Passa al contenuto

Un nuovo aggiornamento AMSI causa gravi problemi in Exchange 2016 CU21 ed Exchange 2019 CU10

Outlook si blocca, le e-mail non vengono inviate e si verificano problemi di connessione a causa di un aggiornamento dell’interfaccia antivirus AMSI
21 luglio 2021 di
Dominic Schnur

L'integrazione di AMSI (Antimalware Scan Interface), che con Exchange 2016 CU21 ed Exchange 2019 CU10 avrebbe dovuto offrire una protezione migliore, sta purtroppo causando gravi problemi quando Exchange viene utilizzato in combinazione con diversi programmi antivirus.

Si verificano, ad esempio, tempi di caricamento interminabili all'apertura e anche in Outlook, ritardi nell'invio delle e-mail e persino la perdita completa della connessione al server Exchange. 

Una cosa è certa: così non si può lavorare.

Fortunatamente, alcuni fornitori di antivirus si erano preparati a questa eventualità e consentono di disattivare AMSI. Qui scoprirete come risolvere questi problemi attraverso alcuni esempi relativi a Sophos, McAfee, Bitdefender e Kaspersky.
Vedremo inoltre come disattivare questa funzione modificando il file web.config del server Exchange.

Sophos

Con Sophos è possibile disattivare AMSI in due modi: direttamente dall'applicazione sul client, una soluzione che però risulta molto poco pratica quando si devono gestire più installazioni, oppure in modo centralizzato tramite l'interfaccia di amministrazione di Sophos Central. 

Odoo • Testo e immagine

1. Sull'endpoint: Anche per disattivare AMSI sull'endpoint è necessario passare da Sophos Central. Per prima cosa, infatti, occorre disattivare la protezione antimanomissione (Tamper Protection) per il dispositivo interessato in Sophos Central. Basta scorrere verso il basso nella schermata di riepilogo fino alla voce Tamper Protection e fare clic su "View password details". A questo punto, copiate la password.
Poi, sul PC su cui è installato Sophos, fate clic sull'icona di Sophos nella barra delle applicazioni, in basso a destra. Nella sezione di accesso come amministratore potrete quindi inserire la password copiata da Sophos Central.

Odoo • Immagine e testo

Ora è possibile disattivare la protezione AMSI in "Impostazioni", nell'angolo in basso a destra.

Odoo • Immagine e testo

2. In Sophos Central: Se si desidera applicare l'impostazione all'intera infrastruttura e non disattivare la protezione solo temporaneamente, ecco quali criteri occorre aggiornare.
Per prima cosa, fare clic su "Server Protection" nel menu di navigazione, poiché sono questi i criteri da modificare. Quindi fare clic su Policies per accedere ai criteri.

(In Sophos Central, in "Server -> Policies -> Threat Protection", disattivare "AMSI Protection (Windows)".)
Odoo • Immagine e testo
Odoo • Immagine e testo
Il criterio da modificare è quello contrassegnato come "Enforced" nella sezione Threat Protection.
Odoo • Immagine e testo
Dopo aver fatto clic sul criterio interessato, accedere alle relative impostazioni. Se si utilizza il criterio predefinito, la casella "Use recommended settinge" presenta un segno di spunta blu. Per poter modificare le impostazioni, occorre prima deselezionarla.
A questo punto, scorrere verso il basso fino alla voce "AMSI Protection" e disattivarla.
Dopo aver fatto clic sul criterio interessato, accedere alle relative impostazioni. Se si utilizza il criterio predefinito, la casella "Use recommended settinge" presenta un segno di spunta blu. Per poter modificare le impostazioni, occorre prima deselezionarla.
A questo punto, scorrere verso il basso fino alla voce "AMSI Protection" e disattivarla.
Odoo • Immagine e testo

Ora basta fare clic su "Save" nell'angolo in alto a destra per tornare a lavorare con Outlook come di consueto.

McAfee

Anche in McAfee Endpoint Security è stata aggiunta, nelle impostazioni, una voce che consente di disattivare la protezione AMSI.

Odoo • Immagine e testo

Bitdefender

Con Bitdefender, queste modifiche vanno apportate tramite Gravityzone, poiché manca del tutto una voce dedicata ad AMSI. È possibile soltanto disattivare l'intera protezione antimalware per l'accesso, l'esecuzione (Advanced Thread Control) e la protezione avanzata dagli exploit. Si consiglia di creare un profilo Exchange separato per il server e di disattivare lì la protezione fino al rilascio di una correzione.

Kaspersky


Attivazione e disattivazione della "Protezione AMSI"


La "Protezione AMSI" è attivata per impostazione predefinita.

Per attivare o disattivare la "Protezione AMSI", procedere come segue:

  1. Nella parte inferiore della finestra principale dell'applicazione, fare clic sul pulsante icon_settings.png.
  2. Nella finestra delle impostazioni dell'applicazione, selezionare la sezione Protezione → Protezione di base → Protezione AMSI.
  3. Utilizzare l'interruttore Protezione AMSI per attivare o disattivare il componente.
  4. Salvare le modifiche apportate.

    Fonte: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Direttamente su Exchange

Infine, è anche possibile disattivare AMSI modificando direttamente il file web.config per MAPIoverHTTP e RPCoverHTTP sul server su cui è installato Exchange. Questa soluzione, tuttavia, non è più consigliata. Utilizzate quindi esclusivamente i metodi descritti sopra oppure la procedura tramite PowerShell. 

Se si utilizza PowerShell, avviare Exchange Management Shell (PowerShell con le estensioni di Exchange)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

In questo modo vengono impostate le voci e riavviato IIS. Il problema è così risolto in attesa di una correzione definitiva. 

Fonte: https://support.sophos.com/support/s/article/KB-000042460 
Fonte: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371