Virusscanner (e-Trust) performance problemen & strategie

[_Dune_]

Aller eerst de opzet van het netwerk. Het gaat hier om een 4500 werkstation verdeeld over 3 locaties, op een vierde locatie staan alleen servers (Datacenter). Op de sites waar de werkstations staan ook enkele servers, voor bepaalde doeleinden.

Op de 4500 werkstations staat (nog) Windows 2000 Pro SP4 geinstalleerd, nu draait e-Trust Antivirus v7.1 op deze werkstations. Elke site heeft een server waar vanaf de updates worden gepushed en in het datacenter staat de managemant console. (virusscanner is up to date, evenals de virus definitie files)

Nu hebben we op een deel van de werkstations performance problemen, met name twee services zie je in de taskmanager de CPU load naar 90 - 100% brengen. Het gaat dan om Inotask (Job Server) en Inort (Realtime scanner). Na enig onderzoek bleek er nog een "driver" update te zijn welke inderdaad performance iseus zou tegen moeten gaan, bij enkele werkstations in een pilot groep zien we daadwerkelijk verbetering.

Daarnaast heeft een collega ondekt wanneer de volgende services uitgeschakeld worden: Automatic Updates, SMS Agent Host en SMS Remote Control Agent dit ten goede komt aan de performance. Nu is het mogelijk services in een exclude lijst te zetten, maar ik vraag mij af of dit een security iseu kan opleveren. Ook vraag ik mij af of iemand de problemen herkent en kan aangeven wat er gedaan kan worden om de performance te verhogen zonder security isues te creëren.

Overigens de werkstations varieren van Pentium 4 3Ghz met 512MB tot Core2duo met 1GB om een indicatie van de hardeware te geven. (hardeschijven van 40 tot 80GB 7200rpm)

Nu draait er hier ook eens in de 7 dagen een full system scan op de werkstations. Wanneer deze scan draait kun je, je lol helemaal op. Een Core2Duo systeem wordt hier zeer merkbaar trager van, dus dan is wel te raden wat er gebeurd wanner dit op een van de oudere Pentium 4 machines gebeurd. (een Word document tikken gaat nog met vertraging, tekst tikken, koffie halen en de tekst verschijnt )

Nu hebben we in een pilot the system scan op low priority gezet (standaard is Normal CPU load). Omdat de system scan (eens per 7 dagen) om 12:10 's middags start komt nu een gemiddeld werkstation niet door de scan heen voor het einde van de werkdag. Dit heeft als gevolg dat wanneer het werkstation de volgende werkdag weer opgestart wordt de full system scan geheel opnieuw start en een groot deel van de dag bezig is. Wanneer je de prio weer op "Normal" zet dan neemt de full system scan weer zoveel performance weg van het werkstation dat het onwerkbaar wordt.

Nu zijn de menigen verschillend ik en een andere collega zijn van mening dat wanneer je een up to date virusscanner met realtime scan functie op alle werkstations hebt draaien, een full system scan eens per week niet nodig moeten zijn. Wanneer dit echt nodig geacht wordt dan zou eens per maand op low prio (om het werkstation werkbaar te houden) startend 's ochtends vroeg (zodat de scan volledig in één dag gedraaid kan worden) voldoende moeten zijn. (tenminste na mijn idee)

Concreet mijn vragen zijn nu:

1. Komt iemand deze problematiek bekend voor?
2. Naast de driver update heeft iemand ervaring met het fine tunen van een dergelijke virrusscanner, wat zou je in een exclude lijst kunnen opnemen zonder dat dit een security iseu opleverd?
3. Hoe zou jij omgaan met een dergelijke full system scan of is dit echt niet nodig?

[Qwerty-273]

Let wel, ik heb geen ervaring met e-Trust Antivirus v7.1 (of welke andere versie dan ook) alleen met Symantec, Sophos, McAfee.

1-2. Controlleer inderdaad of deze problemen bij de leverancier bekend zijn - AV versie in combinatie met patch level op werkstations. Windows 2000 is niet echt meer heel recent en ik kan me voorstellen dat een update van de AV niet volledig uitgebreid getest meer is op dit OS. Waar zijnd e werkstations veelal mee bezig om te scannen? Ze hoeven eigenlijk alleen de lokale bestanden te scannen, bestanden op de server worden serverside al gecontroleerd (??) en internet loopt via een (transparante) proxy die het al filtert op virri (??). Als je achterhaalt of op het moment dat de AV onderdelen zoveel cpu ingebruik nemen wat ze aan het doen zijn kan je wellicht meer direct troubleshooten, eventueel met een process explorer kijken welke sub-thread de problemen veroorzaakt.
Excludes kunnen een zeer reeel lek zijn. Je hebt dan namelijk data en/of active processen die niet gescant worden - een virri of worm kan zich dan door je hele organisatie verspreiden als deze alleen deze data/processen gebruikt - zonder dat je daar ook maar 1 melding van zult zien.

3. Een full system scan is in de meeste bedrijven waar ik kwam/kom afgeschaft - aangezien alle active processen gescant worden - hier en daar vindt er wel een full scan plaats in de weekenden op de fileservers om de impact op de organisatie zo min mogelijk te houden (ligt natuurlijk ook aan het bedrijfs type). Wellicht als men vast blijft houden aan een wekelijkse full system scan (eventueel maandelijks af te dingen), dat je dit via een WOL-process regelt zodat je buiten werktijd de machines aanzet via het netwerk (als dit ondersteund wordt natuurlijk) en dan remote de full scanopdrachten triggert. Wat soms ook eventueel kan helpen om het process/systeem te versnellen is op een zelfde wijze een defrag van het werkstation te regelen - zeker als er lokaal gewerkt wordt op de systemen kan de data na verloop van tijd behoorlijk gefragmenteerd raken en icm een niet snel disksysteem kan je daar behoorlijk wat prestaties op inleveren.

[ Voor 55% gewijzigd door Qwerty-273 op 29-10-2008 20:51 ]

[_Dune_]

Dank voor je reactie Qwerty-273, natuurlijk heb ik bij de leverancier geinformeerd in eerste instantie de FAQ's door genomen. In de FAQ's liep ik al gauw tegen de driver update aan, ondanks dat deze al een poos beschikbaar zijn waren ze nog niet geinstalleerd.

Samen met technical support USA zijn we versies van drivers, programmatuur en bestanden gaan controleren. Helaas heeft CA geen Nederlandse support meer, ik vind het niet altijd even makkelijk om Amerikanen te volgen. In iedergeval komt het er opneer men wenst eerst dat alle versies op niveau gebracht wordt, wat begrijpelijk is.

Tijdens het testen met een 20 tal werkstations, bereik ik wel vooruitgang, maar zou graag meer performance terug willen hebben uit de virusscanner. Daarom ook bovenstaande vragen en overdenkingen.

Overigens de betreffende werkstations worden gebruikt op een afdeling welke gebruikmaakt van een aantal webbased applicaties, daarnaast Outlook (Office 2000), Word en een mainframe client. Veelal staan er een aantal (3-4) webapplicaties open, Outlook, Word, daarnaast een of meer mainframe clients. Eigenlijk weinig bijzonders lijkt mij.

Ontwikkelaars is een ander verhaal, daar is een behoorlijke verscheidenheid in. Het belangrijkste is dat overall performance op het gemiddelde werkstation verbeterd.

[Johnny E]

Wij hebben met CA Etrust eigenlijk dezelfde ervaringen, slechte performance (HP DC7600 t/m DC 7800 wordkstations), slechte ondersteuning maar vooral slechte detectie van virussen. Uiteindelijk hebben we CA tegenover een aantal andere scanners getest en hieruit kwam NOD32 3.0 voor onze omgeving als beste uit de bus.

Nu is het voor ons wat eenvoudiger, wij hebben te maken met 200 clients op 3 locaties ipv 4500 wat een overstap makkelijker maakt. Momenteel zitten we midden migratie traject waarbij we NOD32 3.0 aan het uitrollen zijn en tot nu toe niets dan lof voor het product.

[Aikon]

Ik heb enkel ervaring met Kaspersky. Een full scan doe ik maandelijks, op de servers wekelijks in het weekend (na zaterdagmiddag worden de servers amper/niet gebruikt, dus ik heb zoiets van waarom ook niet).

Theoretisch heb je een full scan maar 1 keer nodig, als je daarna continue alle wijzigingen scanned. Kaspersky kan zijn full scan ook pauzeren, en later hervatten, ik neem aan dat dat geen optie is? Of als je de full scan om 6 uur 's ochtends plant, zodat deze start zodra de pc aangaat, kan je dan wel een full scan voltooien op low prio?

Nu ik er aan denk, vandaag heb ik een full scan gehad (1e van de maand is geweest) en heb er niks van gemerkt.

[Verwijderd]

Probleem hebben wij ook gehad. Vooral workstations die bepaalde apps gebruikten. Advies van CA en van de Firma's van die Apps was om bepaalde file types te excluden.

Natuurlijk geen mooie oplossing, of eigenlijk een slechte. Probleem deed zich vooral voor op workstations wiens programmas veel en vaak kleine files openen. Dit zou zeer vertragend werken omdat elke file steeds opnieuw gescand wordt bij het aanspreken daarvan.

Na het excluden van bepaald file types welke bij dat programma horen draaide alles zonder performance verlies.

Een echte oplossing heb ik dus ook niet gehad. Echter hoor je nogal veel klachten over vooral 7.1

[_Dune_]

Wij hebben met CA Etrust eigenlijk dezelfde ervaringen, slechte performance (HP DC7600 t/m DC 7800 wordkstations), slechte ondersteuning maar vooral slechte detectie van virussen. Uiteindelijk hebben we CA tegenover een aantal andere scanners getest en hieruit kwam NOD32 3.0 voor onze omgeving als beste uit de bus.

Nu is het voor ons wat eenvoudiger, wij hebben te maken met 200 clients op 3 locaties ipv 4500 wat een overstap makkelijker maakt. Momenteel zitten we midden migratie traject waarbij we NOD32 3.0 aan het uitrollen zijn en tot nu toe niets dan lof voor het product.

Ook hier gebruiken wij HP DC7600 t/m DC7800 werkstations, al hoe wel de DC7600 er hier op korte termijn er uit gaat, in verband met een OS change. Het is de bedoeling komend jaar over te gaan van Windows 2000 Pro SP4 naar Windows Vista SP1. Hiermee zal ook direct een andere virusscanner worden geintroduceerd, alleen laat dit gehele project nog even op zich wachten.

Overigens zal e-Trust v7.1 hier ook op korte termijn vervangen moeten worden aangeziendeze virusscanner per 31-12-2008 EOL is. Wij hebben dan nog extended support tot 31-1-2009, maar de klant heeft officieel hier nogaltijd geen beslissing over genomen. Dus moeten we nog even met de huidige e-Trust versie door en mijn wil een betere performance.

Nu wordt er op dit moment de laatste updates welke bi ons nog niet waren geinstalleerd uitgerold (SMS), dit bied zover ik heb kunnen constateren in eerste instantie alleen een performance verbetering in de RelaTime scanner op (Inort).

Daarnaast willen we in een tweede change de policy van de scheduled job gaan aanpassen. Deze kwa verquentie terug brengen van eens per 7 dagen naar ens per 29 dagen. Verder zullen de SMS foleders en services op het lokale werkstation in een exclude lijst worden opgenomen. Dit is niet een te groot security iseu aangezien de bestanden en software welke via SMS wordt uitgerold ook op de servers wordt gescanned.

Verwijderd schreef op maandag 03 november 2008 @ 16:46:
Probleem hebben wij ook gehad. Vooral workstations die bepaalde apps gebruikten. Advies van CA en van de Firma's van die Apps was om bepaalde file types te excluden.

Natuurlijk geen mooie oplossing, of eigenlijk een slechte. Probleem deed zich vooral voor op workstations wiens programmas veel en vaak kleine files openen. Dit zou zeer vertragend werken omdat elke file steeds opnieuw gescand wordt bij het aanspreken daarvan.

Na het excluden van bepaald file types welke bij dat programma horen draaide alles zonder performance verlies.

Een echte oplossing heb ik dus ook niet gehad. Echter hoor je nogal veel klachten over vooral 7.1

Mag ik vragen om welk type applicaties dit ging en welke bestandstypen jullie uiteindelijk op de exclude lijst hebben gezet? Ik ben bang dat wij ook nieteen nette totaaloplossing gaan krijgen.

Ik vindt de engelse support ook nog vrij moeizaam en zijn overdag ook pas vanaf een uur of twee 's middags bereikbaar. (komt door tijdsverschillen) Opzich vindt ik het knap waardeloos dat een bedrijf als CA gevestigd in Nederland geen Nederlandse support meer heeft. Nu red ik mij wel redelijk in het engels, maar het leverd vaak toch een drempel op om dingen degelijk door te kunnen spreken. Daarbi kan ik de persoon vaak slecht verstaan. (geen idee waar ze wel zetten ovrigens)

Wij gaan als het goed is eind dit jaar (2 maanden) over op Mcafee, deze heb ik al even getest op een werkstation en leverd een stuk beter performance op dan e-Trust. Tijdens een systeem scan kan ik tenminste nog ook andere applicaties openen en gebruiken.

[paulhekje]

ook de 8.1 heeft zelfde probleem; regelmatig bokkende processen met 100%cpu, zowel op 2000, vista als 2003 terminal server.
support levert geen echte oplossing, gelukkig is etrust hier nu bijna exit.

[Verwijderd]

Dune, betreft Topdesk. Database file extensie in de exlusion gezet en daarna werkt het zonder problemen. Probleem was vooral dat Etrust het hele systeem vertraagde en niet alleen de applicatie.

[ Voor 4% gewijzigd door Verwijderd op 19-11-2008 14:36 ]