Symantec Endpoint Protection блокирует установку подключенного принтера
У нас странная проблема с Symantec Endpoint Protection (SEP) версии 12.1 в Windows 7 клиентов.
Когда наши пользователи пытаются подключить новый сетевой принтер с нашего сервера печати (дважды щелкните имя принтера при просмотре \ OurPrintServer) - стандартный процесс установки драйвера начинается как обычно, но заканчивается сообщением об ошибке: «Windows не может подключиться к принтеру. Доступ запрещен».
Мы протестировали несколько систем с разными общими принтерами с использованием разных драйверов и даже разных производителей. Установка всех драйверов принтера, которых еще нет в клиентской системе, похоже, блокируется SEP.
Странно то, что когда мы отключаем SEP, ошибка все равно возникает, и новые драйверы принтера по-прежнему не устанавливаются. Если мы полностью удалим SEP с клиентского компьютера, драйверы принтера установятся успешно и принтер будет использовать карту, как ожидалось.
Для дальнейшего тестирования мы попробовали другие клиенты Windows 7 в нашем домене. без SEP, и они сопоставляют принтер, правильно устанавливая драйверы, как ожидалось.
Кто-нибудь видел подобную проблему с SEP 12.x в Windows 7, и если да, то есть ли у вас какие-либо предложения по ее решению? Такой странный случай, даже когда SEP отключен, он все равно каким-то образом блокирует установку этих драйверов принтера. Только после полного удаления SEP установка драйвера сетевого принтера Windows будет работать правильно.
Похоже, что недавние обновления определений Symantec что-то сломали с одной из политик Host Intrusion Prevention System (HIPS), используемых в наших системах. Спасибо за подсказку @joeqwerty. Похоже, что организация хочет оставить этот компонент установленным, поэтому они изменили правило на ведение журнала вместо блокировки. Вот подробности:
- Откройте Symantec Endpoint Protection Manager.
- Перейдите в: Политики - Контроль приложений и устройств.
- Дважды щелкните имя используемой политики управления приложениями и устройствами.
- Выберите «Контроль приложений» слева, чтобы просмотреть «Наборы правил контроля приложений».
- Выберите набор правил под названием «Предотвратить изменение системных файлов (HIPS) [AC14]».
- UN-check кнопку "Включено" или установите для нее значение "Тест (только журнал)"
- «ОК», чтобы сохранить изменения
- Примените обновленные политики к клиентам как обычно
После отключения политики «Предотвращать изменение системных файлов (HIPS) [AC14]» сопоставление клиентских принтеров и установка драйверов принтера работали правильно. Вот несколько связанных снимков экрана в качестве наглядного пособия:
Лучшим решением, вероятно, было бы исключить компонент IPS из всех установленных клиентов Symantec Endpoint Protection (SEP). Если ваша организация предпочитает, чтобы HIPS оставался установленным, вам придется бороться с такими ошибочными политиками, как эта.