Továbbugrás a tartalomhoz

Az új AMSI-frissítés súlyos problémákat okoz az Exchange 2016 CU21 és az Exchange 2019 CU10 esetében

Az Outlook lefagy, az e-mailek nem mennek el, és kapcsolódási problémák lépnek fel az AMSI vírusvédelmi interfész frissítése miatt
2021. július 21. által
Dominic Schnur

Az AMSI (Antimalware Scan Interface) integrációja, amelynek az Exchange 2016 CU21 és az Exchange 2019 CU10 verziókban eredetileg nagyobb védelmet kellett volna nyújtania, most sajnos súlyos problémákat okoz, ha az Exchange-et különféle vírusirtó programokkal együtt használják.

Előfordulhat például, hogy megnyitáskor és az Outlookban is rendkívül hosszúra nyúlik a betöltési idő, késik az e-mailek elküldése, vagy akár teljesen megszakad a kapcsolat az Exchange-kiszolgálóval. 

Egyértelmű: így nem lehet dolgozni.

Szerencsére néhány vírusvédelmi szolgáltató felkészült erre, így van lehetőség az AMSI kikapcsolására. A Sophos, a McAfee, a Bitdefender és a Kaspersky példáján keresztül bemutatjuk, hogyan szüntethetők meg ezek a problémák.
Arra is kitérünk, hogyan kapcsolható ki ez a funkció az Exchange-kiszolgáló web.config fájljának módosításával.

Sophos

A Sophos esetében kétféleképpen kapcsolható ki az AMSI. Az egyik lehetőség, hogy közvetlenül a kliensgépen futó alkalmazásban kapcsoljuk ki, ez azonban több telepítés esetén már meglehetősen körülményes. A másik lehetőség a központi kikapcsolás a Sophos Central felügyeleti felületén. 

Odoo • Szöveg és kép

1. A végponton: A Sophos Central használatát akkor sem kerülhetjük el, ha az AMSI-t a végponton kapcsoljuk ki. Először ugyanis a Sophos Centralban ki kell kapcsolni az adott eszköz módosítás elleni védelmét (Tamper Protection). Ehhez az áttekintő oldalon görgessen le a Tamper Protection részhez, majd kattintson a „View password details” lehetőségre. Egyelőre másolja ki az ott megjelenő jelszót.
Ezután azon a számítógépen, amelyre a Sophos telepítve van, kattintson a tálca jobb alsó sarkában található Sophos ikonra. A rendszergazdai bejelentkezésnél adja meg a Sophos Centralból kimásolt jelszót.

Odoo • Kép és szöveg

Most már kikapcsolhatja az AMSI-védelmet a „Beállítások” alatt, a jobb alsó sarokban.

Odoo • Kép és szöveg

2. A Sophos Central felületén: Ha a beállítást a teljes infrastruktúrára szeretné alkalmazni, és nem csak ideiglenesen szeretné kikapcsolni a védelmet, az alábbiakban megtudhatja, mely házirendeket kell ehhez módosítania.
Először kattintson a navigációs menüben a „Server Protection” pontra, mivel a kiszolgálóvédelem házirendjeit szeretnénk szerkeszteni. Ezután kattintson a „Policies” menüpontra a házirendek megnyitásához.

(A Sophos Central felületén a „Server -> Policies -> Threat Protection” alatt kapcsolja ki az „AMSI Protection (Windows)” beállítást.)
Odoo • Kép és szöveg
Odoo • Kép és szöveg
Azt a házirendet kell szerkesztenünk, amely a „Threat Protection” alatt „Enforced” jelöléssel szerepel.
Odoo • Kép és szöveg
Miután rákattintott a megfelelő házirendre, nyissa meg annak beállításait. Ha az alapértelmezett házirendet használja, a „Use recommended settinge” opciónál egy kék pipa látható. A szerkesztés engedélyezéséhez először törölje ezt a jelölést.
Ezután görgessen le az „AMSI Protection” beállításhoz, és kapcsolja ki.
Miután rákattintott a megfelelő házirendre, nyissa meg annak beállításait. Ha az alapértelmezett házirendet használja, a „Use recommended settinge” opciónál egy kék pipa látható. A szerkesztés engedélyezéséhez először törölje ezt a jelölést.
Ezután görgessen le az „AMSI Protection” beállításhoz, és kapcsolja ki.
Odoo • Kép és szöveg

Most már csak a jobb felső sarokban található „Save” gombra kell kattintania, és ismét a megszokott módon dolgozhat az Outlookkal.

McAfee

A McAfee Endpoint Security is kapott egy új beállítást, amellyel kikapcsolható az AMSI-védelem.

Odoo • Kép és szöveg

Bitdefender

A Bitdefender esetében ezeket a módosításokat a Gravityzone felületén kell elvégezni, mivel itt egyáltalán nincs külön beállítás az AMSI-hoz. Csak a teljes kártevővédelmet lehet kikapcsolni a hozzáférés, a futtatás (Advanced Thread Control) és a fejlett exploitvédelem esetében. Célszerű külön Exchange-profilt létrehozni a kiszolgálóhoz, és abban a javítás megjelenéséig kikapcsolni a védelmet.

Kaspersky


Az „AMSI-védelem” be- és kikapcsolása


Az „AMSI-védelem” alapértelmezés szerint be van kapcsolva.

Az „AMSI-védelem” be- vagy kikapcsolásához kövesse az alábbi lépéseket:

  1. A program főablakának alján kattintson a következő gombra: icon_settings.png.
  2. A program beállításait tartalmazó ablakban válassza a Védelem → Alapvédelem → AMSI-védelem menüpontot.
  3. Az összetevő be- vagy kikapcsolásához használja az AMSI-védelem kapcsolót.
  4. Mentse a módosításokat.

    Forrás: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Közvetlenül az Exchange-kiszolgálón

Végül az AMSI úgy is letiltható, hogy az Exchange-et futtató kiszolgálón közvetlenül módosítja a MAPIoverHTTP és az RPCoverHTTP web.config fájljait. Ez a megoldás azonban már nem ajánlott. Ezért kizárólag a fent említett módszereket vagy a PowerShellen keresztüli megoldást használja. 

A PowerShell használatához indítsa el az Exchange Management Shellt (az Exchange-bővítményekkel ellátott PowerShellt)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Ezzel megtörténik a bejegyzések beállítása és az IIS újraindítása. Ez a végleges javítás megérkezéséig megoldja a problémát. 

Forrás: https://support.sophos.com/support/s/article/KB-000042460 
Forrás: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371