Η ενσωμάτωση του AMSI (Antimalware Scan Interface), η οποία υποτίθεται ότι θα παρείχε καλύτερη προστασία με τα Exchange 2016 CU21 και Exchange 2019 CU10, δυστυχώς προκαλεί πλέον σοβαρά προβλήματα όταν το Exchange χρησιμοποιείται σε συνδυασμό με διάφορα προγράμματα προστασίας από ιούς.
Για παράδειγμα, παρατηρούνται ατελείωτοι χρόνοι φόρτωσης κατά το άνοιγμα, αλλά και στο Outlook, καθυστερήσεις στην αποστολή μηνυμάτων ηλεκτρονικού ταχυδρομείου, ακόμη και πλήρης απώλεια σύνδεσης με τον διακομιστή Exchange.
Ένα είναι βέβαιο: έτσι δεν μπορεί κανείς να δουλέψει.
Ευτυχώς, ορισμένοι πάροχοι λογισμικού προστασίας από ιούς ήταν προετοιμασμένοι και προσφέρουν τη δυνατότητα απενεργοποίησης του AMSI. Εδώ θα μάθετε πώς να βάλετε τέλος σε αυτά τα προβλήματα, μέσα από παραδείγματα για τα Sophos, McAfee, Bitdefender και Kaspersky.
Επιπλέον, θα εξηγήσουμε πώς μπορείτε να απενεργοποιήσετε αυτή τη λειτουργία τροποποιώντας το αρχείο web.config του διακομιστή Exchange.
Sophos
Στο Sophos υπάρχουν δύο τρόποι για να απενεργοποιήσετε το AMSI. Ο πρώτος είναι απευθείας μέσω της εφαρμογής στον υπολογιστή-πελάτη, κάτι που όμως αποδεικνύεται ιδιαίτερα άβολο όταν έχετε να διαχειριστείτε πολλές εγκαταστάσεις. Ο δεύτερος είναι κεντρικά, μέσω του περιβάλλοντος διαχείρισης Sophos Central.
1. Στην τερματική συσκευή: Ακόμη και αν επιλέξετε την απενεργοποίηση στην τερματική συσκευή, θα χρειαστεί να χρησιμοποιήσετε το Sophos Central. Αρχικά, πρέπει να απενεργοποιήσετε στο Sophos Central την προστασία από παραποίηση (Tamper Protection) για τη συγκεκριμένη συσκευή. Για να το κάνετε αυτό, μετακινηθείτε προς τα κάτω στη σελίδα επισκόπησης μέχρι την ενότητα Tamper Protection και κάντε κλικ στο "View password details". Προς το παρόν, μπορείτε να αντιγράψετε τον κωδικό πρόσβασης.
Στη συνέχεια, στον υπολογιστή όπου είναι εγκατεστημένο το Sophos, κάντε κλικ στο εικονίδιο του Sophos κάτω δεξιά στη γραμμή εργασιών. Από εκεί, στην ενότητα σύνδεσης διαχειριστή, μπορείτε να πληκτρολογήσετε τον κωδικό πρόσβασης που αντιγράψατε από το Sophos Central.
Τώρα μπορείτε να απενεργοποιήσετε την προστασία AMSI από τις «Ρυθμίσεις», στην κάτω δεξιά γωνία.
(Στο Sophos Central, στην ενότητα «Server -> Policies -> Threat Protection», απενεργοποιήστε την επιλογή «AMSI Protection (Windows)».)
Στη συνέχεια, μετακινηθείτε προς τα κάτω μέχρι την επιλογή «AMSI Protection» και απενεργοποιήστε την.
Στη συνέχεια, μετακινηθείτε προς τα κάτω μέχρι την επιλογή «AMSI Protection» και απενεργοποιήστε την.
Το μόνο που απομένει είναι να κάνετε κλικ στο «Save» στην επάνω δεξιά γωνία, ώστε να μπορείτε να εργαστείτε ξανά κανονικά με το Outlook.
McAfee
Στο McAfee Endpoint Security έχει επίσης προστεθεί στις ρυθμίσεις μια επιλογή που σας επιτρέπει να απενεργοποιήσετε την προστασία AMSI.
Bitdefender
Στο Bitdefender, οι αλλαγές αυτές πρέπει να γίνουν μέσω του Gravityzone, καθώς δεν υπάρχει ξεχωριστή επιλογή για το AMSI. Μπορείτε μόνο να απενεργοποιήσετε πλήρως την προστασία από κακόβουλο λογισμικό κατά την πρόσβαση και την εκτέλεση (Advanced Thread Control), καθώς και την προηγμένη προστασία από την εκμετάλλευση ευπαθειών. Συνιστάται να δημιουργήσετε ένα ξεχωριστό προφίλ Exchange για τον διακομιστή και να απενεργοποιήσετε εκεί την προστασία μέχρι να διατεθεί η διόρθωση.
Kaspersky
Ενεργοποίηση και απενεργοποίηση της «Προστασίας AMSI»
Η «Προστασία AMSI» είναι ενεργοποιημένη από προεπιλογή.
Για να ενεργοποιήσετε ή να απενεργοποιήσετε την «Προστασία AMSI», ακολουθήστε τα παρακάτω βήματα:
- Στο κάτω μέρος του κύριου παραθύρου του προγράμματος, κάντε κλικ στο κουμπί
. - Στο παράθυρο ρυθμίσεων του προγράμματος, επιλέξτε την ενότητα Προστασία → Βασική προστασία → Προστασία AMSI.
- Χρησιμοποιήστε τον διακόπτη Προστασία AMSI για να ενεργοποιήσετε ή να απενεργοποιήσετε το στοιχείο.
- Αποθηκεύστε τις αλλαγές που κάνατε.
Πηγή: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm
Απευθείας στον Exchange
Τέλος, υπάρχει και η δυνατότητα να τροποποιήσετε απευθείας το αρχείο web.config για τα MAPIoverHTTP και RPCoverHTTP στον διακομιστή όπου είναι εγκατεστημένος ο Exchange, ώστε να απενεργοποιήσετε το AMSI. Ωστόσο, αυτή η λύση δεν συνιστάται πλέον. Επομένως, χρησιμοποιήστε αποκλειστικά τις μεθόδους που αναφέρονται παραπάνω ή τη μέθοδο μέσω Powershell.
Στην περίπτωση του Powershell, εκκινείται το Exchange Management Shell (Powershell με επεκτάσεις Exchange)
[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force
Με αυτόν τον τρόπο εφαρμόζονται οι καταχωρίσεις και γίνεται επανεκκίνηση του IIS. Έτσι, το πρόβλημα αντιμετωπίζεται προσωρινά, μέχρι να διατεθεί η οριστική διόρθωση.
Πηγή: https://support.sophos.com/support/s/article/KB-000042460
Πηγή: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371