Skip to Content

Ny AMSI-oppdatering fører til alvorlige problemer i Exchange 2016 CU21 og Exchange 2019 CU10

Outlook henger, e-poster blir ikke sendt, og det oppstår tilkoblingsproblemer på grunn av en oppdatering av antivirusgrensesnittet AMSI
21. juli 2021 etter
Dominic Schnur

Integreringen av AMSI (Antimalware Scan Interface), som egentlig skulle gi bedre beskyttelse i Exchange 2016 CU21 og Exchange 2019 CU10, fører dessverre nå til store problemer når Exchange brukes sammen med ulike antivirusprogrammer.

Dette gir for eksempel svært lange lastetider ved oppstart og i Outlook, forsinkelser ved sending av e-post og i verste fall fullstendig tap av forbindelsen til Exchange-serveren. 

Én ting er klart – slik kan man ikke jobbe.

Heldigvis var noen antivirusleverandører forberedt, og det er derfor mulig å deaktivere AMSI. Her viser vi hvordan du kan få slutt på disse problemene, med eksempler fra Sophos, McAfee, Bitdefender og Kaspersky.
Vi går også gjennom hvordan denne funksjonen kan deaktiveres ved å gjøre en endring i Exchange-serverens web.config.

Sophos

I Sophos finnes det to måter å deaktivere AMSI på. Du kan enten gjøre det direkte i programmet på klienten, noe som blir svært upraktisk når du har flere installasjoner å håndtere, eller sentralt via administrasjonsgrensesnittet i Sophos Central. 

Odoo • Tekst og bilde

1. På endepunktet: Selv om du deaktiverer AMSI på endepunktet, kommer du ikke utenom Sophos Central. Først må du nemlig deaktivere Tamper Protection for den aktuelle enheten i Sophos Central. Det gjør du ved å rulle ned til Tamper Protection i oversikten og klikke på «View password details». Kopier passordet, slik at du har det klart.
Klikk deretter på Sophos-ikonet nederst til høyre på oppgavelinjen på PC-en der programmet er installert. Under administratorpålogging kan du så skrive inn passordet du kopierte fra Sophos Central.

Odoo • Bilde og tekst

Nå kan du deaktivere AMSI-beskyttelsen under «Innstillinger» nederst til høyre.

Odoo • Bilde og tekst

2. I Sophos Central: Hvis du vil ta i bruk innstillingen i hele infrastrukturen og ikke bare deaktivere beskyttelsen midlertidig, viser vi deg nå hvilke policyer du må oppdatere for å få til dette.
Klikk først på «Server Protection» i navigasjonsmenyen, siden det er policyene der vi skal redigere. Klikk deretter på «Policies» for å åpne policyoversikten.

(I Sophos Central deaktiverer du «AMSI Protection (Windows)» under «Server -> Policies -> Threat Protection».)
Odoo • Bilde og tekst
Odoo • Bilde og tekst
Policyen vi skal redigere, er den som er merket «Enforced» under «Threat Protection».
Odoo • Bilde og tekst
Når du har klikket på den aktuelle policyen, åpner du innstillingene for den. Hvis du bruker standardpolicyen, er alternativet «Use recommended settinge» merket med en blå hake. Du må først fjerne denne avmerkingen for å kunne redigere innstillingene.
Når det er gjort, blar du ned til «AMSI Protection» og deaktiverer alternativet.
Når du har klikket på den aktuelle policyen, åpner du innstillingene for den. Hvis du bruker standardpolicyen, er alternativet «Use recommended settinge» merket med en blå hake. Du må først fjerne denne avmerkingen for å kunne redigere innstillingene.
Når det er gjort, blar du ned til «AMSI Protection» og deaktiverer alternativet.
Odoo • Bilde og tekst

Nå trenger du bare å klikke på «Save» øverst til høyre, så kan du bruke Outlook som vanlig igjen.

McAfee

McAfee Endpoint Security har også fått et alternativ under innstillingene der du kan deaktivere AMSI-beskyttelsen.

Odoo • Bilde og tekst

Bitdefender

I Bitdefender må disse endringene gjøres via Gravityzone, siden det ikke finnes et eget alternativ for AMSI. Det eneste alternativet er å deaktivere hele skadevarebeskyttelsen for tilgang, kjøring (Advanced Thread Control) og avansert beskyttelse mot utnyttelse av sårbarheter. Det anbefales å opprette en egen Exchange-profil for serveren og slå av beskyttelsen der frem til en feilretting er tilgjengelig.

Kaspersky


Aktivere og deaktivere "AMSI-beskyttelse"


"AMSI-beskyttelse" er aktivert som standard.

Slik aktiverer eller deaktiverer du "AMSI-beskyttelse":

  1. Klikk på knappen nederst i programmets hovedvindu icon_settings.png.
  2. I vinduet med programinnstillinger velger du delen Beskyttelse → Grunnleggende beskyttelse → AMSI-beskyttelse.
  3. Bruk bryteren AMSI-beskyttelse for å aktivere eller deaktivere komponenten.
  4. Lagre endringene.

    Kilde: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Direkte på Exchange

Til slutt er det også mulig å deaktivere AMSI ved å endre web.config for MAPIoverHTTP og RPCoverHTTP direkte på serveren der Exchange er installert. Denne løsningen anbefales ikke lenger. Bruk derfor kun alternativene nevnt ovenfor eller fremgangsmåten med Powershell. 

Hvis du bruker Powershell, starter du Exchange Management Shell (Powershell med Exchange-utvidelser)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Dette angir innstillingene og starter IIS på nytt. Dermed er problemet løst frem til en endelig rettelse er på plass. 

Kilde: https://support.sophos.com/support/s/article/KB-000042460 
Kilde: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371