Skip to Content

Novo ažuriranje AMSI-ja izaziva ozbiljne probleme u Exchange 2016 CU21 i Exchange 2019 CU10

Outlook se zamrzava, e-poruke se ne šalju i dolazi do problema sa povezivanjem zbog ažuriranja antivirusnog interfejsa AMSI
21. јул 2021. by
Dominic Schnur

Integracija AMSI-ja (Antimalware Scan Interface), koja je u verzijama Exchange 2016 CU21 i Exchange 2019 CU10 trebalo da pruži bolju zaštitu, sada, nažalost, izaziva ozbiljne probleme kada se Exchange koristi u kombinaciji s različitim antivirusnim programima.

Tako, na primer, dolazi do izuzetno dugog učitavanja pri otvaranju, kao i u programu Outlook, kašnjenja pri slanju e-pošte, pa čak i potpunog gubitka veze sa Exchange serverom. 

Jasno je — ovako se ne može raditi.

Srećom, neki proizvođači antivirusnih programa bili su spremni, pa postoji mogućnost da se AMSI onemogući. Ovde ćete na primerima rešenja Sophos, McAfee, Bitdefender i Kaspersky saznati kako da rešite ove probleme.
Pored toga, objasnićemo i kako se ova funkcija može onemogućiti izmenom datoteke web.config na Exchange serveru.

Sophos

U rešenju Sophos postoje dva načina da onemogućite AMSI. Prvi je direktno u aplikaciji na klijentskom računaru, što se, međutim, pokazuje kao vrlo nepraktično čim imate više instalacija. Drugi je centralno, preko upravljačkog interfejsa Sophos Central. 

Odoo • Tekst i slika

1. Na krajnjem uređaju: Čak i kada AMSI onemogućavate na krajnjem uređaju, morate koristiti Sophos Central. Naime, najpre u konzoli Sophos Central morate onemogućiti zaštitu od neovlašćenih izmena (Tamper Protection) za odgovarajući uređaj. Da biste to uradili, na stranici s pregledom pomerite se nadole do odeljka Tamper Protection i kliknite na "View password details". Za sada možete da kopirate prikazanu lozinku.
Zatim na računaru na kojem je Sophos instaliran kliknite na ikonu Sophos u donjem desnom uglu trake zadataka. U odeljku za administratorsku prijavu unesite lozinku koju ste kopirali iz konzole Sophos Central.

Odoo • Slika i tekst

Sada u odeljku „Podešavanja“, u donjem desnom uglu, možete da isključite AMSI zaštitu.

Odoo • Slika i tekst

2. U konzoli Sophos Central: Ako želite da primenite ovo podešavanje na celu infrastrukturu, a ne da samo privremeno isključite zaštitu, u nastavku ćete saznati koje smernice treba da izmenite.
Najpre u navigaciji kliknite na „Server Protection“, jer želimo da izmenimo smernice za zaštitu servera. Zatim kliknite na „Policies“ da biste otvorili smernice.

(U konzoli Sophos Central, u odeljku „Server -> Policies -> Threat Protection“, isključite opciju „AMSI Protection (Windows)“.)
Odoo • Slika i tekst
Odoo • Slika i tekst
Smernica koju želimo da izmenimo jeste ona koja je u odeljku „Threat Protection“ označena kao „Enforced“.
Odoo • Slika i tekst
Kada kliknete na odgovarajuću smernicu, otvorite njena podešavanja („Settings“). Ako koristite podrazumevanu smernicu, opcija „Use recommended settinge“ biće označena plavim znakom za potvrdu. Najpre uklonite tu oznaku da biste omogućili izmene.
Kada to uradite, pomerite prikaz nadole do opcije „AMSI Protection“ i isključite je.
Kada kliknete na odgovarajuću smernicu, otvorite njena podešavanja („Settings“). Ako koristite podrazumevanu smernicu, opcija „Use recommended settinge“ biće označena plavim znakom za potvrdu. Najpre uklonite tu oznaku da biste omogućili izmene.
Kada to uradite, pomerite prikaz nadole do opcije „AMSI Protection“ i isključite je.
Odoo • Slika i tekst

Sada samo kliknite na „Save“ u gornjem desnom uglu i ponovo možete da radite u programu Outlook kao i obično.

McAfee

I u McAfee Endpoint Security je u okviru podešavanja naknadno dodata opcija za isključivanje AMSI zaštite.

Odoo • Slika i tekst

Bitdefender

Kod Bitdefendera ove izmene morate da izvršite preko Gravityzone konzole, jer posebna opcija za AMSI uopšte ne postoji. Možete samo da isključite kompletnu zaštitu od malvera pri pristupu i izvršavanju (Advanced Thread Control), kao i naprednu zaštitu od zloupotrebe ranjivosti. Preporučuje se da za server napravite poseban Exchange profil i u njemu isključite zaštitu dok ne bude dostupna ispravka.

Kaspersky


Uključivanje i isključivanje „AMSI zaštite“


„AMSI zaštita“ je podrazumevano uključena.

Da biste uključili ili isključili „AMSI zaštitu“, postupite na sledeći način:

  1. U donjem delu glavnog prozora programa kliknite na dugme icon_settings.png.
  2. U prozoru sa podešavanjima programa izaberite odeljak Zaštita → Osnovna zaštita → AMSI zaštita.
  3. Pomoću prekidača AMSI zaštita uključite ili isključite ovu komponentu.
  4. Sačuvajte unete izmene.

    Izvor: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Direktno na Exchange serveru

Na kraju, postoji i mogućnost da se AMSI onemogući direktnom izmenom datoteke web.config za MAPIoverHTTP i RPCoverHTTP na serveru na kojem je instaliran Exchange. Ovo rešenje se više ne preporučuje. Zato koristite isključivo prethodno navedene metode ili postupak putem PowerShell-a. 

Ako koristite PowerShell, pokrenite Exchange Management Shell (PowerShell sa proširenjima za Exchange)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Time se podešavaju odgovarajući unosi i ponovo pokreće IIS. Na taj način se problem rešava do objavljivanja konačne ispravke. 

Izvor: https://support.sophos.com/support/s/article/KB-000042460 
Izvor: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371