Skip to Content

Ново ажурирање на AMSI предизвикува сериозни проблеми кај Exchange 2016 CU21 и Exchange 2019 CU10

Outlook се замрзнува, е-пораките не се испраќаат и се јавуваат проблеми со поврзувањето поради ажурирање на антивирусниот интерфејс AMSI
21 јули 2021 од
Dominic Schnur

Интеграцијата на AMSI (Antimalware Scan Interface), која со Exchange 2016 CU21 и Exchange 2019 CU10 требаше да обезбеди подобра заштита, сега, за жал, предизвикува сериозни проблеми кога Exchange се користи во комбинација со различни антивирусни програми.

На пример, се јавуваат бескрајно долги вчитувања при отворање, како и во Outlook, доцнења при испраќањето е-пораки, па дури и целосно губење на врската со серверот Exchange. 

Јасно е — вака не може да се работи.

За среќа, некои производители на антивирусни решенија беа подготвени, па постои можност да се оневозможи AMSI. Во продолжение, преку неколку примери со Sophos, McAfee, Bitdefender и Kaspersky, ќе дознаете како да им ставите крај на овие проблеми.
Исто така, ќе објасниме како може да се оневозможи оваа функција со измена на датотеката web.config на серверот Exchange.

Sophos

Во Sophos постојат два начина за оневозможување на AMSI. Едниот е директно преку апликацијата на клиентскиот компјутер, но тоа е многу непрактично кога треба да се направи на повеќе инсталации. Другиот е централно, преку интерфејсот за управување на Sophos Central. 

Odoo • Текст и слика

1. На крајниот уред: Дури и кога го оневозможувате AMSI на крајниот уред, сепак мора да го користите Sophos Central. Најпрво, во Sophos Central треба да ја оневозможите заштитата од неовластени измени (Tamper Protection) за соодветниот уред. За таа цел, во прегледот движете се надолу до Tamper Protection и кликнете на „View password details“. Засега можете да ја копирате прикажаната лозинка.
Потоа, на компјутерот на кој е инсталиран Sophos, кликнете на иконата на Sophos во долниот десен агол на лентата со задачи. Таму, во делот за администраторска најава, внесете ја лозинката што ја копиравте од Sophos Central.

Odoo • Слика и текст

Сега во „Поставки“, во долниот десен агол, можете да ја оневозможите заштитата AMSI.

Odoo • Слика и текст

2. Во Sophos Central: Ако сакате да ја примените поставката на целата инфраструктура, а не само привремено да ја оневозможите заштитата, во продолжение ќе дознаете кои политики треба да ги ажурирате за да го постигнете тоа.
Прво, во менито за навигација кликнете на „Server Protection“, бидејќи сакаме да ги измениме политиките за заштита на серверите. Потоа кликнете на „Policies“ за да пристапите до политиките.

(Во Sophos Central, во „Server -> Policies -> Threat Protection“, оневозможете ја опцијата „AMSI Protection (Windows)“.)
Odoo • Слика и текст
Odoo • Слика и текст
Политиката што сакаме да ја измениме е онаа што во „Threat Protection“ е означена како „Enforced“.
Odoo • Слика и текст
Откако ќе кликнете на соодветната политика, отворете ги нејзините поставки. Ако ја користите стандардната политика, опцијата „Use recommended settinge“ ќе биде означена со сина ознака за штиклирање. Прво треба да ја одштиклирате за да можете да ги менувате поставките.
Потоа едноставно скролувајте надолу до опцијата „AMSI Protection“ и оневозможете ја.
Откако ќе кликнете на соодветната политика, отворете ги нејзините поставки. Ако ја користите стандардната политика, опцијата „Use recommended settinge“ ќе биде означена со сина ознака за штиклирање. Прво треба да ја одштиклирате за да можете да ги менувате поставките.
Потоа едноставно скролувајте надолу до опцијата „AMSI Protection“ и оневозможете ја.
Odoo • Слика и текст

Сега треба само да кликнете на „Save“ во горниот десен агол и повторно да продолжите со вообичаената работа во Outlook.

McAfee

И во McAfee Endpoint Security е додадена опција во поставките со која можете да ја оневозможите заштитата AMSI.

Odoo • Слика и текст

Bitdefender

Кај Bitdefender овие измени мора да се направат преку Gravityzone, бидејќи воопшто нема посебна опција за AMSI. Може само целосно да се исклучи заштитата од злонамерен софтвер при пристап и извршување (Advanced Thread Control), како и напредната заштита од експлоатација на ранливости. Се препорачува да се создаде посебен Exchange профил за серверот и во него да се исклучи заштитата додека не се објави поправка.

Kaspersky


Вклучување и исклучување на „AMSI-заштита“


„AMSI-заштита“ е стандардно вклучена.

За да ја вклучите или исклучите „AMSI-заштита“, постапете на следниов начин:

  1. Во долниот дел од главниот прозорец на програмата кликнете на копчето icon_settings.png.
  2. Во прозорецот со поставките на програмата изберете го делот Заштита → Основна заштита → AMSI-заштита.
  3. Користете го прекинувачот AMSI-заштита за да ја вклучите или исклучите компонентата.
  4. Зачувајте ги направените измени.

    Извор: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Директно на Exchange

На крај, постои и можност да се оневозможи AMSI со директна измена на датотеката web.config за MAPIoverHTTP и RPCoverHTTP на серверот на кој е инсталиран Exchange. Ова решение повеќе не се препорачува. Затоа, користете ги исклучиво горенаведените начини или постапката преку Powershell. 

Во случај на PowerShell се стартува Exchange Management Shell (PowerShell со проширувања за Exchange)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Со ова се поставуваат записите и се рестартира IIS. На тој начин проблемот е решен додека не стане достапна конечната поправка. 

Извор: https://support.sophos.com/support/s/article/KB-000042460 
Извор: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371