{"id":1300,"date":"2018-05-05T17:48:05","date_gmt":"2018-05-05T15:48:05","guid":{"rendered":"http:\/\/blog.m-ri.de\/?p=1300"},"modified":"2018-05-03T11:11:28","modified_gmt":"2018-05-03T09:11:28","slug":"benachrichtigungen-erhalten-wenn-der-symantec-endpoint-protection-manager-sepm-keine-virendefinitionen-aktualisiert","status":"publish","type":"post","link":"http:\/\/blog.m-ri.de\/index.php\/2018\/05\/05\/benachrichtigungen-erhalten-wenn-der-symantec-endpoint-protection-manager-sepm-keine-virendefinitionen-aktualisiert\/","title":{"rendered":"Benachrichtigungen erhalten wenn der Symantec Endpoint Protection Manager (SEPM) keine Virendefinitionen aktualisiert"},"content":{"rendered":"<p>Seit Jahren benutzen wir die Symantec Endpoint Protection in meiner Firma. Aktuell die Version 14.0.1.<br \/>\n<em>Eigentlich macht das Ding was es soll. Aber&#8230;\u00a0<\/em>Es gibt einen Fall in dem im Werkzeug Koffer von <em>Symantec<\/em> kein Tool vorhanden ist das Problem zu l\u00f6sen.<em><br \/>\n<\/em><\/p>\n<p>Was passiert?<\/p>\n<p>Eigentlich m\u00f6chte man ja von einem Antivirensystem nichts h\u00f6ren und sehen. Es soll funktionieren und das war es.<br \/>\nGanz besonders in einer Firma in der 5, 10, 20 und mehr Clients vorhanden sind.<br \/>\nDer <em>SEPM<\/em> (<em>Symantec Endpoint Protection Manager<\/em>), benachrichtigt much brav wenn auf Stations nach mehreren Tagen noch alte Virendefinition sind, oder auch eine bestimme Anzahl von PCs erreicht wurden, die alte Virendefinitionen haben. Oft sind das bei uns Maschinen, die unterwegs sind, oder lange nicht eingeschaltet wurden.<\/p>\n<p><strong>Aber es gibt einen Fall in dem der <em>SEPM<\/em> vollkommen versagt: Wenn n\u00e4mlich der <em>SEPM <\/em>selber keine neuen Virendefinitionen erh\u00e4lt. Warum auch immer!<\/strong><\/p>\n<p>Ich hatte in den letzten Jahren mehrfach den Fall, in denen der <em>SEPM<\/em> keine neuen Virendefinitionen von <em>Symantec<\/em> geladen hat. Die Gr\u00fcnde waren vielseitig. Mal hatte der <em>SEPM<\/em> kein Internet aufgrund eines Konfigurationsfehlers, mal startete der <em>SEPM<\/em> gar nicht nach einem Windows Update.<br \/>\nAber in den meisten F\u00e4llen war der <em>SEPM<\/em> einfach nicht f\u00e4hig, die neuen Signaturen zu laden obwohl er anzeigte, dass welche zum Download bereit stehen.<\/p>\n<p>Der letzte Fall ist besonders nervig. Ich habe zwei Support-Cases zu dem Thema schon offen gehabt, aber die redlich bem\u00fchten Supporter haben dennoch nichts herausbekommen.<br \/>\nNach jeweiligem Neustart des Dienstes oder des Servers, lief es fast immer wieder. Also hatte sich scheinbar nur irgendwas intern &#8222;verklemmt&#8220;!<\/p>\n<p>Dieser Fall ist aber gef\u00e4hrlich. Man bekommt von der ganzen Sache nichts mit, bis eine bestimmte Anzahl von PCs nach ein paar Tagen eben alte Virendefinitionen haben. In der Einstellung bei uns sind das 10% der Maschinen nach 4 Tagen. Man kann das zwar herunter dr\u00fccken, aber diese Warnungen nerven meistens nur ohne triftigen Grund.<br \/>\nUnd man kann in diesem Fall nicht mal testweise einfach den <em>SEPM<\/em> neu starten.<br \/>\nEigentlich will ich keine Meldung und das System soll erstmal selbst versuchen erkannte Problem zu l\u00f6sen.<br \/>\nVor allem habe ich keine Lust irgendjemanden zu beauftragen, der pro Tag einmal diese bl\u00f6de Konsole startet und nachschaut was los ist. \u00dcber alles andere bekomme ich ja auch Emails.<\/p>\n<p>Ich finde solch eine lange Latenz, in der es nicht bemerkt wird, dass die AV-Signaturen alt sind, einfach gef\u00e4hrlich.<br \/>\nAber Bordmittel dar\u00fcber zu warnen gibt es nicht!<br \/>\nZudem trat dieser Fall ca alle 6-9 Wochen immer einmal wieder auf.<br \/>\n<em><strong>Und das nervt.<\/strong><\/em><\/p>\n<p>Also habe ich mich auf die Suche gemacht und habe f\u00fcr den SQL Server in dem unsere Daten gehalten werden zwei kleine Jobs geschrieben die nachfolgend beschreiben werden.<br \/>\nDiese Jobs laufen nun einige Monate und haben bereits mehrfach erfolgreich dieses Problem &#8222;selbstt\u00e4tig&#8220; behoben&#8230;<\/p>\n<h4>Job 1:\u00a0Symantec Virus Signature Check<\/h4>\n<p>Dieser Job l\u00e4uft jede Stunde einmal.<br \/>\nDer Code macht einfach folgendes.<\/p>\n<ul>\n<li>Sollte es in den letzten 32 Stunden (siehe Wert f\u00fcr @delta) eine \u00c4nderungen in den Signaturen gegeben haben ist alles OK<\/li>\n<li>Gab es kein Update der Signaturen dann werden zwei Schritte eingeleitet.<\/li>\n<li>Es wird \u00fcber den internen SQL Mail Dienst eine Warnung versendet an den Admin.<\/li>\n<li>Danach wird ein weiterer Job gestartet mit dem Namen <em>Symantec SEPM Restart.<\/em><\/li>\n<\/ul>\n<p>Die 32 Stunden, sind ein Wert der sich aus Erfahrungswerten gebildet hat. In 98% aller F\u00e4lle werden Signaturen innerhalb von 24h aktualisiert. Aber es gibt eben ein paar Ausnahmen<\/p>\n<p>Taucht die Email mehr als zweimal auf, muss ich wohl irgendwie aktiv werden und mal manuell kontrollieren.<\/p>\n<pre>DECLARE @delta INT\r\n-- number of hours\r\nSET @delta = 32 \r\nDECLARE @d DATETIME \r\nDECLARE @t VARCHAR(MAX)\r\nIF NOT EXISTS(SELECT * FROM PATTERN WHERE INSERTDATETIME&gt;DATEADD(hh,-@delta,GETDATE()) AND PATTERN_TYPE='VIRUS_DEFS')\r\nBEGIN\r\n      SET @d = (SELECT TOP 1 INSERTDATETIME FROM PATTERN WHERE PATTERN_TYPE='VIRUS_DEFS' ORDER BY INSERTDATETIME DESC)\r\n      SET @t = 'Hallo Admin!\r\n\r\nDie letzten Antivirus-Signaturen wurden am ' + CONVERT(VARCHAR, @d, 120)+' aktualisiert!\r\nEs wird versucht den SEPM Dienst neu zu starten!\r\n\r\nLiebe Gr\u00fc\u00dfe Ihr\r\nSQLServerAgent'\r\n      EXEC msdb.dbo.sp_send_dbmail @profile_name='Administrator',\r\n\t\t\t\t   @recipients='administrator@mydomain.de',\r\n\t\t\t\t   @subject='Symantec Virus Definitionen sind nicht aktuell',\r\n\t\t\t\t   @body=@t\r\n      PRINT 'Virus Signaturen sind veraltet! Letztes Update: ' + CONVERT(VARCHAR, @d, 120)\r\n      EXEC msdb.dbo.sp_start_job @job_name='Symantec Restart'\r\n      PRINT 'Restart SEPM server!!!'\r\n    END\r\n  ELSE\r\n    BEGIN \r\n      SET @d = (SELECT TOP 1 INSERTDATETIME FROM PATTERN WHERE PATTERN_TYPE='VIRUS_DEFS' ORDER BY INSERTDATETIME DESC)\r\n      PRINT 'Virus Signaturen sind OK! Letztes Update: ' + CONVERT(VARCHAR, @d, 120)\r\n    END\r\n<\/pre>\n<h4>Job 2:\u00a0Symnatec Restart<\/h4>\n<p>Dieser Job wird nur durch den Job 1 gestartet und er ist \u00e4u\u00dferst trivial.<br \/>\nF\u00fchrt einfach nur 2 Befehle aus, die den <em>SEPM<\/em> stoppen und anschlie\u00dfend neu starten.<\/p>\n<pre>NET STOP SEMSRV\r\nNET START SEMSRV\r\n<\/pre>\n<p>PS: Traurig war, dass man durch den Support auch keine Hilfe bekam, nachdem ich solch einen L\u00f6sungsansatz vorschlug. Man wollte mir keine Infos \u00fcber die Strukturen der Tabellen geben. Letzten Endes waren die Suchmaschinen so nett alle n\u00f6tigen Informationen zu liefern, denn ich war nicht der einzige mit diesem Problem.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Seit Jahren benutzen wir die Symantec Endpoint Protection in meiner Firma. Aktuell die Version 14.0.1. Eigentlich macht das Ding was es soll. Aber&#8230;\u00a0Es gibt einen Fall in dem im Werkzeug Koffer von Symantec kein Tool vorhanden ist das Problem zu l\u00f6sen. Was passiert? Eigentlich m\u00f6chte man ja von einem Antivirensystem nichts h\u00f6ren und sehen. Es &hellip; <a href=\"http:\/\/blog.m-ri.de\/index.php\/2018\/05\/05\/benachrichtigungen-erhalten-wenn-der-symantec-endpoint-protection-manager-sepm-keine-virendefinitionen-aktualisiert\/\" class=\"more-link\"><span class=\"screen-reader-text\">\u201eBenachrichtigungen erhalten wenn der Symantec Endpoint Protection Manager (SEPM) keine Virendefinitionen aktualisiert\u201c <\/span>weiterlesen<\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_jetpack_memberships_contains_paid_content":false,"footnotes":""},"categories":[1,12],"tags":[159,217,144,346],"class_list":["post-1300","post","type-post","status-publish","format-standard","hentry","category-allgemein","category-software","tag-ms-sql","tag-sql-2008","tag-symantec","tag-symantec-endpoint-protection"],"jetpack_featured_media_url":"","jetpack_sharing_enabled":true,"_links":{"self":[{"href":"http:\/\/blog.m-ri.de\/index.php\/wp-json\/wp\/v2\/posts\/1300","targetHints":{"allow":["GET"]}}],"collection":[{"href":"http:\/\/blog.m-ri.de\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/blog.m-ri.de\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/blog.m-ri.de\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/blog.m-ri.de\/index.php\/wp-json\/wp\/v2\/comments?post=1300"}],"version-history":[{"count":0,"href":"http:\/\/blog.m-ri.de\/index.php\/wp-json\/wp\/v2\/posts\/1300\/revisions"}],"wp:attachment":[{"href":"http:\/\/blog.m-ri.de\/index.php\/wp-json\/wp\/v2\/media?parent=1300"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/blog.m-ri.de\/index.php\/wp-json\/wp\/v2\/categories?post=1300"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/blog.m-ri.de\/index.php\/wp-json\/wp\/v2\/tags?post=1300"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}