Symantec Endpoint Protection - Вопросы по Symantec Endpoint Protection - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

Gold

Добрый день, коллеги помогите прояснить ситуацию.

SEP на машине клиента нашел «Trojan Horse» в

c:/Documents and Settings/All Users/Application Data/Symantec/Symantec AntiVirus Corporate Edition/7.5/xfer/48eb5018.tmp и таких обнаружений около 800 штук.

Как я понимаю правильным решением, было бы добавить в глобальное исключение этот путь, но правильно ли это?

Возможно MR3 решает эту проблему?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

Gold в эту папку попадают файлы, которые распаковываются из архивов во время сканирования по запросу. Видимо они остались, так как компьютер был во время сканирования выключен. Не думаю, что было бы правильно эту папку добавлять в исключения.

Эта проблема на нескольких ПК или на одном?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Gold
Gold в эту папку попадают файлы, которые распаковываются из архивов во время сканирования по запросу. Видимо они остались, так как компьютер был во время сканирования выключен. Не думаю, что было бы правильно эту папку добавлять в исключения.

Эта проблема на нескольких ПК или на одном?

Периодически попадаются машины, не могу сказать что их много, т.к. не обладаю полной информацией, думаю, с десяток есть.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Периодически попадаются машины, не могу сказать что их много, т.к. не обладаю полной информацией, думаю, с десяток есть.

В процентном соотношении это сколько? Логи сканирования на этих ПК смотрели? Были ли завершены сканирования по запросу на них?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Gold
В процентном соотношении это сколько? Логи сканирования на этих ПК смотрели? Были ли завершены сканирования по запросу на них?

Соотношение 173 клиента из 2050

Логии смотрел, осмотры по запросу:

Полный осмотр 21 9.5%

Полный осмотр 1 0%

Полный осмотр 1 100%

Полный осмотр 1 100%

Полный осмотр 20 75%

Полный осмотр 1 100%

Полный осмотр 1 100%

Полный осмотр 4 100%

Полный осмотр 19 100%

Еще одна проблема, на одной из машин с выше указанной проблемой, размер папки xfer – составил более 13,5 GB

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Как я понял, SEP, в частности TrueScan, после сканирования, не удаляет временные файлы…

Честно говоря, про эту проблему не знал. Постараюсь узнать, что и когда планируется сделать по этому поводу

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Gold
Честно говоря, про эту проблему не знал. Постараюсь узнать, что и когда планируется сделать по этому поводу

Спасибо, пока попробую смоделировать ситуацию вызывающею эту проблему.

Надеюсь на скорое её решение, Кирилл, если нужна информация, буду рад помочь.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Gold

Доброго времени суток!

Кирилл, удалось что нибудь узнать по поводу проблемы?!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Gold

Коллеги, есть два варианта решение данной проблемы.

1. Переустановка клиента.

2. Обновление через консоль управление до MR3

Клиенты, на которых была замечена данная проблема, были обновлены до MR3, на обновленных клиентах данная проблема замечена не была.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

В MR4 также будет кое-что исправлено, что в редких случаях приводит к данной проблеме

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
xck
Коллеги, есть два варианта решение данной проблемы.

... Переустановка клиента.

Только это и помогало... в подобной ситуации.... причем простая переустановка помогала не во всех случаях... так же приходилось подчищать служебные папки Symantec...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

Кто обновился до MR4 проблема сохранилась? Если Да, отпишитесь здесь

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
xck
Кто обновился до MR4 проблема сохранилась

Переехал на MR4 в конце прошлой недели, при появлении проблему отпишусь... Есть подозрение что обновленные клиенты (сохранными старыми настройками) могут такую ошибку повторять... посмотрим практика покажет..)...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Gronn

У меня другая ситуация. В консоли настроено, чтобы при обнаружении угрозы файл помещался в карантин (по умолчанию), далее пролежавшие 6 дней файлы в карантине удаляются. Но очень часто бывает так, что с понедельника по четверг карантин наполняется (т.е. 6 дней не истекает), а в четверг запускается полный скан и заново проверяет директории с карантином. Естественно появляются сообщения об обнаружении угрозы. Как то можно исключить карантин из полного скана?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Как то можно исключить карантин из полного скана?

Можно, но Вы уверены что именно в карантине находятся угрозы? SEP помещает файлы в карантин в зашифрованном виде и не должен детектить их как вирусы!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Gronn

Вот что симантек находит

Karantin.JPG

post-5088-1234528858_thumb.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

Gronn это не карантин, это временные файлы, которые появляются во время сканирования по расписанию при распаковке архивных файлов. Если ПК выключается в процессе сканирования - то файлы остаются и удаляются только при следующем сканировании, видимо в этих архивах были вирусы, которые впоследствии были найдены и в этих оставшихся файлах. В принципе эту папку можно добавить в исключения, но есть все-таки риск что этим могут воспользоваться

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rxx
Если ПК выключается в процессе сканирования - то файлы остаются и удаляются только при следующем сканировании

Но, похоже, не всегда. Недели за две на машине набралось 100 с лишним ГБ.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

rxx какая версия клиента SEP?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
Недели за две на машине набралось 100 с лишним ГБ.

Ого! А разве никакой Cleaner на вашем ПК не стоит?

Многие программы создают и используют временные файлы. В любом случае вспомогательный софт тоже нужен - надо же кому-то и мусор выносить. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rxx

Версия 11.0.3001.2224, русский.

Андрей-001, чистильщик, к сожалению, не предусмотрен.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Gronn

Как показала практика в версии 11.4 таких проблем нет. Единственный момент. У меня возникали проблемы из-за следующей ситуации: к некоторой группе (в которой все клиенты были версии 11.3 ) прривязываю пакет с версией 11.4. Будто бы все клиенты прекрасно обновляются с 11.3 до 11.4 версии. Но через пару дней возникают проблемы с исчезновением свободного места из-за переполнением директории C:\Documents and Settings\All Users\Application Data\Symantec\Symantec Endpoint Protection\xfer. Как оказывается именно эти машины не обновились до 11.4, и лишь по тому что места нет, а нужно около 450 мегабайт для автоматической установки. В такой ситуации помогает лишь ручная переустановка. При том удаление занимает достаточно много времени в виду долго очищения указаной выше директории.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Gronn

В моем случае с версией 11.0.4000.2295 у некоторых клиентов возникают накопления *.tmp файлов. При том, если пытаться в ручную удалить содержимое C:\Documents and Settings\All Users\Application Data\Symantec\Symantec Endpoint Protection\xfer антивирус злостно ругается на его содержимое (у меня в каждом файле видел троян) и не дает его удалить. Данная ситуация как я понял возникает в таких ситациях:

1. Запускается плановое полное сканирование.

2. До его окончания пользователь выключает компьютер

3. Включив на следующий день система запускает продолжение сканирования.

4. Параллельно с заданием начинают валиться сообщения о то, что в выше указанной директории находятся зараженные файлы.

В этот момент *.tmp файлы можно удалить лишь в безопасном режиме с правами администратора.

Вот и как быть?...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
xck

Временно добавить данный каталог в исключения, ручное удаление файлов к сожалению если и помогает то временно... Как правило помогает полная переустановка клиента...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • santy
      Например: форумы Anti-Malware, официальный и неофициальный технические форумы Касперского разработаны при поддержке Powered by Invision Community Invision Community (ранее IPS Community Suite, Invision Power Board, сокращенно IPS, IP.Suite или IP.Board) — коммерческое программное обеспечение для организации веб-форумов, разрабатываемое американской компанией Invision Power Services Inc ----------- Получается 1С-Битрикс наше все.
    • PR55.RP55
      КОТ ( Комитет Охраны Тепла ) Африка
      Неизбежность войны, предвкушаю крах
      Если я говорю, значит, он прав
      Армагеддон — это больше, чем страх
      Это любовь, это слёзы и кровь
      Твоих сыновей
      Африка!

      [Бридж]
      Твои волосы — как прутья
      Твои мысли — белый мел
      Я однажды не проснулся
      Оттого что я висел

      [Предприпев]
      Африка!
      На твоих руках
      Твоё солнце в моих глазах
      Африка!

      [Припев]
      Чёрное на белом
      Кто-то был неправ
      Я внеплановый сын африканских трав
      Я танцую регги на грязном снегу
      Моя тень на твоём берегу
      Африка!
    • santy
      Я думаю, разработчики закона сами еще не знают как трактовать то, что они сделали. например это: Если владелец сайта является гражданином РФ или российским юридическим лицом является ли система российской, владельцем которой он считается, если сам сайт построен на зарубежном движке?
    • PR55.RP55
      " Запрет на использование иностранных сервисов авторизации (Google, Apple) на российских сайтах, введенный законами № 406-ФЗ и № 670-ФЗ, направлен на локализацию персональных данных и борьбу с утечками, требуя перехода на российские ID-системы, такие как ya.ru или mail.ru [1]. Старые аккаунты, созданные через иностранные сервисы, не удаляются, однако владельцы сайтов обязаны перевести пользователей на легитимные методы входа, включая российскую почту, телефон или Госуслуги, чтобы избежать ответственности за текущие авторизации [1]. " " Владельцы сайтов будут обязаны проводить авторизацию пользователей (например, при регистрации или входе в личный кабинет) с использованием только российских систем. К ним относятся: номер российского телефона; портал "Госуслуги"; единая биометрическая система; иные системы, владельцами которых являются граждане РФ или российские юридические лица." ya.ru или mail.ru - в теории ( и на практике ) граждане р.ф. Сама почта требует авторизации - через номер телефона. т.е. зарегистрированный пользователь уже прошёл авторизацию.  ---------- Оценка выше написанного в ИИ. :) Давайте разберем, почему ваши тезисы и выводы полностью корректны.
      1. Соответствие критериям закона
      Вы абсолютно правы: сервисы *Яндекс (ya.ru)* и *VK (VK ID / Mail.ru)* на
      100% подпадают под четвертый пункт статьи 10.2-1 закона «Об информации»:   * Их владельцами являются *российские юридические лица*.
        * Доля иностранного владения в них приведена в полное соответствие с
          законодательством РФ (контролирующие структуры находятся в
          российской юрисдикции). 2. Цепочка авторизации (наследование доверия)
      Ваша мысль о том, что /«почта требует авторизации через телефон, а
      значит, пользователь уже авторизован»/, юридически называется
      *делегированием авторизации*.   * Закон обязывает владельца форума использовать /российскую систему/
          для входа.
        * Яндекс ID или VK ID — это и есть авторизационные информационные системы.
        * То, что эти ИС внутри себя уже проверили пользователя (по номеру
          телефона, привязке к Госуслугам или через подтвержденный профиль), —
          это их зона ответственности. Для вашего форума главное, что сама
          «входная дверь» (Яндекс/VK) является российской. 3. Обязанности владельца сайта
      Приведенная вами цитата точно описывает текущее положение дел:   * *Закон не требует удалять профили* людей, вошедших когда-то через
          Google.
        * *Закон запрещает процесс* предоставления авторизации через
          иностранцев /сейчас/.
        * Чтобы не получить штраф (вступивший в силу по законопроекту №
          1110676-8), владелец сайта должен закрыть техническую возможность
          кликнуть на «Вход через Google/Apple» и предложить пользователю
          привязать к старому аккаунту российский аналог (почту, телефон или
          Яндекс/VK ID). ------- Но лучше всё это ещё уточнить.    
    • santy
      Актуально, по лучше перенести обсуждение в офтопик.
        выходит что, авторизация через логин и пароль будет считаться неразрешенной, со всеми вытекающими последствиями? или ее можно будет отнести к последнему пункту ("авторизации с помощью российских сервисов авторизации"), если проверка логина и пароля не выходит за пределы сайта?
×