Skip to Content

Нове оновлення AMSI спричиняє серйозні проблеми в Exchange 2016 CU21 та Exchange 2019 CU10

Outlook зависає, електронні листи не надсилаються, виникають проблеми з підключенням через оновлення антивірусного інтерфейсу AMSI
21 липня 2021 р. від
Dominic Schnur

Інтеграція AMSI (Antimalware Scan Interface), яка мала забезпечити кращий захист в Exchange 2016 CU21 та Exchange 2019 CU10, на жаль, призводить до серйозних проблем, коли Exchange використовується разом із різними антивірусними програмами.

Наприклад, виникають нескінченні затримки під час відкриття та роботи в Outlook, затримки надсилання листів і навіть повна втрата з’єднання із сервером Exchange. 

Зрозуміло одне: так працювати неможливо.

На щастя, деякі постачальники антивірусних рішень були готові до цього й передбачили можливість вимкнути AMSI. Тут ми розглянемо, як усунути ці проблеми, на прикладах Sophos, McAfee, Bitdefender і Kaspersky.
Крім того, ми пояснимо, як вимкнути цю функцію, змінивши файл web.config на сервері Exchange.

Sophos

У Sophos є два способи вимкнути AMSI. Перший — безпосередньо через програму на клієнтському пристрої, але це дуже незручно, якщо програму встановлено на кількох пристроях. Другий — централізовано через інтерфейс керування Sophos Central. 

Odoo • Текст і зображення

1. На кінцевому пристрої: Навіть якщо ви вимикаєте AMSI на кінцевому пристрої, без Sophos Central не обійтися. Насамперед у Sophos Central потрібно вимкнути захист від несанкціонованих змін (Tamper Protection) для відповідного пристрою. Для цього прокрутіть сторінку огляду вниз до розділу Tamper Protection і натисніть "View password details". Скопіюйте пароль — він знадобиться далі.
Потім на комп’ютері, де встановлено Sophos, натисніть значок Sophos у правому нижньому куті панелі завдань. У розділі входу адміністратора введіть пароль, скопійований із Sophos Central.

Odoo • Зображення й текст

Тепер у розділі «Налаштування» в правому нижньому куті можна вимкнути захист AMSI.

Odoo • Зображення й текст

2. У Sophos Central: Якщо ви хочете застосувати це налаштування до всієї інфраструктури й вимкнути захист не лише тимчасово, далі ви дізнаєтеся, які політики потрібно для цього оновити.
Спочатку в меню навігації натисніть «Server Protection», адже саме політики захисту серверів ми хочемо змінити. Потім натисніть «Policies», щоб перейти до політик.

(У Sophos Central у розділі «Server -> Policies -> Threat Protection» вимкніть «AMSI Protection (Windows)».)
Odoo • Зображення й текст
Odoo • Зображення й текст
Нам потрібна політика, позначена в розділі «Threat Protection» як «Enforced».
Odoo • Зображення й текст
Натисніть потрібну політику й перейдіть до її налаштувань. Якщо ви використовуєте політику за замовчуванням, біля пункту «Use recommended settinge» стоятиме синя позначка. Спочатку зніміть її, щоб мати змогу редагувати налаштування.
Після цього прокрутіть униз до пункту «AMSI Protection» і вимкніть його.
Натисніть потрібну політику й перейдіть до її налаштувань. Якщо ви використовуєте політику за замовчуванням, біля пункту «Use recommended settinge» стоятиме синя позначка. Спочатку зніміть її, щоб мати змогу редагувати налаштування.
Після цього прокрутіть униз до пункту «AMSI Protection» і вимкніть його.
Odoo • Зображення й текст

Тепер залишається лише натиснути «Save» у правому верхньому куті й знову насолоджуватися звичною роботою в Outlook.

McAfee

У McAfee Endpoint Security також додали відповідну можливість: у налаштуваннях з’явився пункт, за допомогою якого можна вимкнути захист AMSI.

Odoo • Зображення й текст

Bitdefender

У Bitdefender ці зміни потрібно вносити через Gravityzone: окремого пункту для AMSI тут узагалі немає. Можна лише повністю вимкнути захист від шкідливого ПЗ під час доступу та виконання (Advanced Thread Control), а також розширений захист від експлойтів. Рекомендуємо створити для сервера окремий профіль Exchange і вимкнути в ньому захист до виходу виправлення.

Kaspersky


Увімкнення та вимкнення «Захисту AMSI»


«Захист AMSI» увімкнено за замовчуванням.

Щоб увімкнути або вимкнути «Захист AMSI», виконайте такі дії:

  1. У нижній частині головного вікна програми натисніть кнопку icon_settings.png.
  2. У вікні налаштувань програми виберіть розділ Захист → Базовий захист → Захист AMSI.
  3. Скористайтеся перемикачем Захист AMSI, щоб увімкнути або вимкнути компонент.
  4. Збережіть внесені зміни.

    Джерело: https://support.kaspersky.com/KESWin/11.5.0/de-DE/174820.htm

Безпосередньо на сервері Exchange

Нарешті, вимкнути AMSI можна також, безпосередньо змінивши файли web.config для MAPIoverHTTP і RPCoverHTTP на сервері, де встановлено Exchange. Однак цей спосіб більше не рекомендується. Тому використовуйте лише наведені вище способи або варіант із Powershell. 

У випадку PowerShell запускають Exchange Management Shell (PowerShell з розширеннями Exchange)

[PS] C:\PowerShell> New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
[PS] C:\PowerShell> Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
[PS] C:\PowerShell> Restart-Service -Name W3SVC, WAS -Force

Ці команди застосовують відповідні налаштування та перезапускають IIS. Це дає змогу усунути проблему до виходу остаточного виправлення. 

Джерело: https://support.sophos.com/support/s/article/KB-000042460 
Джерело: https://techcommunity.microsoft.com/t5/exchange-team-blog/more-about-amsi-integration-with-exchange-server/ba-p/2572371