Ves al contingut

Una nova actualització d’AMSI provoca problemes greus a Exchange 2016 CU21 i Exchange 2019 CU10

Outlook es penja, els correus no s’envien i es produeixen problemes de connexió arran d’una actualització de la interfície antivirus AMSI
21 de juliol de 2021 per
Dominic Schnur

La integració d'AMSI (Antimalware Scan Interface), que en principi havia d'oferir més protecció amb Exchange 2016 CU21 i Exchange 2019 CU10, malauradament està provocant problemes greus quan s'utilitza Exchange en combinació amb diversos programes antivirus.

Així, per exemple, es produeixen temps de càrrega interminables en obrir-lo i també a l'Outlook, retards en l'enviament de correus i fins i tot la pèrdua total de la connexió amb el servidor Exchange. 

Una cosa és clara: així no es pot treballar.

Afortunadament, alguns proveïdors d'antivirus estaven preparats i ofereixen la possibilitat de desactivar AMSI. Aquí us expliquem com posar fi a aquests problemes amb alguns exemples de Sophos, McAfee, Bitdefender i Kaspersky.
A més, també veurem com desactivar aquesta funció modificant el fitxer web.config del servidor Exchange.

Sophos

Amb Sophos hi ha dues maneres de desactivar AMSI. La primera és fer-ho directament des de l'aplicació del client, però això resulta molt poc pràctic quan cal gestionar diverses instal·lacions. L'altra és fer-ho de manera centralitzada des de la interfície d'administració de Sophos Central. 

Odoo • Text i imatge

1. Al dispositiu final: Encara que desactiveu AMSI al dispositiu final, també haureu de passar per Sophos Central. Primer de tot, hi heu de desactivar la protecció contra manipulacions del dispositiu corresponent. Per fer-ho, només cal que desplaceu la pàgina de resum cap avall fins a l'apartat de protecció contra manipulacions i feu clic a "View password details". De moment, podeu copiar la contrasenya.
A continuació, a l'ordinador on està instal·lat Sophos, feu clic a la icona de Sophos situada a la part inferior dreta de la barra de tasques. A l'apartat d'inici de sessió com a administrador, introduïu la contrasenya que heu copiat de Sophos Central.

Odoo • Imatge i text

Ara podeu desactivar la protecció AMSI a «Configuració», a l'extrem inferior dret.

Odoo • Imatge i text

2. A Sophos Central: Si voleu aplicar aquesta configuració a tota la infraestructura i no desactivar la protecció només temporalment, a continuació us expliquem quines polítiques heu d'actualitzar per fer-ho.
Primer, feu clic a «Server Protection» al menú de navegació, ja que són les polítiques d'aquest apartat les que volem editar. A continuació, feu clic a «Policies» per accedir a les polítiques.

(A Sophos Central, a «Server -> Policies -> Threat Protection», desactiveu «AMSI Protection (Windows)».)
Odoo • Imatge i text
Odoo • Imatge i text
La política que volem editar és la que apareix marcada com a «Enforced» a «Threat Protection».
Odoo • Imatge i text
Un cop hàgiu fet clic a la política corresponent, accediu a la seva configuració. Si feu servir la política predeterminada, veureu que l'opció «Use recommended settinge» té una marca blava. Primer cal desmarcar-la per poder editar la configuració.
Un cop fet això, desplaceu-vos cap avall fins a l'opció «AMSI Protection» i desactiveu-la.
Un cop hàgiu fet clic a la política corresponent, accediu a la seva configuració. Si feu servir la política predeterminada, veureu que l'opció «Use recommended settinge» té una marca blava. Primer cal desmarcar-la per poder editar la configuració.
Un cop fet això, desplaceu-vos cap avall fins a l'opció «AMSI Protection» i desactiveu-la.
Odoo • Imatge i text

Ara només cal fer clic a «Save», a l'extrem superior dret, per tornar a treballar amb Outlook com sempre.

McAfee

A McAfee Endpoint Security també s'ha afegit una opció a la configuració que permet desactivar la protecció AMSI.

Odoo • Imatge i text

Bitdefender

En el cas de Bitdefender, aquests canvis s’han de fer a través de Gravityzone, ja que no hi ha cap opció específica per a AMSI. Només es pot desactivar tota la protecció contra programari maliciós en les opcions d’accés, execució (Advanced Thread Control) i protecció avançada contra exploits. Es recomana crear un perfil d’Exchange independent per al servidor i desactivar-hi la protecció fins que es publiqui una correcció.

Kaspersky


Activar i desactivar la «Protecció AMSI»


La «Protecció AMSI» està activada per defecte.

Per activar o desactivar la «Protecció AMSI», seguiu aquests passos:

  1. A la part inferior de la finestra principal del programa, feu clic al botó icon_settings.png.
  2. A la finestra de configuració del programa, seleccioneu l’apartat Protecció → Protecció bàsica → Protecció AMSI.
  3. Feu servir l’interruptor Protecció AMSI per activar o desactivar el component.
  4. Deseu els canvis que heu fet.

    Font: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Directament a Exchange

Finalment, també hi ha la possibilitat de modificar directament el fitxer web.config de MAPIoverHTTP i RPCoverHTTP al servidor on està instal·lat Exchange per desactivar AMSI. Aquesta solució ja no es recomana. Per tant, utilitzeu únicament les opcions esmentades anteriorment o el mètode amb Powershell. 

Si opteu per Powershell, obriu l'Exchange Management Shell (Powershell amb extensions d'Exchange)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Això estableix les entrades i reinicia IIS. D'aquesta manera, el problema queda resolt fins que es publiqui una correcció definitiva. 

Font: https://support.sophos.com/support/s/article/KB-000042460 
Font: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371