Павел, не томи давай следующую подсказу или решение :)

Решение сразу скучно. Новых логов у меня нет на самом деле ) Следующий шаг траблшутинга скажите - я дам ответ )

дать доступ по тимвьювер )

дать доступ по тимвьювер )

Фу, поручик )

шо?

ВПНы наружу левые ) Дыра в безопасности-с

Решение сразу скучно. Новых логов у меня нет на самом деле ) Следующий шаг траблшутинга скажите - я дам ответ )

а на всех клиентах такое? xml-ки создаются?

а на всех клиентах такое? xml-ки создаются?

На некоторых. Не создаются (по логу же видно)

Но первый вопрос очень правильный

Премьер поддержка спросила бы это на стадии первого телефонного звонка

Но нас тренируют специально

эти "некоторые" чемто отличаются от рабочих? ну незнаю плитики GP/политики CM/антивирусы

эти "некоторые" чемто отличаются от рабочих? ну незнаю плитики GP/политики CM/антивирусы

Понятное дело, что чем-то отличаются :) Как понять, чем?

ну ну я про вполне простое сравнение к этой группе компьютеров применяются отедльыне групповые политики или политики клиента CCM

в том смысле что вся группа компов в этой ОУ - неработает или в такой то группе

Завтра в МТС про управление инфрой будет все через пош? Или питона чутка будет?

Там про мессенджеры больше

А через что уже , это не важно

Понятно

Чет народу дохрена будет смотрю :)

Завтра в МТС про управление инфрой будет все через пош? Или питона чутка будет?

в мск чтоли?

Ага тут, где ты :)

@skorotkov ай карамба!!! спасибо тебе ЧЕЛОВЕЧИЩЕ!!!! встал таки агент на сервак!

спасибо тебе ещё раз!

@skorotkov ай карамба!!! спасибо тебе ЧЕЛОВЕЧИЩЕ!!!! встал таки агент на сервак!

Да я то что сделал... Ну эээ всегда рад помочь

ну как же! указал направление! да и ваще помогал!!!

спасибо!

велкам :)

ну ну я про вполне простое сравнение к этой группе компьютеров применяются отедльыне групповые политики или политики клиента CCM

Нету, обычная политика

и после инжектов апдейтов все хорошо, какая-то магия с образом была ;(

https://support.microsoft.com/en-us/help/4041003/1702-clients-do-not-get-software-updates-from-configuration-manager-ca

https://support.microsoft.com/en-us/help/4041003/1702-clients-do-not-get-software-updates-from-configuration-manager-ca

Люблю такие статьи <Describe symptoms and errors that can occur if SUP is not in the Boundary group of the client machines.>

Люблю такие статьи <Describe symptoms and errors that can occur if SUP is not in the Boundary group of the client machines.>

сраные ошибки типа sources are not current в сканагент.лог

сраные ошибки типа sources are not current в сканагент.лог

Не такие

а на всех клиентах такое? xml-ки создаются?

В общем, правильный путь имхо был бы такой: 1) Собрать ивент логи и попробовать понять, кто останавливает службу 2) Собрать трейс Procmon, это Ultimate

В общем, правильный путь имхо был бы такой: 1) Собрать ивент логи и попробовать понять, кто останавливает службу 2) Собрать трейс Procmon, это Ultimate

ну ээ ок причина то какая?

Прокмон бы показал, что служба останавливается, когда sinv (процесс wmiprvse.exe) доходит до файла psexec.exe. На этом его ловит антивирус, админы которого внесли psexec в список запретных после Пети, убивает процесс и тормозит службу. Поскольку sinv всегда требуется примерно одно время, чтобы добраться до проблемного файла, то мы видимо поразительную регулярность в inventoryagent.log

Хоспаде

кто бы мог подумать ) понятно, что они разобрались быстрее, так как знают, что они там крутили хотя бы

я там про антивирус спрашивал

Ну и поскольку процесс убивается, то и отчёта нет )

я там про антивирус спрашивал

Настройки везде одинаковые, но не везде есть psexec

ну ок к стати пока ловил что происходит при установки Metor приложений прокмоном понял что не так сисинтерналс рулит

я там про антивирус спрашивал

а не, не спрашивал

ну такое делать запрет на psexec, когда не проще ли в клиентских подсетях на сетевом уровне все сделать

ну такое делать запрет на psexec, когда не проще ли в клиентских подсетях на сетевом уровне все сделать

не так не получится

лан, хороший кейс но по мен так они бы а в вирусной активности все бы это быстро увидеил и связали все в одно

ну ты это, подкидывай, интересно жи

да и что за политика такая что процесс грохается а файл нет

А они не общаются

ну ты это, подкидывай, интересно жи

+1

Ну и да, админы антивируса не умны

ну вот я бы точно не стал таким заниматься

) ну почему бы и нет

надо точно регить скрипткидесов

psexec / mimikatz

вот прямо с сайта хакер ру :)))

и пиздить потом прилюдно

Ну и да, админы антивируса не умны

Ну я бы по отчетам антивируса быстро нашёл сработки, но тут как бы все в одних руках и анализировать проще.

Да, в больших конторах это не кейс (

Ну и доступа к машине обычно нет, эти логи были доставлены с машины спецпакетом

еще заметил особенность люди занимающиеся саппортом внешних заказчиком, так быстро ориентируются Я фигею просто Мне чтобы сообразить надо сесть, открыть консоль...... только тогда мысли начинают появлятся

и дело даже не в опыте / знаниях, хотя это конечно же .., А вот именно в образе мышления, чтоли

Ну тут годы опыта ещё. Кроме того, я привык пользоваться штатными тулзами типа wbemtest, потому что у заказчика может не быть WMI explorer или ещё чего

и дело даже не в опыте / знаниях, хотя это конечно же .., А вот именно в образе мышления, чтоли

Я бы сказал, просто бывают аналогичные ситуации, ну и да, ты уже знаешь что и где смотреть

ну с опытом и аналогичными кейсами - понятно Мне кажется это помогает в .. экак это у циски называется - shoot from the hip

Справедливости ради кейсов, аналогичных кейсу с psexec, практически не бывает. Вообще 3rd party - источник бесконечного удовольствия

гыгы

Был какой-то фашистский отечественный софт по подсматриванию и записи происходящего на экранах юзеров. Он перехватывал криво библиотеки RDP, в результате агент ConfigMgr не устанавливался с какой-то левейшей ошибкой. Основной признак: если вы копипастите ваше сообщение об ошибке в интернет/внутреннюю БД и не находите вообще ничего - это что-то очень интересное в вашем окружении

пош тоже закрывают?

я же могу invoke-command сделать

имперсонироваться на той стороне

и вжуууууууууууууууух

Петей не развелось пока таких умных

как бы сказать

все есть

просто разработка нормального руткита, а не вот этого шифровымогающего гомна стоит денег хороших

и можно написать так, что антивири будут плача дрочить в уголочке

от собственной бесполезности

А то еще и помогут распространить

А как вы думаете касперский продает свой продукт :)