Integrácia AMSI (Antimalware Scan Interface), ktorá mala vo verziách Exchange 2016 CU21 a Exchange 2019 CU10 priniesť lepšiu ochranu, teraz, žiaľ, spôsobuje vážne problémy pri používaní Exchange v kombinácii s rôznymi antivírusovými programami.
Dochádza napríklad k nekonečnému načítavaniu pri otváraní aj pri práci v Outlooku, oneskoreniam pri odosielaní e-mailov či dokonca k úplnej strate pripojenia k serveru Exchange.
Jedno je jasné – takto sa pracovať nedá.
Niektorí dodávatelia antivírusových riešení boli našťastie pripravení, a tak existuje možnosť AMSI vypnúť. Na príkladoch riešení Sophos, McAfee, Bitdefender a Kaspersky vám ukážeme, ako tieto problémy odstrániť.
Ďalej sa pozrieme aj na to, ako možno túto funkciu vypnúť úpravou súboru web.config na serveri Exchange.
Sophos
V riešení Sophos existujú dva spôsoby, ako vypnúť AMSI. Buď priamo cez aplikáciu na klientskom počítači, čo sa však pri správe viacerých inštalácií ukazuje ako veľmi nepraktické, alebo centrálne cez rozhranie na správu Sophos Central.
1. Na koncovom zariadení: Ani pri vypnutí na koncovom zariadení sa nevyhnete práci so Sophos Central. Najprv totiž musíte v Sophos Central pre príslušné zariadenie vypnúť ochranu pred neoprávnenými zmenami (Tamper Protection). V prehľade stačí prejsť nadol do časti Tamper Protection a kliknúť na „View password details“. Zobrazené heslo si zatiaľ skopírujte.
Potom na počítači, na ktorom je Sophos nainštalovaný, kliknite na ikonu Sophos vpravo dole na paneli úloh. V časti na prihlásenie správcu potom zadajte heslo, ktoré ste skopírovali zo Sophos Central.
Teraz môžete v časti „Nastavenia“ v pravom dolnom rohu vypnúť ochranu AMSI.
(V Sophos Central v časti „Server -> Policies -> Threat Protection“ vypnite možnosť „AMSI Protection (Windows)“.)
Potom prejdite nadol na možnosť „AMSI Protection“ a vypnite ju.
Potom prejdite nadol na možnosť „AMSI Protection“ a vypnite ju.
Teraz už stačí kliknúť na „Save“ v pravom hornom rohu a môžete opäť pracovať s Outlookom tak, ako ste zvyknutí.
McAfee
Aj do McAfee Endpoint Security pribudla v nastaveniach možnosť vypnúť ochranu AMSI.
Bitdefender
V prípade Bitdefender je potrebné tieto zmeny vykonať cez Gravityzone, pretože samostatná položka pre AMSI tu úplne chýba. Dá sa vypnúť iba celá ochrana pred malvérom pri prístupe, pri spustení (Advanced Thread Control) a rozšírená ochrana pred zneužitím zraniteľností. Odporúčame vytvoriť pre server samostatný profil Exchange a v ňom vypnúť ochranu, kým nebude k dispozícii oprava.
Kaspersky
Zapnutie a vypnutie ochrany AMSI
Ochrana AMSI je predvolene zapnutá.
Ak chcete zapnúť alebo vypnúť ochranu AMSI, postupujte takto:
- V dolnej časti hlavného okna programu kliknite na tlačidlo
. - V okne nastavení programu vyberte sekciu Ochrana → Základná ochrana → Ochrana AMSI.
- Pomocou prepínača Ochrana AMSI zapnite alebo vypnite tento komponent.
- Uložte vykonané zmeny.
Zdroj: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm
Priamo na serveri Exchange
Napokon existuje aj možnosť deaktivovať AMSI priamou úpravou súboru web.config pre MAPIoverHTTP a RPCoverHTTP na serveri s nainštalovaným systémom Exchange. Toto riešenie sa však už neodporúča. Používajte preto výhradne vyššie uvedené možnosti alebo postup cez Powershell.
Pri postupe cez Powershell spustite Exchange Management Shell (Powershell s rozšíreniami pre Exchange)
[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force
Tým sa nastavia príslušné položky a reštartuje sa IIS. Problém je tak dočasne vyriešený až do vydania definitívnej opravy.
Zdroj: https://support.sophos.com/support/s/article/KB-000042460
Zdroj: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371