La integración de AMSI (Antimalware Scan Interface), que debía ofrecer una mayor protección con Exchange 2016 CU21 y Exchange 2019 CU10, está provocando, por desgracia, graves problemas cuando se utiliza Exchange junto con distintos programas antivirus.
Por ejemplo, se producen tiempos de carga interminables al abrir la aplicación y también en Outlook, retrasos en el envío de correos e incluso la pérdida total de la conexión con el servidor de Exchange.
Una cosa está clara: así no se puede trabajar.
Afortunadamente, algunos proveedores de antivirus estaban preparados y ofrecen la posibilidad de desactivar AMSI. Aquí le explicamos cómo poner fin a estos problemas con algunos ejemplos de Sophos, McAfee, Bitdefender y Kaspersky.
Además, veremos cómo desactivar esta función modificando el archivo web.config del servidor de Exchange.
Sophos
En Sophos hay dos formas de desactivar AMSI. La primera es hacerlo directamente desde la aplicación en el equipo cliente, aunque resulta muy poco práctico cuando hay que gestionar varias instalaciones. La otra opción es hacerlo de forma centralizada desde la consola de administración de Sophos Central.
1. En el endpoint: Incluso si desactiva AMSI en el endpoint, tendrá que acceder a Sophos Central. Lo primero que debe hacer allí es desactivar la protección contra manipulaciones del dispositivo correspondiente. Para ello, desplácese hacia abajo en la vista general hasta la sección de protección contra manipulaciones y haga clic en "Ver detalles de la contraseña". Copie la contraseña para utilizarla más adelante.
A continuación, en el PC donde está instalado Sophos, haga clic en el icono de Sophos situado en la parte inferior derecha de la barra de tareas. En el apartado de inicio de sesión de administrador, introduzca la contraseña que ha copiado de Sophos Central.
Ahora puede desactivar la protección AMSI en "Configuración", en la esquina inferior derecha.
(En Sophos Central, en "Server -> Policies -> Threat Protection", desactive "AMSI Protection (Windows)".)
Una vez hecho esto, desplácese hacia abajo hasta la opción "AMSI Protection" y desactívela.
Una vez hecho esto, desplácese hacia abajo hasta la opción "AMSI Protection" y desactívela.
Ahora solo tiene que hacer clic en "Save", en la esquina superior derecha, y volver a trabajar con Outlook como de costumbre.
McAfee
McAfee Endpoint Security también ha incorporado una opción en Configuración que permite desactivar la protección AMSI.
Bitdefender
En Bitdefender, estos cambios deben realizarse a través de Gravityzone, ya que no existe ninguna opción específica para AMSI. Solo se puede desactivar por completo la protección contra malware en los apartados de acceso, ejecución (Advanced Thread Control) y protección avanzada contra exploits. Se recomienda crear un perfil de Exchange independiente para el servidor y desactivar la protección en él hasta que se publique una solución.
Kaspersky
Activar y desactivar la "Protección AMSI"
La "Protección AMSI" está activada de forma predeterminada.
Para activar o desactivar la "Protección AMSI", siga estos pasos:
- En la parte inferior de la ventana principal del programa, haga clic en el botón
. - En la ventana de configuración del programa, seleccione la sección Protección → Protección básica → Protección AMSI.
- Utilice el interruptor Protección AMSI para activar o desactivar el componente.
- Guarde los cambios realizados.
Fuente: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm
Directamente en Exchange
Por último, también existe la posibilidad de modificar directamente el archivo web.config de MAPIoverHTTP y RPCoverHTTP en el servidor donde está instalado Exchange para desactivar AMSI. Esta solución ya no se recomienda. Por lo tanto, utilice únicamente las opciones mencionadas anteriormente o el método mediante PowerShell.
Si opta por PowerShell, abra Exchange Management Shell (PowerShell con las extensiones de Exchange)
[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force
De este modo, se configuran las entradas y se reinicia IIS. Así, el problema queda resuelto hasta que haya una solución definitiva.
Fuente: https://support.sophos.com/support/s/article/KB-000042460
Fuente: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371