İçereği Atla

Yeni AMSI güncellemesi Exchange 2016 CU21 ve Exchange 2019 CU10'da ciddi sorunlara yol açıyor

AMSI antivirüs arayüzüne gelen bir güncelleme nedeniyle Outlook donuyor, e-postalar gönderilemiyor ve bağlantı sorunları yaşanıyor.
21 Temmuz 2021 yazan
Dominic Schnur

AMSI (Antimalware Scan Interface) entegrasyonu, Exchange 2016 CU21 ve Exchange 2019 CU10 ile daha iyi koruma sağlamak amacıyla sunulmuş olsa da Exchange çeşitli antivirüs programlarıyla birlikte kullanıldığında ne yazık ki ciddi sorunlara yol açıyor.

Örneğin, açılışta ve Outlook'ta bitmek bilmeyen yükleme süreleri, e-postaların gönderiminde gecikmeler ve hatta Exchange sunucusuyla bağlantının tamamen kesilmesi gibi sorunlar yaşanıyor. 

Bir şey kesin: Bu şekilde çalışmak mümkün değil.

Neyse ki bazı antivirüs sağlayıcıları buna hazırlıklıydı ve AMSI'yi devre dışı bırakma seçeneği sunuyor. Bu yazıda Sophos, McAfee, Bitdefender ve Kaspersky örnekleri üzerinden bu sorunlara nasıl son verebileceğinizi öğreneceksiniz.
Ayrıca Exchange sunucusunun web.config dosyasında bir değişiklik yaparak bu özelliğin nasıl devre dışı bırakılabileceğini de ele alacağız.

Sophos

Sophos'ta AMSI'yi devre dışı bırakmanın iki yolu var. Bunu doğrudan istemcideki uygulama üzerinden yapabilirsiniz; ancak birden fazla kurulum söz konusu olduğunda bu yöntem pek pratik olmuyor. Diğer seçenek ise Sophos Central yönetim arayüzü üzerinden merkezi olarak devre dışı bırakmak. 

Odoo • Metin ve Görsel

1. Uç noktada: AMSI'yi uç noktada devre dışı bıraksanız bile Sophos Central'ı kullanmanız gerekiyor. Çünkü öncelikle Sophos Central'da ilgili cihaz için Tamper Protection özelliğini devre dışı bırakmalısınız. Bunun için genel bakış ekranında aşağı kaydırarak Tamper Protection bölümüne gidin ve "View password details" seçeneğine tıklayın. Görüntülenen parolayı daha sonra kullanmak üzere kopyalayın.
Ardından, Sophos'un kurulu olduğu bilgisayarda görev çubuğunun sağ alt köşesindeki Sophos simgesine tıklayın. Buradaki yönetici oturumu açma bölümüne Sophos Central'dan kopyaladığınız parolayı girebilirsiniz.

Odoo • Resim ve Metin

Artık "Ayarlar" bölümünde, sağ alt köşedeki AMSI korumasını devre dışı bırakabilirsiniz.

Odoo • Resim ve Metin

2. Sophos Central üzerinden: Bu ayarı tüm altyapıya uygulamak ve korumayı yalnızca geçici olarak değil, kalıcı olarak devre dışı bırakmak istiyorsanız, bunun için hangi ilkeleri güncellemeniz gerektiğini aşağıda bulabilirsiniz.
Öncelikle gezinme menüsünde "Server Protection" seçeneğine tıklayın; çünkü bu bölümdeki ilkeleri düzenleyeceğiz. Ardından ilkelere ulaşmak için "Policies" seçeneğine tıklayın.

(Sophos Central'da "Server -> Policies -> Threat Protection" yolunu izleyerek "AMSI Protection (Windows)" seçeneğini devre dışı bırakın.)
Odoo • Resim ve Metin
Odoo • Resim ve Metin
Düzenlemek istediğimiz ilke, "Threat Protection" altında "Enforced" olarak işaretlenmiş olan ilkedir.
Odoo • Resim ve Metin
İlgili ilkeye tıkladıktan sonra ilkenin ayarlarına gidin. Varsayılan ilkeyi kullanıyorsanız, "Use recommended settinge" seçeneğinin yanında mavi bir onay işareti bulunur. Düzenleme yapabilmek için önce bu seçeneğin işaretini kaldırmanız gerekir.
Ardından aşağı kaydırarak "AMSI Protection" seçeneğini bulun ve devre dışı bırakın.
İlgili ilkeye tıkladıktan sonra ilkenin ayarlarına gidin. Varsayılan ilkeyi kullanıyorsanız, "Use recommended settinge" seçeneğinin yanında mavi bir onay işareti bulunur. Düzenleme yapabilmek için önce bu seçeneğin işaretini kaldırmanız gerekir.
Ardından aşağı kaydırarak "AMSI Protection" seçeneğini bulun ve devre dışı bırakın.
Odoo • Resim ve Metin

Artık tek yapmanız gereken sağ üst köşedeki "Save" düğmesine tıklamak. Ardından Outlook'u yeniden alıştığınız gibi kullanabilirsiniz.

McAfee

McAfee Endpoint Security'ye de sonradan, ayarlar bölümünden AMSI korumasını devre dışı bırakmanızı sağlayan bir seçenek eklenmiştir.

Odoo • Resim ve Metin

Bitdefender

Bitdefender'da bu değişiklikleri Gravityzone üzerinden yapmanız gerekir; burada AMSI için ayrı bir seçenek bulunmamaktadır. Yalnızca erişim, çalıştırma (Advanced Thread Control) ve gelişmiş açıklardan yararlanma koruması kapsamındaki kötü amaçlı yazılım korumasının tamamını devre dışı bırakabilirsiniz. Sunucu için ayrı bir Exchange profili oluşturmanız ve sorun giderilene kadar bu profildeki korumayı kapatmanız önerilir.

Kaspersky


"AMSI Koruması"nı etkinleştirme ve devre dışı bırakma


"AMSI Koruması" varsayılan olarak etkindir.

"AMSI Koruması"nı etkinleştirmek veya devre dışı bırakmak için şu adımları izleyin:

  1. Programın ana penceresinin alt kısmındaki şu düğmeye tıklayın: icon_settings.png.
  2. Program ayarları penceresinde Koruma → Temel Koruma → AMSI Koruması bölümünü seçin.
  3. Bileşeni etkinleştirmek veya devre dışı bırakmak için AMSI Koruması anahtarını kullanın.
  4. Yaptığınız değişiklikleri kaydedin.

    Kaynak: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Doğrudan Exchange üzerinde

Son olarak, Exchange'in kurulu olduğu sunucuda MAPIoverHTTP ve RPCoverHTTP için kullanılan web.config dosyasını doğrudan düzenleyerek AMSI'yi devre dışı bırakmak da mümkündür. Ancak bu çözüm artık önerilmemektedir. Bu nedenle yalnızca yukarıda belirtilen yöntemleri veya Powershell üzerinden uygulanan yöntemi kullanın. 

Powershell yöntemini kullanacaksanız Exchange Management Shell'i (Exchange uzantılarını içeren Powershell) başlatın.

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Bu işlemle ilgili ayarlar uygulanır ve IIS yeniden başlatılır. Böylece kalıcı bir düzeltme sunulana kadar sorun giderilmiş olur. 

Kaynak: https://support.sophos.com/support/s/article/KB-000042460 
Kaynak: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371