Hoppa till innehåll

Ny AMSI-uppdatering orsakar allvarliga problem i Exchange 2016 CU21 och Exchange 2019 CU10

Outlook hänger sig, mejl skickas inte och anslutningsproblem uppstår på grund av en uppdatering av antivirusgränssnittet AMSI
21 juli 2021 av
Dominic Schnur

Integrationen av AMSI (Antimalware Scan Interface), som egentligen skulle ge ett bättre skydd i Exchange 2016 CU21 och Exchange 2019 CU10, leder nu tyvärr till allvarliga problem när Exchange används tillsammans med olika antivirusprogram.

Det kan till exempel leda till extremt långa laddningstider vid start och även i Outlook, fördröjningar när e-post skickas och i värsta fall till att anslutningen till Exchange-servern bryts helt. 

En sak är klar – så här går det inte att arbeta.

Lyckligtvis var vissa antivirusleverantörer förberedda, och det finns därför möjlighet att inaktivera AMSI. Här visar vi hur du kan lösa problemen med exempel från Sophos, McAfee, Bitdefender och Kaspersky.
Vi går också igenom hur funktionen kan inaktiveras genom en ändring i Exchange-serverns web.config.

Sophos

I Sophos finns det två sätt att inaktivera AMSI. Antingen gör du det direkt i programmet på klienten, vilket dock blir mycket opraktiskt när du behöver hantera flera installationer. Eller så gör du det centralt via administrationsgränssnittet i Sophos Central. 

Odoo • Text och bild

1. På endpointen: Även om du inaktiverar AMSI på endpointen behöver du använda Sophos Central. Först måste du nämligen inaktivera manipuleringsskyddet (Tamper Protection) för den aktuella enheten i Sophos Central. Rulla ned till Tamper Protection i översikten och klicka på "View password details". Kopiera lösenordet så att du har det till hands.
Klicka sedan på Sophos-ikonen längst ned till höger i aktivitetsfältet på den dator där programmet är installerat. Under administratörsinloggning kan du sedan ange lösenordet som du kopierade från Sophos Central.

Odoo • Bild och text

Nu kan du inaktivera AMSI-skyddet under ”Inställningar” i det nedre högra hörnet.

Odoo • Bild och text

2. I Sophos Central: Om du vill tillämpa inställningen på hela infrastrukturen och inte bara inaktivera skyddet tillfälligt, visar vi här vilka policyer du behöver uppdatera för att göra det.
Klicka först på ”Server Protection” i navigeringen, eftersom det är policyerna där vi vill redigera. Klicka sedan på ”Policies” för att komma till policyerna.

(I Sophos Central inaktiverar du ”AMSI Protection (Windows)” under ”Server -> Policies -> Threat Protection”.)
Odoo • Bild och text
Odoo • Bild och text
Den policy vi vill redigera är den som är markerad som ”Enforced” under ”Threat Protection”.
Odoo • Bild och text
När du har klickat på den aktuella policyn går du till dess inställningar. Om du använder standardpolicyn finns det en blå bock vid ”Use recommended settinge”. Du måste först avmarkera det alternativet för att kunna redigera inställningarna.
När det är gjort rullar du ned till ”AMSI Protection” och inaktiverar skyddet.
När du har klickat på den aktuella policyn går du till dess inställningar. Om du använder standardpolicyn finns det en blå bock vid ”Use recommended settinge”. Du måste först avmarkera det alternativet för att kunna redigera inställningarna.
När det är gjort rullar du ned till ”AMSI Protection” och inaktiverar skyddet.
Odoo • Bild och text

Nu behöver du bara klicka på ”Save” i det övre högra hörnet, så kan du arbeta som vanligt i Outlook igen.

McAfee

Även McAfee Endpoint Security har kompletterats med ett alternativ under inställningarna där du kan inaktivera AMSI-skyddet.

Odoo • Bild och text

Bitdefender

I Bitdefender måste dessa ändringar göras via Gravityzone, eftersom det helt saknas en separat inställning för AMSI. Det enda alternativet är att inaktivera hela skyddet mot skadlig programvara vid åtkomst och körning (Advanced Thread Control) samt det avancerade exploateringsskyddet. Vi rekommenderar att du skapar en separat Exchange-profil för servern och inaktiverar skyddet där tills det finns en korrigering.

Kaspersky


Aktivera och inaktivera ”AMSI-skydd”


”AMSI-skydd” är aktiverat som standard.

Gör så här för att aktivera eller inaktivera ”AMSI-skydd”:

  1. Klicka på knappen längst ned i programmets huvudfönster icon_settings.png.
  2. Välj avsnittet Skydd → Grundläggande skydd → AMSI-skydd i fönstret med programinställningar.
  3. Använd reglaget AMSI-skydd för att aktivera eller inaktivera komponenten.
  4. Spara ändringarna.

    Källa: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Direkt i Exchange

Slutligen finns också möjligheten att inaktivera AMSI genom att ändra direkt i web.config för MAPIoverHTTP och RPCoverHTTP på servern där Exchange är installerat. Den här lösningen rekommenderas inte längre. Använd därför endast de alternativ som nämns ovan eller metoden via Powershell. 

Om du använder Powershell startar du Exchange Management Shell (Powershell med Exchange-tillägg)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Då läggs inställningarna in och IIS startas om. Därmed är problemet löst i väntan på en permanent korrigering. 

Källa: https://support.sophos.com/support/s/article/KB-000042460 
Källa: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371