AMSI を無効または有効にした後、そのプロセスのすべてのインスタンスを閉じ、DLL をアンロードまたはロードするために再起動する必要があります。

技術的な記事 ID: KB95181
最終更新: 2022-08-04 15:40:48 Etc/GMT

環境

Endpoint Security (以後ENS) 適応型脅威対策 (以後ATP) 10.x
ENS 脅威対策 10.x

問題

ENS ATP および ENS Threat Prevention ポリシーでアンチマルウェアスキャンインターフェース (以後AMSI) を無効にすると、スクリプトの実行時間が長くなる場合があります。

例：

ENS がない場合、クエリーの実行には約7秒かかります。
ENS ATP または ENS Threat Prevention ポリシーで AMSI が有効になっている場合、同じクエリーの実行には約20秒かかります。
ENS ATP または ENS Threat Prevention ポリシーで AMSI を無効にした後、同じクエリーの実行に約15秒かかります。
再起動またはプロセスが再起動すると、クエリーの時間が7秒に戻ります。

原因

この動作は予期されたものです。 ENS AMSI が無効になっている場合でも、Microsoft amsi.dll はアプリケーションにフックします。Microsoft AMSI フレームワークを所有しています。ENS は、AMSI フレームワークに従って、MfeAmsiProvider.dll or ATPAmsiGuard.dll を通して AMSI スキャニングを要求されたプロセスにロードされます。ENS が AMSI フレームワークのガイドラインに従わず、呼び出されたときにシステムにインジェクションしない場合、システムに不明な影響が発生する可能性があります。Microsoft では、サードパーティーベンダーがAMSI が要求したインジェクションから自分自身を除外する機能を提供していません。プロセスが MfeAmsiProvider.dll or ATPAmsiGuard.dll でインジェクションされたままなので、パフォーマンスの影響がある可能性があります。

解決策

AMSI を無効にした後、MfeAmsiProvider.dll or ATPAmsiGuard.dll をアンロードするために、そのプロセスのすべてのインスタンスを終了し、再起動する必要があります。システムを再起動せずに問題のプロセスを閉じることができない場合には、再起動する必要はありません。

注意： たとえば、プロセスの再起動が不可能な場合 (たとえば、Internet Information Services (以後 IIS) サービス)、MfeAmsiProvider.dll or ATPAmsiGuard.dll をアンロードするためにシステムを再起動する必要があります。

ENS ATP または ENS Threat Prevention AMSI .dll s または関連する PID の詳細が存在するかどうかを確認するには、管理者コマンドプロンプトから次のコマンドを実行します。

ENS ATP AMSI: tasklist /m atpamsiguard.dll
ENS Threat Prevention AMSI: tasklist /m mfeamsiprovider.dll

Microsoft AMSI .dll がロードされているプロセスをリストするには、次のコマンドを実行します。

tasklist /m amsi.dll

ENS AMSI は、次のポリシーロケーションで設定します。

ePolicy Orchestrator：
- ENS ATP: ポリシーカタログ、Endpoint Security Adaptive Threat Protection、オプション <policy name>、高度なスクリプトスキャンを有効にする (AMSI 統合を含む)
- ENS 脅威対策: ポリシーカタログ、Endpoint Security Threat Prevention、オンアクセススキャン、<policy name>、AMSI の有効化 (高度なスクリプトスキャンを提供)
MVISION Endpoint: ポリシーカタログ、MVISION Endpoint、全般、 <policy name>、スクリプトスキャンの有効化

回避策

オンアクセススキャンの標準の除外を作成します。ENS ATP AMSI 除外の詳細については、以下を参照してください。

”Adaptive Threat Protection のスキャンからプロセスを除外する”セクション Endpoint Security 10.7 製品ガイド。
”Adaptive Threat Protection - オプション” セクション Endpoint Security 10.7 インターフェースリファレンスガイド。

この回避策で問題が解決しない場合は、AMSI を無効にすることが唯一の解決策です。

免責事項

この記事の内容のオリジナルは英語です。英語の内容と翻訳に相違がある場合、常に英語の内容が正確です。一部の内容は Microsoft の機械翻訳による訳文となっています。

影響を受ける製品

言語:

この記事は、次の言語で表示可能です:

Knowledge Center

AMSI を無効または有効にした後、そのプロセスのすべてのインスタンスを閉じ、DLL をアンロードまたはロードするために再起動する必要があります。

環境

問題

原因

解決策

回避策

免責事項

影響を受ける製品

言語:

Title

Title

Knowledge Center

AMSI を無効または有効にした後、そのプロセスのすべてのインスタンスを閉じ、DLL をアンロードまたはロードするために再起動する必要があります。

環境

問題

原因

解決策

回避策

免責事項

影響を受ける製品

言語:

地域を選択してください

Title

Title