Преминете към съдържание

Нова актуализация на AMSI причинява сериозни проблеми в Exchange 2016 CU21 и Exchange 2019 CU10

Outlook блокира, имейлите не се изпращат и възникват проблеми с връзката заради актуализация на антивирусния интерфейс AMSI
21 юли 2021 г. от
Dominic Schnur

Интеграцията на AMSI (Antimalware Scan Interface), която трябваше да осигури по-добра защита с Exchange 2016 CU21 и Exchange 2019 CU10, за съжаление води до сериозни проблеми, когато Exchange се използва в комбинация с различни антивирусни програми.

Например наблюдават се изключително дълго зареждане при отваряне, включително в Outlook, забавяне при изпращането на имейли и дори пълна загуба на връзката със сървъра на Exchange. 

Едно е ясно — така не може да се работи.

За щастие някои доставчици на антивирусен софтуер са били подготвени и предлагат възможност за деактивиране на AMSI. Тук ще научите как да сложите край на тези проблеми с примери за Sophos, McAfee, Bitdefender и Kaspersky.
Ще разгледаме и как тази функция може да се деактивира чрез промяна във файла web.config на сървъра на Exchange.

Sophos

В Sophos има два начина за деактивиране на AMSI. Единият е директно през приложението на клиентския компютър, което обаче се оказва доста непрактично, когато трябва да се управляват няколко инсталации. Другият е централизирано през интерфейса за управление на Sophos Central. 

Odoo • Текст и изображение

1. На крайното устройство: Дори когато деактивирате защитата на самото крайно устройство, пак ще трябва да използвате Sophos Central. Първо трябва да деактивирате защитата срещу неоторизирани промени (Tamper Protection) за съответното устройство в Sophos Central. За целта превъртете надолу в обзорния екран до Tamper Protection и щракнете върху „View password details“. Копирайте показаната парола.
След това на компютъра, на който е инсталиран Sophos, щракнете върху иконата на Sophos долу вдясно в лентата на задачите. В раздела за вход като администратор въведете паролата, която копирахте от Sophos Central.

Odoo • Изображение и текст

Сега можете да деактивирате AMSI защитата от „Настройки“ в долния десен ъгъл.

Odoo • Изображение и текст

2. В Sophos Central: Ако искате да приложите настройката за цялата инфраструктура, а не само да деактивирате защитата временно, по-долу ще разберете кои политики трябва да актуализирате за целта.
Първо щракнете върху „Server Protection“ в навигационното меню, тъй като ще редактираме политиките за защита на сървърите. След това щракнете върху „Policies“, за да отворите политиките.

(В Sophos Central, в „Server -> Policies -> Threat Protection“, деактивирайте „AMSI Protection (Windows)“.)
Odoo • Изображение и текст
Odoo • Изображение и текст
Политиката, която искаме да редактираме, е отбелязана като „Enforced“ в раздела „Threat Protection“.
Odoo • Изображение и текст
След като щракнете върху съответната политика, отворете настройките ѝ („Settings“). Ако използвате политиката по подразбиране, опцията „Use recommended settinge“ ще бъде маркирана със синя отметка. Първо трябва да премахнете отметката, за да можете да редактирате настройките.
След това превъртете надолу до опцията „AMSI Protection“ и я деактивирайте.
След като щракнете върху съответната политика, отворете настройките ѝ („Settings“). Ако използвате политиката по подразбиране, опцията „Use recommended settinge“ ще бъде маркирана със синя отметка. Първо трябва да премахнете отметката, за да можете да редактирате настройките.
След това превъртете надолу до опцията „AMSI Protection“ и я деактивирайте.
Odoo • Изображение и текст

Остава само да щракнете върху „Save“ в горния десен ъгъл и отново да работите с Outlook както обикновено.

McAfee

В McAfee Endpoint Security също е добавена опция в настройките, чрез която можете да деактивирате AMSI защитата.

Odoo • Изображение и текст

Bitdefender

При Bitdefender тези промени трябва да се направят чрез Gravityzone, тъй като изобщо липсва отделна настройка за AMSI. Може да се деактивира само цялата защита от зловреден софтуер при достъп и изпълнение (Advanced Thread Control), както и разширената защита от експлойти. Препоръчително е да създадете отделен Exchange профил за сървъра и да изключите защитата в него до отстраняването на проблема.

Kaspersky


Активиране и деактивиране на „AMSI защита“


„AMSI защита“ е активирана по подразбиране.

За да активирате или деактивирате „AMSI защита“, изпълнете следните стъпки:

  1. В долната част на основния прозорец на програмата щракнете върху бутона icon_settings.png.
  2. В прозореца с настройките на програмата изберете раздела Защита → Основна защита → AMSI защита.
  3. Използвайте превключвателя AMSI защита, за да активирате или деактивирате компонента.
  4. Запазете направените промени.

    Източник: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Директно в Exchange

И накрая, има и възможност да деактивирате AMSI чрез директна промяна на web.config за MAPIoverHTTP и RPCoverHTTP на сървъра с инсталиран Exchange. Това решение вече не се препоръчва. Затова използвайте само посочените по-горе варианти или варианта чрез PowerShell. 

При PowerShell се стартира Exchange Management Shell (PowerShell с разширения на Exchange)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Така се задават съответните настройки и IIS се рестартира. По този начин проблемът се решава временно до излизането на окончателна корекция. 

Източник: https://support.sophos.com/support/s/article/KB-000042460 
Източник: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371