Preskoči na sadržaj

Novo ažuriranje AMSI-ja uzrokuje ozbiljne probleme u sustavima Exchange 2016 CU21 i Exchange 2019 CU10

Outlook se zamrzava, poruke e-pošte ne šalju se i dolazi do problema s povezivanjem zbog ažuriranja antivirusnog sučelja AMSI
21. srpnja 2021. od
Dominic Schnur

Integracija sučelja AMSI (Antimalware Scan Interface), koja je u verzijama Exchange 2016 CU21 i Exchange 2019 CU10 trebala pružiti bolju zaštitu, sada nažalost uzrokuje ozbiljne probleme kada se Exchange koristi u kombinaciji s različitim antivirusnim programima.

Primjerice, dolazi do iznimno dugog učitavanja pri otvaranju i radu u Outlooku te kašnjenja u slanju e-pošte, pa čak i do potpunog gubitka veze s poslužiteljem Exchange. 

Jedno je jasno – ovako se ne može raditi.

Srećom, neki proizvođači antivirusnih programa bili su spremni pa postoji mogućnost isključivanja sučelja AMSI. U nastavku ćete na primjerima rješenja Sophos, McAfee, Bitdefender i Kaspersky saznati kako stati na kraj tim problemima.
Objasnit ćemo i kako se ta funkcija može isključiti izmjenom datoteke web.config na poslužitelju Exchange.

Sophos

U Sophosu postoje dva načina za isključivanje sučelja AMSI. Prvi je izravno putem aplikacije na klijentskom računalu, što se pokazuje vrlo nepraktičnim čim trebate upravljati većim brojem instalacija. Drugi je centralizirano, putem upravljačkog sučelja Sophos Central. 

Odoo • Tekst i slika

1. Na krajnjem uređaju: Čak i ako AMSI isključujete na krajnjem uređaju, morat ćete se poslužiti sučeljem Sophos Central. Naime, najprije u sučelju Sophos Central morate isključiti zaštitu od neovlaštenih izmjena (Tamper Protection) za taj uređaj. Da biste to učinili, na stranici s pregledom pomaknite se prema dolje do odjeljka Tamper Protection i kliknite na "View password details". Kopirajte prikazanu lozinku jer će vam trebati u sljedećem koraku.
Zatim na računalu na kojem je Sophos instaliran kliknite njegovu ikonu u donjem desnom kutu programske trake. U odjeljku za administratorsku prijavu unesite lozinku koju ste kopirali iz sučelja Sophos Central.

Odoo • Slika i tekst

Sada u odjeljku "Postavke", u donjem desnom kutu, možete onemogućiti zaštitu AMSI.

Odoo • Slika i tekst

2. U sustavu Sophos Central: Ako ovu postavku želite primijeniti na cijelu infrastrukturu, a zaštitu ne želite onemogućiti samo privremeno, u nastavku saznajte koja pravila trebate ažurirati.
Najprije u navigacijskom izborniku kliknite "Server Protection" jer želimo urediti pravila za zaštitu poslužitelja. Zatim kliknite "Policies" kako biste otvorili pravila.

(U sustavu Sophos Central, u odjeljku "Server -> Policies -> Threat Protection", onemogućite "AMSI Protection (Windows)".)
Odoo • Slika i tekst
Odoo • Slika i tekst
Pravilo koje želimo urediti jest ono koje je u odjeljku "Threat Protection" označeno kao "Enforced".
Odoo • Slika i tekst
Nakon što kliknete odgovarajuće pravilo, otvorite njegove postavke ("Settings"). Ako upotrebljavate zadano pravilo, uz stavku "Use recommended settinge" nalazit će se plava kvačica. Najprije je morate ukloniti kako biste mogli uređivati postavke.
Nakon toga pomaknite se prema dolje do stavke "AMSI Protection" i onemogućite je.
Nakon što kliknete odgovarajuće pravilo, otvorite njegove postavke ("Settings"). Ako upotrebljavate zadano pravilo, uz stavku "Use recommended settinge" nalazit će se plava kvačica. Najprije je morate ukloniti kako biste mogli uređivati postavke.
Nakon toga pomaknite se prema dolje do stavke "AMSI Protection" i onemogućite je.
Odoo • Slika i tekst

Sada samo trebate kliknuti "Save" u gornjem desnom kutu i ponovno možete nesmetano raditi u Outlooku.

McAfee

I u McAfee Endpoint Security naknadno je u postavke dodana opcija kojom se može onemogućiti zaštita AMSI.

Odoo • Slika i tekst

Bitdefender

U Bitdefenderu ove promjene morate izvršiti putem konzole Gravityzone jer zasebna opcija za AMSI uopće ne postoji. Možete samo potpuno isključiti zaštitu od zlonamjernog softvera pri pristupu i izvršavanju (Advanced Thread Control) te naprednu zaštitu od iskorištavanja ranjivosti. Preporučuje se izraditi zaseban profil za Exchange poslužitelj i u njemu isključiti zaštitu dok ne bude dostupan ispravak.

Kaspersky


Uključivanje i isključivanje „AMSI zaštite”


„AMSI zaštita” uključena je prema zadanim postavkama.

Da biste uključili ili isključili „AMSI zaštitu”, učinite sljedeće:

  1. Pri dnu glavnog prozora programa kliknite gumb icon_settings.png.
  2. U prozoru s postavkama programa odaberite odjeljak Zaštita → Osnovna zaštita → AMSI zaštita.
  3. Upotrijebite prekidač AMSI zaštita da biste uključili ili isključili komponentu.
  4. Spremite promjene.

    Izvor: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Izravno na poslužitelju Exchange

Naposljetku, AMSI je moguće onemogućiti i izravnom izmjenom datoteke web.config za MAPIoverHTTP i RPCoverHTTP na poslužitelju na kojem je instaliran Exchange. To se rješenje više ne preporučuje. Stoga upotrebljavajte isključivo prethodno navedene metode ili metodu putem alata Powershell. 

Ako upotrebljavate Powershell, pokrenite Exchange Management Shell (Powershell s proširenjima za Exchange)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Time se postavljaju odgovarajući unosi i ponovno pokreće IIS. Tako je problem riješen do objave konačnog popravka. 

Izvor: https://support.sophos.com/support/s/article/KB-000042460 
Izvor: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371