Sari la conținut

Noua actualizare AMSI provoacă probleme grave în Exchange 2016 CU21 și Exchange 2019 CU10

Outlook se blochează, e-mailurile nu sunt trimise și apar probleme de conexiune din cauza unei actualizări a interfeței antivirus AMSI
21 iulie 2021 de
Dominic Schnur

Integrarea AMSI (Antimalware Scan Interface), care ar fi trebuit să ofere o protecție mai bună odată cu Exchange 2016 CU21 și Exchange 2019 CU10, provoacă acum, din păcate, probleme grave atunci când Exchange este utilizat împreună cu diverse programe antivirus.

De exemplu, apar timpi de încărcare interminabili la deschidere, inclusiv în Outlook, întârzieri la trimiterea e-mailurilor și chiar pierderea completă a conexiunii la serverul Exchange. 

Un lucru este clar: așa nu se poate lucra.

Din fericire, unii furnizori de soluții antivirus au fost pregătiți, astfel că există posibilitatea de a dezactiva AMSI. În continuare, veți afla cum puteți pune capăt acestor probleme, folosind ca exemple soluțiile Sophos, McAfee, Bitdefender și Kaspersky.
De asemenea, vom explica cum poate fi dezactivată această funcție prin modificarea fișierului web.config de pe serverul Exchange.

Sophos

În Sophos, există două modalități de a dezactiva AMSI. Prima este direct din aplicația de pe calculatorul client, însă această variantă devine foarte nepractică atunci când aveți de gestionat mai multe instalări. A doua este dezactivarea centralizată, prin interfața de administrare Sophos Central. 

Odoo • Text și imagine

1. Pe endpoint: Chiar și pentru dezactivarea pe endpoint, tot trebuie să folosiți Sophos Central. Mai întâi, trebuie să dezactivați funcția Tamper Protection pentru dispozitivul respectiv în Sophos Central. Pentru aceasta, derulați în jos în pagina de prezentare generală până la Tamper Protection și faceți clic pe "View password details". Copiați parola afișată pentru a o folosi la pasul următor.
Apoi, pe calculatorul pe care este instalat Sophos, faceți clic pe pictograma Sophos din partea dreaptă jos a barei de activități. În secțiunea de autentificare ca administrator, introduceți parola copiată din Sophos Central.

Odoo • Imagine și text

Acum puteți dezactiva protecția AMSI din „Setări”, în colțul din dreapta jos.

Odoo • Imagine și text

2. În Sophos Central: Dacă doriți să aplicați această setare la nivelul întregii infrastructuri și să dezactivați protecția pe termen nelimitat, nu doar temporar, iată ce politici trebuie să actualizați.
Mai întâi, faceți clic pe „Server Protection” în meniul de navigare, deoarece dorim să modificăm politicile pentru această secțiune. Apoi faceți clic pe „Policies” pentru a accesa politicile.

(În Sophos Central, în „Server -> Policies -> Threat Protection”, dezactivați „AMSI Protection (Windows)”.)
Odoo • Imagine și text
Odoo • Imagine și text
Politica pe care dorim să o modificăm este cea marcată ca „Enforced” în secțiunea „Threat Protection”.
Odoo • Imagine și text
După ce faceți clic pe politica respectivă, accesați setările acesteia. Dacă folosiți politica implicită, opțiunea „Use recommended settinge” este bifată cu albastru. Mai întâi trebuie să o debifați pentru a putea modifica setările.
După aceea, derulați în jos până la opțiunea „AMSI Protection” și dezactivați-o.
După ce faceți clic pe politica respectivă, accesați setările acesteia. Dacă folosiți politica implicită, opțiunea „Use recommended settinge” este bifată cu albastru. Mai întâi trebuie să o debifați pentru a putea modifica setările.
După aceea, derulați în jos până la opțiunea „AMSI Protection” și dezactivați-o.
Odoo • Imagine și text

Acum nu mai trebuie decât să faceți clic pe „Save” în colțul din dreapta sus și să vă bucurați din nou de lucrul în Outlook ca de obicei.

McAfee

Și în McAfee Endpoint Security a fost adăugată, în setări, o opțiune care permite dezactivarea protecției AMSI.

Odoo • Imagine și text

Bitdefender

În cazul Bitdefender, aceste modificări trebuie efectuate prin Gravityzone, deoarece nu există o opțiune separată pentru AMSI. Se poate dezactiva doar întreaga protecție antimalware pentru acces, executare (Advanced Thread Control) și protecția avansată împotriva exploit-urilor. Se recomandă crearea unui profil Exchange separat pentru server și dezactivarea protecției în acel profil până la remedierea problemei.

Kaspersky


Activarea și dezactivarea „Protecției AMSI”


„Protecția AMSI” este activată în mod implicit.

Pentru a activa sau dezactiva „Protecția AMSI”, urmați pașii de mai jos:

  1. În partea de jos a ferestrei principale a programului, faceți clic pe butonul icon_settings.png.
  2. În fereastra cu setările programului, selectați secțiunea Protecție → Protecție de bază → Protecție AMSI.
  3. Folosiți comutatorul Protecție AMSI pentru a activa sau dezactiva componenta.
  4. Salvați modificările efectuate.

    Sursă: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Direct pe Exchange

În cele din urmă, există și posibilitatea de a modifica direct fișierul web.config pentru MAPIoverHTTP și RPCoverHTTP pe serverul pe care este instalat Exchange, pentru a dezactiva AMSI. Între timp, această soluție nu mai este recomandată. Prin urmare, utilizați exclusiv variantele menționate mai sus sau varianta prin Powershell. 

În cazul variantei prin Powershell, deschideți Exchange Management Shell (Powershell cu extensii Exchange)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Prin aceste comenzi se configurează intrările și se repornește IIS. Astfel, problema este rezolvată până la apariția unei remedieri definitive. 

Sursa: https://support.sophos.com/support/s/article/KB-000042460 
Sursa: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371