Overslaan naar inhoud

Nieuwe AMSI-update veroorzaakt ernstige problemen bij Exchange 2016 CU21 en Exchange 2019 CU10

Outlook loopt vast, e-mails worden niet verzonden en er ontstaan verbindingsproblemen door een update van de AMSI-antivirusinterface
21 juli 2021 in
Dominic Schnur

De integratie van AMSI (Antimalware Scan Interface), die met Exchange 2016 CU21 en Exchange 2019 CU10 eigenlijk voor een betere beveiliging moest zorgen, leidt nu helaas tot ernstige problemen wanneer Exchange in combinatie met verschillende antivirusprogramma's wordt gebruikt.

Zo zijn er bijvoorbeeld eindeloze laadtijden bij het openen en ook in Outlook, vertragingen bij het verzenden van e-mails en kan zelfs de verbinding met de Exchange-server volledig wegvallen. 

Eén ding is duidelijk: zo kun je niet werken.

Gelukkig waren enkele leveranciers van antivirussoftware hierop voorbereid en is het mogelijk om AMSI uit te schakelen. Hier leest u aan de hand van enkele voorbeelden met Sophos, McAfee, Bitdefender en Kaspersky hoe u deze problemen kunt verhelpen.
Daarnaast leggen we uit hoe u deze functie kunt uitschakelen door de web.config van de Exchange-server aan te passen.

Sophos

Bij Sophos zijn er twee manieren om AMSI uit te schakelen. Dat kan rechtstreeks via de applicatie op de client, maar dat is erg onpraktisch zodra u met meerdere installaties te maken krijgt. U kunt dit ook centraal doen via de beheerinterface van Sophos Central. 

Odoo • Tekst en afbeelding

1. Op het endpoint: Ook als u AMSI op het endpoint uitschakelt, moet u eerst in Sophos Central aan de slag. Daar moet u namelijk eerst de Tamper Protection voor het betreffende apparaat uitschakelen. Scrol hiervoor in het overzicht omlaag naar Tamper Protection en klik op "View password details". Kopieer het wachtwoord alvast.
Klik vervolgens op de pc waarop de software is geïnstalleerd rechtsonder in de taakbalk op het Sophos-pictogram. Daar kunt u onder de optie voor aanmelden als beheerder het wachtwoord invoeren dat u uit Sophos Central hebt gekopieerd.

Odoo • Afbeelding en tekst

U kunt nu rechtsonder onder "Instellingen" de AMSI-beveiliging uitschakelen.

Odoo • Afbeelding en tekst

2. In Sophos Central: Als u deze instelling voor de hele infrastructuur wilt doorvoeren en de beveiliging niet slechts tijdelijk wilt uitschakelen, leest u hieronder welke beleidsregels u daarvoor moet aanpassen.
Klik eerst in het navigatiemenu op "Server Protection", want we willen de bijbehorende beleidsregels aanpassen. Klik vervolgens op Policies om naar de beleidsregels te gaan.

(Schakel in Sophos Central onder "Server -> Policies -> Threat Protection" de optie "AMSI Protection (Windows)" uit.)
Odoo • Afbeelding en tekst
Odoo • Afbeelding en tekst
De beleidsregel die we willen aanpassen, is de regel die onder Threat Protection als "Enforced" is gemarkeerd.
Odoo • Afbeelding en tekst
Klik op de betreffende beleidsregel en ga vervolgens naar de instellingen ervan. Als u de standaardbeleidsregel gebruikt, staat er een blauw vinkje bij "Use recommended settinge". U moet dit vinkje eerst weghalen om de instellingen te kunnen aanpassen.
Scrol daarna omlaag naar "AMSI Protection" en schakel deze optie uit.
Klik op de betreffende beleidsregel en ga vervolgens naar de instellingen ervan. Als u de standaardbeleidsregel gebruikt, staat er een blauw vinkje bij "Use recommended settinge". U moet dit vinkje eerst weghalen om de instellingen te kunnen aanpassen.
Scrol daarna omlaag naar "AMSI Protection" en schakel deze optie uit.
Odoo • Afbeelding en tekst

U hoeft nu alleen nog rechtsboven op "Save" te klikken en u kunt weer zoals u gewend bent met Outlook werken.

McAfee

Ook aan McAfee Endpoint Security is onder Instellingen een optie toegevoegd waarmee u de AMSI-beveiliging kunt uitschakelen.

Odoo • Afbeelding en tekst

Bitdefender

Bij Bitdefender moet u deze wijzigingen via Gravityzone doorvoeren; een aparte optie voor AMSI ontbreekt hier volledig. U kunt alleen de volledige malwarebescherming uitschakelen voor toegang, uitvoering (Advanced Thread Control) en geavanceerde exploitbescherming. Het is raadzaam om een apart Exchange-profiel voor de server aan te maken en daarin de bescherming uit te schakelen totdat er een oplossing beschikbaar is.

Kaspersky


"AMSI-bescherming" in- en uitschakelen


"AMSI-bescherming" is standaard ingeschakeld.

Ga als volgt te werk om "AMSI-bescherming" in of uit te schakelen:

  1. Klik onderaan in het hoofdvenster van het programma op de knop icon_settings.png.
  2. Selecteer in het venster met de programma-instellingen het onderdeel Bescherming → Basisbescherming → AMSI-bescherming.
  3. Gebruik de schakelaar AMSI-bescherming om het onderdeel in of uit te schakelen.
  4. Sla de aangebrachte wijzigingen op.

    Bron: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Rechtstreeks op Exchange

Tot slot kunt u AMSI ook uitschakelen door het bestand web.config voor MAPIoverHTTP en RPCoverHTTP rechtstreeks aan te passen op de server waarop Exchange is geïnstalleerd. Deze oplossing wordt inmiddels niet meer aanbevolen. Gebruik daarom uitsluitend de hierboven genoemde methoden of de methode via Powershell. 

Als u Powershell gebruikt, start u de Exchange Management Shell (Powershell met Exchange-uitbreidingen)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Hiermee worden de instellingen toegepast en wordt IIS opnieuw gestart. Zo is het probleem verholpen totdat er een definitieve oplossing beschikbaar is. 

Bron: https://support.sophos.com/support/s/article/KB-000042460 
Bron: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371