Skip to Content

Naujas AMSI naujinimas sukelia rimtų problemų „Exchange 2016 CU21“ ir „Exchange 2019 CU10“

Dėl AMSI antivirusinės sąsajos naujinimo stringa „Outlook“, neišsiunčiami el. laiškai ir kyla ryšio problemų
2021 m. liepos 21 d. pagal
Dominic Schnur

AMSI (Antimalware Scan Interface) integracija, kuri „Exchange 2016 CU21“ ir „Exchange 2019 CU10“ versijose turėjo užtikrinti geresnę apsaugą, deja, dabar sukelia rimtų problemų, kai „Exchange“ naudojamas kartu su įvairiomis antivirusinėmis programomis.

Pavyzdžiui, programos paleidimas ir duomenų įkėlimas programoje „Outlook“ užtrunka labai ilgai, vėluoja laiškų siuntimas, o kartais net visiškai nutrūksta ryšys su „Exchange“ serveriu. 

Akivaizdu – tokiomis sąlygomis dirbti neįmanoma.

Laimei, kai kurie antivirusinių programų tiekėjai buvo tam pasiruošę ir numatė galimybę išjungti AMSI. Toliau pateikiame „Sophos“, „McAfee“, „Bitdefender“ ir „Kaspersky“ pavyzdžius, kaip išspręsti šias problemas.
Taip pat aptarsime, kaip šią funkciją išjungti pakeitus „Exchange“ serverio failą web.config.

Sophos

Naudojant „Sophos“, AMSI galima išjungti dviem būdais. Vienas jų – tiesiogiai per kliento kompiuteryje įdiegtą programą, tačiau šis būdas labai nepatogus, kai programą tenka konfigūruoti keliuose kompiuteriuose. Kitas būdas – išjungti centralizuotai per „Sophos Central“ valdymo sąsają. 

Odoo • Tekstas ir paveikslėlis

1. Galiniame įrenginyje: Net ir išjungiant AMSI galiniame įrenginyje, teks pasinaudoti „Sophos Central“. Pirmiausia joje reikia išjungti konkretaus įrenginio apsaugą nuo neleistinų pakeitimų („Tamper Protection“). Tam apžvalgos puslapyje slinkite žemyn iki „Tamper Protection“ ir spustelėkite „View password details“. Kol kas tiesiog nukopijuokite rodomą slaptažodį.
Tada kompiuteryje, kuriame įdiegta programa, spustelėkite „Sophos“ piktogramą užduočių juostos apatiniame dešiniajame kampe. Administratoriaus prisijungimo skiltyje įveskite iš „Sophos Central“ nukopijuotą slaptažodį.

Odoo • Paveikslėlis ir tekstas

Dabar apatiniame dešiniajame kampe, skiltyje „Nustatymai“, galite išjungti AMSI apsaugą.

Odoo • Paveikslėlis ir tekstas

2. Per Sophos Central: Jei norite pritaikyti šį nustatymą visai infrastruktūrai ir išjungti apsaugą ne tik laikinai, toliau sužinosite, kurias politikas reikia atnaujinti.
Pirmiausia naršymo meniu spustelėkite „Server Protection“, nes norime redaguoti serverių apsaugos politikas. Tada spustelėkite „Policies“, kad atvertumėte politikas.

(Sophos Central skiltyje „Server -> Policies -> Threat Protection“ išjunkite „AMSI Protection (Windows)“.)
Odoo • Paveikslėlis ir tekstas
Odoo • Paveikslėlis ir tekstas
Norime redaguoti politiką, kuri skiltyje „Threat Protection“ pažymėta kaip „Enforced“.
Odoo • Paveikslėlis ir tekstas
Spustelėję reikiamą politiką, atverkite jos nustatymus. Jei naudojate numatytąją politiką, prie parinkties „Use recommended settinge“ matysite mėlyną varnelę. Pirmiausia ją pašalinkite, kad galėtumėte redaguoti nustatymus.
Tai atlikę slinkite žemyn iki parinkties „AMSI Protection“ ir ją išjunkite.
Spustelėję reikiamą politiką, atverkite jos nustatymus. Jei naudojate numatytąją politiką, prie parinkties „Use recommended settinge“ matysite mėlyną varnelę. Pirmiausia ją pašalinkite, kad galėtumėte redaguoti nustatymus.
Tai atlikę slinkite žemyn iki parinkties „AMSI Protection“ ir ją išjunkite.
Odoo • Paveikslėlis ir tekstas

Dabar belieka viršutiniame dešiniajame kampe spustelėti „Save“ ir vėl dirbti su Outlook kaip įprasta.

McAfee

McAfee Endpoint Security nustatymuose taip pat pridėta parinktis, leidžianti išjungti AMSI apsaugą.

Odoo • Paveikslėlis ir tekstas

Bitdefender

Naudojant „Bitdefender“, šiuos pakeitimus reikia atlikti per „Gravityzone“, nes atskiros AMSI parinkties čia visai nėra. Galima tik visiškai išjungti apsaugą nuo kenkėjiškų programų skiltyse „Prieiga“, „Vykdymas (Advanced Thread Control)“ ir „Išplėstinė apsauga nuo pažeidžiamumų išnaudojimo“. Rekomenduojama serveriui sukurti atskirą „Exchange“ profilį ir jame išjungti apsaugą, kol bus išleista pataisa.

Kaspersky


„AMSI apsaugos“ įjungimas ir išjungimas


„AMSI apsauga“ pagal numatytuosius nustatymus yra įjungta.

Norėdami įjungti arba išjungti „AMSI apsaugą“, atlikite šiuos veiksmus:

  1. Pagrindinio programos lango apačioje spustelėkite mygtuką icon_settings.png.
  2. Programos nustatymų lange pasirinkite skiltį Apsauga → Pagrindinė apsauga → AMSI apsauga.
  3. Norėdami įjungti arba išjungti komponentą, naudokite jungiklį AMSI apsauga.
  4. Išsaugokite atliktus pakeitimus.

    Šaltinis: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Tiesiogiai „Exchange“ serveryje

Galiausiai AMSI galima išjungti ir tiesiogiai keičiant MAPIoverHTTP ir RPCoverHTTP skirtus web.config failus serveryje, kuriame įdiegta „Exchange“. Tačiau šis sprendimas jau neberekomenduojamas. Todėl naudokite tik pirmiau nurodytus būdus arba „Powershell“. 

Jei pasirinkote „Powershell“, paleiskite „Exchange Management Shell“ („Powershell“ su „Exchange“ plėtiniais)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Taip nustatomi reikiami įrašai ir iš naujo paleidžiamas IIS. Šiuo būdu problema laikinai išsprendžiama, kol bus išleista galutinė pataisa. 

Šaltinis: https://support.sophos.com/support/s/article/KB-000042460 
Šaltinis: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371