Skip to Content

Uus AMSI värskendus põhjustab Exchange 2016 CU21 ja Exchange 2019 CU10 puhul tõsiseid probleeme

AMSI viirusetõrjeliidese värskenduse tõttu hangub Outlook, e-kirju ei saadeta välja ja tekivad ühendusprobleemid
21. juuli 2021 by
Dominic Schnur

AMSI (Antimalware Scan Interface) integreerimine, mis pidi Exchange 2016 CU21 ja Exchange 2019 CU10 puhul pakkuma paremat kaitset, põhjustab nüüd paraku tõsiseid probleeme, kui Exchange’i kasutatakse koos mitmesuguste viirusetõrjeprogrammidega.

Näiteks venivad laadimisajad avamisel ja ka Outlookis lõputult pikaks, meilide saatmine viibib ning ühendus Exchange’i serveriga võib sootuks katkeda. 

Üks on selge – nii ei saa tööd teha.

Õnneks olid mõned viirusetõrjetarkvara pakkujad selleks valmis ja pakuvad võimalust AMSI välja lülitada. Järgnevalt näitame Sophose, McAfee, Bitdefenderi ja Kaspersky näitel, kuidas neile probleemidele lõpp teha.
Lisaks selgitame, kuidas selle funktsiooni saab välja lülitada Exchange’i serveri faili web.config muutmisega.

Sophos

Sophose puhul on AMSI väljalülitamiseks kaks võimalust. Seda saab teha otse klientarvuti rakenduses, kuid mitme paigalduse haldamisel osutub see väga ebapraktiliseks. Teine võimalus on teha seda keskselt Sophos Centrali haldusliidese kaudu. 

Odoo • Tekst ja pilt

1. Lõppseadmes: Ka AMSI väljalülitamiseks lõppseadmes tuleb kasutada Sophos Centralit. Kõigepealt tuleb seal vastava seadme jaoks välja lülitada muutmisvastane kaitse (Tamper Protection). Selleks kerige ülevaatelehel alla jaotiseni Tamper Protection ja klõpsake valikul "View password details". Kopeerige kuvatud parool.
Seejärel klõpsake arvutis, kuhu Sophos on paigaldatud, tegumiriba paremas alanurgas Sophose ikoonil. Seal saate administraatorina sisselogimise jaotises sisestada Sophos Centralist kopeeritud parooli.

Odoo • Pilt ja tekst

Nüüd saate paremas alanurgas jaotises „Seaded“ AMSI-kaitse välja lülitada.

Odoo • Pilt ja tekst

2. Sophos Centralis: Kui soovite rakendada seda seadistust kogu taristus ja lülitada kaitse välja püsivalt, mitte ainult ajutiselt, lugege edasi, milliseid poliitikaid selleks muuta tuleb.
Kõigepealt klõpsake navigeerimismenüüs valikul „Server Protection“, sest soovime muuta just serverikaitse poliitikaid. Seejärel klõpsake poliitikate avamiseks valikul „Policies“.

(Lülitage Sophos Centralis jaotises „Server -> Policies -> Threat Protection“ välja „AMSI Protection (Windows)“.)
Odoo • Pilt ja tekst
Odoo • Pilt ja tekst
Muuta tuleb poliitikat, mis on jaotises „Threat Protection“ märgitud olekuga „Enforced“.
Odoo • Pilt ja tekst
Pärast vastaval poliitikal klõpsamist avage selle seaded. Kui kasutate vaikepoliitikat, on valiku „Use recommended settinge“ juures sinine linnuke. Seadete muutmiseks tuleb see esmalt eemaldada.
Seejärel kerige alla valikuni „AMSI Protection“ ja lülitage see välja.
Pärast vastaval poliitikal klõpsamist avage selle seaded. Kui kasutate vaikepoliitikat, on valiku „Use recommended settinge“ juures sinine linnuke. Seadete muutmiseks tuleb see esmalt eemaldada.
Seejärel kerige alla valikuni „AMSI Protection“ ja lülitage see välja.
Odoo • Pilt ja tekst

Nüüd tuleb vaid klõpsata paremas ülanurgas nupul „Save“ ja saate Outlookis taas tavapäraselt töötada.

McAfee

Ka McAfee Endpoint Security seadete hulka on lisatud valik, millega saab AMSI-kaitse välja lülitada.

Odoo • Pilt ja tekst

Bitdefender

Bitdefenderi puhul tuleb need muudatused teha Gravityzone’i kaudu, sest eraldi AMSI seadistus siin puudub. Välja saab lülitada vaid kogu juurdepääsu- ja käivitusaegse pahavarakaitse (Advanced Thread Control) ning täiustatud kaitse turvaaukude ärakasutamise eest. Soovitatav on luua serveri jaoks eraldi Exchange’i profiil ja lülitada selles kaitse kuni paranduse ilmumiseni välja.

Kaspersky


AMSI-kaitse sisse- ja väljalülitamine


AMSI-kaitse on vaikimisi sisse lülitatud.

AMSI-kaitse sisse- või väljalülitamiseks toimige järgmiselt:

  1. Klõpsake programmi peaakna allosas olevat nuppu icon_settings.png.
  2. Valige programmi seadete aknas jaotis Kaitse → Põhikaitse → AMSI-kaitse.
  3. Komponendi sisse- või väljalülitamiseks kasutage lülitit AMSI-kaitse.
  4. Salvestage tehtud muudatused.

    Allikas: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Otse Exchange’i serveris

Viimase võimalusena saab AMSI keelamiseks muuta ka MAPIoverHTTP ja RPCoverHTTP faili web.config otse serveris, kuhu Exchange on installitud. Seda lahendust enam ei soovitata. Seega kasutage ainult eespool nimetatud variante või PowerShelli kaudu tehtavat lahendust. 

PowerShelli kasutamisel käivitage Exchange Management Shell (Exchange’i laiendustega PowerShell)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Nende käskudega lisatakse vajalikud kirjed ja taaskäivitatakse IIS. Sellega on probleem kuni lõpliku paranduse ilmumiseni lahendatud. 

Allikas: https://support.sophos.com/support/s/article/KB-000042460 
Allikas: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371