Symantec Endpoint Protection - Вопросы по Symantec Endpoint Protection - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

sergeynn

На больше чем половине клиентов в журнале системы постоянно появляются ошибки SescLU номер 13

LiveUpdate returned a non-critical error. Available content updates may have failed to install.

Также постоянно появляется ошибка Service Control Manager номер 7023

Служба "LiveUpdate" завершена из-за ошибки

Класс настроен на использование идентификатора безопасности, отличного от используемого вызывающей стороной

На многих клиентах превентивная защита от угроз находится в режиме ожидания обновления и отключена.

Обновил SEPM, на одном компе удалил и заново поставил LiveUpdate и SEP 11.0.4014

Через некоторое время на этом компе опять полезли такие же ошибки.

Пробовал разные решения этой проблемы, но ничего не помогает.

Помогите, пожалуйста, определить, отчего появляются эти ошибки и как от них избавиться.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Помогите, пожалуйста, определить, отчего появляются эти ошибки и как от них избавиться.

На одном из проблемных ПК пробовали запускать Утилиту Диагностики?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ivan0ff

Избавился от проблемы следующим образом, удалил клиент утилитой CleaWipe, удалил в реестре и файлах все, что связано с Symantec, потом поставил управляемого клиента не через консоль, а непосредственно на компьютере из созданного SEPM дистрибутива.

Вторые сутки полет нормальный, ошибок LU не появляется.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergeynn
На одном из проблемных ПК пробовали запускать Утилиту Диагностики?

А что это за утилита такая?

Избавился от проблемы следующим образом, удалил клиент утилитой CleaWipe, удалил в реестре и файлах все, что связано с Symantec, потом поставил управляемого клиента не через консоль, а непосредственно на компьютере из созданного SEPM дистрибутива.

Вторые сутки полет нормальный, ошибок LU не появляется.

Такой вариант не пойдет. 250 компов вручную не попереставляешь.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
А что это за утилита такая?

http://www.anti-malware.ru/forum/index.php?showtopic=6170

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergeynn

Ну вот, что мне выдала эта программа проверки

Issue Can Symantec Endpoint Protection communicate with its Symantec Endpoint Protection Manager?

Overview This reports the results of a secars test to the FQDN and IP address of the servers listed in sylink.xml. The tests have a timeout of 5 seconds for connection, send and receive functions.

Product Symantec Endpoint Protection

Category Status

Subcategory Communications

Symantec KBs Troubleshooting Client/Server Connectivity

Status Error

Tests Error The Secars communication test failed for these servers:Site Port Http Code Error

5.70.157.43 80 0 Запрос на вход был отклонен

192.168.0.5 80 0 Запрос на вход был отклонен

192.168.0.5 80 0 Время ожидания окончания действия истекло.

Information Sylink.xml lists the following Symantec Endpoint Protection Manager:Priority Address DnsIP

1 5.70.157.43 5.70.157.43

1 192.168.0.5 192.168.0.5

1 termserver 192.168.0.5

Ok None of the listed Management servers have a DNS error.

Ok The Secars communication test worked with these servers:Site Port Http Code Error

termserver 80 200

и

Issue Does this system meet the minimum requirements for installing Symantec Endpoint Protection?

Overview Checks if this system meets the software's minimum requirements.

Product Symantec Endpoint Protection

Category Installation

Subcategory Local

Symantec KBs System requirements for Symantec Endpoint Protection

Status Failed

Tests Error 54.37 MB free physical memory is less then the required 256MB

Warning Drive D:\ has 516.70 MB free space which is less then the required 600MB.

Information Terminal Services is disabled.

Ok OS is Microsoft Windows XP Professional Service Pack 2 (build 2600)

Ok Drive C:\ has 1.07 GB free space.

Ok Drive E:\ has 697.62 MB free space.

Ok Drive G:\ has 2.13 GB free space.

Ok Drive H:\ has 73.36 GB free space.

Ok Drive J:\ has 8.58 GB free space.

Ok Screen width is 1280.

Ok Screen height is 1024.

Ok Internet Explorer version of 6.0.2900.2180.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

sergeynn ну собственно у вас проблема с подключением клиентов к серверу управления, статью на этот счет посмотрели? Или можете сразу обращаться в тех. поддержку

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergeynn
sergeynn ну собственно у вас проблема с подключением клиентов к серверу управления, статью на этот счет посмотрели? Или можете сразу обращаться в тех. поддержку

а что за статья? можно ссылочку?

и непонятно, почему клиент обращается на чужой IP?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

Так у вас же прямо ссылка была

Symantec KBs Troubleshooting Client/Server Connectivity

http://service1.symantec.com/support/ent-s...18?OpenDocument

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergeynn
Так у вас же прямо ссылка была

http://service1.symantec.com/support/ent-s...18?OpenDocument

ага. почитал.

Все проверки, описанные в этой статье, проходят нормально. Связь есть.

Единственно, когда по телнету подключаюсь на 80 порт, то ничего не пишется - чистое черное окно. набираю символ ? и вот что высвечивается

HTTP/1.1 400 Bad Request

Content-Type: text/html

Date: Fri, 24 Apr 2009 05:49:03 GMT

Connection: close

Content-Length: 35

<h1>Bad Request (Invalid Verb)</h1>

Подключение к узлу утеряно.

Это показатель связи?

остальные виды подключений, описанные в статье, нормально проходят.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergeynn

а если компьютер не отвечает требованиям (объем памяти и т.п.), то может из-за этого быть такая ошибка?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergeynn

а вот, что пишет DebugView

[14280] SescLu - CContentUpdateManager::Initialize multiple tries to Initialize

[14280] SescLu - QueryContentSeqData() Moniker: {C60DC234-65F9-4674-94AE-62158EFCA433} Requested Sequence: 90426023

[14280] SescLu/LUMan: RefreshSyknappsRequiredContent() - Required: {C25CEA47-63E5-447b-8D95-C79CAE13FF79}

[14280] SescLu/LUMan: RefreshSyknappsRequiredContent() - Required: {E5A3EBEE-D580-421e-86DF-54C0B3739522}

[14280] SescLu/LUMan: RefreshSyknappsRequiredContent() - Required: {812CD25E-1049-4086-9DDD-A4FAE649FBDF}

[14280] SescLu/LUMan: RefreshSyknappsRequiredContent() - Required: {EA960B33-2196-4d53-8AC4-D5043A5B6F9B}

[14280] SescLu/LUMan: RefreshSyknappsRequiredContent() - Required: {C13726A9-8DF7-4583-9B39-105B7EBD55E2}

[14280] SescLu/LUMan: RefreshSyknappsExistingContent() - Existing: {C25CEA47-63E5-447b-8D95-C79CAE13FF79}

[14280] SescLu/LUMan: RefreshSyknappsExistingContent() - Existing: {E5A3EBEE-D580-421e-86DF-54C0B3739522}

[14280] SescLu/LUMan: RefreshSyknappsExistingContent() - Existing: {812CD25E-1049-4086-9DDD-A4FAE649FBDF}

[14280] SescLu/LUMan: RefreshSyknappsExistingContent() - Existing: {EA960B33-2196-4d53-8AC4-D5043A5B6F9B}

[14280] SescLu/LUMan: RefreshSyknappsExistingContent() - Existing: {C13726A9-8DF7-4583-9B39-105B7EBD55E2}

[14280] SescLu - AVContentUpdateHandler::QueryContentSeqData - Current sequence for {C60DC234-65F9-4674-94AE-62158EFCA433} is 90426023

[14280] SescLu - QueryContentSeqData() Moniker: {C60DC234-65F9-4674-94AE-62158EFCA433} Result: Requested content revision already in use (0x20010003)

[14280] SescLu - CContentUpdateManager::Initialize multiple tries to Initialize

[14280] SescLu - QueryContentSeqData() Moniker: {C25CEA47-63E5-447b-8D95-C79CAE13FF79} Requested Sequence: 80929016

[14280] SescLu - LuContentUpdateHandler::QueryContentSeqData - Current sequence for {C25CEA47-63E5-447b-8D95-C79CAE13FF79} is 80929016

[14280] SescLu - QueryContentSeqData() Moniker: {C25CEA47-63E5-447b-8D95-C79CAE13FF79} Result: Requested content revision already in use (0x20010003)

[14280] SescLu - CContentUpdateManager::Initialize multiple tries to Initialize

[14280] SescLu - QueryContentSeqData() Moniker: {ECCC5006-EF61-4c99-829A-417B6C6AD963} Requested Sequence: 2008021700

[14280] SescLu - LuContentUpdateHandler::QueryContentSeqData - Current sequence for {ECCC5006-EF61-4c99-829A-417B6C6AD963} is 2008021700

[14280] SescLu - QueryContentSeqData() Moniker: {ECCC5006-EF61-4c99-829A-417B6C6AD963} Result: Requested content revision already in use (0x20010003)

[14280] SescLu - CContentUpdateManager::Initialize multiple tries to Initialize

[14280] SescLu - QueryContentSeqData() Moniker: {EA960B33-2196-4d53-8AC4-D5043A5B6F9B} Requested Sequence: 80820001

[14280] SescLu - LuContentUpdateHandler::QueryContentSeqData - Current sequence for {EA960B33-2196-4d53-8AC4-D5043A5B6F9B} is 80820001

[14280] SescLu - QueryContentSeqData() Moniker: {EA960B33-2196-4d53-8AC4-D5043A5B6F9B} Result: Requested content revision already in use (0x20010003)

[14280] SescLu - CContentUpdateManager::Initialize multiple tries to Initialize

[14280] SescLu - QueryContentSeqData() Moniker: {C13726A9-8DF7-4583-9B39-105B7EBD55E2} Requested Sequence: 80820001

[14280] SescLu - LuContentUpdateHandler::QueryContentSeqData - Current sequence for {C13726A9-8DF7-4583-9B39-105B7EBD55E2} is 80820001

[14280] SescLu - QueryContentSeqData() Moniker: {C13726A9-8DF7-4583-9B39-105B7EBD55E2} Result: Requested content revision already in use (0x20010003)

[14280] SescLu - CContentUpdateManager::Initialize multiple tries to Initialize

[14280] SescLu - QueryContentSeqData() Moniker: {4F889C4A-784D-40de-8539-6A29BAA43139} Requested Sequence: 80519038

[14280] SescLu - MonikerManager::GetSequence - Cached sequence unavailable for {4F889C4A-784D-40de-8539-6A29BAA43139}; getting sequence from LiveUpdate's product inventory.

[14280] SescLu - MonikerManager::GetSequence - Failed to create LuProductReg instance for {4F889C4A-784D-40de-8539-6A29BAA43139}

[14280] SescLu - MonikerManager::GetSequence - Unable to get the current sequence property for {4F889C4A-784D-40de-8539-6A29BAA43139}

[14280] SescLu - LuContentUpdateHandler::QueryContentSeqData - Current sequence for {4F889C4A-784D-40de-8539-6A29BAA43139} is 0

[14280] SescLu - QueryContentSeqData() Moniker: {4F889C4A-784D-40de-8539-6A29BAA43139} Result: Content update is needed from the server (0x20010006)

[14280] SescLu - CContentUpdateManager::Initialize multiple tries to Initialize

[14280] SescLu - QueryContentSeqData() Moniker: {812CD25E-1049-4086-9DDD-A4FAE649FBDF} Requested Sequence: 90423019

[14280] SescLu - LuContentUpdateHandler::QueryContentSeqData - Current sequence for {812CD25E-1049-4086-9DDD-A4FAE649FBDF} is 90410017

[14280] SescLu - QueryContentSeqData() Found cached content. Moniker: {812CD25E-1049-4086-9DDD-A4FAE649FBDF} Cached Sequence: 90410017

[14280] SescLu - QueryContentSeqData() Found cached content. Moniker: {812CD25E-1049-4086-9DDD-A4FAE649FBDF} Cached Sequence: 90209038

[14280] SescLu - QueryContentSeqData() Moniker: {812CD25E-1049-4086-9DDD-A4FAE649FBDF} Result: Content update is needed from the server (0x20010006)

[14280] SescLu - CContentUpdateManager::Initialize multiple tries to Initialize

[14280] SescLu - QueryContentSeqData() Moniker: {E5A3EBEE-D580-421e-86DF-54C0B3739522} Requested Sequence: 90424016

[14280] SescLu - LuContentUpdateHandler::QueryContentSeqData - Current sequence for {E5A3EBEE-D580-421e-86DF-54C0B3739522} is 90413019

[14280] SescLu - QueryContentSeqData() Found cached content. Moniker: {E5A3EBEE-D580-421e-86DF-54C0B3739522} Cached Sequence: 90413019

[14280] SescLu - QueryContentSeqData() Found cached content. Moniker: {E5A3EBEE-D580-421e-86DF-54C0B3739522} Cached Sequence: 90209038

[14280] SescLu - QueryContentSeqData() Moniker: {E5A3EBEE-D580-421e-86DF-54C0B3739522} Result: Content update is needed from the server (0x20010006)

[14280] SescLu - CContentUpdateManager::Initialize multiple tries to Initialize

что можете сказать по этому поводу?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Олег Головенко

Поведение при подключении по telnet - абсолютно нормальное. Связь с сервером на этом порту есть.

Однако, ошибка может возникать из-за несоответствия требованиям к аппаратной части (возможно свободного места на диске не хватает).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergeynn

обновил на клиенте Java - не помогает

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Олег Головенко

Попробуйте освободить место на диске, чтобы Утилита Диагностики отрабатывала без ошибок. Если не поможет, останется последний выход - тех.поддержка.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      Да есть такой баг, выбор целого диска не предусмотрел.
    • PR55.RP55
      Сейчас попробовал добавить файлы и... E:\ [Error: 0x3 - The system cannot find the path specified. ] т.е. Файл > Добавить в список >  Все исполняемые файлы каталога. или пишет вышеуказанную ошибку или вешается. Это и на Win 7 и на Win 10 и с HDD дисками и с USB Диски нормально открываются т.е. доступны.
    • demkd
      А ничего с этим не сделать старые версии windows проблемные там система сама балуется внедрением потоков при очень низком уровне защиты системных процессов, а эцп вообще ничего не гарантирует когда речь заходит о внедренных потоках, зловред вполне может внедрить поток в системный процесс как с помощью подкинутой в правильное место "легитимной" dll, так и просто создав его, а тот уже в свою очередь внедрить в следующий системный и ищи концы среди вот этого вот всего.
      Все это усугубляется тем что тот же SVCHOST.EXE который был когда запущен может оказаться совсем не системным, хотя путь у него будет правильным как и файл будет иметь валидную эцп и запущен он будет якобы services.exe, в 10ке такое провернуть уже сложнее, а вот 7ке легко, потому урезать лог по принципу "оба файла имеют эцп" никак нельзя.
    • PR55.RP55
      uVS v5.0.6v x64 [http://dsrt.dyndns.org:8888]: Windows 7 Home Basic x64 (NT v6.1 SP1) build 7601 Service Pack 1 [C:\WINDOWS] (!) ПРЕДУПРЕЖДЕНИЕ: Ф зафиксировал внедрение потока C:\WINDOWS\SYSTEM32\SERVICES.EXE [428] внедрил поток [380] в процесс: C:\WINDOWS\SYSTEM32\SVCHOST.EXE [876]   C:\WINDOWS\SYSTEM32\SVCHOST.EXE [1060] внедрил поток [1276] в процесс: C:\WINDOWS\SYSTEM32\SVCHOST.EXE [336] и т.д.  А есть ли смысл выводить в лог десяток - другой аналогичных записей, если все эти файлы  в базе проверенных и у них легальная цифровая?  
    • demkd
      ---------------------------------------------------------
       5.0.6
      ---------------------------------------------------------
       o Добавлено 4 новых ключа автозапуска в список для проверки.

       o Добавлен новый статус "UWP".
         Его получают пакеты приложений универсальной платформы Windows (Universal Windows Platform Apps).

       o Добавлен новый твик #46: Отключить Windows Terminal и очистить реестр.
         Если Windows Terminal активен, в лог выдается предупреждение.
         При обнаружении подозрительных настроек Windows Terminal в конфигурационных файлах, реестре или в каталогах с фрагментами в лог выводится предупреждение.
         Если подозрительная строка найдена в JSON-файле настроек, то в список автозапуска добавляется этот файл с содержимым со статусом "подозрительный".
         В любом случае рекомендуется отключить Windows Terminal, а еще лучше немедленно удалить это из системы.
         Windows Terminal — крайне уязвимый и неоптимизированный кусок кода.

       o Улучшена функция масштабирования удаленного рабочего стола, повышено качество аппаратного апскейла, добавлен параметр "Резкость".
         (Требуется D2D и DX11 на клиентском компьютере)

       o Исправлена старая ошибка в функции отправки ответов серверной части uVS.
         Из-за ошибки в редких случаях могло происходить подвисание серверной и клиентской частей uVS при работе с удаленной системой.

       o Исправлена ошибка в функции завершения серверной части при выходе из удаленной системы.

       o Оптимизирована функция подключения к удаленной системе.

       o Оптимизирована функция сжатия фреймов для DDAL/DDAw режимов: шрифты теперь не теряют яркость, а картинка DDAL практически неотличима от DDA1/DDA2 на глаз, 
         при этом размер сжатого фрейма вырос лишь незначительно.

       o Добавлена x64 версия report_crash.

       o Обновалена функция сбора дампа при падении uVS, функция перенесена в утилиту report_crash, что позволит
         получить максимально точную информацию о произошедшей ошибке.

       o Временно добавлена аппаратная функция обнаружения разрушения списка автозапуска в памяти uVS, что позволит отлавливать сложные в обнаружении ошибки.
         Есть 5 дампов, по которым не удалось выяснить точное место ошибки и эта функция должна помочь найти проблемное место.
         Функция снижает скорость формирования списка на ~5% на современных процессорах.

       o Исправлена ошибка в функции подсчета удаленных ключей реестра.

       o Исправлена ошибка в функции записи параметров при выходе из uVS.

       o Исправлена ошибка разбора JSON-файлов.

       o Исправлена ошибка проверки переменных окружения загруженного пользователя.

       o Из списка доступных для подключения IP-адресов удалены адреса активных VPN.

       
×