Поширені запитання за темами

Чтобы вовремя выявить попытки несанкционированного доступа на конечных устройствах (в том числе и успешные) и принять соответствующие меры, рекомендуется использовать аудит безопасности.

Для этого:

1. Войдите в Панель управления → Администрирование → Локальная политика безопасности → Конфигурация расширенной политики аудита → Доступ к объектам → Аудит файловой системы. Включите аудит файловой системы на успех и отказ.

2. Далее включите аудит на необходимую папку:

   1. откройте свойства папки общего доступа → вкладка Безопасность → Дополнительно → вкладка Аудит → Изменить → Добавить;

   2. укажите пользователей, для которых необходимо вести аудит. Установите Все, уровень применения – Для этой папки и ее подпапок и файлов;

   3. укажите действия, аудит которых будет вестись: Создание файлов/дозапись данных, Создание папок/дозапись данных, Удаление подпапок и файлов и просто Удаление. Для всех действий выберите аудит и на успех, и на отказ.

После этого в журнале событий безопасности будут появляться события доступа к файлам и папкам.

Если в системе с уже настроенным аудитом антивирус сработает на какие-либо изменения в файловой системе, обязательно запомните время срабатывания и сопоставьте его с событиями в журнале безопасности.

Ознакомиться с кодами событий безопасности можно на официальном сайте Microsoft.

Компанія Microsoft випустила оновлення для Microsoft Exchange Server 2016 (KB5003611) та Microsoft Exchange Server 2019 (KB5003612), які дозволяють поштовим серверам Exchange вказаних версій працювати з інтерфейсом AMSI (Antimalware Scan Interface). Тепер антивірусне програмне забезпечення, що працює з інтерфейсом AMSI та встановлене на одному комп'ютері з сервером Microsoft Exchange, сканує всі HTTP-запити до того, як вони будуть оброблені самим поштовим сервером.

Через це робота антивірусу Dr.Web для серверів Windows і Агентів Dr.Web для Windows із включеною підтримкою AMSI може значно зменшувати швидкість роботи сервера та викликати проблеми з продуктивністю антивірусного програмного забезпечення.

Реліз із оновленням, що розв'язує вказану проблему, вийшов 17 січня 2022 року. Розробники «Доктор Веб» рекомендують відключити підтримку інтерфейсу AMSI в поштових серверах Exchange до встановлення цього оновлення.

Щоб відключити AMSI в продуктах Microsoft Exchange Server, скористайтеся інтерфейсом Exchange Server PowerShell:

1. Відкрийте Exchange Server PowerShell.
2. Послідовно виконайте такі команди:

       
   [PS] C:\>New-SettingOverride -Name DisablingAMSIScan -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
   [PS] C:\>Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
   [PS] C:\>Restart-Service -Name W3SVC, WAS -Force
   

Важливо: перед виконанням команд переконайтеся, що всі дані збережені, оскільки зазначені дії призведуть до перезапуску служб Internet Information Services (IIS) та переривання з'єднання.

Ми рекомендуємо повторно включити підтримку інтерфейсу AMSI на поштовому сервері, коли вказана проблема буде розв'язана після виходу відповідного оновлення. Для цього виконайте такі команди за допомогою Exchange Server PowerShell:

   
   [PS] C:\>Remove-SettingOverride -Identity DisablingAMSIScan -Confirm:$false
   [PS] C:\>Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
   [PS] C:\>Restart-Service -Name W3SVC, WAS -Force
   

Важливо: перед виконанням команд переконайтеся, що всі дані збережені, оскільки зазначені дії призведуть до перезапуску служб Internet Information Services (IIS) та переривання з'єднання.

Ви також можете відключити AMSI за допомогою готового скрипту PowerShell:

1. Завантажте скрипт Test-AMSI.ps1 із репозиторію Microsoft.
2. Cтворіть каталог C:\scripts та помістіть у нього цей скрипт. Обов'язково перевірте, чи розблокований файл, щоб уникнути помилок під час запуску скрипту.
3. Послідовно виконайте такі команди:

   
   [PS] C:\scripts>.\Test-AMSI.ps1 -DisableAMSI
   [PS] C:\scripts>.\Test-AMSI.ps1 -RestartIIS
   

Щоб повторно включити AMSI на сервері Microsoft Exchange, послідовно виконайте такі команди:

   
   [PS] C:\scripts>.\Test-AMSI.ps1 -EnableAMSI
   [PS] C:\scripts>.\Test-AMSI.ps1 -RestartIIS