Skip to Content

Jauns AMSI atjauninājums izraisa nopietnas problēmas Exchange 2016 CU21 un Exchange 2019 CU10 darbībā

AMSI pretvīrusu saskarnes atjauninājuma dēļ Outlook uzkaras, e-pasta ziņojumi netiek nosūtīti un rodas savienojuma problēmas
2021. gada 21. jūlijs by
Dominic Schnur

AMSI (Antimalware Scan Interface) integrācija, kurai bija jānodrošina labāka aizsardzība Exchange 2016 CU21 un Exchange 2019 CU10 versijās, diemžēl rada nopietnas problēmas, ja Exchange tiek izmantots kopā ar dažādām pretvīrusu programmām.

Piemēram, atvēršana un ielāde programmā Outlook aizņem ārkārtīgi ilgu laiku, e-pasta ziņojumu nosūtīšana aizkavējas un var pat pilnībā pazust savienojums ar Exchange serveri. 

Skaidrs ir viens — šādi strādāt nevar.

Par laimi, daži pretvīrusu programmatūras izstrādātāji bija tam sagatavojušies un piedāvā iespēju atspējot AMSI. Šeit, izmantojot Sophos, McAfee, Bitdefender un Kaspersky piemērus, uzzināsiet, kā novērst šīs problēmas.
Apskatīsim arī to, kā šo funkciju var atspējot, veicot izmaiņas Exchange servera web.config failā.

Sophos

Sophos piedāvā divus veidus, kā atspējot AMSI. To var izdarīt tieši klienta ierīcē instalētajā lietotnē, taču šī pieeja kļūst ļoti nepraktiska, ja jāpārvalda vairākas instalācijas. Otra iespēja ir to izdarīt centralizēti, izmantojot Sophos Central pārvaldības saskarni. 

Odoo • Teksts un attēls

1. Galiekārtā: Arī atspējojot AMSI galiekārtā, neiztikt bez Sophos Central. Vispirms Sophos Central attiecīgajai ierīcei jāatspējo aizsardzība pret nesankcionētām izmaiņām (Tamper Protection). Lai to izdarītu, pārskata lapā ritiniet uz leju līdz sadaļai Tamper Protection un noklikšķiniet uz "View password details". Nokopējiet parādīto paroli, lai to izmantotu nākamajā solī.
Pēc tam datorā, kurā ir instalēta Sophos programmatūra, uzdevumjoslas apakšējā labajā stūrī noklikšķiniet uz Sophos ikonas. Administratora pieteikšanās sadaļā ievadiet no Sophos Central nokopēto paroli.

Odoo • Attēls un teksts

Tagad sadaļas "Iestatījumi" apakšējā labajā stūrī varat atspējot AMSI aizsardzību.

Odoo • Attēls un teksts

2. Sophos Central: Ja vēlaties šo iestatījumu piemērot visai infrastruktūrai un atspējot aizsardzību ne tikai uz noteiktu laiku, tālāk uzzināsiet, kuras politikas jāatjaunina, lai to izdarītu.
Vispirms navigācijas izvēlnē noklikšķiniet uz "Server Protection", jo vēlamies rediģēt tieši serveru aizsardzības politikas. Pēc tam noklikšķiniet uz "Policies", lai atvērtu politiku sadaļu.

(Sophos Central sadaļā "Server -> Policies -> Threat Protection" atspējojiet "AMSI Protection (Windows)".)
Odoo • Attēls un teksts
Odoo • Attēls un teksts
Jārediģē tā politika, kas sadaļā "Threat Protection" ir atzīmēta kā "Enforced".
Odoo • Attēls un teksts
Noklikšķiniet uz attiecīgās politikas un atveriet tās iestatījumus. Ja izmantojat noklusējuma politiku, pie opcijas "Use recommended settinge" būs zila atzīme. Lai varētu rediģēt iestatījumus, vispirms noņemiet šo atzīmi.
Pēc tam ritiniet uz leju līdz opcijai "AMSI Protection" un atspējojiet to.
Noklikšķiniet uz attiecīgās politikas un atveriet tās iestatījumus. Ja izmantojat noklusējuma politiku, pie opcijas "Use recommended settinge" būs zila atzīme. Lai varētu rediģēt iestatījumus, vispirms noņemiet šo atzīmi.
Pēc tam ritiniet uz leju līdz opcijai "AMSI Protection" un atspējojiet to.
Odoo • Attēls un teksts

Tagad atliek tikai augšējā labajā stūrī noklikšķināt uz "Save", un atkal varēsiet strādāt ar Outlook kā ierasts.

McAfee

Arī McAfee Endpoint Security iestatījumos ir pievienota opcija, kas ļauj atspējot AMSI aizsardzību.

Odoo • Attēls un teksts

Bitdefender

Bitdefender gadījumā šīs izmaiņas jāveic, izmantojot Gravityzone, jo atsevišķa AMSI iestatījuma šeit nav. Var tikai pilnībā atspējot aizsardzību pret ļaunprogrammatūru piekļuves un izpildes laikā (Advanced Thread Control), kā arī paplašināto aizsardzību pret ievainojamību izmantošanu. Ieteicams serverim izveidot atsevišķu Exchange profilu un tajā izslēgt aizsardzību līdz labojuma izlaišanai.

Kaspersky


AMSI aizsardzības iespējošana un atspējošana


AMSI aizsardzība pēc noklusējuma ir iespējota.

Lai iespējotu vai atspējotu AMSI aizsardzību, rīkojieties šādi:

  1. Programmas galvenā loga apakšdaļā noklikšķiniet uz pogas icon_settings.png.
  2. Programmas iestatījumu logā atlasiet sadaļu Aizsardzība → Pamataizsardzība → AMSI aizsardzība.
  3. Izmantojiet slēdzi AMSI aizsardzība, lai iespējotu vai atspējotu komponentu.
  4. Saglabājiet veiktās izmaiņas.

    Avots: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Tieši Exchange serverī

Visbeidzot, AMSI var atspējot arī, serverī, kurā ir instalēts Exchange, tieši mainot MAPIoverHTTP un RPCoverHTTP failu web.config iestatījumus. Tomēr šis risinājums vairs nav ieteicams. Tāpēc izmantojiet tikai iepriekš aprakstītos variantus vai risinājumu ar Powershell. 

Ja izmantojat Powershell, palaidiet Exchange Management Shell (Powershell ar Exchange paplašinājumiem)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Tādējādi tiek iestatīti attiecīgie ieraksti un restartēts IIS. Tas novērš problēmu līdz galīgā labojuma izlaišanai. 

Avots: https://support.sophos.com/support/s/article/KB-000042460 
Avots: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371