Preskoči na sadržaj

Novo ažuriranje AMSI-ja uzrokuje ozbiljne probleme u Exchange 2016 CU21 i Exchange 2019 CU10

Outlook se zamrzava, e-poruke se ne šalju i dolazi do problema s povezivanjem zbog ažuriranja antivirusnog interfejsa AMSI
21. juli 2021. by
Dominic Schnur

Integracija AMSI-ja (Antimalware Scan Interface), koja je uz Exchange 2016 CU21 i Exchange 2019 CU10 trebala pružiti bolju zaštitu, sada, nažalost, uzrokuje ozbiljne probleme kada se Exchange koristi u kombinaciji s različitim antivirusnim programima.

Tako, naprimjer, dolazi do izuzetno dugog učitavanja pri otvaranju, kao i u Outlooku, kašnjenja pri slanju e-pošte, pa čak i potpunog gubitka veze s Exchange serverom. 

Jasno je – ovako se ne može raditi.

Srećom, neki proizvođači antivirusnih programa bili su spremni, pa postoji mogućnost deaktiviranja AMSI-ja. Ovdje ćete na primjerima programa Sophos, McAfee, Bitdefender i Kaspersky saznati kako riješiti ove probleme.
Osim toga, objasnit ćemo kako se ova funkcija može deaktivirati izmjenom datoteke web.config na Exchange serveru.

Sophos

U Sophosu postoje dva načina za deaktiviranje AMSI-ja. Prvi je direktno putem aplikacije na klijentskom računaru, što se, međutim, pokazuje vrlo nepraktičnim kada je riječ o većem broju instalacija. Drugi je centralno deaktiviranje putem upravljačkog interfejsa Sophos Central. 

Odoo • Tekst i slika

1. Na krajnjem uređaju: Čak i ako AMSI deaktivirate na krajnjem uređaju, ipak ćete morati koristiti Sophos Central. Naime, prvo u Sophos Central morate deaktivirati zaštitu od neovlaštenih izmjena (Tamper Protection) za odgovarajući uređaj. Da biste to uradili, na stranici pregleda pomaknite se prema dolje do odjeljka Tamper Protection i kliknite na "View password details". Zasad možete kopirati prikazanu lozinku.
Zatim na računaru na kojem je Sophos instaliran kliknite na ikonu Sophosa u donjem desnom uglu programske trake. Tamo u odjeljku za administratorsku prijavu možete unijeti lozinku koju ste kopirali iz Sophos Central.

Odoo • Slika i tekst

Sada u odjeljku "Postavke", u donjem desnom uglu, možete onemogućiti AMSI zaštitu.

Odoo • Slika i tekst

2. U konzoli Sophos Central: Ako ovu postavku želite primijeniti na cijelu infrastrukturu, a ne samo privremeno onemogućiti zaštitu, u nastavku ćete saznati koja pravila trebate ažurirati da biste to omogućili.
Prvo u navigaciji kliknite na "Server Protection", jer želimo urediti pravila zaštite servera. Zatim kliknite na "Policies" da biste otvorili pravila.

(U konzoli Sophos Central, u odjeljku "Server -> Policies -> Threat Protection", onemogućite "AMSI Protection (Windows)".)
Odoo • Slika i tekst
Odoo • Slika i tekst
Pravilo koje želimo urediti je ono koje je u odjeljku "Threat Protection" označeno kao "Enforced".
Odoo • Slika i tekst
Nakon što kliknete na odgovarajuće pravilo, otvorite njegove postavke. Ako koristite zadano pravilo, opcija "Use recommended settinge" bit će označena plavom kvačicom. Prvo uklonite tu kvačicu kako biste mogli uređivati postavke.
Nakon toga pomaknite se prema dolje do opcije "AMSI Protection" i onemogućite je.
Nakon što kliknete na odgovarajuće pravilo, otvorite njegove postavke. Ako koristite zadano pravilo, opcija "Use recommended settinge" bit će označena plavom kvačicom. Prvo uklonite tu kvačicu kako biste mogli uređivati postavke.
Nakon toga pomaknite se prema dolje do opcije "AMSI Protection" i onemogućite je.
Odoo • Slika i tekst

Sada samo trebate kliknuti na "Save" u gornjem desnom uglu i ponovo možete nesmetano raditi u Outlooku.

McAfee

I u McAfee Endpoint Security je naknadno dodana opcija u postavkama kojom se može onemogućiti AMSI zaštita.

Odoo • Slika i tekst

Bitdefender

Kod Bitdefendera ove izmjene morate izvršiti putem Gravityzonea jer zasebna opcija za AMSI uopće ne postoji. Moguće je samo potpuno isključiti zaštitu od zlonamjernog softvera pri pristupu i izvršavanju (Advanced Thread Control), kao i naprednu zaštitu od iskorištavanja ranjivosti. Preporučuje se da za server kreirate zaseban Exchange profil i u njemu isključite zaštitu dok ne bude dostupna ispravka.

Kaspersky


Uključivanje i isključivanje opcije "AMSI zaštita"


Opcija "AMSI zaštita" uključena je prema zadanim postavkama.

Da biste uključili ili isključili opciju "AMSI zaštita", slijedite ove korake:

  1. U donjem dijelu glavnog prozora programa kliknite na dugme icon_settings.png.
  2. U prozoru s postavkama programa odaberite odjeljak Zaštita → Osnovna zaštita → AMSI zaštita.
  3. Pomoću prekidača AMSI zaštita uključite ili isključite komponentu.
  4. Sačuvajte unesene izmjene.

    Izvor: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Direktno na Exchange serveru

Na kraju, AMSI možete onemogućiti i direktnim izmjenama datoteke web.config za MAPIoverHTTP i RPCoverHTTP na serveru na kojem je instaliran Exchange. Ovo rješenje se više ne preporučuje. Stoga koristite isključivo prethodno navedene metode ili metodu putem Powershella. 

Ako koristite Powershell, pokrenite Exchange Management Shell (Powershell s proširenjima za Exchange)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Time se postavljaju odgovarajući unosi i ponovo pokreće IIS. Tako je problem riješen do objave konačne ispravke. 

Izvor: https://support.sophos.com/support/s/article/KB-000042460 
Izvor: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371