Linux エージェントの検知イベントが SEPM で確認できない

Products

• Endpoint Protection
• Endpoint Security
• Endpoint Security Complete

Issue/Introduction

Symantec Endpoint Protection (SEP) Linux エージェントで EICAR を検知させたが、Symantec Endpoint Protection Manager (SEPM) コンソールで EICAR の検知ログを確認できない。

その他に以下の事項も発生している。

• 定時スキャンの実行結果も SEPM コンソールで確認できない。
• /var/symantec/sep/Logs/AVMan.log が更新されない。
• /var のディスク使用率が非常に高い。
• 下記のイベント停止のログが記録されている。

/var/symantec/sep/Logs/seclog.log:

0000008b    01d999e05ef6a0f0    1207104a    00000002    00000002    00000000    MERR PE_0105: Used Disk Space greater than 97%. Event logging stopped.    CAF    

/var/log/sdcsslog/SISIDSEvents.csv:

MERR,2,2023-06-08 08:08:06.000 Z+0900,W,55,,,,PE_0105,,root,,Process Event Module,,,,,PE_0105,,,,PE_0105: Used Disk Space greater than 97%. Event logging stopped.

Environment

• SEP 14.3 RU1 以降

Cause

• /var のディスク使用率が 97% を超えるとイベント通知を停止する SEP の実装のため

Resolution

/var のディスク使用率を 94% 以下にした後に

/usr/lib/symantec/start.sh

を実行して SEP 関連デーモンを再起動してください。