OWA(Outlook Web App) - 详细总结调研 - 特征相关

总

1. OWA相关
2. 分析维度相关

现在更多的还只是一个提纲，仍有很多具体细节有待调研。

一、OWA相关

1. 基本概述

• 定义和用途：OWA是什么、以及它在Exchange Server或Microsoft 365中的作用、outlook和exchagne的关系。
• 历史背景：OWA的发展历程、版本更新、不同版本OWA与Windows Server兼容性的问题、版本号命名方式。
• 服务器一些概念：Windows Server中有关域、林、AD等的概念。
• 所需依赖：安装OWA之前系统中所必须包含的依赖。
• 如何搭建：搭建的总体流程、具体流程、所需文件地址、注意事项和踩坑记录。
• 主要功能：OWA的关键功能、如邮件管理、日历、联系人、任务、文件共享等（更多的准备放在4. 功能详解）。

2. 架构和技术基础

• 后台架构：OWA的架构、包括服务器端组件（如Exchange Server）与前端交互机制、服务器的各种“角色”介绍及其功能和作用、系统启动后为何需要启动那么多的相关服务才能保证OWA正常运行、Exchange每个相关服务的作用、为什么OWA那么占内存。
• 技术栈：详细介绍OWA所使用的技术例如ASP.NET/HTML5/JavaScript等。
• 协议支持：OWA支持的邮件传输协议如SMTP/IMAP/POP3/HTTPS等、之前调研的用户在邮件交流过程中的(网络包)具体流程。

3. 部署方式

• 本地部署：OWA在企业内部的部署方案及配置步骤（类似基本概述）。
• 云端部署（Microsoft 365）：在云端使用OWA的架构及优势。
• 混合部署：本地和云混合环境下的OWA实现及配置要点。

4. 功能详解

• 邮件管理：详细描述OWA的邮件管理功能（如分类、过滤、搜索、归档、邮件规则等）。
• 日历与任务：OWA如何帮助用户管理日历事件和任务。
• 附件和文件管理：文件的上传、共享、查看等功能。
• 联系人管理：如何创建、编辑、删除和同步联系人。
• 移动端支持：OWA在移动设备上的表现及专有应用。

5. 安全性

• 身份验证：包括多重身份验证（MFA）、基于角色的访问控制（RBAC）。
• 数据加密：传输中的数据加密和静态数据加密。
• 安全协议：HTTPS/SSL证书的应用、支持OAuth 2.0等安全协议。
• 恶意软件和垃圾邮件过滤：防止邮件中恶意链接和病毒传播的机制。
• 账户保护机制：账户锁定、密码策略及异常活动检测等。
• CA：搭建后的自建CA是什么以及为何不被浏览器信任

6. 性能与优化

• 性能监控与调优：如何监控OWA的性能及提高其效率（如缓存机制、负载均衡）、为何占据大内存及内存占用是否可以减少。
• 带宽优化：如何在高并发环境下优化OWA的带宽使用。
• 客户端兼容性：对各类浏览器和操作系统的兼容性分析。

7. 用户体验及界面

• 自定义功能：如何为不同用户或组织自定义OWA的界面和功能。
• 插件与扩展支持：OWA可用的第三方插件及自定义扩展的开发与应用、OWA对Powershell的支持。
• 界面设计与用户交互：OWA的用户界面设计理念、易用性研究及可访问性优化。
• 主题定制问题：为何搭建起来的OWA界面和官网的不一样（有点像Win10和Win11的区别）

8. 管理与维护

• 管理员界面：介绍如何使用管理中心对OWA进行日常维护和管理（/ecp）。
• 日志与审计：OWA的日志记录功能及审计功能的设置与使用。
• 备份与恢复：数据丢失时的恢复机制及如何进行备份管理。

9. 故障排查

• 常见问题及解决方案：如登录问题、连接问题、附件上传错误等。
• 性能问题排查：如何排查网络延迟、响应速度慢等性能问题。
• 日志分析：通过日志分析解决OWA中出现的异常问题。
• 进入邮箱缓慢：一段时间未登录后首次登录加载时间很长的问题（是因为机械磁盘还是因为缓存问题）

10. 合规性与法规支持

这个简要调研调研

• GDPR与数据隐私：OWA如何支持欧洲的GDPR规定、数据隐私和合规性方面的功能。
• 邮件存档与保留策略：企业如何通过OWA满足邮件存档需求和法律法规要求。

11. 未来发展与趋势

这个简要调研调研

• 微软计划：展望微软对OWA的未来发展计划。
• 新功能展望：预计未来可能出现的功能升级和创新。
• OWA与其他竞争对手对比：OWA与Gmail、Zoho Mail等邮件系统的对比分析。

二、分析维度相关

预计分析的维度：

• 流量包大小
• 流量包时序
• 流量包协议
• 流量包TLS指纹
• 流量包包头(可选)

1. 协议特征

• HTTPS流量：OWA默认使用HTTPS协议进行加密通信。可以通过识别特定端口（通常是443端口）的HTTPS流量，进一步缩小流量的范围。
• HTTP/2协议支持：OWA作为现代Web应用程序，会使用HTTP/2协议，识别此协议的使用可以作为特征之一。
• TLS加密握手：通过分析TLS握手过程中的信息（如服务器证书、加密套件），可以判断是否是OWA相关的加密流量。微软相关的服务器证书或TLS特征可能会显现OWA服务的痕迹。

2. 域名与IP地址

• 域名解析：通过DNS流量分析，OWA的流量类型有两种类型：微软outlook相关流量以及美J/企业自建服务的相关流量。微软官方owa的域名有 outlook.office365.com、outlook.live.com以及可能更多域名；美J相关域名可能需要再调查一下。若能抓取DNS请求中的域名解析信息，则应该能快速过滤出与OWA相关的流量。
• 服务器IP地址：这个有点类似德桐的工作，OWA可能与特定的IP范围相关，可以在识别过程中积累IP地址“数据库”。微软会定期公布Office 365的IP范围，美J相关可能就需要日常过程中不错过任何一次机会去积累了。

3. 流量特征

• 流量模式：OWA使用的是交互式Web界面，流量会表现出周期性或规律性的数据请求和响应。例如，用户与OWA的交互操作会生成多个短时的HTTP/HTTPS请求，这些请求通常是小数据包的GET/POST操作，而不是持续的大量下载/上传流量（附件下载除外，但一般不会通过邮件发送过大的附件吧）。
• 特定的URI模式：如果能解析到URL，则可以分析HTTP请求的URI，可以发现与OWA服务相关的路径或查询参数模式。例如，URL中可能会包含 /owa/，/ecp/（Exchange Control Panel，这个就是owa的管理平台的地址）等关键词。
• 会话保持机制：OWA依赖于会话保持和认证机制，因此可以观察与cookie、会话ID、token等相关的特征流量。分析请求中的Set-Cookie或Authorization头信息，可能会发现特定的OWA会话管理模式（前提最终是能获取到流量包中的这些相关信息）。
• 时序特征的识别：访问OWA服务时，首先是大量的小数据包，之后在未有任何操作的情况下也会有类似的心跳包/owa/ev.owa2、/owa/service.svc、/owa/ping.owa等。在界面不关闭的状态下突然收到邮件是会直接在网页端提示的。

4. 应用层标识

这一部分暂未去核实。

• User-Agent字段：OWA用户的浏览器发起的请求可能会携带特定的User-Agent字符串，反映出客户端的版本信息。特定的User-Agent（如与Microsoft Exchange相关的版本）可以作为识别特征。
• 自定义Headers：微软Exchange和OWA的HTTP请求中可能会有定制的HTTP头字段，如 X-OWA-Version， X-EWS-Authorization 等，这些都是微软产品特有的标识，可以作为流量的识别依据。
• 认证机制：OWA通常使用基于OAuth或Basic Authentication的认证机制，可以通过对这些请求中的认证头信息（如Bearer Token或Base64编码的字符串）进行分析。

5. 包大小与通信模式

• 小数据包频率：OWA用户操作界面中每次点击操作往往产生较小的数据包（如邮箱同步、邮件检查等），可以统计特定主机的流量中，是否存在大量的小数据包。这些流量与典型的视频流、文件传输等流量有显著不同。
• 异步请求的频率：OWA的Web界面会依赖于大量的异步请求（AJAX），流量表现为多个短时的、频繁的请求与响应，可以通过时间间隔与包大小的分析进行识别。

6. 流量统计与时序分析

• 流量时序图：通过对某个时间窗口内的流量进行时序分析，可以看出OWA流量是否存在明显的周期性（如定时的邮件同步、日历检查）。这种特征在办公时间内尤为显著。
• 流量峰值：通过分析流量峰值和流量波动情况，识别出与OWA使用相关的流量特征。邮件操作通常伴随着短时间内的请求/响应峰值，随后恢复到较低的流量水平。

7. 流量加密模式

• SSL指纹识别：虽然OWA使用HTTPS加密，但可以通过分析SSL/TLS指纹（如证书链、协议版本、加密套件等）来推测流量是否与微软的服务相关。微软的Exchange服务器可能会有特定的加密参数选择和特定的证书颁发机构（CA）。
• 分析HTTPS SNI字段：在TLS握手阶段，服务器名称指示（SNI）字段可能暴露出服务端域名，如 outlook.office365.com、*mail*.mil。虽然后续数据被加密，但SNI未加密，可以帮助识别OWA相关的流量。

文章原创不易，转载经作者同意后请附上原文链接哦~