Skip to Content

Unha nova actualización de AMSI provoca problemas graves en Exchange 2016 CU21 e Exchange 2019 CU10

Outlook queda bloqueado, non se envían correos e prodúcense problemas de conexión por mor dunha actualización da interface antivirus AMSI
21 de xullo de 2021 by
Dominic Schnur

A integración de AMSI (Antimalware Scan Interface), que debía ofrecer unha maior protección con Exchange 2016 CU21 e Exchange 2019 CU10, está a provocar, por desgraza, graves problemas cando se utiliza Exchange en combinación con diversos programas antivirus.

Por exemplo, prodúcense tempos de carga interminables ao abrir a aplicación e tamén en Outlook, atrasos no envío de correos e mesmo a perda total da conexión co servidor de Exchange. 

Unha cousa está clara: así non se pode traballar.

Por sorte, algúns provedores de antivirus estaban preparados e ofrecen a posibilidade de desactivar AMSI. Aquí explicámoslle como poñer fin a estes problemas con exemplos de Sophos, McAfee, Bitdefender e Kaspersky.
Ademais, veremos como desactivar esta función mediante unha modificación no ficheiro web.config do servidor de Exchange.

Sophos

En Sophos hai dúas formas de desactivar AMSI. Unha é facelo directamente desde a aplicación no equipo cliente, pero isto resulta moi pouco práctico cando hai varias instalacións. A outra é facelo de forma centralizada desde a interface de administración de Sophos Central. 

Odoo • Texto e imaxe

1. No equipo: Aínda que desactive AMSI no propio equipo, tamén terá que acceder a Sophos Central. Primeiro debe desactivar a protección contra manipulacións (Tamper Protection) do dispositivo correspondente en Sophos Central. Para iso, na vista xeral, desprácese cara abaixo ata Tamper Protection e prema en "View password details". De momento, pode copiar o contrasinal.
A continuación, no PC onde está instalada a aplicación, prema na icona de Sophos situada na parte inferior dereita da barra de tarefas. Alí, na sección de inicio de sesión como administrador, poderá introducir o contrasinal que copiou de Sophos Central.

Odoo • Imaxe e texto

Agora pode desactivar a protección AMSI en "Configuración", na esquina inferior dereita.

Odoo • Imaxe e texto

2. En Sophos Central: Se quere aplicar esta configuración a toda a infraestrutura e non só desactivar a protección temporalmente, a continuación explicámoslle que políticas debe actualizar para facelo.
Primeiro, prema en "Server Protection" no menú de navegación, xa que son as políticas desta sección as que queremos editar. A continuación, prema en Policies para acceder ás políticas.

(En Sophos Central, en "Server -> Policies -> Threat Protection", desactive "AMSI Protection (Windows)".)
Odoo • Imaxe e texto
Odoo • Imaxe e texto
A política que queremos editar é a que aparece marcada como "Enforced" en Threat Protection.
Odoo • Imaxe e texto
Despois de premer na política correspondente, acceda á súa configuración. Se utiliza a política predeterminada, verá unha marca azul na opción "Use recommended settinge". Primeiro debe desmarcala para poder editar a configuración.
Unha vez feito isto, desprácese cara abaixo ata a opción "AMSI Protection" e desactívea.
Despois de premer na política correspondente, acceda á súa configuración. Se utiliza a política predeterminada, verá unha marca azul na opción "Use recommended settinge". Primeiro debe desmarcala para poder editar a configuración.
Unha vez feito isto, desprácese cara abaixo ata a opción "AMSI Protection" e desactívea.
Odoo • Imaxe e texto

Agora só ten que premer en "Save", na esquina superior dereita, para volver traballar con Outlook como de costume.

McAfee

En McAfee Endpoint Security tamén se engadiu unha opción na configuración que permite desactivar a protección AMSI.

Odoo • Imaxe e texto

Bitdefender

En Bitdefender, estes cambios deben realizarse a través de Gravityzone, xa que non hai ningunha opción específica para AMSI. Só se pode desactivar por completo a protección contra malware no acceso, na execución (Advanced Thread Control) e a protección avanzada contra exploits. Recoméndase crear un perfil de Exchange independente para o servidor e desactivar nel a protección ata que se publique unha corrección.

Kaspersky


Activar e desactivar a "Protección AMSI"


A "Protección AMSI" está activada de xeito predeterminado.

Para activar ou desactivar a "Protección AMSI", siga estes pasos:

  1. Na parte inferior da xanela principal do programa, prema no botón icon_settings.png.
  2. Na xanela de configuración do programa, seleccione a sección Protección → Protección básica → Protección AMSI.
  3. Use o interruptor Protección AMSI para activar ou desactivar o compoñente.
  4. Garde os cambios realizados.

    Fonte: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Directamente en Exchange

Por último, tamén existe a posibilidade de modificar directamente o ficheiro web.config de MAPIoverHTTP e RPCoverHTTP no servidor onde está instalado Exchange para desactivar AMSI. Esta solución xa non se recomenda. Polo tanto, utilice unicamente as opcións mencionadas anteriormente ou a alternativa mediante Powershell. 

Se opta por Powershell, abra Exchange Management Shell (Powershell coas extensións de Exchange)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Deste xeito, establécense as entradas e reiníciase IIS. Así, o problema queda resolto ata que se publique a corrección definitiva. 

Fonte: https://support.sophos.com/support/s/article/KB-000042460 
Fonte: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371