L’intégration d’AMSI (Antimalware Scan Interface), qui devait offrir une meilleure protection avec Exchange 2016 CU21 et Exchange 2019 CU10, entraîne malheureusement de graves problèmes lorsque Exchange est utilisé avec certains antivirus.
On constate par exemple des temps de chargement interminables à l’ouverture ainsi que dans Outlook, des retards dans l’envoi des e-mails, voire une perte totale de connexion au serveur Exchange.
Une chose est sûre : impossible de travailler dans ces conditions.
Heureusement, certains éditeurs d’antivirus avaient anticipé la situation et permettent de désactiver AMSI. Nous vous expliquons ici comment mettre fin à ces problèmes, en prenant pour exemples Sophos, McAfee, Bitdefender et Kaspersky.
Nous verrons également comment désactiver cette fonctionnalité en modifiant le fichier web.config du serveur Exchange.
Sophos
Avec Sophos, il existe deux façons de désactiver AMSI. Vous pouvez le faire directement dans l’application installée sur le poste client, mais cette méthode s’avère peu pratique dès lors que vous devez gérer plusieurs installations. Vous pouvez aussi procéder de manière centralisée depuis l’interface d’administration de Sophos Central.
1. Sur le terminal : Même pour désactiver AMSI sur le terminal, il faut passer par Sophos Central. Vous devez d’abord y désactiver la protection contre les modifications pour l’appareil concerné. Pour cela, faites défiler la page de présentation jusqu’à la rubrique de protection contre les modifications, puis cliquez sur « Afficher les détails du mot de passe ». Copiez le mot de passe pour la suite.
Sur le PC où Sophos est installé, cliquez ensuite sur l’icône Sophos en bas à droite de la barre des tâches. Dans la rubrique de connexion administrateur, saisissez le mot de passe copié depuis Sophos Central.
Vous pouvez maintenant désactiver la protection AMSI dans les « Paramètres », en bas à droite.
(Dans Sophos Central, sous « Server -> Policies -> Threat Protection », désactivez « AMSI Protection (Windows) ».)
Faites ensuite défiler la page vers le bas jusqu’à l’option « AMSI Protection » et désactivez-la.
Faites ensuite défiler la page vers le bas jusqu’à l’option « AMSI Protection » et désactivez-la.
Il ne vous reste plus qu’à cliquer sur « Save » en haut à droite pour retrouver votre confort de travail habituel dans Outlook.
McAfee
McAfee Endpoint Security propose désormais aussi une option dans les paramètres permettant de désactiver la protection AMSI.
Bitdefender
Avec Bitdefender, ces modifications doivent être effectuées via Gravityzone, car aucune option spécifique à AMSI n’est proposée. Il est uniquement possible de désactiver l’ensemble de la protection contre les logiciels malveillants : protection à l’accès, à l’exécution (Advanced Thread Control) et protection avancée contre les exploits. Il est recommandé de créer un profil Exchange distinct pour le serveur et d’y désactiver la protection en attendant le correctif.
Kaspersky
Activer et désactiver la « Protection AMSI »
La « Protection AMSI » est activée par défaut.
Pour activer ou désactiver la « Protection AMSI », procédez comme suit :
- En bas de la fenêtre principale de l’application, cliquez sur le bouton
. - Dans la fenêtre des paramètres de l’application, sélectionnez la section Protection → Protection de base → Protection AMSI.
- Utilisez le commutateur Protection AMSI pour activer ou désactiver le composant.
- Enregistrez les modifications effectuées.
Source : https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm
Directement sur Exchange
Enfin, il est également possible de modifier directement le fichier web.config pour MAPIoverHTTP et RPCoverHTTP sur le serveur où Exchange est installé afin de désactiver AMSI. Cette solution n’est toutefois plus recommandée. Utilisez donc uniquement les méthodes décrites ci-dessus ou la méthode PowerShell.
Pour la méthode PowerShell, lancez Exchange Management Shell (PowerShell avec les extensions Exchange)
[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force
Ces commandes appliquent les paramètres et redémarrent IIS. Le problème est ainsi résolu en attendant un correctif définitif.
Source : https://support.sophos.com/support/s/article/KB-000042460
Source : https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371