Skip to Content

Ný AMSI-uppfærsla veldur alvarlegum vandamálum í Exchange 2016 CU21 og Exchange 2019 CU10

Outlook frýs, tölvupóstur sendist ekki og tengingarvandamál koma upp vegna uppfærslu á AMSI-vírusvarnarviðmótinu
21. júlí 2021 by
Dominic Schnur

Samþætting AMSI (Antimalware Scan Interface), sem átti að veita betri vernd í Exchange 2016 CU21 og Exchange 2019 CU10, veldur nú því miður alvarlegum vandamálum þegar Exchange er notað með ýmsum vírusvarnarforritum.

Til dæmis getur opnun tekið heila eilífð og það sama á við um hleðslutíma í Outlook. Sending tölvupósts getur tafist og jafnvel getur sambandið við Exchange-þjóninn rofnað alveg. 

Eitt er víst – svona er ekki hægt að vinna.

Sem betur fer voru sumir vírusvarnarframleiðendur við þessu búnir og því er hægt að slökkva á AMSI. Hér sýnum við hvernig hægt er að leysa þessi vandamál með dæmum úr Sophos, McAfee, Bitdefender og Kaspersky.
Einnig förum við yfir hvernig hægt er að slökkva á þessum eiginleika með því að breyta web.config-skránni á Exchange-þjóninum.

Sophos

Í Sophos eru tvær leiðir til að slökkva á AMSI. Annars vegar er hægt að gera það beint í forritinu á biðlaratölvunni, en það verður fljótt óhentugt þegar forritið er uppsett á mörgum tölvum. Hins vegar er hægt að gera það miðlægt í stjórnborði Sophos Central. 

Odoo • Texti og mynd

1. Á endatækinu: Þótt slökkt sé á AMSI á endatækinu sjálfu þarf samt að nota Sophos Central. Fyrst þarf að slökkva á breytingavörninni (Tamper Protection) fyrir viðkomandi tæki í Sophos Central. Til þess er einfaldlega skrunað niður á yfirlitssíðunni að Tamper Protection og smellt á "View password details". Afritaðu lykilorðið til að nota síðar.
Smelltu síðan á Sophos-táknið neðst til hægri á verkstikunni á tölvunni þar sem forritið er uppsett. Þar geturðu slegið inn lykilorðið sem þú afritaðir úr Sophos Central í innskráningarreit stjórnanda.

Odoo • Mynd og texti

Nú er hægt að slökkva á AMSI-vörninni undir „Stillingar“ neðst í hægra horninu.

Odoo • Mynd og texti

2. Í Sophos Central: Ef þú vilt láta stillinguna gilda fyrir allt tölvuumhverfið en ekki aðeins slökkva tímabundið á vörninni er hér útskýrt hvaða öryggisstefnur þarf að uppfæra til þess.
Smelltu fyrst á „Server Protection“ í valmyndinni, því það eru öryggisstefnurnar þar sem við viljum breyta. Smelltu síðan á „Policies“ til að opna þær.

(Í Sophos Central skaltu slökkva á „AMSI Protection (Windows)“ undir „Server -> Policies -> Threat Protection“.)
Odoo • Mynd og texti
Odoo • Mynd og texti
Öryggisstefnan sem við viljum breyta er sú sem er merkt „Enforced“ undir „Threat Protection“.
Odoo • Mynd og texti
Þegar þú hefur smellt á viðeigandi öryggisstefnu skaltu opna stillingar hennar. Ef þú notar sjálfgefnu stefnuna er blátt hak við „Use recommended settinge“. Fyrst þarf að fjarlægja hakið til að hægt sé að breyta stillingunum.
Að því loknu skaltu fletta niður að „AMSI Protection“ og slökkva á þeirri vörn.
Þegar þú hefur smellt á viðeigandi öryggisstefnu skaltu opna stillingar hennar. Ef þú notar sjálfgefnu stefnuna er blátt hak við „Use recommended settinge“. Fyrst þarf að fjarlægja hakið til að hægt sé að breyta stillingunum.
Að því loknu skaltu fletta niður að „AMSI Protection“ og slökkva á þeirri vörn.
Odoo • Mynd og texti

Nú er aðeins eftir að smella á „Save“ efst í hægra horninu og þá geturðu aftur unnið í Outlook eins og venjulega.

McAfee

Í McAfee Endpoint Security hefur einnig verið bætt við valkosti í stillingunum sem gerir kleift að slökkva á AMSI-vörninni.

Odoo • Mynd og texti

Bitdefender

Í Bitdefender þarf að gera þessar breytingar í gegnum Gravityzone, þar sem enginn sérstakur valkostur er fyrir AMSI. Aðeins er hægt að slökkva alveg á vörn gegn spilliforritum við aðgang og keyrslu (Advanced Thread Control) og á ítarlegri vörn gegn misnotkun veikleika. Mælt er með að búa til sérstakan Exchange-stillingaprófíl fyrir þjóninn og slökkva þar á vörninni þar til lagfæring liggur fyrir.

Kaspersky


Kveikja og slökkva á „AMSI-vörn“


Sjálfgefið er kveikt á „AMSI-vörn“.

Til að kveikja eða slökkva á „AMSI-vörn“ skaltu fylgja þessum skrefum:

  1. Smelltu á hnappinn neðst í aðalglugga forritsins icon_settings.png.
  2. Í stillingaglugga forritsins skaltu velja Vörn → Grunnvörn → AMSI-vörn.
  3. Notaðu rofann AMSI-vörn til að kveikja eða slökkva á þessum einingahluta.
  4. Vistaðu breytingarnar.

    Heimild: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Beint á Exchange-þjóninum

Að lokum er einnig hægt að slökkva á AMSI með því að breyta web.config fyrir MAPIoverHTTP og RPCoverHTTP beint á þjóninum þar sem Exchange er uppsett. Ekki er lengur mælt með þessari lausn. Notaðu því eingöngu aðferðirnar sem lýst er hér að ofan eða PowerShell-aðferðina. 

Ef PowerShell-aðferðin er notuð skal ræsa Exchange Management Shell (PowerShell með Exchange-viðbótum)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Við þetta eru stillingarnar skráðar og IIS endurræst. Þar með er vandinn leystur þar til endanleg lagfæring liggur fyrir. 

Heimild: https://support.sophos.com/support/s/article/KB-000042460 
Heimild: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371