Preguntas más frecuentes sobre los temas

Para detectar de forma oportuna los intentos de acceso no autorizado en dispositivos finales (así mismo, los realizados con éxito) y tomar medidas correspondientes, se recomienda usar la auditoria de seguridad.

Para realizarlo:

1. Entre en el Panel de control → Administración → Directiva de seguridad local → Configuración de la directiva de auditoria avanzada → Acceso a objetos → → Auditoria de sistema de archivos. Active la auditoria del sistema de archivos para éxito y rechazo.

2. Luego active la auditoria para la carpeta necesaria:

   1. abra las propiedades de la carpeta de acceso compartido → pestaña Seguridad → Extra → pestaña Auditoria → Modificar → Añadir;

   2. indique a los usuarios para los cuales es necesario llevar la auditoria. Establezca Todo, nivel de aplicación – Para esta carpeta y sus subcarpetas y archivos;

   3. indique las acciones cuya auditoria se realizará: Creación de archivos/escritura extra de datos, Creación de carpetas/escritura extra de datos, Eliminación de subcarpetas y archivos y simplemente Eliminación. Para todas las acciones seleccione la auditoria para el éxito y el rechazo.

Luego en el registro de eventos de seguridad aparecerán los eventos de acceso a archivos y carpetas.

Si en el sistema con auditoria ya configurada el antivirus responde a algún cambio en el sistema de archivos, sin falta recuerde la hora de esta respuesta para compararla con los eventos en el registro de seguridad.

Para consultar los códigos de eventos de seguridad, consulte el sitio web oficial de Microsoft.

La empresa Microsoft lanzó actualizaciones para Microsoft Exchange Server 2016 (KB5003611) y Microsoft Exchange Server 2019 (KB5003612) que permiten a los servidores de correo Exchange de versiones indicadas funcionar con la interfaz AMSI (Antimalware Scan Interface). Ahora el software antivirus que funciona con la interfaz AMSI y está instalado en el mismo equipo con el servidor Microsoft Exchange, escanea todas las solicitudes HTTP antes de que el servidor de correo procese las mismas.

Por lo tanto, el funcionamiento del antivirus Dr.Web para servidores Windows y Agentes Dr.Web para Windows con soporte AMSI activada puede reducir bastante la velocidad de funcionamiento del servidor y provocar problemas de rendimiento del software antivirus. La versión con la actualización que resuelve este problema es de 17 de enero de 2022. Antes de instalar la actualización indicada los desarrolladores de Doctor Web recomiendan desactivar el soporte de la interfaz AMSI en los servidores de correo Exchange.

Para desactivar AMSI en los productos Microsoft Exchange Server use la interfaz Exchange Server PowerShell:

1. Abra Exchange Server PowerShell.
2. Ejecute los siguientes comandos de forma consecutiva:

   
   [PS] C:\>New-SettingOverride -Name DisablingAMSIScan -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
   
   [PS] C:\>Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
   
   [PS] C:\>Restart-Service -Name W3SVC, WAS -Force
   

Importante: antes de ejecutar los comandos asegúrese de que todos los datos han sido guardados, porque las acciones indicadas provocarán un reinicio de los servicios Internet Information Services (IIS) e interrumpirán la conexión.

Recomendamos volver a activar el soporte de la interfaz AMSI en el servidor de correo cuando el problema indicado esté resuelto al lanzar la actualización correspondiente. Para realizarlo, debe ejecutar los siguientes comandos con Exchange Server PowerShell:

[PS] C:\>Remove-SettingOverride -Identity DisablingAMSIScan -Confirm:$false

[PS] C:\>Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

[PS] C:\>Restart-Service -Name W3SVC, WAS -Force

Importante: antes de ejecutar los comandos asegúrese de que todos los datos han sido guardados, porque las acciones indicadas provocarán un reinicio de los servicios Internet Information Services (IIS) e interrumpirán la conexión.

Así mismo, Vd. puede desactivar AMSI con un script listo PowerShell:

1. Cargue el script Test-AMSI.ps1 del repositorio Microsoft siguiendo el enlace.
2. Coloque el script en la carpeta C:\scripts donde está instalado Microsoft Exchange Server. Si no hay carpeta scripts, créela. Sin falta compruebe si el archivo ha sido desbloqueado, para evitar errores al iniciar el script.
3. Ejecute los siguientes comandos de forma consecutiva:

        
   [PS] C:\scripts>.\Test-AMSI.ps1 -DisableAMSI
   
   [PS] C:\scripts>.\Test-AMSI.ps1 -RestartIIS
   

Para volver a activar AMSI en el servidor Microsoft Exchange ejecute los siguientes comandos de forma consecutiva:

[PS] C:\scripts>.\Test-AMSI.ps1 -EnableAMSI

[PS] C:\scripts>.\Test-AMSI.ps1 -RestartIIS