalam panduan CISA adalah imbauan bagi organisasi yang masih menggunakan versi lama Exchange agar segera bermigrasi ke Exchange Server Subscription Edition (SE). Versi ini adalah satu-satunya edisi Exchange lokal yang masih didukung Microsoft, sehingga akan terus menerima pembaruan keamanan dan peningkatan fitur.

Namun, jika proses migrasi belum bisa dilakukan dengan cepat, CISA menyarankan isolasi sementara server lama dari koneksi internet. Langkah ini bertujuan mengurangi risiko server tersebut menjadi pintu masuk bagi penyerang.

CISA juga mengingatkan pentingnya memastikan layanan Exchange Emergency Mitigation (EM) Service tetap aktif. Fitur ini secara otomatis menerapkan perlindungan sementara terhadap ancaman yang baru ditemukan — misalnya, dengan membuat aturan URL Rewrite yang bisa memblokir permintaan HTTP berbahaya secara langsung.

Dengan EM Service aktif, organisasi memiliki lapisan pertahanan tambahan tanpa harus menunggu pembaruan resmi.

 
Strategi Penguatan Keamanan Exchange Server

Selain pembaruan dan migrasi, CISA juga menekankan pentingnya penerapan security baseline yaitu standar konfigurasi keamanan yang direkomendasikan oleh lembaga seperti DISA, CIS, dan Microsoft sendiri. Tujuannya agar sistem Exchange, Windows Server, dan klien email memiliki pengaturan keamanan yang seragam dan kuat.

Beberapa langkah penguatan yang disarankan antara lain:

• Aktifkan Microsoft Defender Antivirus untuk perlindungan dasar terhadap malware.
• Gunakan Attack Surface Reduction (ASR) rules untuk mencegah eksekusi file mencurigakan.
• Terapkan AppLocker untuk membatasi aplikasi yang boleh dijalankan di server.

CISA juga menyarankan penggunaan Endpoint Detection and Response (EDR),  sistem yang dapat mendeteksi dan merespons ancaman siber tingkat lanjut.
Selain itu, administrator harus memastikan fitur anti-spam dan anti-malware di Exchange telah aktif untuk menyaring email berbahaya sebelum mencapai pengguna.

 
Penguatan Otentikasi dan Enkripsi Data

Keamanan komunikasi email sangat bergantung pada otentikasi dan enkripsi.
Oleh karena itu, CISA mendorong organisasi untuk memperkuat kedua aspek tersebut melalui langkah-langkah berikut:

1. Aktifkan Transport Layer Security (TLS) di semua server untuk mencegah penyadapan data saat dikirim.
2. Gunakan Extended Protection (EP) guna menahan serangan adversary-in-the-middle, yaitu upaya penyusup yang mencoba menyamar di antara koneksi server dan pengguna.
3. Hentikan penggunaan protokol lama seperti NTLM dan beralih ke sistem yang lebih modern seperti Kerberos dan SMB terbaru.
4. Lakukan audit internal terhadap penggunaan protokol lama, karena NTLM direncanakan akan dihapus permanen.

Selain itu, CISA menyarankan penggunaan Modern Authentication dengan multi-factor authentication (MFA) melalui Active Directory Federation Services (ADFS).
Metode ini jauh lebih aman dibanding Basic Authentication, yang hanya mengandalkan kombinasi username dan password.

Untuk menambah keamanan dalam manajemen server, CISA juga merekomendasikan penandatanganan berbasis sertifikat (certificate-based signing) pada komunikasi PowerShell. Langkah ini dapat mencegah penyalahgunaan perintah PowerShell oleh pihak yang tidak berwenang.

 
Perlindungan Tambahan yang Direkomendasikan

Selain langkah utama di atas, panduan ini juga mencakup sejumlah perlindungan tambahan agar sistem Exchange lebih tangguh terhadap serangan siber.

Beberapa di antaranya adalah:

• HTTP Strict Transport Security (HSTS), memastikan seluruh koneksi web ke server hanya menggunakan HTTPS yang terenkripsi.
• Download Domains, fitur untuk mencegah serangan cross-site request forgery (CSRF).
• Role-Based Access Control (RBAC) dengan split permissions, membatasi hak akses berdasarkan peran, agar setiap pengguna hanya dapat mengakses sumber daya yang benar-benar diperlukan (principle of least privilege).
• Akses admin hanya dari komputer khusus, untuk mencegah penyalahgunaan akun administrator dari perangkat umum.
• Deteksi manipulasi header P2 FROM, membantu mendeteksi upaya pemalsuan alamat email (email spoofing).

Langkah-langkah ini dirancang agar sistem Exchange tidak hanya aman dari luar, tetapi juga terlindungi dari potensi ancaman internal atau kesalahan konfigurasi.

 
Prinsip Zero Trust: Keamanan Tanpa Asumsi

CISA menegaskan bahwa panduan ini sejalan dengan prinsip Zero Trust — sebuah pendekatan keamanan modern yang berasumsi bahwa tidak ada pengguna atau perangkat yang benar-benar bisa dipercaya, bahkan dari dalam jaringan sendiri.

Dalam konteks Exchange Server, penerapan Zero Trust berarti:

• Menolak akses secara default sampai sistem benar-benar memverifikasi identitas dan keamanannya.
• Meminimalkan permukaan serangan, yaitu menghapus layanan atau port yang tidak digunakan.
• Melakukan pemantauan dan evaluasi berkelanjutan untuk mendeteksi anomali lebih cepat.

Pendekatan ini kini menjadi standar baru di banyak organisasi karena terbukti efektif mengurangi dampak serangan siber, terutama yang melibatkan pencurian kredensial atau penyusupan jaringan.

 
Seruan untuk Bertindak: Amankan Sekarang, Sebelum Terlambat

CISA menekankan bahwa panduan ini bukan satu-satunya solusi untuk semua risiko, tetapi merupakan bagian penting dari strategi keamanan menyeluruh yang juga mencakup rencana respons insiden (incident response plan) dan pedoman keamanan hybrid seperti Emergency Directive 25-02.

Sejarah menunjukkan bahwa Microsoft Exchange kerap menjadi target favorit kelompok peretas. Kasus HAFNIUM pada tahun-tahun sebelumnya dan serangkaian serangan zero-day terbaru menjadi bukti bahwa sistem email ini terus diserang dari berbagai arah.

Oleh karena itu, organisasi tidak boleh menunda implementasi panduan ini.
Server yang belum diperkuat (unhardened) berisiko tinggi menjadi korban pencurian data, ransomware, dan bahkan spionase siber.

CISA bersama mitra internasionalnya menutup panduan ini dengan peringatan tegas:

“Server yang tidak diperkuat bukan hanya celah keamanan — tapi bom waktu bagi organisasi Anda.”

Dengan mengadopsi langkah-langkah keamanan yang direkomendasikan, organisasi dapat memastikan bahwa sistem email mereka tetap tangguh, aman, dan siap menghadapi ancaman siber yang terus berkembang di era digital ini.