Preskoči na vsebino

Nova posodobitev AMSI povzroča resne težave v Exchange 2016 CU21 in Exchange 2019 CU10

Outlook se ne odziva, e-poštna sporočila se ne pošiljajo in prihaja do težav s povezavo zaradi posodobitve protivirusnega vmesnika AMSI
21. julij 2021 napisal
Dominic Schnur

Integracija vmesnika AMSI (Antimalware Scan Interface), ki naj bi v različicah Exchange 2016 CU21 in Exchange 2019 CU10 zagotavljala boljšo zaščito, žal povzroča resne težave, kadar se Exchange uporablja v kombinaciji z različnimi protivirusnimi programi.

Prihaja na primer do izjemno dolgega nalaganja ob odpiranju in tudi v Outlooku, zamud pri pošiljanju e-pošte in celo do popolne izgube povezave s strežnikom Exchange. 

Jasno je: tako ni mogoče delati.

Na srečo so bili nekateri ponudniki protivirusnih rešitev na to pripravljeni, zato je AMSI mogoče onemogočiti. Na primerih rešitev Sophos, McAfee, Bitdefender in Kaspersky vam bomo pokazali, kako odpraviti te težave.
Pojasnili bomo tudi, kako lahko to funkcijo onemogočite s spremembo datoteke web.config na strežniku Exchange.

Sophos

V rešitvi Sophos lahko AMSI onemogočite na dva načina. Prvi je neposredno v aplikaciji na odjemalcu, kar pa postane zelo nepraktično, ko je treba to storiti na več napravah. Drugi način je centralno upravljanje prek vmesnika Sophos Central. 

Odoo • Besedilo in slika

1. Na končni napravi: Tudi če želite AMSI onemogočiti na končni napravi, ne gre brez uporabe vmesnika Sophos Central. Najprej morate namreč v njem za zadevno napravo onemogočiti zaščito pred posegi (Tamper Protection). To storite tako, da se v pregledu pomaknete navzdol do razdelka Tamper Protection in kliknete »View password details«. Prikazano geslo si za zdaj kopirajte.
Nato na računalniku, na katerem je nameščen Sophos, v opravilni vrstici spodaj desno kliknite ikono Sophos. V razdelku za skrbniško prijavo lahko nato vnesete geslo, ki ste ga kopirali iz vmesnika Sophos Central.

Odoo • Slika in besedilo

Zdaj lahko v razdelku »Nastavitve« v spodnjem desnem kotu onemogočite zaščito AMSI.

Odoo • Slika in besedilo

2. V Sophos Central: Če želite nastavitev uveljaviti v celotni infrastrukturi in zaščite ne želite onemogočiti le začasno, v nadaljevanju preberite, katere pravilnike morate posodobiti.
Najprej v navigacijskem meniju kliknite »Server Protection«, saj želite urediti pravilnike za zaščito strežnikov. Nato kliknite »Policies«, da odprete pravilnike.

(V Sophos Central pod »Server -> Policies -> Threat Protection« onemogočite »AMSI Protection (Windows)«.)
Odoo • Slika in besedilo
Odoo • Slika in besedilo
Urediti morate pravilnik, ki je v razdelku »Threat Protection« označen kot »Enforced«.
Odoo • Slika in besedilo
Ko kliknete ustrezni pravilnik, odprite njegove nastavitve. Če uporabljate privzeti pravilnik, je pri možnosti »Use recommended settinge« modra kljukica. Najprej jo odstranite, da omogočite urejanje nastavitev.
Nato se pomaknite navzdol do možnosti »AMSI Protection« in jo onemogočite.
Ko kliknete ustrezni pravilnik, odprite njegove nastavitve. Če uporabljate privzeti pravilnik, je pri možnosti »Use recommended settinge« modra kljukica. Najprej jo odstranite, da omogočite urejanje nastavitev.
Nato se pomaknite navzdol do možnosti »AMSI Protection« in jo onemogočite.
Odoo • Slika in besedilo

Zdaj morate le še klikniti »Save« v zgornjem desnem kotu in Outlook boste lahko znova uporabljali kot običajno.

McAfee

Tudi v McAfee Endpoint Security so med nastavitve dodali možnost, s katero lahko onemogočite zaščito AMSI.

Odoo • Slika in besedilo

Bitdefender

Pri Bitdefenderju je treba te spremembe izvesti prek konzole Gravityzone, saj posebne možnosti za AMSI sploh ni. Izklopiti je mogoče le celotno zaščito pred zlonamerno programsko opremo pri dostopu, izvajanju (Advanced Thread Control) in napredno zaščito pred izkoriščanjem ranljivosti. Priporočamo, da za strežnik ustvarite ločen profil Exchange in v njem izklopite zaščito, dokler ne bo na voljo popravek.

Kaspersky


Vklop in izklop zaščite AMSI


Zaščita AMSI je privzeto vklopljena.

Za vklop ali izklop zaščite AMSI sledite tem korakom:

  1. Na dnu glavnega okna programa kliknite gumb icon_settings.png.
  2. V oknu z nastavitvami programa izberite razdelek Zaščita → Osnovna zaščita → Zaščita AMSI.
  3. S stikalom Zaščita AMSI vklopite ali izklopite komponento.
  4. Shranite spremembe.

    Vir: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Neposredno v strežniku Exchange

Nazadnje je AMSI mogoče onemogočiti tudi z neposrednim urejanjem datoteke web.config za MAPIoverHTTP in RPCoverHTTP v strežniku, v katerem je nameščen Exchange. Ta rešitev se ne priporoča več. Zato uporabite izključno zgoraj navedene možnosti ali postopek prek lupine Powershell. 

Če želite uporabiti Powershell, zaženite Exchange Management Shell (Powershell z razširitvami za Exchange)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

S tem se nastavijo vnosi in znova zažene IIS. Tako je težava odpravljena do izdaje dokončnega popravka. 

Vir: https://support.sophos.com/support/s/article/KB-000042460 
Vir: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371