333713

Последствия перехода с SAV 10 на SEP 11

В этой теме 16 сообщений

Всем добрый!

Ситуация такая: Сеть 1800+ машин, домен, сервер SEP (был SAV). Перешли на SEP 11 с SAV 10 в начале этого года. С этого момента стали заметно (даже не заметно, а очень сильно) тормозить машины. Как правило случается при утреннем входе в систему, а так же при очередных запусках скана на вирусы и прочее. Особо терпеливые пользователи продолжают работать кое-как, другие звонят по этой причине "тормозов". Первым делом - диспетчер задач и - RtvScan. Стоп службу - вроде легче. Включаем - тоже самое - нагрузка 70-80%. Хорошо. Кардинальное решение - переустановка SEP. Никаких примудростей - все по юзерски: Установка/Удаление программ - а там ДВА Symantec'a - Symantec Antivirus и Symantec Endpoint Protection. SEP естественно удаляется корректно, а ссылка на SAV - остается. Пытаешься ее удалить - требует дистр SAV, который естественно перестал существовать после отключения SAV-сервера. На некоторых машинах наблюдалось и по 3 Symanteca, но третий это уже SEP 11, скорее всего очередная (или самая первая сборка) и не имеет размера тоже; а при удалении игнорирует указываемый дистр SEP актуальной сборки и не удаляется. Полез в реестр - нашел в HKEY_CLASSES_ROOT\Installer\Products ссылку на SAV ({50E125D1-88E5-48CE-80AE-98EC9698E639} - ее GUID), просто убил ее, перезагрузка пк - и машина начинает работать в своем нормальном режиме, как будто на ней всегда стояла только SEP 11. Ну, ясное дело что это не совсем хорошо, раз добрался до машины, надо уж по нормальному зачистить от антивируса и корректно поставить SEP. Применяем утилиты SymNRT, CleanWipe, утилиту для предустановки даже активно пользую. Далее любой ReOrganzer и по "symantec" удаляю все ветки. На некоторые добавляю разрешение на удаление. После рестарта установленный SEP 11 работает как надо (полагаю). На каждую машину уходит до 40-50 минут такого онанизма, это с начала года и по настоящее время. Вот, почти все машины "вычистили" руками. И тут появляется новая сборка SEP 11.0.5. И опять все по новой. Только уже зачистка от предыдущих сборок SEP - от 11.0.3, от 11.0.4. Не на всех этих машинах заново, но на многих, уже "зачищеных" ранее.

Такое впечатление что не грейдится клиент корректно. Становится рядом и в Установке/Удаление программ можно увидеть Одну ссылку Symantec Endpoint Protection но с размером 840Мб, 1200 Мб, 1600Мб..Опять иду в реестр, вижу на этой машине ссылку HKEY_CLASSES_ROOT\Installer\Products ссылку на SAV ({50E125D1-88E5-48CE-80AE-98EC9698E639} - ее GUID). И все по новой. Я уверен что это не та машина, на которой я уже удалял это из реестра, но эти машины появляются все снова и снова с такими косяками. Больше всего - по случаю ужасных тормозов и концу терпения пользователей. Либо бывает уже заодно захожу и проверяю это.

Уже собрал коллекцию GUID всех версий, устанавливаемых у нас в сети, сделал батники на удаление через msiexec для верности. короче, через Опу, но борьба идет эфективная. Но, простите, задолбало каждый день руками сидеть и заниматься этим.

Есть ли какие решения по централизованной зачистке машин и приведения их в божеский вид и нормальную скорость работы??

Второй вопрос последовал за первым. После применения CleanWipe на многих машинах отрубается Подключение к сети и появляются новые сетевые адаптеры с дополнением Teefer2 miniport. Удаляются опять же ТОЛЬКО удалением из реестра по ключевым словам и самого файла драйвера этого файервола из системы. С этими драйверами сетка не поднимается, IP не получает. Ради интереса прошелся WinSocksFix, сбросил настройки Сокса, рестарт - и сетка поднялась. Но Сетевые адаптеры miniport остались в Диспетчере устройств. Это же не нормально?! Как выколупать эту заразу??? Ведь машины не только в пределах одного здания находятся. В одном случае сходишь пешком и через флешку поднимешь сеть. А если машины в ДопОфисах, если машины вообще в другом городе? Администрирую машины удаленным доступом через LanDesk. Раньше на проблемные машины можно было "перенакатить" антивирус сверху, но сейчас видимо остались уже такие - что даже удаленно не накатывается (но это уже происходит изза того, что даже если руками на этой машине попытаться удалить SEP 11, он за 2-3 секунды до окончания инсталляции, откатывается с сообщением об ошибке удаления/обновления)

Пока занимался одной машиной, пришла в голову мысль. На этот ПК пересел второй пользователь. Первый в отпуске. Первого недавно "окучивал" вышеописанным способом. Теперь такая же ерунда у второго пользователя. Ппц.. Может эти "тормоза" появляются по мере новых залогиненных пользователей и опять все заново? Ужс.. помогите советом, сил больше нет. Где копнуть? Как хоть убить ветки из реестра "одним кликом". Все необходимые данные или скрины если нужны - отвечу, запостю, все это есть и все это актуально. Заранее благодарен.

teefer2.bmp

teefer2.bmp

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

333713 не совсем понятны следующие моменты:

1. Почему перед установкой новой версии клиента SEP Вы вручную удаляете предыдущую версию? В самых первых релизах могли быть проблемы с автоматическим обновлением клиентов на новую версию, в последних версиях этого нет.

2. Обращались ли Вы в тех. поддержку, в том числе с проблемой с Teefer? Утилита CleanWipe должна использоваться только с одобрения и под контролем службы технической поддержки Symantec.

3. Какую версию Вы устанавливали изначально с которой были проблемы с производительностью?

4. Так как у вас большое число ПК, пользовались ли Вы бесплатным средством распространения и мониторинга клиентов Symantec Endpoint Protection Integration Component?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
333713 не совсем понятны следующие моменты:

1. Почему перед установкой новой версии клиента SEP Вы вручную удаляете предыдущую версию? В самых первых релизах могли быть проблемы с автоматическим обновлением клиентов на новую версию, в последних версиях этого нет.

2. Обращались ли Вы в тех. поддержку, в том числе с проблемой с Teefer? Утилита CleanWipe должна использоваться только с одобрения и под контролем службы технической поддержки Symantec.

3. Какую версию Вы устанавливали изначально с которой были проблемы с производительностью?

4. Так как у вас большое число ПК, пользовались ли Вы бесплатным средством распространения и мониторинга клиентов Symantec Endpoint Protection Integration Component?

1. Использую утилиту SymNRT. При запуске Norton Removal Tool, утилита сообщает о установленной версии "9 or later"

2. нет, не обращался, информации в интернете не нашел. Про CleanWipe - не знал.

3. сборку не помню, но выход в начале января 11 версии клиента (после чего у нас и получился принудительный переход с SAV 10), полагаю самая первая сборка.

4. Пользуюсь SEPM, и то в качестве дублера и по необходимости, т.к. я не сис.администратор, я в тех.поддержке пользователей работаю. Некоторые вопросы могу уточнить у администраторов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Только что проделал следующее:

Нашел машину где в Установке/Удалении программ одновременно Symantec Antivirus и Symantec Endpoint Protection.

Удалил из реестра ссылки на Symantec Antivirus. Без удаления SEP начал ставить сверху этой сборки 11.0.4 сборку 11.0.5, установка Новой сборки вылетела с критической ошибкой SMC.exe по памяти, не может быть read и все дела с кнопой Отладка.

Апдейт релизов не проходит по вашему совету.

Делаю как раньше: удаляю эту сборку 11.0.4 через удаление программ. зачищаю комп от symantec и ставлю заново 11.0.5

Подскажите, когда релиз 11.0.6, чтобы я уже был готов на это выделить целый год!

2 минуты позже:

Удаление 11.0.4 вылетело с критом Rtvscan.exe, но продолжает удаляться.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Нашел машину где в Установке/Удалении программ одновременно Symantec Antivirus и Symantec Endpoint Protection.

Таково в принципе не должно быть, большой вопрос как проходила Миграция, Symantec Endpoint Protection не ставится пока не удалит Symantec Antivirus, поэтому рекомендую для проблемных машин получить через тех. поддержку последнюю версию CleanWipe, вычистить с помощью нее ПК от SAV/SEP и затем уже произвести свежую установку последней версии 11.0.5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Таково в принципе не должно быть, большой вопрос как проходила Миграция, Symantec Endpoint Protection не ставится пока не удалит Symantec Antivirus, поэтому рекомендую для проблемных машин получить через тех. поддержку последнюю версию CleanWipe, вычистить с помощью нее ПК от SAV/SEP и затем уже произвести свежую установку последней версии 11.0.5

К сожалению, именно так все и произошло. Миграция осталась только названием, куски SAV могли остаться из-за невозможности удалиться без пароля.

А не было такого, чтобы SEP попытался завалить SAV, уткнулся на пароль для удаления, что смог удалил и себя поставил? Теперь получается что он и сам себя не может удалить перед установкой. Много машин по логам установки через LanDesk показывают что не возможно удалить предыдущую.

Рецепт то Ваш понятен, вопрос немного в другом - как это все автоматизировать по максимуму. Ну не хочется

релиз вроде в марте намечается...

уже в Марте проделывать то же самое.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

а не могли бы вы рассказать подробнее, как именно совершали миграцию?

p/s/ на счет пароля на удаление: в мануале по миграции написано, что его нужно сначала отключить, а потом уже мигрировать

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
а не могли бы вы рассказать подробнее, как именно совершали миграцию?

p/s/ на счет пароля на удаление: в мануале по миграции написано, что его нужно сначала отключить, а потом уже мигрировать

Вот это очень сложно сказать как проходила, это делали сетевые администраторы, и пароль видимо тоже не отключили. Разливали групповой политикой через AD, видимо надеясь на то, что SAV обновится на SEP автоматом.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

333713 какое количество именно проблемных ПК? CleanWipe можно также запускать через групповые политики, либо есть и другие варианты. В любом случае вам нужно обязательно делать это с помощью тех. поддержки

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

скорее всего, так и было... видимо, что-то таким образом удалилось, а что-то осталось и теперь мешает вам нормально работать...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
333713 какое количество именно проблемных ПК? CleanWipe можно также запускать через групповые политики, либо есть и другие варианты. В любом случае вам нужно обязательно делать это с помощью тех. поддержки

около 200-300, но полагаю если поискать по ссылкам в реестре на SAV - намного больше.

Вот по групповым что-то больше не хочется, страшно

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

решение найдено. Пока вас дождешься, сам все сделаешь.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
решение найдено. Пока вас дождешься, сам все сделаешь.

расскажи интересно же и нам.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Все просто. Задача - убрать из реестра указанную в первом посте ветку на SAV10

Это сделал путем выполнения команды reg delete HKCR\Installer\Products\1D521E055E88EC8408EA89CE69896E93 /F - распространяется только на XP, на w2k не отрабатывается. Этот вопрос я не рассматривал.

сделал батник, прописал и через LanDesk разлил на все машины. Если углубиться в программирование, можно в батнике прописать Query на эту ветку и сортировать машины, чтобы по второму разу не проходил. Хотя это не влияет. А потом сверху уже можно разливать SEP 11.0.5, апгрейдится нормально.

Единственное с чем столкнулся, то, что некоторые машины просят перезагрузки для установки SEP. И не затронув пользовательскую машину ребутом - не получается накатить.

Это может возникать, когда антивирус поставили/удалили, а машину не перезагрузили. Мне бы вот это убрать.

Вот и хотел спросить, мб есть где в том же реестре ветка, отвечающая за перезагрузку? Удалить ее тоже и накатывать без проблем. Никто не встречался?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • Wenderoy
      Обновляю: https://mega.nz/#!0FYBnRzT!Kh8GaRMVOzm99QJZX0NsDD51vDaFzPI-Vil02kw53rQ
    • Sergey22101979s
      Площадку надо свою делать и развивать её. А потом продавать места на ней. И не важно какую площадку - сайт, группу в соцсети, или что-то тому подобное.
    • homeobed
      На дому за копейки работать - дело нехитрое) Вот чтобы зарабатывать приличные деньги, на одних комментариях далеко не уедешь)
    • Mike
      Вышел McAfee VirusScan Enterprise 8.8.0 Patch 10  
    • Wenderoy
      Да, лучше удалить. Но это, разумеется, решает администрация... Я никакой не тролль, ANDYBOND прекрасно это понимает, просто именно с ним был разлад безо всякой причины, подробности приводить не буду, но теперь он старается как можно больше "навредить" мне. Собственно, вот отзывы про PS - https://www.mywot.com/ru/scorecard/provisionsecurity.ru Думаю, комментарии будут излишними. Есть очень много свидетелей, которых "примерная" администрация Provisionsecurity даже "поливала" нецензурной лексикой, у меня есть все скриншоты и т. д. И после всего этого надо подумать, а стоит ли верить таким людям? Это я в качестве отступления. Главное - то, что я устал здесь распинаться, тратя свое личное время, что идет только на руку уже упомянутым участниками форума. Все, что мне надо было доказать, я доказал, пользователи моего приложения знают и понимают мои цели и стремления, я ни от кого ничего не скрываю. Поэтому программу уже используют многие, а это значит, что дело поставлено на рельсы. Самое смешное, что на каждый мой аргумент, который я не поленился снабдить всей необходимой информацией в форме ссылок, скриншотов, записей, копий писем, сообщений лабораторий etc, в ответ мне летят одни и те же фразы: "мошенник", "вирусописатель", "тролль". Так кто же больше попадает под значение последнего слова? Просто упомяну еще пару вещей. Когда я объяснял, почему продукт детектит пустой файл, все равно меня никто не слышал. Каким же, интересно, образом мне следует растолковать это? Были приведены доказательства, что я часть баз собираю с ресурса VirusShare (благо, имеются очень хорошие источники самой разнообразной информации), где AVP в свое время почему-то пометил файл как Trojan... (где-то на предыдущих страницах все чрезвычайно подробно описано). Так вот, копируя MD5, в комплект попала и хеш-сумма пустого файла, вследствие чего как бы Вы его ни переименовывали, все рано будет сработка продукта (кстати, ее уже нет). Далее. Насчет "мошенник" и "вирусописатель". Если зимние переписки (не просто отчетов автоматического анализа лабораторий) с вирусным аналитиком McAfee ни о чем Вам не говорят, это, как говорится, не мои проблемы. Другие вендоры, да практически все (даже популярные Avast, Qihoo и др.) устанавливаются втихомолку вместе с другим ПО (DRP Solutions, различные дополнения для монетизации в пакеты дистрибутивов), но их Вы почему-то "вирусописателями"  не называете. И последнее. Насчет "мошенник". Я никого не принуждаю устанавливать KAR, каждый делает это добровольно. Лицензионное соглашение и Privacy Statment присутствуют на сайте, там все четко и ясно описано. На сервер высылаются исключительно анонимные отчеты, как и в любых других разработках аналогичного типа, не более того.  Kuranin Anti-Ransomware распространяется абсолютно бесплатно, никакой рекламы ни в продукте, ни даже на сайте, т. к. это мое хобби. Поэтому здесь не вижу ничего, связанного с мошенничеством. Это очень краткое обобщение, все мои подробные ночные отписки на однотипные бессмысленные сообщения можно посмотреть, листая предыдущие ни много ни мало двенадцать страниц. @VMS, радует, что еще есть адекватные люди, которые умеют слушать. Да, к сожалению, это не те времена, когда жизнь кипела в каждом уголке Anti-Malware и других подобных форумов. Обидно, что перевились разработчики-добровольцы, которые были очень активны в 2004-2014 годах. Сейчас в основном крупные компании все вытеснили, да есть те, кто просто сдался (Александр Калинин, его судьба мне не известна, но смею предположить, что он воплотил свое хобби в жизнь; Kerish, который, правда, стал чрезвычайно полезной утилитой Kerish Doctor, а ведь совсем немногие знают прошлое этого творения; ScreamAV, бесплатныq антивирус то ли из Индонезии, то ли с Филиппин; путем долгого анализа удалось выяснить, что создатели данного антивируса примкнули к проекту SmadAV;  SMK антивирус, когда-то известный в узких кругах; "Зоркий глаз" Петелина Александра;  AWS Core, приостановивший свое развитие и т. п.) Вообще обожаю древние сайты, особенно варианты на narod.ru и им подобные, пропахшие стариной и историей. Очень приятные ощущения, как будто бы открыл давно забытую, но вновь найденную на чердаке книгу с пожелтевшими от времени листами.  А еще очень много полезных ресурсов, которых уже нет, но они сохранились в "архиве". Все это "богатство" сложно отыскать, но зато там есть чрезвычайно много полезной информации... Вот, кстати, один из примеров: https://web.archive.org/web/20040905203536/http://www.winchanger.narod.ru:80/ Или https://web.archive.org/web/20070624081145/http://winchanger.whatis.ru:80/ Как бонус прилагаю собственную коллекцию малоизвестных продуктов любителей информационной безопасности, среди них, кстати, все вышеупомянутые образцы! https://mega.nz/#!tZBkkCKa!0WzfYt4A1zK4aCvVLtu3FLt7pfPIp7wWtyPIr9c-cbo Может, кому пригодится...