Symantec DCS 移除 agent 指令

問題:

  • 如何透過指令移除 Agent

產品:

  • Symantec Data Center Security
  • Symantec Embedded Security: Critical System Protection

解決方案:

MsiExec.exe /X{<PRODUCT CODE>} /qn /l*v!+ <UNINSTLL LOG FILE>

上面的指令結構顯示排序:

在<PRODUCT CODE> 是必要參數。可從以下登錄機碼目錄查詢

HKLM \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Uninstall \

Windows 2008 64位系統,<PRODUCT CODE>是在以下目錄:

HKLM \ SOFTWARE \ Wow6432Node \ Microsoft \ Windows \ CurrentVersion \ Uninstall \

瀏覽右方列表。從右方列表 Display Name 確認產品名稱,接著可複製 UinstallString 字串。

Symantec Data Center Security

image

Symantec Embedded Security: Critical System Protection

image

 

例如:
MsiExec.exe /X{3D24482F-98BD-48DD-AA62-8B24BFDE7329} /qn /l*v!+ C:\SISAgentUninstall.log

上述指令將於背景模式移除 Agent 並且,將移除 Log 儲存至 C:\SISAgentUninstall.log

 

※使用上述指令前請自行確認 Product Code

Symantec DCS 如何修改 MSSQL DB Name

1. 點選「開始」,點選「系統管理工具」,點選「服務」。

image

2.  選取「Symantec Data Center Security Server Manager」,點選「停止服務」。

image

3. 開啟 Management server 資料夾「C:\Program Files (x86)\Symantec\Data Center Security Server\Server\tomcat\conf」,備份「sever.xml」。

image

4. 以滑鼠右鍵點選「server.xml」,選取「編輯」。

image

5. 可看到「url=”jdbc:jtds:sqlserver://XXX.XXX.XXX.XXX/XXXXXX;instamce=XXXX”」然後將兩個紅色部分更換為新的DB Name,儲存檔案。

image

6. 啟動「Symantec Data Center Security Server Manager」,即可正常登入。

image

如何更改 SDCS SQL 資料庫的 dcs_ops 與 dcs_plugin 帳號的密碼

“How can we change the DCS SQL DB dcs_ops and dcs_plugin account password? “

 

Change password for dcs_ops & dcs_plugin on SQL server side

image

dcs_plugin change in password has no effect on product., as we don’t use this account on the Manager side

※(dcs_plugin 用來提供 3-party 產品 (如 SSIM、ArcSight) 讀取資料庫使用,SDCS 沒有使用到該帳號,可任意修改)

Change dcs_ops in passwrod will require the following changes to be done on Manager side

1. Stop DCS manager service

image
2. Browse to “C:\Program Files (x86)\Symantec\Data Center Security Server\Server\tomcat\conf"

image
3. Backup server.xml
4. Edit server.xml

image

You can see the JDBC settings in the following:

<Resource name="Database-Console"
auth="Container"
type="javax.sql.DataSource"
url="jdbc:jtds:sqlserver://127.0.0.1/SCSPDB;instance=SCSP"
password="xxxxxxxxxxxxxxxxxxx"
username="scsp_ops"
driverClassName="net.sourceforge.jtds.jdbcx.JtdsDataSource"
initialSize="10″
maxActive="25″
maxIdle="15″
maxWait="-1″
minIdle="10″
removeAbandoned="true"
removeAbandonedTimeout="300″
logAbandoned="false"
/>
<Resource name="Database-Agent"
auth="Container"
type="javax.sql.DataSource"
url="jdbc:jtds:sqlserver://127.0.0.1/SCSPDB;instance=SCSP"
password="xxxxxxxxxxxxxxxxxxxx"
username="scsp_ops"
driverClassName="net.sourceforge.jtds.jdbcx.JtdsDataSource"
initialSize="15″
maxActive="45″
maxIdle="20″
maxWait="-1″
minIdle="15″
removeAbandoned="true"
removeAbandonedTimeout="300″
logAbandoned="false"
/>

5. Replace the text xxxxxxxxxxxx with the new DCS-ops password, at both the locations
6. Then start the DCS manager service

Also refer below article links for more clarity:
http://www.symantec.com/connect/forums/csp-database
http://www.symantec.com/connect/articles/what-are-default-scsp-sql-database-accounts-and-what-are-they-used

如何手動套用特定的 policy 到無法連接主控台的 SDCS 用戶端

  • 請先將該 policy 套用至一個已連線至主控台的用戶端
  • 至上一步驟的用戶端的 C:\Program Files\Symantec\Data Center Security Server\Agent\IPS\driver 目錄下,複製 IPS 與 IDS policy

policy 的格式為 policy1234567.sbp.zip (1234567 為數字)

sbp.zip   .trans   .conf   擁有相同檔名者,請複製其中 sbp.zip (此即為 IPS policy)

其餘 sbp.zip 即為 IDS policy

image

 

image

 

  • 停止無法連線至主控台的用戶端的 IPS 服務
  • 將先前步驟複製出的 sbp.zip 檔複製到無法連線至主控台的用戶端的相同目錄 (C:\Program Files\Symantec\Data Center Security Server\Agent\IPS\driver )
  • 並請將 IPS policy 更名 (名稱請至註冊機碼查詢)
  • 之後請確認 IPS policy 的 .trans 與 .conf 是否更新
  • 亦請確認 IDS policy 新的 .pol 是否在 C:\Program Files\Symantec\Data Center Security Server\Agent\IDS\system 被建立

 

image

查詢 IPS policy 的名稱

image

  • 進行 Common parameters、Prevention parameters 與 Detection parameters Configuration 的設定並套用到已連線的 SDCS 用戶端

 

image

image

 

image

  • 停止無法連線至主控台的用戶端的 IPS 服務
  • 將 C:\Program Files\Symantec\Data Center Security Server\Agent\IPS 目錄下的 agent.ini 與 fallback.ini 複製至無法連線至主控台的用戶端的相同目錄
  • 將 C:\Program Files\Symantec\Data Center Security Server\Agent\IDS\system 目錄下的 agent.ini 複製至無法連線至主控台的用戶端的相同目錄
  • 修改 C:\Program Files\Symantec\Data Center Security Server\Agent\IPS 目錄下的 agent.ini 中的以下三區塊

plus.policy.file

ids.plus.policy.file

agentlog.logfile

  • 重啟 IPS 與 IDS 服務

image

 

image