Windows 版クライアントの定義を手動でパージする方法

Products

• Endpoint Protection

Issue/Introduction

• Windows 版の Symantec Endpoint Protection (SEP) クライアントの定義が破損している。
• 1 台の SEP クライアントで新しい LiveUpdate の定義をダウンロードして適用することができなくなった。
• SEPM と LiveUpdate サーバーへの接続が Determine whether your firewall is blocking LiveUpdate (英語文書) に従ってテストされ正常であると判断された後も「定義が古くなっています」という問題が解消しない。

Environment

Windows 版 SEP クライアント 1 台

Resolution

Symantec Endpoint Protection (SEP) クライアントの定義ファイルの不具合をトラブルシューティングするには、破損している可能性のある定義ファイルをクライアントから削除することが有効な場合があります。

以下は Windows 版 SEP クライアントから破損した定義または破損の可能性がある定義を削除する手順です。この手順に従っても定義が復元されない場合、Windows 版 SEP クライアントは (定義が破損している疑いがあるだけだった) 以前の状態よりも悪い状態（定義がない状態）になる可能性がある事実を考慮することが重要です。削除する予定のディレクトリまたはレジストリの内容のコピーを作成してください。

注:「アクセスが拒否されました」というエラーが発生するのを防ぐため、以下の手順を実行する前にクライアントの 改変対策を無効 にしてください。

1. クライアントの GUI を閉じます。クライアント GUI が開いている (SymCorpUI.exe が動作している) と、次の手順で行う SEP サービスの停止が妨げられます。

2. BASHDefs 定義 (プロアクティブ脅威防止) をクリアする場合は、以下の手順で BASH ドライバ BHDrvx86 または BHDdrvx64 を停止してください。

• • 管理者としてコマンドプロンプトを起動します。
  • 次のコマンドを実行します。"sc config bhdrvx64 start= disabled"
  • 期待される結果は "ChangeServicesConfig SUCCESS" です。
  • システムを再起動します。

3. IDSvia64 定義 (侵入防止) をクリアする場合は、以下の手順で IDS ドライバ IDSvia86 または IDSvia64 を停止してください。

• • 管理者としてコマンドプロンプトを起動します。
  • 次のコマンドを実行します。"sc config IDSvia64 start= disabled" 
  • 期待される結果は "ChangeServicesConfig SUCCESS" です。
  • システムを再起動します

4. SEP サービスを停止します。

• • [スタート] - [ファイル名を指定して実行] (または [スタート] - [検索] テキストボックス) を開きます。
  • "smc -stop" と入力して Symantec Endpoint Protection サービスを停止します。
  • SEP のシステム通知領域アイコンが消えることを確認します。

5. 定義ディレクトリに移動します: %ProgramData%\Symantec\Symantec Endpoint Protection\CurrentVersion\Data\Definitions

• • 該当する以下のサブディレクトリを削除します。例：侵入防止定義をクリアするには "IPSDefs" フォルダを削除します。すべての定義を消去する場合は、すべてのフォルダーを削除してください。

注: ファイルやフォルダが使用中であることを示すエラーが表示された場合は、手順 2 ～ 4 を再度確認してください。ドライバとサービスがオフになっている場合は、セーフモードでこれらの手順を試すことができます。

• • • ACDefs
    • AdvMLDefs
    • AUDefs
    • BASHDefs
    • ccSubSDK_SCD_Defs
    • EDRDefs
    • EfaVTDefs
    • HIDefs
    • IPSDefs
    • IronRevocationDefs
    • IronSettingsDefs
    • IronWhitelistDefs
    • NTRDefs
    • PCHDefs
    • SDSDefs
    • SMRDefs
    • SRTSPSettingsDefs
    • STICDefs
    • SymPlatformDefs
    • TDADDefs
    • VirusDefs
    • WebExtDefs

6. 以下のレジストリキーに移動します。
HKLM\SOFTWARE\Symantec\Symantec Endpoint Protection\CurrentVersion\SharedDefs\

7. 上記で削除したフォルダに対応する以下のレジストリキーの内容を削除します。
注: サブキーは削除せず、その内容のみを削除してください。

例: ウイルス定義ファイルを削除する場合、以下のキーに移動してください。
HKLM\SOFTWARE\Symantec\Symantec Endpoint Protection\CurrentVersion\SharedDefs\SDSDefs
次に以下のレジストリ値を削除します。

• • • SRTSP
    • NAVCORP_70
    • DEFWATCH_10
  • ACDefs 
  • BASHDefs
  • ccSubSDK_SCD_Defs
  • EDRDefs
  • EfaVTDefs
  • HIDefs
  • IPSDefs
  • IronRevocationDefs
  • IronSettingsDefs
  • IronWhitelistDefs
  • NTRDefs
  • PCHDefs
  • SMRDefs
  • SRTSPSettingsDefs
  • STICDefs
  • SymPlatformDefs
  • TDADDefs
  • WebExtDefs

8. BASHDefs 定義 (プロアクティブ脅威防止) がクリアされている場合は、BASH ドライバ BHDrvx86 または BHDdrvx64 を起動します。

• • コマンドプロンプトを管理者権限で起動します。
  • 次のコマンドを実行します。"sc config bhdrvx64 start= system"
  • 期待される結果は "ChangeServicesConfig SUCCESS" です。
  • システムを再起動します。

9. IDSvia64 の定義 (侵入防止) がクリアされている場合は、以下の手順で IDS ドライバ IDSvia86 または IDSvia64 を起動します。

• • 管理者としてコマンドプロンプトを起動します。
  • 次のコマンドを実行します。"sc config IDSvia64 start= system" 
  • 期待される結果は、"ChangeServicesConfig SUCCESS" です。
  • システムを再起動します。

10. SEP サービスを起動します。
前の手順を実行してシステムを再起動した場合は、この手順は必要ありません。

• • [スタート] - [ファイル名を指定して実行] (または [スタート] - [検索] テキストボックス) を開きます。
  • "smc -start" と入力して Symantec Endpoint Protection サービスを再起動します。

11. クリアされた各定義サブディレクトリには "newdefs-trigger" というフォルダが表示され、それ自体は空になっているはずです。

12. 定義サブディレクトリを監視して定義セットが再取得されることを確認します。

Additional Information

[英語文書] How to manually purge definitions for a Windows Endpoint Protection client