Integrace AMSI (Antimalware Scan Interface), která měla v Exchange 2016 CU21 a Exchange 2019 CU10 zajistit lepší ochranu, nyní bohužel způsobuje závažné problémy při používání Exchange v kombinaci s různými antivirovými programy.
Dochází například k nekonečnému načítání při otevírání i při práci v Outlooku, ke zpožděnému odesílání e-mailů, a dokonce i k úplné ztrátě připojení k serveru Exchange.
Jedno je jasné – takhle se pracovat nedá.
Někteří dodavatelé antivirových řešení naštěstí byli připraveni, a tak lze AMSI vypnout. Na příkladech řešení Sophos, McAfee, Bitdefender a Kaspersky si ukážeme, jak tyto problémy vyřešit.
Dále se podíváme na to, jak tuto funkci vypnout úpravou souboru web.config na serveru Exchange.
Sophos
V řešení Sophos lze AMSI vypnout dvěma způsoby. Buď přímo v aplikaci na klientském počítači, což je ale velmi nepraktické, pokud spravujete více instalací. Nebo centrálně prostřednictvím rozhraní pro správu Sophos Central.
1. Na koncovém zařízení: Ani při vypínání na koncovém zařízení se neobejdete bez Sophos Central. Nejprve je totiž nutné v Sophos Central vypnout ochranu před neoprávněnými změnami (Tamper Protection) pro dané zařízení. V přehledu stačí přejít dolů do části Tamper Protection a kliknout na "View password details". Zobrazené heslo si zatím zkopírujte.
Poté na počítači, kde je Sophos nainstalován, klikněte na ikonu Sophos vpravo dole na hlavním panelu. V části pro přihlášení správce pak zadejte heslo, které jste zkopírovali ze Sophos Central.
Nyní můžete v části „Nastavení“ v pravém dolním rohu vypnout ochranu AMSI.
(V Sophos Central v části „Server -> Policies -> Threat Protection“ vypněte „AMSI Protection (Windows)“.)
Poté přejděte níže k položce „AMSI Protection“ a vypněte ji.
Poté přejděte níže k položce „AMSI Protection“ a vypněte ji.
Teď už stačí jen kliknout v pravém horním rohu na „Save“ a můžete s Outlookem opět pracovat tak, jak jste zvyklí.
McAfee
Také do McAfee Endpoint Security přibyla v nastavení položka, která umožňuje vypnout ochranu AMSI.
Bitdefender
U Bitdefenderu je nutné tyto změny provést prostřednictvím Gravityzone, protože samostatná položka pro AMSI zde zcela chybí. Lze pouze vypnout veškerou ochranu proti malwaru při přístupu a spouštění (Advanced Thread Control) a pokročilou ochranu před zneužitím zranitelností. Doporučujeme vytvořit pro server samostatný profil Exchange a v něm ochranu vypnout, dokud nebude k dispozici oprava.
Kaspersky
Zapnutí a vypnutí ochrany AMSI
Ochrana AMSI je ve výchozím nastavení zapnutá.
Chcete-li zapnout nebo vypnout ochranu AMSI, postupujte následovně:
- V dolní části hlavního okna programu klikněte na tlačítko
. - V okně nastavení programu vyberte část Ochrana → Základní ochrana → Ochrana AMSI.
- Pomocí přepínače Ochrana AMSI tuto součást zapněte nebo vypněte.
- Uložte provedené změny.
Zdroj: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm
Přímo na serveru Exchange
Nakonec je tu ještě možnost deaktivovat AMSI přímou úpravou souboru web.config pro MAPIoverHTTP a RPCoverHTTP na serveru s nainstalovaným systémem Exchange. Toto řešení se však již nedoporučuje. Používejte proto výhradně výše uvedené postupy nebo variantu přes PowerShell.
Pokud zvolíte variantu přes PowerShell, spusťte Exchange Management Shell (PowerShell s rozšířeními pro Exchange)
[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force
Tím se provedou příslušná nastavení a restartuje se IIS. Problém je tak vyřešen do doby, než bude k dispozici definitivní oprava.
Zdroj: https://support.sophos.com/support/s/article/KB-000042460
Zdroj: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371