Siirry sisältöön

Uusi AMSI-päivitys aiheuttaa vakavia ongelmia Exchange 2016 CU21:ssä ja Exchange 2019 CU10:ssä

Outlook jumittuu, sähköpostit eivät lähde ja yhteyksissä ilmenee ongelmia AMSI-virustorjuntarajapinnan päivityksen vuoksi
21. heinäkuuta 2021 kirjoittanut
Dominic Schnur

AMSI:n (Antimalware Scan Interface) integroinnilla Exchange 2016 CU21:een ja Exchange 2019 CU10:een oli tarkoitus parantaa suojausta. Valitettavasti se aiheuttaa kuitenkin vakavia ongelmia, kun Exchangea käytetään yhdessä eri virustorjuntaohjelmien kanssa.

Ongelmia ovat esimerkiksi loputtoman pitkät latausajat avaamisen yhteydessä ja Outlookissa, sähköpostien lähetysviiveet ja jopa Exchange-palvelinyhteyden katkeaminen kokonaan. 

Yksi asia on selvä: näin ei voi työskennellä.

Onneksi osa virustorjuntaohjelmistojen toimittajista oli varautunut tilanteeseen, joten AMSI:n voi poistaa käytöstä. Näytämme Sophosin, McAfeen, Bitdefenderin ja Kasperskyn avulla, miten näistä ongelmista pääsee eroon.
Lisäksi kerromme, miten toiminnon voi poistaa käytöstä muokkaamalla Exchange-palvelimen web.config-tiedostoa.

Sophos

Sophosissa AMSI:n voi poistaa käytöstä kahdella tavalla. Sen voi tehdä suoraan asiakaslaitteen sovelluksessa, mutta tämä on varsin epäkäytännöllistä, jos asennuksia on useita. Toinen vaihtoehto on tehdä se keskitetysti Sophos Central -hallintaliittymässä. 

Odoo • Teksti ja kuva

1. Päätelaitteella: Vaikka poistaisit AMSI:n käytöstä suoraan päätelaitteella, sinun on silti käytettävä myös Sophos Centralia. Ensin sinun on nimittäin poistettava kyseisen laitteen peukalointisuojaus (Tamper Protection) käytöstä Sophos Centralissa. Vieritä yleisnäkymää alaspäin Tamper Protection -kohtaan ja napsauta "View password details". Kopioi salasana talteen.
Napsauta sitten Sophos-kuvaketta tehtäväpalkin oikeassa alakulmassa sillä tietokoneella, johon ohjelmisto on asennettu. Syötä järjestelmänvalvojan kirjautumiskohdassa Sophos Centralista kopioimasi salasana.

Odoo • Kuva ja teksti

Nyt voit poistaa AMSI-suojauksen käytöstä oikean alakulman Asetukset-kohdassa.

Odoo • Kuva ja teksti

2. Sophos Centralissa: Jos haluat ottaa asetuksen käyttöön koko infrastruktuurissa etkä poistaa suojausta käytöstä vain tilapäisesti, seuraavassa kerrotaan, mitä käytäntöjä sinun on päivitettävä.
Napsauta ensin navigointivalikosta "Server Protection", sillä tarkoitus on muokata palvelinsuojauksen käytäntöjä. Avaa sitten käytännöt napsauttamalla "Policies".

(Poista Sophos Centralissa "AMSI Protection (Windows)" käytöstä kohdassa "Server -> Policies -> Threat Protection".)
Odoo • Kuva ja teksti
Odoo • Kuva ja teksti
Muokattava käytäntö on se, joka on merkitty Threat Protection -kohdassa tilaan "Enforced".
Odoo • Kuva ja teksti
Kun olet napsauttanut haluamaasi käytäntöä, avaa sen asetukset. Jos käytät oletuskäytäntöä, kohdassa "Use recommended settinge" on sininen valintamerkki. Poista ensin tämä valinta, jotta voit muokata asetuksia.
Vieritä sitten alaspäin kohtaan "AMSI Protection" ja poista se käytöstä.
Kun olet napsauttanut haluamaasi käytäntöä, avaa sen asetukset. Jos käytät oletuskäytäntöä, kohdassa "Use recommended settinge" on sininen valintamerkki. Poista ensin tämä valinta, jotta voit muokata asetuksia.
Vieritä sitten alaspäin kohtaan "AMSI Protection" ja poista se käytöstä.
Odoo • Kuva ja teksti

Nyt sinun tarvitsee vain napsauttaa oikeasta yläkulmasta "Save", ja voit taas käyttää Outlookia tavalliseen tapaan.

McAfee

Myös McAfee Endpoint Securityn asetuksiin on lisätty kohta, josta AMSI-suojauksen voi poistaa käytöstä.

Odoo • Kuva ja teksti

Bitdefender

Bitdefenderissä nämä muutokset on tehtävä Gravityzonen kautta, sillä erillistä AMSI-asetusta ei ole lainkaan. Haittaohjelmasuojauksen voi poistaa käytöstä vain kokonaan tiedostojen käytön ja suorittamisen (Advanced Thread Control) sekä laajennetun hyväksikäyttösuojauksen osalta. Palvelimelle kannattaa luoda erillinen Exchange-profiili ja poistaa suojaus siinä käytöstä, kunnes korjaus on saatavilla.

Kaspersky


AMSI-suojauksen ottaminen käyttöön ja poistaminen käytöstä


AMSI-suojaus on oletusarvoisesti käytössä.

Voit ottaa AMSI-suojauksen käyttöön tai poistaa sen käytöstä seuraavasti:

  1. Napsauta ohjelman pääikkunan alareunassa olevaa painiketta icon_settings.png.
  2. Valitse ohjelman asetusikkunassa Suojaus → Perussuojaus → AMSI-suojaus.
  3. Ota komponentti käyttöön tai poista se käytöstä AMSI-suojaus-kytkimellä.
  4. Tallenna tekemäsi muutokset.

    Lähde: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Suoraan Exchange-palvelimella

AMSI:n voi poistaa käytöstä myös muokkaamalla MAPIoverHTTP:n ja RPCoverHTTP:n web.config-tiedostoja suoraan palvelimella, jolle Exchange on asennettu. Tätä ratkaisua ei kuitenkaan enää suositella. Käytä siis vain edellä mainittuja vaihtoehtoja tai PowerShell-menetelmää. 

Jos käytät PowerShell-menetelmää, käynnistä Exchange Management Shell (PowerShell, jossa on Exchange-laajennukset)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Komennot määrittävät asetukset ja käynnistävät IIS:n uudelleen. Näin ongelma on ratkaistu, kunnes lopullinen korjaus on saatavilla. 

Lähde: https://support.sophos.com/support/s/article/KB-000042460 
Lähde: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371