Symantec Endpoint Protection unter XP

[Quackelticki 10]

Hallo,

 

ich habe zwei kleine Probleme mit Symantec Endpoint Protection unter Windows XP Professional (hoffe, dass ich hier nicht völlig falsch damit bin).

Das erste Problem ist, dass SEP immer Dateien direkt auf Laufwerk C: ablegt. So wie ich das sehe, wird für jede eingehende Email eine solche Datei abgelegt, ich kann mich aber auch täuschen.

 

Zweitens besteht das Problem, dass (auf einem anderen Arbeitsplatz) der sogenannte "proaktive Bedrohungsschutz" angeblich nicht aktuell sei. Zumindest ist Symantec Endpoint Protection dieser Meinung. Bei dieser Meldung gibt es dann so einen schicken kleinen "beheben" Button. Wenn ich diesen benutze, startet der Live Updater und schliesst sich nach einer Weile mit dem Status, dass alles SEP-Funktionen up to date sind. Die Meldung wegen nichtaktuellen "proaktiven Bedrohungsschutz" bleibt aber weiterhin auf der Oberfläche von SEP zu lesen. Ein manuelles Update hat leider auch nichts gebracht.

 

Kennt sich jemand mit mit diesem grandiosen (<-- Sarkasmus) Programm aus und kann mir bei einem der beiden Probleme einen Rat geben? Ich verzweifele nämlich langsam mit dieser besch***** Software.

 

Vielen Dank schonmal,

Quackelticki

 

 

P.S.: Den Symantec Support habe ich auch schon befragt, aber die sind leider in diesen beiden Fällen oben genauso inkompetent wie ich ;)

 

P.P.S.: Noch ne kleine Frage: Findet SEP eigentlich auch Malware? Ich hatte mir nämlich schon mindestens 2 Würmer trotz aktueller "Endpoint Protection" eingefangen. Und Symantec hat nix entdeckt. Na wenn das Programm sein Geld man nicht wert ist...

[phoenixcp 10]

Das erste Problem ist, dass SEP immer Dateien direkt auf Laufwerk C: ablegt.

Was werden denn da für Dateien abgelegt? Ich kann das bei mir nicht beobachten, betreibe Symantec Endpoint Protection 11 auf Win XP Professional SP 3.

 

Den proaktiven Bedrohungsschutz haben wir bei uns nicht im Einsatz, ebenfalls den Netzwerksbedrohungsschutz nicht, weil wir damit einige Probleme innerhalb unserer Umgebung hatten.

 

Noch ne kleine Frage: Findet SEP eigentlich auch Malware?

Ja, nach eigener Erfahrung sogar recht zuverlässig.

Ich hatte mir nämlich schon mindestens 2 Würmer trotz aktueller "Endpoint Protection" eingefangen

Entweder es war nicht aktuell, oder die Würmer waren so brandneu, das ich das fast für unrealistisch halte. Hatte bisher noch keine vergleichbaren Probleme, sind mir auch aus unserer Firma keine bekannt.

 

Na wenn das Programm sein Geld man nicht wert ist

Ansichtssache... Ich hätte auch viel lieber was anderes deployed, aber die Entscheidung lag leider nicht in meiner Hand.

[Quackelticki 10]

Also diese Dateien, die da unter C: abgelegt werden haben die die merkwürde dateiendung .1, .2, .3, usw. und in den datein steht einfach nur der Quellcode von den eingehenden Emails.

 

Was den Wurm angeht, mein symantec war definitiv aktuell. Hab ihn dann auch bei virustotal.com hochgeladen um ihn von verschiedenen Scannern prüfen zu lassen und nur einige wenige konnten diesen Wurm erkennen. Naja, hab mir dann Kaspersky vorübergehend installiert und das hat den Wurm auch sofort gefunden und gekillt.

[phoenixcp 10]

Also diese Dateien, die da unter C: abgelegt werden haben die die merkwürde dateiendung .1, .2, .3, usw. und in den datein steht einfach nur der Quellcode von den eingehenden Emails.

 

Ich halte es aber für viel wahrscheinlicher das das von einer anderen Software kommt. Wie gesagt, Endpoint Protection ist es nicht... Zumindest glaub ich nicht dran.

 

Was den Wurm angeht, mein symantec war definitiv aktuell. Hab ihn dann auch bei virustotal.com hochgeladen um ihn von verschiedenen Scannern prüfen zu lassen und nur einige wenige konnten diesen Wurm erkennen. Naja, hab mir dann Kaspersky vorübergehend installiert und das hat den Wurm auch sofort gefunden und gekillt.

Dann könnte es unter Umständen sein, das du in genau der kurzen Zeit "angegriffen worden bist", als man bei Symantec noch nicht soweit war. Konntest du denn damals den Infektionsweg nachvollziehen?

[Quackelticki 10]

Dann könnte es unter Umständen sein, das du in genau der kurzen Zeit "angegriffen worden bist", als man bei Symantec noch nicht soweit war. Konntest du denn damals den Infektionsweg nachvollziehen?

 

Ja, das war gar nicht schwer... Mein USB-Stick hatte "ungeschützten Verkehr" mit einem Kundenrechner und danach wieder mit meinem Arbeitsplatzrechner. Dieser Wurm verteilt sich nämlich sofort auf alle Wechseldatenträger, sofern das Autoplay von Windows aktiviert ist. Und vom Wechseldatenträger wieder zurück auf den nächten Rechner. Das ich mir dieses Viech vom Kundenrechner eingefangen habe, weiss ich daher, dass das Problem, das auf dem Kundenrechner auftrat, nämlich das beim Start von Windows die Registry nicht mehr initialisiert wurde, plötzlich auch bei mir erschien.

Aber das wird mir nicht mehr passieren. Hab nämlich direkt nen USB-Stick mit physikalischem Schreibschutz geordert. :)

 

P.S.: der besagte Kundenrechner war übrigens auch mit SEP "geschützt" :D

[goscho 11]

Hallo Quackelticki,

meine erste Frage ist:

Wie wurde das SEP installiert, als eigenständiger nicht verwalteter Client oder über den SEPM (Manager) per Push Installation mit zentralen Vorgaben?

 

Kann es sein, dass das System schon kompromittiert war, als du SEP installiert hast?

 

Ich habe SEP auf vielen Rechnern bei mir und Kunden laufen und auch schon mal das Problem gehabt, dass etwas nicht gefunden wurde. Dies lag aber an nicht aktuellen Signaturen bzw. an einem nicht aktiven Scanner.

[Quackelticki 10]

Hallo Goscho,

 

also das SEP wurde als eigenständiger nichtverwalteter Client installiert. Das System war auch definitiv nicht kompromittiert, da ich es zwischenzeitlich noch einmal komplett neu aufgesetzt habe und das erste was ich nach der Windowsinstallation installiere ist der Virenschutz (in diesem Fall SEP). Erst danach kommt der Rechner ans Netz.

Aber um wieder zum Thema zurückzukommen, dieser nichtgefundene Wurm interessiert mich im Moment eigentlich weniger als die anderen beiden von mir beschrieben Probleme. Diese haben im Moment für mich die höhere Priorität. Das mit der nichtgefundenen Malware hab ich eigentlich nur erwähnt um meinem Ärgernis über Symantec ein wenig Ausdruck zu verleihen. Ich hab mittlerweile nämlich schon so oft mit dem Support dort telefoniert, dass wenn ich vor Ort gewesen wäre anstatt mit denen zu telefonieren ich wahrscheinlich dort schon meinen eigenen Kaffeebecher hätte. :D

[goscho 11]

Hallo Goscho,

 

also das SEP wurde als eigenständiger nichtverwalteter Client installiert. Das System war auch definitiv nicht kompromittiert, da ich es zwischenzeitlich noch einmal komplett neu aufgesetzt habe und das erste was ich nach der Windowsinstallation installiere ist der Virenschutz (in diesem Fall SEP). Erst danach kommt der Rechner ans Netz.

Wie kann dann der Schutz aktuell sein?

Hast du das SEP des PCs per Liveupdate aktualisiert, bevor du ihn ins Netz genommen hast (eigene Internetverbindung)?

Aber um wieder zum Thema zurückzukommen, dieser nichtgefundene Wurm interessiert mich im Moment eigentlich weniger als die anderen beiden von mir beschrieben Probleme. Diese haben im Moment für mich die höhere Priorität.

 

Hast du die Möglichkeit, die Version MR3 (Maintainance Release) herunterzuladen und dann zu installieren?

Das mit der nichtgefundenen Malware hab ich eigentlich nur erwähnt um meinem Ärgernis über Symantec ein wenig Ausdruck zu verleihen. Ich hab mittlerweile nämlich schon so oft mit dem Support dort telefoniert, dass wenn ich vor Ort gewesen wäre anstatt mit denen zu telefonieren ich wahrscheinlich dort schon meinen eigenen Kaffeebecher hätte. :D

Ich telefoniere beinahe täglich mit Symantec, um Probleme bei meinen Kunden zu lösen. Wir betreuen auch BE und BESR von Symantec.

Deine Erfahrungen kann ich überhaupt nicht teilen. Ja, es dauert manchmal lange, bis man einen Supporter am Telefon hat. Meist ist die Hilfe aber sehr professionell.

Ist dir der Vorschlag mit dem MR3 nicht gemacht worden?