Forefront Client Security
2010-02-05, 01:01 / ArgonВ этой статье я расскажу об антивирусном продукте Microsoft, ориентированном на защиту рабочих станций и серверов в корпоративных сетях — Forefront Client Security.
Будут рассмотрены следующие темы:
- Описание возможностей
- Сильные и слабые стороны продукта
- Установка серверных компонентов Forefront Client Security
- Развертывание клиентских компонентов Forefront Client Security
- Советы и хитрости
- Полезные ссылки
Описание возможностей
Этот продукт нацелен в первую очередь на корпоративные сети, в которых требуется централизованное развертывание, обновление и мониторинг антивирусной защиты.
Client Security состоит из клиентской и северной частей.
Клиентская часть называется Forefront Client Security Agent и состоит из трех легких компонент:
- Antimalware Service — антивирусное ядро
- State Assessment Service — средство проверки текущего состояния безопасности
- Microsoft Operations Manager (MOM) 2005 Agent — агент для связи с сервером управления
Агент Client Security заточен на быстрое развертывание и централизованное управление, поэтому для конечного пользователя предоставляет только необходимый минимум функций, таких как
- сканирование по требованию
- расписание автоматического сканирования
- проверка обновлений
- настройка исключений
- отключение сканирующих модулей
Серверная часть называется Forefront Client Security Management Console, представляет собой панель управления, на которой отображается текущее состояние системы, настраиваются политики безопасности и представлены возможности для формирования разнообразных отчетов. Консоль управления для своей работы использует следующие технологии:
- Active Directory для централизованного распространения настроек (политик безопасности)
- Windows Server Update Services (WSUS) для централизованного распространения программных модулей и обновления антивирусных баз
- Microsoft Operations Manager 2005 (подпиленная версия) для сбора данных о состоянии клиентов
- SQL Server 2005 Database Engine для хранения базы данных
- SQL Server 2005 Reporting Services для формирования отчетов
Сильные и слабые стороны
Сильные стороны продукта:
- Высокая эффективность: авторитетные независимые тесты (Virus Bulletin, AV-Comparatives) неоднократно давали максимальный рейтинг этому антивирусу. Продукт сертифицирован для государственного применения.
- Производительность: антивирусный агент, работающий на клиентах, потребляет сравнительно немного памяти и не содержит ненужных в корпоративной среде модулей, такие как «оптимизаторы» ОС, брандмауэры и т. п.
- Широкая совместимость с платформами: агент поддерживает клиентские и серверные ОС начиная с Windows 2000 и заканчивая Windows 7 / Server 2008 R2.
- Централизованное управление и мониторинг: позволяет централизованно контролировать все настройки антивирусов, в соответствии с гранулярно создаваемыми политиками. Информация о состоянии контролируемых систем централизованно собирается и анализируется.
- Интеграция со службами Microsoft: продукт по полной использует технологии Microsoft, которые позволяет сравнительно легко внедрять его в существующую инфраструктуру. Это очень важно для больших сетей.
- Масштабируемость: одиночный сервер управления может поддерживать работу порядка десяти тысяч клиентов, а сами серверы управления можно централизованно объединить с помощью Client Security Enterprise Manager.
- Низкая стоимость: одна лицензия клиента стоит около 13 зелёных в год. Лицензия на сервер управления — около 2,5 тысяч зелёных в год, что сравнительно недорого, в случае больших инсталляций.
Все слабые стороны относятся к серверным компонентам и вытекают из сильных сторон…
- Специфические требования к инфраструктуре: для серверных компонентов поддерживаются только 32-х разрядные операционные системы, причем официально — только Windows Server 2003. Полная установка продукта довольно сложна, требует выполнения многих предварительных условий в текущей информационной инфраструктуре. Все серверные компоненты Forefront Client Security можно установить на одну ОС, однако чем-либо дополнительным эту систему лучше не нагружать.
- Высокие системные требования: в моей инсталляции на 50 клиентов сервер управления начинает нормально работать с 2 гигабайтами памяти и весьма неслабым двухъядерным процессором, занимая 50 гигабайт места на диске.
- Общая громоздкость системы: так как серверная часть продукта состоит из многих компонентов, которые могут быть распределены по разным компьютерам, общая надежность системы понижается из-за возможности отказов отдельных компонентов.
- Требование платной версии SQL Server 2005: продукт не может использовать БД Windows Internal Database, у которой нет ограничения на размер баз данных.
Я считаю, слабые стороны в основном проявляют себя в небольших инсталляциях, а на целевом рынке продукта, корпоративных сетях средних и крупных размеров, эти особенности оправданы.
Установка серверных компонентов Forefront Client Security
Процедура развертывания системы описана на русском языке в документации на TechNet, однако она довольно громоздка, уныла и местами устарела… Текст далее призван помочь установить и настроить Forefront Client Security без выкуривания официальных мануалов.
Management Console состоит из нескольких ролей, которые можно разносить по разным серверам:
- Management Server — сервер управления
- Collection Server — сервер сбора данных (MOM)
- Collection Database — база данных (SQL Server 2005 Database Engine)
- Reporting Server and Database — сервер отчетов (SQL Server 2005 Reporting Services)
- Distribution Server — сервер распространения (WSUS)
Требования к этим ролям описаны в документации на TechNet. Следует обратить особое внимание на то, что в качестве платформы для всех ролей официально поддерживается только 32-битная Windows Server 2003. На деле же, WSUS прекрасно работает и на Windows Server 2008 64 bit, также на эту платформу можно установить и 64-битную редакцию SQL Server 2005. Также я успешно устанавливал все серверные компоненты Forefront Client Security на Windows Server 2008 32 bit, особых подводных камней, помимо отмеченных далее, не заметил.
В этой записи я рассмотрю процесс установки всех ролей, кроме WSUS, на 32-битный Windows Server 2003. Сервер должен быть членом домена, на нем должны быть установлены следующие стандартные компоненты: IIS, ASP.NET, .Net Framework 2.0 (для Reporting Services и WSUS). Дополнительно необходим Group Policy Management Console (для Management Console), и желательно обновить .Net Framework до последней версии.
Теперь можно перейти к установке SQL Server 2005. Тут меня ждала огромная неприятность и разочарование: необходима платная редакция SQL Server 2005, не ниже Standard. Казалось бы, в бесплатном SQL Server 2005 Express Edition with Advanced Services имеются все компоненты, заявленные в официальных требованиях (конечно кроме ограничения на объем БД, что, в общем-то, можно обойти созданием нескольких баз). Если следовать такой логике, то в процессе установки серверных компонентов Forefront Client Security обнаруживается, что не хватает компонента Integration Services, который входит в поставку SQL Server 2005, начиная с редакции Standard…
Устанавливая SQL Server 2005 Standard необходимо выбрать компоненты Database Engine, Reporting Services и проклятые Integration Services, необходимость которых мне не ясна. Стандартная версия SQL Server 2005 распространяется на дисках и на текущий момент уже устарела, поэтому сразу после её установки необходимо установить SP3. Чтобы избежать перезагрузки системы, на последней странице диалоговых окон установщика SP3 (где предлагается отравлять отчет об установке в Microsoft) нужно остановить службы SQL Server и SQL Server Reporting Server.
Чтобы проверить, корректно ли установились Reporting Services, пробуем зайти IE (с отключенным режимом Enhanced Security) на адрес http://localhost/Reports/. Если ошибок нет, то продолжаем. Если есть, пишите в комментарии. До начала установки Client Security настраиваем службу SQL Server Agent на запуск автоматически и запускаем (проверяется при установке).
В Active Directory создаём пользователя и наделяем его административными правами (группа Domain Admins) на всех компьютерах, на которых будут работать любые компоненты Forefront Client Security.
Наконец, настало время запустить установку серверных компонентов Forefront Client Security. Нас спросят ввести данные для учетной записи DAS, от имени которой будет работать система на всех компьютерах — это именно тот пользователь, которого мы создавали в AD. Обратите внимание на настройки начальных размеров баз данных! Не изменяйте их в меньшую сторону, иначе скоро у вас начнутся проблемы, подтверждено моим горьким опытом. Если предполагается работа с тысячами агентами, обязательно ознакомьтесь со статьями «Размеры баз данных» и «Влияние на системные ресурсы сервера». Если все предыдущие шаги проделаны правильно, дальнейших проблем возникнуть не должно. Установка долгая, что типично для продуктов Microsoft.
По окончании установки предложат пройти Configuration Wizard (также доступно в меню Action → Configure из консоли Forefront Client Security), делаем это обязательно. Затем в консоли Forefront Client Security переходим на вкладку Policy Management и создаем политику.
Настройки, конечно, на ваш вкус, но я рекомендую создать отдельные политики для клиентских компьютеров и серверов предприятия. Затем делаем Deploy свежесозданных политик на нужные OU либо группы безопасности, в которые включены необходимые компьютеры.
Развертывание клиентских компонентов Forefront Client Security
Созданные групповые политики вносят в реестр целевых систем значения, необходимые для установки и настройки клиентских компонентов.
Все клиентские компоненты и описания вирусов распространяются через WSUS. Если в вашей сети такая служба не развернута, то позор вам, быстрее разворачивайте. На компьютере, на котором установлена последняя версия WSUS (на момент написания статьи 3.0 SP2), запускать установку роли Distribution Server не нужно, так как эта роль была рассчитана на работу с WSUS версии 2.0.
Вместо установки роли Distribution Server проделайте следующие шаги в консоли WSUS:
- в Options → Products and Classifications включить Forefront Client Security, на вкладке Classifications должны быть отмечены как минимум Critical Updates, Definition Updates и Updates
- произвести синхронизацию WSUS
- найти поиском последнюю версию обновления «Client Update for Microsoft Forefront Client Security» и сделать Approve for installation для нужных групп компьютеров.
- создать правило Automatic Approvals для продукта Forefront Client Security с классификацией Definition Updates
- настроить автоматическую синхронизацию минимум пару раз в день
Всё, приведенных действий достаточно для того, чтобы групповая политика распространилась на компьютеры, которые затем по указанию этой политики в ближайшем цикле автообновления запросят клиентские компоненты Forefront Client Security у WSUS и установят их. В процессе установки осуществиться регистрация на сервере MOM, затем загрузятся последние обновления определений вирусов.
Советы и хитрости
Ускорение развёртывания Forefront Client Security
Процесс распространения групповых политик, проверки обновлений и их установки может затянуться. Для ускорения этого процесса используйте следующие команды на клиентских компьютерах:
gpupdate /force для немедленного применения групповой политики
wuauclt /detectnow для немедленной проверки обновлений
О том, как запускать команды по сети на группе компьютеров, я недавно написал.
В зависимости от настроек Windows Update в вашей групповой политике, клиентские компоненты Forefront Client Security могут установиться мгновенно, могут быть запланированы на установку в определенное время, а могут и просто быть предложены пользователю.
После установки обновления агент MOM регистрируется на сервере MOM и какое-то время висит в его очереди на утверждение, бездействуя. Чтобы ускорить этот процесс, клиентов можно утверждать вручную в Administrator Console сервера MOM, в узле Administration → Computers → Pending Actions.
Объём базы данных Forefront Client Security
Если изначального объема баз данных перестанет хватать, в журнале событий приложений будут периодически сыпаться ошибки
Type: Error
Event ID: 81
Чтобы избавиться от причин этих ошибок, увеличьте размеры БД, используя средство SQL Server Management Studio. Рекомендуемые размеры даны в статье «Влияние на системные ресурсы сервера».
Исключения для серверов
Если вы установили антивирус на сервера, в основном нагруженные каким-то определенным сервисом (таким как сервер БД, виртуальные машины, IIS, резервное копирование), то советую добавить исполняемые файлы сервера и/или области действия в файловой системе в исключения антивируса, чтобы не тормозило лишний раз. Более подробно рекомендую почитать в статье KB943556. Менее подробно, но более сжато и понятно — в этой записи блога Алексея Максимова.
Обновление
Для серверных компонентов Forefront Client Security выпущен Service Pack 1 и несколько обновлений. Не забудьте в своём WSUS одобрить эти обновления, либо загрузите их через Microsoft Update.
Развертывание Forefront Client Security на компьютеры рабочей группы (вне домена)
Все, что нужно для корректной установки Forefront Client Security на клиентский компьютер — это сформированные групповой политикой записи в реестре. Если нет возможности распространять настройки на компьютеры через групповую политику, то можно в Management Console сделать Deploy политики в файл. Затем скопировать этот файл и программу cslocalpolicytool.exe из дистрибутива FCS на клиентские компьютеры и выполнить команду
fcslocalpolicytool.exe /f /i имя_файла для применения политики.
После этого клиенты сами запросят и установят агент Forefront Client Security через WSUS. Также можно и просто запустить ClientSetup с диска, но зачем? Без правильного получения обновлений от WSUS вам все равно не получится пользоваться этим программным продуктом полноценно.
Установка Forefront Client Security без сервера управления
Такой вариант тоже возможен, если вы захотели установить агент Forefront Client Security на домашнем компьютере. Достаточно запустить
ClientSetup /NOMOM
Установится локальный агент, затем нужно получить обновления агента с Windows Update, после чего загрузятся обновления антивирусных баз.
Но есть и другой путь! Microsoft недавно выпустила бесплатный антивирус Microsoft Security Essentials, который представляет собой тот же агент Forefront Client Security, только лишенный централизованного управления. Для дома — самое то!
Ручная локальная установка обновлений Forefront Client Security
И такое возможно. Следуйте ссылкам в статье KB935934 для соответствующей разрядности ОС. Для локального обновления антивирусных баз агента Forefront Client Security достаточно просто запустить загруженный файл.
Принудительное обновление антивирусных баз Forefront Client Security
Можно форсировать установку обновлений с WSUS помимо стандартного цикла автообновления следующей командой:
"%ProgramFiles%\Microsoft Forefront\Client Security\Client\Antimalware\MpCmdRun.exe" -SignatureUpdate
Полезные ссылки
- Официальная документация
- Русский ТехЦентр
- Английский FAQ
- Блог разработчиков
- Блог поддержки
- Английский форум
- Русский форум линейки продуктов Forefront
- Error message when you open the Operator Console in Microsoft Operations Manager 2005: «Error connecting to server: localhost»
- Issues that you may experience after you install MOM 2005 on a computer that is running Windows Server 2003 with SP1
- Ознакомительная версия (120 дней) Forefront Client Security
Надежные источники сообщают, что новая версия продукта, которая будет называться Forefront Endpoint Protection 2010, запланирована к выпуску во второй половине 2010 года и будет основана на System Center Configuration Manager.
На заметку
Forefront Endpoint Protection 2010 вышел вовремя. Читайте мой мини-обзор.
Статья планировалась как сборник советов по избеганию «подводных камней» при установке и развертыванию продукта, но от желания превратить получившиеся в связный текст получился вот такой букварь…
PS: Я часто использую полное название Forefront Client Security не потому, что плохо владею синонимами, а для облегчения поиска роботами. Слава роботам ;)
| Рубрика | Security |
|---|---|
| Метки | anti-virus, antivirus, антивирус, anti malware, security, безопасность, windows client, windows server |
| Опубликовано | 2010-02-05, 1:01; обновлено 2011-01-09, 17:02 |
| Комментарии | 72 комментария » | Лента комментариев RSS |
| Ссылки | Постоянная ссылка | Обратная ссылка |
72 комментария
Доброе время суток! Я работаю журналистом в одном из новых издательств и как раз ныне пишу статью по подобной Вашей тематике! Не могли бы Вы дать разрешение на публикацию Вашего материала в нашем печатном изданииб естественно с указанием ссылки на данную статью! Заранее благодарен!
На моем ресурсе комменты проходят премодерацию, прямые ссылки не публикуются. Спамеры, не напрягайтесь!
«Чтобы проверить, корректно ли установились Reporting Services, пробуем зайти IE (с отключенным режимом Enhanced Security) на адрес http://localhost/Reports/. Если ошибок нет, то продолжаем. Если есть, пишите в комментарии.»
Здравствуйте, открывается с ошибками:
Не удается найти требуемую страницу
Запрошенная страница удалена, переименована или временно недоступна.
Режим Enhanced Security отключил.
Запустите диспетчер IIS, откройте веб сайт по умолчанию. В нем должны быть созданы приложения Reports и ReportServer. Если их нет, значит установка компонента Reporting из состава SQL Server’a прошла некорректно. Попробуйте переустановить этот компонент.
В случае дальнейших проблем, пишите сюда. Обещаю отвечать быстрее ;)
Да, в диспетчере IIS нет данных приложений, не очень точно понял что значить переустановить Report Service, в установке и удалении программ выбрал пункт «изменить» и в процессе установки поставил флажок напротив Reporting Service, но это не помогло…
Если существенно, то FCS я решил разворачивать уже на существующем сервере W2k3r2sp2rus x32, на нем уже настроен боевой WSUS (без использования SQL) и в управлении IIS есть приложение Администрирование WSUS
Верно, в уст/удал программ нужно изменить состав компонентов SQL Server’a, напоминаю, что версия должна быть не ниже Standard. Насколько знаю, если предварительные требования для Reporting Services не выполнены, то и установка их не пойдёт. Если этот компонент доступен для установки, то его нужно сконфигурировать автоматически, на IIS веб-сайт по умолчанию и т. п.
Также есть возможность после установки «пуске» зайти в Reporting Services Configuration, в этой утилите можно и вручную настроить многие параметры, в том числе и приложения IIS.
Добрый день, спасибо за статью. Возник вопрос: Security Essentials можно использовать на предприятии или нет? не важно что он не управляем из единого центра. В моём WSUS 3 sp1 для него есть уже несколько обновлений за май.
Security Essentials разрешается использовать только на домашних компьютерах.
Использование в любых организациях — нарушение лицензионного соглашения.
Если хочется сэкономить, то можно использовать FCS в организации без сервера управления.
Здравствуйте. Не могу установить клинскую часть приложения. Ставлю с помощью команды wuauclt /detectnow, в начале шкала загрузки заполняется потом установщик сообщает что приложение не установлено, других антивирусных программ на компьютере не установлено, скажите в чем может быть проблема ????
Какая версия клиентской ОСи? Сервиспаки?
Из стареньких ОСей поддерживаются эти: Windows 2000 SP4 or later, Windows XP SP2 or later, Windows Server 2003 SP1.
Argon Проблема решена спасибо… Просто была отключена служба «Планировщик заданий».
Рад помочь, но кто бы мог подумать, что в планировщике беда ;)
И снова здравствуйте. Установил и настроил FCS согласно официальной документации на сайте Microsoft (http://technet.microsoft.com/ru-ru/library/bb432630.aspx).
FCS прекрасно «деплоится» на рабочие станции через политики, но почему-то в Microsoft Client Security Management Console не отображается информация о компьютерах, находящихся под управлением. Все индикаторы стоят на 0%, в графике 14-day history написано «No Data» (при этом в консоли администратора MOM компьютеры с агентами видны). При попытке запустить сканирование на компьютерах с уже установленными агентами внизу появляется ошибка с надписью «Could not start the scan for all managed computers. No Client Security Management servers were discovered in the MOM «Microsoft Forefront Client Security Collector» computer group».
Подскажите пожалуйста, где искать причину этой проблемы, сам в официальной документации не нашел.
Как я понял, MOM работает, а вот в самом сервере FCS компов нет. В MOM-е компы появились как полноправные, или как pending? Если pending, то нужно одобрить их, тогда счетчик защищенных компов в консоли FCS должен увеличиться.
Компьютеры находятся в группе Agent-managed computers, такое впечатление, что нет связи между MOM и FCS Management Console
Эти роли на одном компе? Если нет, то можно посмотреть фаэрволл.
Если на одном компе обе роли, перезапусти комп или соотв службы, посмотри в логи, может какие ошибки будут писаться.
На одном сервере все, перезагружал уже не один раз его.
При попытке посмотреть отчеты политики (правой кнопкой на политике, View reports), в IE открывается страница, на которой присутствуют надписи: Ошибка: невозможно отобразить вложенный отчет.
Ну а в логах системы и приложений есть ли что интересное, это первое место, куда надо смотреть.
Какая ОСь? Есть ли на компе еще что-нибудь «лишнее»? Пробовал ли переставить FCS? Были ли ошибки при установке FCS?
Роли на одном компьютере, посмотрел в журнал ошибок, нашел событие 10006 от FcsSas
Я нашел пост на английском языке, где описывается та же самая проблема с этой ошибкой, человек пишет, что он просто удалил FCS, затем воспользовался каким-то toolkit для чистки и снова установил fcs (http://social.technet.microsoft.com/Forums/en-US/Forefrontclientsetup/thread/7c6f46cb-6bb4-4118-88e4-2ca63632df21).
Только не понятно, что же за toolkit он использовал.
Наверно имеется в виду Windows Installer CleanUp. Полезная штука в некоторых случаях, например если прога удалилась не полностью и это не даёт переустановить её заново.
Ага, они пишут
While the Windows Installer Cleanup utility resolved some installation problems, it sometimes damaged other components installed on the computer. Because of this, the tool has been removed from the Microsoft Download Center.
Но в Гугле найти можно. На крайняк у меня в запасах есть.
Вышлите пожалуйста на почту.
Я начал переустанавливать Forefront и у меня происходит ошибка 1603 при установке MOMReporting
я решил тоже переустановить, но теперь в процессе установки появляется ошибка 1603 на этапе установки MOM Reporting. Поиск этой ошибки в Интернете пока ни чего не дал (могу выслать лог установки).
Я никого не расстрою если скажу, что это чудо не ставится с SQL2008 (ни экспресс, ни стандарт — ни с каким). Not supported
В журнале событий я нашел ошибку с кодом 10005 источник — MSIInstaller, нашел статью с описанием данной ошибки — http://support.microsoft.com/kb/922337, где говорится, что эта проблема связана с тем, что установка производится на сервер, где запущена 32-битная версия SQL Server 2005, советуют запустить MOMreporting.msi отдельно с ключом, но этот вариант мне не подходит, т.к. после установки MOMreporting, именно в процессе установки FCS, идет установка других компонентов FCS которые тоже нужны.
Вдобавок, теперь еще и при установке FCS пишется, что компонент Collection Database уже установлен, хотя базу OnePoint я удалял.
Утилита msicuu2 не показывает, что на сервере установлено, что-то относящееся к MOM или FCS.
В общем я вернулся к исходному состоянию -при повторной установке FCS MOMReporting отказывается устанавливаться с ошибкой MAinEngineThread is returning 1603.
Ой, столько мук ;) Все компоненты FCS (реестр, файлы, базы данных) вычистил и такая ошибка случается? В таком случае в системе что-то не ладно. Всеж таки напиши версии, разрядности и сревиспаки винды, скл, фреймоворка и т. п.
Поднять чистую виртуалочку под сервер FCS нет возможности?
Приветствую!
Если сейчас «тестирую» в таком виде:
установил на тестовый сервер серверную часть, на нем же деплой сделал.
и раскидываю через него на тестируемые машины.
в дальнейшем планирую установить на другой сервер, и собственно хотелось бы, чтобы машины с уже установленным клиентом оказались в репортах и базах mom боевого сервера.
1.к безболезненно провест подобное?
или же не заморачиваться и просто ставить с ключом /nomom, в таком случае надо деплой в reg файл, тогда идут у меня вопросы:
2.1 какие файлы нужны для установки клиента на машину? подразумеваю, что машины xp sp2 рус(большинство уже sp3).
2.2 reg.файл просто в нужное OU в AD запихнуть, как скрипт логон для ПК?
1. В консоли FCS создаются магические групповые политики, которые содержат необходимые параметры для развертывания клиентов FCS.
Предполагаю, что если тестовые политики потом заменить на боевые, то клиенты боевой сервер подхватят.
Но возможно, что придется на списке компов какую-нить команду по сети выполнить (типа регистрации в МОМ-е)
2.1 Нужен WSUS, для ручной установки можно скачать с Windows Update Catalog последнюю версию Client Security.
2.2 Консоль FCS делает создают политику, которая содержит настройки реестра.
Проблемы решились после полной переустановки SQL и FCS.
Очень много гуглил и задавал вопросы на Течнете, но особо дельных ответов там не увидел.
Вот ссылка, может быть кому-то полезно будет.
Argon, скажите, я правильно понял, что если компьютер в домен не включен, то отчеты на сервер управления он отсылать и управляться этим сервером не будет, даже если клиента развернуть на этом компьютере с использованием fcslocalpolicytool?
Есть ли какой-нибудь способ управления таким компьютером через сервер управления?
Если кому-то интересно, то вот мой опыт работы с FCS на данный момент:
Не могу согласится со всем написанным в указанной ветке на Технете. Лично я внедрил FCS на двух предприятиях, нигде не было серьезных проблем, при условии что разворачивалось на чистые компы. С настройками исключений тоже особых проблем не наблюдал, и хочу подчеркнуть необходимость этих настроек на серверах, чтобы избежать диких тормозов.
Следует учесть, что FCS — именно Client Security, а не All-In-One. То есть FCS защищает именно клиентов, а периметр сети — Forefront TMG, почту Forefront for Exchange. И т. п.
1. На падение производительности жалуются разные пользователи и те, и с недавно установленной ОС, и с давно установленной (но, согласитесь, переустанавливать из-за антивируса ОС на 300 компах это too much).
2. Пока что я заметил, что на тормоза не жалуются пользователи с объемом оперативной памяти больше гигабайта.
3. По поводу добавления исключений, сделаны они очень не удобно — в Overrides можно добавить только один отдельно взятый файл, без указания конкретного пути, а в Exclusions from Malware scan, наборот, можно добавить файл с определённым путём, а отдельно сам файл — нельзя, что создает большие неудобства.
4. Как раз-таки на 3-х серверах стоит FCS, никаких «специфических» исключений не добавлено и падения производительности на них не наблюдается (опять же, на каждом из них более 1 Гб. оперативной памяти).
Я прекрасно понимаю, что FCS защищает именно клиентские машины, а не периметр сети, или почту, не понимаю, к чему Вы это написали.
Не подскажете ли — нужно ли для повышения производительности добавлять в исключения какие-то определенные системные файлы на рабочих станциях?
Константин,
1, 2. Насчет падения производительности — пользователи действительно жалуются, я их приучил по приходу на работу включать компьютеры и идти пить чай. FCS тормозит компы сразу после запуска, потом затихает. Видимо собирает Security Assessment State и прочее.
3. Согласен, неудобно, по маске не умеет. Но в этом и какая-никакая защита от подлога есть.
Исключения на рабочих станциях… Например если есть какое-то определенное интенсивно юзаемое приложение, которое генерит/обрабатывает файлы, вот его и добавлять.
В общем удалось выяснить, что основное зависание происходило в 13 часов дня, когда по расписанию запускалась проверка scan security state assesment (почему-то в политиках ее можно либо отключить, либо включить сканирование в заданные часы каждый день, включить сканирование в определенный день, как Malware Scanning нельзя). И, что самое интересное, пользователи, у которых остановлен 1 Gb оперативной памяти, на зависание при этом сканировании ни сколько не жаловались!
Так же, я нашел на официальном сайте Microsoft рекомендации по добавлению в исключения определенных системных файлов ОС и серверных приложений, в зависимости от ролей конкретного сервера (http://support.microsoft.com/kb/943556), которые Microsoft рекомендует добавить в исключения антивирусных приложений для повышения производительности. Любопытно, что ни одному антивирусу это особо не требуется, кроме антивируса производства самих Microsoft.
По поводу добавления интенсивно используемых приложений в исключения возникает вопрос, если все интенсивно используемые приложения будут добавлены в исключения, то что же будет тогда сканировать сам FCS, и как же это скажется на защите в конечном счете?
Особенно порадовала Ваша фраза на счет чая :)
Интересно, Microsoft не прилагает бесплатно подписку на чай?
А то покупать его для 300 пользователей контора разорится, боюсь.
P.S.: Я посчитал и выяснил, что увеличивать всем оперативную память до 1 Gb по стоимости получится цена того же самого Kaspersky Business Space Security, на который денег изначально пожалели и решили сэкономить.
Про исключения я приводил ссылку на ту же статью ранее, причем актуальны эти сведения для любых антивирусов, не только MS. На раб станциях добавления в исключения каких-попало приложений и папок просто лишит защиты. Под интенсивно используемым приложением можно считать редактор видео, большую файловую базу данных типа одинэски.
По моим наблюдениям все равно никто в начале раб дня не работает в полную силу, время на раскачку уходит, тот же чай пьют…
хочу спросить. блы компьютер с одним именем и на нем клиент. переименовал компьютер, но в том же домене стоит. а теперь в MOM старое имя отображается тоже. но уже как unmanaged. как этот компьютер исключить? т.е. чтобы не болталась эта запись.
В MOM-e есть возможность удалять управляемые компьютеры из админ-консоли. Думаю, для восстановления управления над переименованным компом можно сделать так: удалить запись из MOM-а, удалить компоненты MOM и FCS с клиентского компа, затаем FCS сам поставиться через политики и пропишется везде по-новой.
откуда инсталляция идет, когда компьютер применяет политику в AD на установку? в смысле, на сервере у меня в раделе D лежит дистрибутив. от туда? или из каталога program files на самом сервере. как понимаю в приципе идет инсталляция msi.
Политика вносит в реестр хитрые изменения, после которых комп у WSUS начинает запрашивать дистрибутив FCS как обновление.
ааа. то есть, сам сервер имеют лишь пограничную задачу. типа политика. и база мом, я так понимаю?
Привет. Вопрос такой: ранее в организации был развернут FCS, настроено несколько политик. так получилось, что перенести как положено сервер FCS не удалось. Новая установка была выполнена «с нуля», но с таким же именем группы управления. В итоге клиенты подхватились и все работает как положено, с ранее настроеными политиками, но самих политик в консоли управления FCS ессно не появилось. Вопрос собственно — можно ли уже развернутые политики каким то образом импортировать на новый сервер управления? Заранее спасибо)
При установке любой из компонент:
[21.10.2010 8:55:15] Task(Install ***** Server Component) в логах пишется ошибка:
The following process failed.
Process: C:\WINDOWS\system32\msiexec.exe
Exit code: 1639Number of tasks completed: [21.10.2010 8:55:15]
Хотя проверку проходит со всеми «зелеными» галочками и начинается установка.
Подскажите, в чем может быть проблема.
Еще нашел по поводу низкой производительности:
Падение производительности наблюдается на компьютерах, где обрабатываются большие файлы (например локально лежат базы 1С и т.д.). Еще: на одном «тормозящем» компьютере я выполнил поиск файлов по размеру более 50 Mb, в результате этого поиска нашелся ряд больших файлов (более 100 Mb) с расширением tmp, лежащих в системных папках, после того, как я их удалил, компьютер стал работать заметно быстрее.
Я не нашел, как добавить в исключения большие файлы (более * Mb, как это зачастую реализовано в традиционных антивирусах), уважаемый Argon, Вы не знаете — возможно ли это? Если возможно, то как?
Max,
Вопрос собственно – можно ли уже развернутые политики каким то образом импортировать на новый сервер управления? Заранее спасибо)
Подозреваю, что нет. Думаю, их идентификаторы хранятся в базе данных FCS, и по этим идентификаторам он узнает, что они «свои». В вашем случае, можно либо пересоздать политики, либо ковырять базу.
LMcom,
Похоже на ошибку в Windows Installer. Проверьте, запущена ли установка с правами администратора, не выполняется ли сейчас другая установка, либо ранее выполнялась установка, требующая перезагрузки.
Константин,
Тоже как-то хотел воспользоваться такой функцией, не нашел. Тут, видимо, и лень разработчиков, и следование политикам повышенной безопасности, чтобы ничего не пропустить.
Насчет баз 1С и прочих БД — их, конечно, в первую очередь в исключения надо добавлять.
Нравится мне такая политика — как ограничить проверку файлов по размеру, так извините, ни чего пропускать нельзя, а как файлы баз данных и прочее, так добавить в исключения. Что же тогда останется на проверку, если большинство исполняемых и обрабатываемых файлов добавлено в исключения?!
Argon, это претензии не к вам, а просто возмущение вслух, возглас отчаяния, так сказать…
проясните, что-то запутался.
если в ou определен шаблон из deploy для установки.
и допустим мне не нужно ставить/присутствие агента mom, мне надо отдельно разворачивать ou и там уже впихнуть установку msi? но опять же мне нужны предустановки работы антивируса на ПК (как-то исключения и настройки работы и т.д.)
или поможет из административной консоли установка/удаление агента?
Стандартным образом FCS разворачивается только с агентом MOM-a. Без него можно установить, используя ключ /nomom. При этом не будет собираться статистика по работе антивируса, но настройки через групповую политику будут применяться.
а что подразумевается под «настройки через групповую политику будут применяться»?
это?
http://technet.microsoft.com/en-us/library/bb418783.aspx
а тот, что из Deploy .reg не подойдет уже?
Верно, групповая политика обновляет указанные ветки реестра. А в deploy.reg полагаю инфра, чтобы комп начал запрашивать пакет клиента FCS у WSUS-а, а не настройки самого клиента.
Здравствуйте, Argon.
У меня следующий вопрос:
При открытии отчета о любом зараженном компьютере (в IE) в поле Alert Details появляется надпись «Ошибка: невозможно отобразить вложенный отчет» — в чем тут может быть проблема?
Пока пользовался FCS, не наблюдал такой проблемы. Вероятнее всего проблема либо в Reporting Services (не может запросить или отобразить данные из SQL, смотреть в логах), либо в IE (скрипты отключены или еще чего).
Приветствую еще раз!
Такой вопрос, как бы исключить из проверки примонтированные диски сетевые, да и в целом сетевые ресурсы на клиентах?
Как пишут MS на форумах, в исключения можно добавлять записи типа \\server\share, а также известные буквы для сетевых дисках (типа s:). Хочу подчеркнуть, что не стоит добавлять такие популярные буквы, как z:, y:, x:, а только проверенные, которые мапятся через групповую политику.
Также в статье «Forefront Client Security unexpectedly scans files that are stored in network locations when you perform a full scan of a client computer» есть ссылка на хотфикс, который позволяет не сканировать сетевые файлы, на которые ссылаются ярлыки на локальном компе.
про буквы оже не понятно…
для примера на сервере FCS примонтировал диск, такой же как у пользователей.
но вот как понять что работает сей метод?
Приветствую!
Такая ерундень случилась в технете писал но пока тихо:
суть такова, обнаружил что на сегодня последние обновления для клиентов FCS в сети от
13.06.11
Client Version: 1.5.1996.0
Engine Version: 1.1.6903.0
Antivirus definition: 1.105.1849.0
Antispyware definition: 1.105.1849.0
Машины с MOM, сервер FCS работает, в логах вроде подозрительного нет, политику раздает на OU (сейчас еще раз переназначил для подстраховки).
На сервере WSUS и вручную синхронизацию делал и так по плану тоже идут обновления (другие не касаемый антивируса), и в состоянии компьютеров пишет, что требуется установить для указанных компьтютеров: Обновление определения для Microsoft Forefront Client Security – БЗ977939 (Определение 1.105.2020.0)
выбираю в антивирусе обновиться, пишет, мол нету доступных.
Я бь в первую очередь убедился в следующем: нашел во всусе это обновление поиском, затем убедился, что оно одобрено и закачено. Также, проверил бы автоодобрения.
Затем запустил ручной поиск обновлений Windows на клиентах, если не найдёт, то курить взаимодействие клиентов и всус.
Также, может пока рано драматизировать, база мома обновляется ммееедленно.
да все это я сразу проверил, изменений нет.
единственно, чо смущает в евенте вылезло, мол в базе SQL (SystemCenterReporting)не хватало места для какой-то процедуры. увеличил место.
перегрузился, вышло единственное с ошибкой:
The Agent incoming queue data submission has been blocked. This may indicate that queue does not have sufficient space or is unavailable to accept data.
Management Group: ForefrontClientSecurity
может все это влиять? тогда что предпринять дальше дальше
Влиять, конечно, может, ведь из репортинга эти данные о клиентах извлекаются. Нужно убедиться, что места достаточно на диске, так и база не заблокирована от дальнейшего роста и записи.
Наблюдаю дальше на клиентах присуствует:
The agent could not connect to the MOM Server srv-1. The error reported is ‘Подключение не установлено, т.к. конечный компьютер отверг запрос на подключение.’. Verify the management group name is correct, the MOM Server is running, that it is listening on port 1270, and that any firewalls between this agent and the MOM server are configured to pass TCP and UDP traffic on port 1270.
srv-1 — сервер.
От клиентов знаем, что серер отклоняет запрос (но сервер они таки находят, значит в политики применяются). Теперь можно копать на сервере, почему он запросы отвергает… Логи смотреть, возможно, аудит безопасности включить.
Как вариант, попробовать накатить новый агент на чистую машину, или переустановить на старой. Посмотреть, как оно себя поведёт.
на тестовой машине поудалял сначала mom, — все также.
после — удалил сам клиент и mom полностью, с сервера удалил все записи об этой машине в Mom 2005 adm.console с wsus пошла установка клиента и агента. но теперь клиент совсем старый, и база соответсвенно не обновлена…
в adm.console комп появился нормально.
клиент совсем старый, и база соответсвенно не обновлена
Если на всусе с аппрувами все в порядке, то клиент и базы, сам понимаешь, должны обновлятся.
в adm.console комп появился нормально
То, что клиент появился в консоли, говорит о том, что связь с МОМом имеется, аутентификация проходит.
А с другими клиентами какая-то беда. Может, базы мом-а попробовать из бекапа откатить?
Либо удалить из мома остальные компы, чтобы они перерегистрировались? Тренироваться, конечно, сперва сделав бэкап.
странное дело было вчера.
вывел тестовый комп из группы установки FCS, развернул с nomom, также все осталось.
утром сегодня как и все подхватил новые обновления. что случилось с wsus как понимаю за эти три дня, что такое произошло, именно с обновлениями для антивирусов. буду надеятся, что такое не произойдет более.