■ AntiVirus : Symantec Endopoint Protectionによる共有PCの保護
● General Index
- Windows SteadyState
- AntiVirus : MS Security Essentials
- AntiVirus : Symantec Endopoint Protection
- Limited User
- Group Policy
- Cancel & Works
INDEX
■ Symantec Endopoint Protection
最初に書いたように、筆者が勤めている環境では、学校当局がシマンテック社とキャンパスアグリーメント契約を結び、学内関係者は、「Symantec Endopoint Protection」（以下、「SEP」）を無料で使える。
見慣れない名前かと思うが、それも当然で、SEP は、シマンテック社のラインナップでは、個人向けのアンチバイラスソフトではなく、企業や法人向けのセキュリティ対策ソリューション、という位置づけの製品である。一般ユーザ向けのパッケージなどは店頭にはない。
簡単に云えば、「Norton AntiVirus」 と「FireWall」 を組み合わせた「Norton Internet Security」(NIS)の法人版、といったところだろうが、大規模の施設用として、別途、集中管理ツールを使えば、多数のSEPを一元管理できる由である。だが、筆者の環境では、そこまで管理していない（というか、そんなスキルもない）。とにかく、そういうソフトである。
だから、まぁ、ここは、SEPをNIS に読み換えて、ご披見、ご了解いただければ幸いである。
■ WSS との連動
では、以下、市販のアンチバイラスソフトの代表（？）として、SEP をWSS に認識＝連動させる方法について述べる。
まず、ダウンロードやインストールに関しては、（本校独自なので）説明してもムダだから、省く。
すでに、SEPがインストールされている前提で、だから、WSS と連動する方法について記すことにする。
また、前のページで載せた、「SoftwareUpdates.XML」ファイルには、すでに述べたように、SEP も記述されているので、あれを、そのまま、WSS フォルダの、「XML」フォルダ内にコピーすればよい。だから、XML ファイルについても、省略する。
飛ばしていたり、もう一度、読み返したい人は、当該箇所を参照されたい。
よって、問題となるのは、vbsファイルの（WSSでの）認識だけである。
シマンテック社の英文サイトに、Ｑ＆ＡのForum があり、「SEP11 and Windows SteadyState」のエントリに、（17 Sep 2008日付の）コメントで、回答者が制作した SEP11用のvbsファイルがあったので、それを流用させてもらった。
ちなみに、先に、XMLに加筆した箇所も、そうするようにと、ここに記されている。
「SCTSymantecEndpointUpdate.vbs」という名のファイルを作り、内容は、下記をコピー＆ペーストする。
（例によって、表示の都合上、レジストリ部分は改行を入れている）
' ~~~ Force variables to be declared
' ~~~
Option Explicit
' ~~~
' ~~~ Turn on error handling
' ~~~
On Error Resume Next
' ~~~
' ~~~ Declare global variables
' ~~~
Dim sNortonPath, oShell, strComputer, oWMIService, ColProcesses
' ~~~ Create objects
Set oShell = CreateObject("WScript.Shell")
' ~~~ Set application path
sNortonPath = oshell.RegRead("HKEY_LOCAL_MACHINE\SOFTWARE\
Microsoft\Windows\CurrentVersion\App Paths\LUALL.EXE\")
'~~~ Download Virus Signature
call oShell.Run("""" & sNortonPath & """" & " -s", 0, True)
' ~~~ Wait 5 minutes
WScript.Sleep (300000)
要するに、ここでやっていることは――、
１）XML ファイルで、対象となるアンチバイラスソフトを記述し認識させる。
２）vbs ファイルで、その更新作業をさせるプログラムを走らせる。
――といったこと（のよう）だ。
先に、マイコンピュータから辿って、WSS 内のXMLフォルダを見たら判ったと思うが、そこには、すでに「Preset.Default.XML」と「Restrict.XML」というXMLファイルが別にある。「restrict」は「制限」の意味だし、内容からすると、前者がデフォルトユーザの、後者が、新たに作成したアカウントのユーザプロファイルを「ロック」するためのスクリプトらしい。レジストリ・レヴェルで制限をかけるよう、厖大な行数の制限項目が記述されている（今回は、そうした制限は「グループポリシー」でやるので、これらは不要だ）。
「SoftwareUpdates.XML」ファイルは、それとは別に、WSS とアンチバイラスソフトを連動させるためのもので、記述量は遙かに少ない。前の２つが130KBほどあるのに対し、こちらは、13KBと10分の1である。
ともあれ、そこに、任意のアンチバイラスソフトを追加して記述することで、WSS はそれを認識するのだ。
そして、WSS の「Scripts」フォルダに、個々のアンチバイラスソフトに対応したvbsスクリプトファイルを格納することによって、その動作をさせる（命令文を与える）わけである。
だから、この一覧になく、また、MSE 以外のアンチバイラスソフトを使っていて、何らかの理由で、どうしてもそれを使い続けたい、という向きは、ネットで検索するか、または、そのソフトのメーカのサポセンに照会して、スクリプトの提供をしてくれるかどうか、訊ねてもらいたい（サポートを仲介する以外に、ネット上などで公開提供していない会社もあるので、聞いた方がいい）。
フリーソフトだとムリかも知れないが、大手の会社なら対応してくれる（だろう）と思う。
● Norton AntiVirus の参考例
ちなみに、これは、別な（アカデミック）サイトで見つけた、「Norton AntiVirus」用の事例だが、下記の通りである。
非常に断定的に、書いてあったので、たぶん上手くいっているのだろう（筆者はここまで自信をもって断言できない）。
まず、WSS 内の「XML」フォルダの「SoftwareUpdates.xml」をメモ帳などのエディタで開き、編集する。
具体的には、後半の、「<softwareupdates>」と「</softwareupdates>」の間に、以下の文字列を加筆し、保存する。
<software id="Symantec AntiVirus" name="Symantec AntiVirus" detectionPath="SOFTWARE\Symantec\InstalledApps" detectionName="SAV Install Directory" append="VPDN_LU.exe" script="SCTSymantecAntiVirusUpdate.vbs" category="Anti-Virus" />
次に、WSS 内の「Scripts」フォルダに、「SCTSymantecAntiVirusUpdate.vbs」という名前のスクリプトファイルを新規作成する。
（これも、メモ帳などを開き、コピー＆ペーストして、その名前で保存すればよい）
内容は――、
' ~~~ Force variables to be declared
' ~~~
Option Explicit
' ~~~
' ~~~ Turn on error handling
' ~~~
On Error Resume Next
' ~~~
' ~~~ Declare global variables
' ~~~
Dim sNortonPath, oShell, strComputer, oWMIService, ColProcesses
' ~~~ Create objects
Set oShell = CreateObject("WScript.Shell")
' ~~~ Set application path
sNortonPath = oshell.RegRead("HKEY_LOCAL_MACHINE\SOFTWARE\Symantec\InstalledApps")
'~~~ Download Virus Signature
call oShell.Run("""" & sNortonPath & "\VPDN_LU.exe" & " /s", 0, True)
' ~~~ Wait 5 minutes
WScript.Sleep (300000)
シマンテック社のサイト内検索を使えば、ある程度、他の記事も参照できる。参考になるだろう。
以上の事例から、異なるアンチバイラスソフトを使用するとしても、大体のことは判ると思う。まあ、そのソフトメーカに訊ねるのが一番だと思われるが。
（判らなかったら、アキラメて、MSE を使えばよいのである）。
あとの処置は、MSE の時と同じだ。
WSS を起動させて、メイン画面の2番目にある「ソフトウェア更新のスケジュール」画面を開く（下図参照）。
右ペインに、「セキュリティプログラムの更新」項目があり、これは（青い下線で示したように）、チェックを入れていても、「プログラムは見つかりませんでした」というメッセージが出ている（はずである）。
その下の、「カスタム更新」で（赤い下線部分）――。
まず、この項目にチェックを入れ、「カスタムスクリプト」項目に、「参照」から、先ほど、格納した、「SCTSymantecAntiVirusUpdate.vbs」ファイルを、フルパスで――、
「C:\Program Files\Windows SteadyState\Scripts\SCTSymantecAntiVirusUpdate.vbs」のように、階層を辿って、入力する。
ＯＫボタンを押下して、画面を閉じる。
あとは、再起動する（一度で認識しなければ、何度か再起動して試す）。
それでWSS の当該画面で、SEP が認識されれば、作業完了である。
さて、次は、「制限ユーザ」（＝共有ユーザ）の設定について述べる。
下欄右端の「Next >>」をクリックされたい。
● 付言：
付言すれば、こうした作業は、やはり危険をともなう。
この時点で、なにを今さら、と思われるかも知れないが、やはり、云っておかないとフェアではあるまい。
何が云いたいかというと、こうした作業は、それなりの覚悟をもってやって貰いたいのである。
これは、一度くらい失敗しても、復元ポイントや、ソフトの削除などで済む、といった話ではない。最悪、システムの総入れ替え＝ＯＳのリインストールとなるだろう。
場合によっては、セーフモードでの復旧などが必要となるかも知れないが、筆者に云わせれば、PCのシステムの深い場所に、何か手を加えるような作業で、万一の事態となった時に、セーフモードでの復旧くらいですめば、いい方である。
筆者は、複数台のPCを相手に試して、いずれも2種類のアンチバイラスソフトの認識に成功したが、これは僥倖だっかも知れないのだ。作業全体は、2週間以上を費やしたし、事前の調査や検索、設定時における度重なる動作確認、検証、そして、事後の経過観察などをふくめれば、およそ1ヶ月近く、かかっている。
だが、それでも、筆者は、これで、まだ充分だとは思っていないのである。
そもそも、アンチバイラスソフトのウイルス情報の更新など、平時には、２、３日に１回あればいいほうだし、Windows のupdate などのスパンは、時期にもよるが、もっと長い。そうした動作確認作業は、意外に時間がかかるものだ。そして、まだ検証し足りないことがある、と思っているのである。
判っきり云っておくが、上記の作業が、どのメーカのどのPCに対しても、汎用的に成功する保証など、どこにもない。
また、筆者も、そこまで責任はとれない。PCの使用は原則「自己責任」だが、理由は、そればかりではないのだ。
セキュリティ（＝安全対策）ソフトとは、語義矛盾するようだが、ごく普通に使っていてさえ、本来、安全どころか、それ自体、なんらかの危険性を孕んだ性質のものであり（先述したように、市販の、しかも大手のシマンテックやトレンドマイクロ社の製品でさえ、不具合が出ることがあるのだ）、それをさらに、別なセキュリティツールと組合せているのだから、環境によっては、失敗する可能性は、あらかじめ、想定範囲内だと思ってほしい。だからこそ、市販のアンチバイラスではなく、まず「MSE」を推奨する次第でもある。
とにかく、PCの世界に「完全」だとか「絶対安全」などといった言葉はない。
すべて自己責任だし、何かを得ようとすれば、何かを捨てる覚悟がいる。
上記の作業は、その通りにやって成功した場合、作業時間としては2時間くらいだが、その代わりに、これから先の面倒なメンテナンス、数百時間以上の効率を手に入れることが出来る。しかし、その代償として、失敗した場合のことも考えておいてほしい。むろん、失敗したら、その復旧は2時間どころではない。ＯＳのリインストールから全てのアプリの復旧となると、数時間、かかるだろう。
そうしたことを、承知した上で、以上に述べたことは、やってもらいたい。
甘やかな幻想を打ち砕くようだが、現実は、厳しい。そういうものだ。
PCは、通常の使い方をしていても、常にシステム障害の可能性と隣り合わせであり、このような「通常でない使い方」をすれば、その危険の可能性は、否応なく、高まるのである。
だが、とにかく、失敗を畏れていては、成功もありえない。
何台か、マシンをつぶす気で、果敢に挑戦してもらいたい。
いや、なにも、PCが物理的にクラッシュすることなど（滅多に）ない。
システムクラッシュしたら、またＯＳをリインストールすればいいだけの話だ。
幸運と、そして成功を祈る。