Przejdź do zawartości

Nowa aktualizacja AMSI powoduje poważne problemy w Exchange 2016 CU21 i Exchange 2019 CU10

Outlook się zawiesza, wiadomości nie są wysyłane i pojawiają się problemy z połączeniem — wszystko przez aktualizację interfejsu antywirusowego AMSI
21 lipca 2021 przez
Dominic Schnur

Integracja AMSI (Antimalware Scan Interface), która w Exchange 2016 CU21 i Exchange 2019 CU10 miała zapewnić lepszą ochronę, niestety powoduje obecnie poważne problemy, gdy Exchange jest używany w połączeniu z różnymi programami antywirusowymi.

Objawia się to na przykład bardzo długim czasem ładowania przy uruchamianiu i podczas pracy w programie Outlook, opóźnieniami w wysyłaniu wiadomości, a nawet całkowitą utratą połączenia z serwerem Exchange. 

Jedno jest pewne — tak nie da się pracować.

Na szczęście niektórzy dostawcy oprogramowania antywirusowego byli na to przygotowani i udostępnili możliwość wyłączenia AMSI. Poniżej pokażemy, jak rozwiązać te problemy na przykładzie rozwiązań Sophos, McAfee, Bitdefender i Kaspersky.
Omówimy również sposób wyłączenia tej funkcji przez zmianę w pliku web.config serwera Exchange.

Sophos

W Sophos AMSI można wyłączyć na dwa sposoby. Pierwszy to wyłączenie bezpośrednio w aplikacji na komputerze klienckim, co jednak okazuje się bardzo niepraktyczne, gdy trzeba obsłużyć wiele instalacji. Drugi to wyłączenie centralnie, za pomocą konsoli zarządzania Sophos Central. 

Odoo • Tekst i obraz

1. Na urządzeniu końcowym: Nawet wyłączenie AMSI na urządzeniu końcowym wymaga skorzystania z Sophos Central. Najpierw trzeba bowiem wyłączyć w Sophos Central ochronę przed manipulacją (Tamper Protection) dla danego urządzenia. W tym celu wystarczy przewinąć widok podsumowania w dół do sekcji Tamper Protection i kliknąć „View password details”. Wyświetlone hasło warto skopiować.
Następnie na komputerze, na którym zainstalowano oprogramowanie, należy kliknąć ikonę Sophos w prawym dolnym rogu paska zadań. W sekcji logowania administratora można wtedy wpisać hasło skopiowane z Sophos Central.

Odoo • Obraz i tekst

Teraz w sekcji „Ustawienia”, w prawym dolnym rogu, można wyłączyć ochronę AMSI.

Odoo • Obraz i tekst

2. W Sophos Central: Jeśli chcesz zastosować to ustawienie w całej infrastrukturze i wyłączyć ochronę na stałe, a nie tylko tymczasowo, poniżej dowiesz się, które zasady należy zmodyfikować.
Najpierw kliknij „Server Protection” w menu nawigacyjnym, ponieważ to zasady ochrony serwerów będziemy edytować. Następnie kliknij „Policies”, aby przejść do zasad.

(W Sophos Central przejdź do „Server -> Policies -> Threat Protection” i wyłącz „AMSI Protection (Windows)”.)
Odoo • Obraz i tekst
Odoo • Obraz i tekst
Zasada, którą chcemy edytować, to ta oznaczona jako „Enforced” w sekcji „Threat Protection”.
Odoo • Obraz i tekst
Po kliknięciu odpowiedniej zasady przejdź do jej ustawień. Jeśli korzystasz z zasady domyślnej, opcja „Use recommended settinge” będzie oznaczona niebieskim znacznikiem wyboru. Aby umożliwić edycję, najpierw ją odznacz.
Następnie przewiń w dół do opcji „AMSI Protection” i ją wyłącz.
Po kliknięciu odpowiedniej zasady przejdź do jej ustawień. Jeśli korzystasz z zasady domyślnej, opcja „Use recommended settinge” będzie oznaczona niebieskim znacznikiem wyboru. Aby umożliwić edycję, najpierw ją odznacz.
Następnie przewiń w dół do opcji „AMSI Protection” i ją wyłącz.
Odoo • Obraz i tekst

Teraz wystarczy kliknąć „Save” w prawym górnym rogu, aby znów móc pracować w Outlook bez przeszkód.

McAfee

W McAfee Endpoint Security również dodano w ustawieniach opcję umożliwiającą wyłączenie ochrony AMSI.

Odoo • Obraz i tekst

Bitdefender

W przypadku Bitdefender zmiany te trzeba wprowadzić za pośrednictwem Gravityzone — nie ma tu osobnej opcji dotyczącej AMSI. Można jedynie całkowicie wyłączyć ochronę przed złośliwym oprogramowaniem przy dostępie, podczas uruchamiania (Advanced Thread Control) oraz zaawansowaną ochronę przed exploitami. Zaleca się utworzenie dla serwera osobnego profilu Exchange i wyłączenie w nim ochrony do czasu udostępnienia poprawki.

Kaspersky


Włączanie i wyłączanie „Ochrony AMSI”


„Ochrona AMSI” jest domyślnie włączona.

Aby włączyć lub wyłączyć „Ochronę AMSI”, wykonaj następujące czynności:

  1. W dolnej części okna głównego programu kliknij przycisk icon_settings.png.
  2. W oknie ustawień programu wybierz sekcję Ochrona → Ochrona podstawowa → Ochrona AMSI.
  3. Użyj przełącznika Ochrona AMSI, aby włączyć lub wyłączyć ten składnik.
  4. Zapisz wprowadzone zmiany.

    Źródło: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Bezpośrednio na serwerze Exchange

Na koniec pozostaje jeszcze możliwość wyłączenia AMSI poprzez bezpośrednią modyfikację plików web.config dla MAPIoverHTTP i RPCoverHTTP na serwerze z zainstalowanym Exchange. To rozwiązanie nie jest już zalecane. Dlatego należy korzystać wyłącznie z opisanych powyżej metod lub z metody wykorzystującej Powershell. 

W przypadku metody wykorzystującej Powershell należy uruchomić Exchange Management Shell (Powershell z rozszerzeniami Exchange)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Spowoduje to wprowadzenie odpowiednich wpisów i ponowne uruchomienie IIS. W ten sposób problem zostaje rozwiązany do czasu udostępnienia ostatecznej poprawki. 

Źródło: https://support.sophos.com/support/s/article/KB-000042460 
Źródło: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371