Перейти к содержимому

Новое обновление AMSI вызывает серьёзные проблемы в Exchange 2016 CU21 и Exchange 2019 CU10

Из-за обновления антивирусного интерфейса AMSI зависает Outlook, не отправляются письма и возникают проблемы с подключением
21 июля 2021 г. от
Dominic Schnur

Интеграция AMSI (Antimalware Scan Interface), которая должна была повысить уровень защиты в Exchange 2016 CU21 и Exchange 2019 CU10, к сожалению, приводит к серьёзным проблемам при использовании Exchange совместно с различными антивирусными программами.

Например, загрузка при открытии, в том числе в Outlook, может длиться бесконечно, письма отправляются с задержкой, а в некоторых случаях соединение с сервером Exchange полностью пропадает. 

Ясно одно: работать в таких условиях невозможно.

К счастью, некоторые поставщики антивирусных решений оказались к этому готовы и предусмотрели возможность отключения AMSI. На примере Sophos, McAfee, Bitdefender и Kaspersky мы покажем, как устранить эти проблемы.
Кроме того, мы расскажем, как отключить эту функцию, изменив файл web.config на сервере Exchange.

Sophos

В Sophos отключить AMSI можно двумя способами: непосредственно в приложении на клиентском компьютере, что весьма неудобно, если таких установок несколько, или централизованно через консоль управления Sophos Central. 

Odoo • Текст и изображение

1. На конечном устройстве: Даже при отключении AMSI на конечном устройстве без Sophos Central не обойтись. Сначала необходимо отключить в Sophos Central защиту от несанкционированного изменения настроек (Tamper Protection) для нужного устройства. Для этого прокрутите страницу обзора вниз до раздела Tamper Protection и нажмите "View password details". Скопируйте показанный пароль — он понадобится на следующем шаге.
Затем на компьютере, где установлен Sophos, нажмите на значок Sophos в правом нижнем углу панели задач. В разделе входа с правами администратора введите пароль, скопированный из Sophos Central.

Odoo • Изображение и текст

Теперь в разделе «Настройки» в правом нижнем углу можно отключить защиту AMSI.

Odoo • Изображение и текст

2. В Sophos Central: Если вы хотите применить эту настройку ко всей инфраструктуре и отключить защиту не только на время, ниже вы узнаете, какие политики для этого нужно изменить.
Сначала в меню навигации выберите «Server Protection», поскольку нам нужно изменить политики защиты серверов. Затем нажмите «Policies», чтобы перейти к политикам.

(В Sophos Central в разделе «Server -> Policies -> Threat Protection» отключите «AMSI Protection (Windows)».)
Odoo • Изображение и текст
Odoo • Изображение и текст
Нам нужна политика, которая в разделе «Threat Protection» отмечена как «Enforced».
Odoo • Изображение и текст
Откройте нужную политику и перейдите к её настройкам. Если вы используете политику по умолчанию, рядом с пунктом «Use recommended settinge» будет стоять синяя галочка. Сначала снимите её, чтобы получить возможность редактировать настройки.
После этого прокрутите страницу вниз до пункта «AMSI Protection» и отключите его.
Откройте нужную политику и перейдите к её настройкам. Если вы используете политику по умолчанию, рядом с пунктом «Use recommended settinge» будет стоять синяя галочка. Сначала снимите её, чтобы получить возможность редактировать настройки.
После этого прокрутите страницу вниз до пункта «AMSI Protection» и отключите его.
Odoo • Изображение и текст

Теперь остаётся лишь нажать «Save» в правом верхнем углу — и можно снова работать в Outlook в привычном режиме.

McAfee

В McAfee Endpoint Security тоже добавили в настройки пункт, позволяющий отключить защиту AMSI.

Odoo • Изображение и текст

Bitdefender

В Bitdefender эти изменения нужно вносить через Gravityzone: отдельного пункта для AMSI здесь нет. Можно лишь полностью отключить защиту от вредоносных программ при доступе и запуске (Advanced Thread Control), а также расширенную защиту от эксплойтов. Рекомендуется создать для сервера отдельный профиль Exchange и отключить в нём защиту до выхода исправления.

Kaspersky


Включение и отключение «AMSI-защиты»


«AMSI-защита» включена по умолчанию.

Чтобы включить или отключить «AMSI-защиту», выполните следующие действия:

  1. В нижней части главного окна программы нажмите кнопку icon_settings.png.
  2. В окне настроек программы выберите раздел Защита → Базовая защита → AMSI-защита.
  3. Используйте переключатель AMSI-защита, чтобы включить или отключить компонент.
  4. Сохраните внесённые изменения.

    Источник: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Непосредственно на сервере Exchange

Наконец, отключить AMSI можно и путём редактирования файлов web.config для MAPIoverHTTP и RPCoverHTTP непосредственно на сервере с установленным Exchange. Однако этот способ больше не рекомендуется. Поэтому используйте только описанные выше варианты или способ с использованием Powershell. 

В случае PowerShell запускается Exchange Management Shell (PowerShell с расширениями Exchange)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

При этом задаются необходимые параметры и перезапускается IIS. Это позволяет решить проблему до выхода окончательного исправления. 

Источник: https://support.sophos.com/support/s/article/KB-000042460 
Источник: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371