Gå til indhold

Ny AMSI-opdatering giver alvorlige problemer med Exchange 2016 CU21 og Exchange 2019 CU10

Outlook fryser, mails bliver ikke sendt, og der opstår forbindelsesproblemer på grund af en opdatering af AMSI-antivirusgrænsefladen
21. juli 2021 af
Dominic Schnur

Integrationen af AMSI (Antimalware Scan Interface), som egentlig skulle give bedre beskyttelse i Exchange 2016 CU21 og Exchange 2019 CU10, medfører nu desværre alvorlige problemer, når Exchange bruges sammen med forskellige antivirusprogrammer.

Det giver for eksempel ekstremt lange indlæsningstider ved opstart og i Outlook, forsinkelser ved afsendelse af mails og i værste fald fuldstændigt tab af forbindelsen til Exchange-serveren. 

Én ting er sikkert: Sådan kan man ikke arbejde.

Heldigvis var nogle antivirusleverandører forberedt, så det er muligt at deaktivere AMSI. Her viser vi med eksempler fra Sophos, McAfee, Bitdefender og Kaspersky, hvordan du kan sætte en stopper for problemerne.
Vi gennemgår også, hvordan funktionen kan deaktiveres ved at ændre i Exchange-serverens web.config.

Sophos

I Sophos er der to måder at deaktivere AMSI på. Enten direkte i applikationen på klienten, hvilket dog viser sig at være meget upraktisk, så snart man har flere installationer at håndtere. Eller centralt via administrationsgrænsefladen i Sophos Central. 

Odoo • Tekst og billede

1. På endpointet: Selv hvis du deaktiverer AMSI på endpointet, kommer du ikke uden om Sophos Central. Først skal du nemlig deaktivere Tamper Protection for den pågældende enhed i Sophos Central. Det gør du ved at rulle ned til Tamper Protection i oversigten og klikke på "View password details". Kopiér adgangskoden, så du har den klar.
Klik derefter på Sophos-ikonet nederst til højre på proceslinjen på den pc, hvor programmet er installeret. Under administratorlogin kan du så indtaste den adgangskode, du kopierede fra Sophos Central.

Odoo • Billede og tekst

Nu kan du deaktivere AMSI-beskyttelsen under "Indstillinger" i nederste højre hjørne.

Odoo • Billede og tekst

2. I Sophos Central: Hvis du vil udrulle indstillingen til hele infrastrukturen og ikke blot deaktivere beskyttelsen midlertidigt, kan du her se, hvilke politikker du skal opdatere for at gøre det.
Klik først på "Server Protection" i navigationsmenuen, da det er politikkerne her, vi vil redigere. Klik derefter på Policies for at åbne politikkerne.

(I Sophos Central skal du deaktivere "AMSI Protection (Windows)" under "Server -> Policies -> Threat Protection".)
Odoo • Billede og tekst
Odoo • Billede og tekst
Den politik, vi vil redigere, er den, der er markeret som "Enforced" under Threat Protection.
Odoo • Billede og tekst
Når du har klikket på den relevante politik, skal du åbne dens indstillinger. Hvis du bruger standardpolitikken, er der et blåt flueben ud for "Use recommended settinge". Du skal først fjerne fluebenet for at kunne redigere indstillingerne.
Når det er gjort, skal du blot rulle ned til "AMSI Protection" og deaktivere funktionen.
Når du har klikket på den relevante politik, skal du åbne dens indstillinger. Hvis du bruger standardpolitikken, er der et blåt flueben ud for "Use recommended settinge". Du skal først fjerne fluebenet for at kunne redigere indstillingerne.
Når det er gjort, skal du blot rulle ned til "AMSI Protection" og deaktivere funktionen.
Odoo • Billede og tekst

Nu skal du blot klikke på "Save" i øverste højre hjørne, så kan du igen arbejde i Outlook som normalt.

McAfee

I McAfee Endpoint Security er der også blevet tilføjet et punkt under Indstillinger, hvor du kan deaktivere AMSI-beskyttelsen.

Odoo • Billede og tekst

Bitdefender

I Bitdefender skal disse ændringer foretages via Gravityzone, da der slet ikke findes et særskilt punkt til AMSI. Man kan kun deaktivere hele malwarebeskyttelsen ved adgang og kørsel (Advanced Thread Control) samt den udvidede exploitbeskyttelse. Det anbefales at oprette en separat Exchange-profil til serveren og slå beskyttelsen fra i den, indtil der foreligger en rettelse.

Kaspersky


Aktivér og deaktivér "AMSI-beskyttelse"


"AMSI-beskyttelse" er som standard aktiveret.

Gør følgende for at aktivere eller deaktivere "AMSI-beskyttelse":

  1. Klik på knappen nederst i programmets hovedvindue icon_settings.png.
  2. Vælg afsnittet Beskyttelse → Grundlæggende beskyttelse → AMSI-beskyttelse i vinduet med programindstillinger.
  3. Brug kontakten AMSI-beskyttelse til at aktivere eller deaktivere komponenten.
  4. Gem ændringerne.

    Kilde: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Direkte i Exchange

Endelig er det også muligt at deaktivere AMSI ved at ændre direkte i web.config for MAPIoverHTTP og RPCoverHTTP på serveren med Exchange-installationen. Denne løsning anbefales dog ikke længere. Brug derfor kun de ovennævnte metoder eller metoden via Powershell. 

Hvis du bruger Powershell, skal du starte Exchange Management Shell (Powershell med Exchange-udvidelser)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Dette opretter indstillingerne og genstarter IIS. Dermed er problemet løst, indtil der kommer en permanent rettelse. 

Kilde: https://support.sophos.com/support/s/article/KB-000042460 
Kilde: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371