Настройка зеркала обновлений Dr.Web: проверенные шаманства

Когда в хозяйстве, где вас поставили админом, зоопарк операционных систем и установленных версий Dr.Web, когда безопасники хотят странного, а выход в интернет контролирует надёжный отечественный фаерволл фирмы Air Gap, настройка регулярных обновлений вирусных баз превращается в шаманство. Представляю свою подборку проверенных заклинаний.

Итак, современный Доктор умеет обновляться минимум четырьмя способами:

• из интернета, если он есть;
• от соседей по локальной сети, если хоть у одного из них есть свежие базы - это функция "Антивирусная сеть";
• из сетевой или локальной папки, "зеркала";
• через развёрнутый в организации "Центр Управления Dr.Web Enterprise Security Suite" - самый продвинутый способ.

Работу с центром управления разберём в следующий раз, а в этой заметке ограничимся созданием зеркал.

Зеркало обновлений для Dr.Web 12 (современного)

Сервер

"Сервером" для создания зеркала может выступать рядовая станция с установленным Dr.Web и доступом в интернет. Достаточно в настройках включить опцию копирования файлов баз в папку и не заморачиваться. Однако если у нас настоящий сервер, ставить туда Доктора только для получения баз - несколько избыточно.

Вместо этого возьмите с компьютера, где установлен Dr.Web, три файла:

• Обновлятор drwupsrv.exe, лежит в C:\Program Files\Common Files\Doctor Web\Updater
• Файл зон drwzones.xml из C:\ProgramData\Doctor Web\Updater\etc
• Лицензионный ключ (*.key)

Перенесите их на сервер и запускайте с правами администратора примерно так:

drwupsrv.exe -c download -r "D:\DrWebUpdMirror\v12\bases" -p av-for-windows -s 90 --zones=drwzones.xml -l --log-dir="D:\DrWebUpdMirror\v12"

Здесь:

• -c - действие: скачать (download) или установить (update) базы,
• -r - куда качать,
• -p - для какого продукта нужны базы:
  • av-for-windows - Антивирус Dr.Web,
  • drweb-security-space - Dr.Web Security Space,
• -s - версия баз ("ревизия"), которая начиная с девятого доктора зафиксирована на "90"
• -l - выводить в консоли, что происходит,
• --log-dir= - папка, куда писать накопительный лог. Понадобится, если когда всё вдруг сломается. В 12-й версии добавили возможность ротации, но убрали опцию выбора имени --log-file=dwupdater.log - с этим параметром обновлятор запускаться откажется.
• --key-dir - этот параметр может быть полезен, если ключ лежит отдельно от обновлятора.

Полный список параметров традиционно доступен по drwupsrv.exe -h (от имени администратора, если не работает) и в справке .

Автоматизация

Для автоматической закачки по расписанию добавьте задание в системный планировщик. Запускать задание следует от имени системной учётной записи NT AUTHORITY\SYSTEM. Проверьте, чтобы рабочая папка в задании была задана без кавычек.

Клиент

Настроить доктора на обновление из сетевой папки тоже можно мышкой через интерфейс. Но если хочется автоматизации или чего-то нестандартного, то вот команда, выполняем с правами админа:

drwupsrv.exe -c update -l --log-dir="c:\temp"  --zone="file://\\192.168.1.2\DrWebUpdMirror_v12"

Смысл параметров такой же, как и раньше. Единственный нюанс, путь к зеркалу задаётся ключом -zone, а не --repo-dir, как может показаться интуитивно. Все прочие параметры, которые вы могли встречать в других руководствах, типа -xno или --type=update-revision, - избыточны.

Автоматизация

Пропишите задачу автоматического обновления в планировщике, предварительно удалив оттуда задачи, созданные самим доктором. Проверьте, чтобы рабочая папка в задании была задана без кавычек. Запускать задание следует от имени системной учётной записи NT AUTHORITY\SYSTEM.

Распространить настройки на парк машин удобно через групповые политики домена.

Зеркало обновлений для Dr.Web версии 6 (старого)

Классический шестой Доктор Кто до сих пор встречается на всяких терминалах с P-IV inside, застрявших в эпохе WinXP. Ну а пятый Доктор установится даже на ваш Win NT4.0 Server, и к этому динозаврику до сих пор (!) выходят свежие базы. Так выглядит настоящий Long-term support:

Сервер

Вытащите из папки с установленным Dr.Web три файла:

• drwebupw.exe (обновлятор)
• ru-drweb.dwl (список серверов, куда подключаться)
• agent.key (действующий ключ, имя любое)

Запускать так:

  "D:\DrWebUpdMirror\DrWebUpW.exe" /GO /UA /st /DIR:D:\DrWebUpdMirror\bases /rp+D:\DrWebUpdMirror\drwebupw.log /LNG:ru-drweb.dwl

• /GO - запустить обновление немедленно;
• /UA - сделать полное зеркало (Update All files);
• /DIR:"D:\DrWebUpdMirror\bases" - папка, в которой будет создаваться или обновляться зеркало;
• /LNG:ru-drweb.dwl - выдавать все сообщения на русском языке.
• /st - не отображать окон
• /rp+ - накопительный лог. Понадобится, если когда всё вдруг сломается.

Автоматизация

Для автоматической закачки по расписанию добавьте задание в системный планировщик. Запускать задание следует от имени системной учётной записи.

Клиент

Чтобы клиент подтянул обновления из указанной папки, запускать его следует так:

"C:\Program Files (x86)\DrWeb\DrWebUpW.exe" /go /st /qu /reg- /URL:D:\DrWebUpdMirror\bases /rp+drwebupw.log

В качестве альтернативы параметры (/go /st) можно прописать и непосредственно в drweb.ini, а каталог обновлений - в реестре здесь:

  HKEY_LOCAL_MACHINE\SOFTWARE\IDAVLab\DrWebUpdate\Settings\UpdateUrl

Перед редактированием отключите самозащиту антивируса.

Автоматизация

Чтобы распространить настройки на парк машин, пропишите задачу автоматического обновления в планировщике, предварительно удалив оттуда задачи, созданные самим доктором. Проверьте, чтобы рабочая папка была прописана без кавычек. Запускать задание следует от имени системной учётной записи.

Зеркало под Linux

В принципе, всё написанное выше прекрасно работает под Wine, например, 1.8. Ниже несколько примеров скриптов, чтобы они запускались, не забудьте установить им флаг "исполняемый" (x).

Для версии 12 и выше

Вот такой скрипт не только обновляет доктора, но и логирует свои запуски в last.log, проблемы - в wine.log, и подробности - в стандартный отчёт доктора. Папку с логами можно сделать доступной по сети, чтобы понимать, что происходит:

#!/bin/bash

cd /home/alex/.wine/drive_c/drweb/v12/
echo `date` >> last.log
wine drwupsrv.exe -c download -r "C:/drweb/v12/bases" -p av-for-windows -s 90 --zones=drwzones.xml -l --log-dir="C:/drweb/v12" > wine.log 2>&1

Если обновление не идёт, и понимания нет, дописать --verbosity=debug

Для версии 6 и выше

Тут немного интереснее. Обновлятор шестой версии - оконный, ему нужен экран и графическая подсистема (X), которой на сервере обычно нет. Нужно доустановить небольшой пакет Xvfb, задача которого - делать вид, что экран в системе есть. Скрипт будет таким:

#!/bin/bash

cd /home/alex/.wine/drive_c/drweb/v6x32/
echo `date` >> last.log
export DISPLAY=:99
if ! xset q &>/dev/null; then
    Xvfb -shmem -screen 0 800x600x16 :99&
fi
wine drwebupw.exe /GO /UA /ST /QU /DIR:C:\\drweb\\v6x32\\bases /rp\+C:\\drweb\\v6x32\\drwebupw.log /LNG:ru-drweb.dwl > wine.log 2>&1

Автоматизация

Запускать обновление по расписанию можно из /etc/crontab. В примере ниже это делается в ночь по воскресеньям и средам с 20:05 до 06:05

# m h dom mon dow user  command
5 20 * * sat,tue    alex    timeout 7200 /home/alex/.wine/drive_c/drweb/v6x32/update_now.sh 1>/dev/null 2>&1
5 22 * * sat,tue    alex    timeout 7200 /home/alex/.wine/drive_c/drweb/v6x64/update_now.sh 1>/dev/null 2>&1
5  0 * * sun,wed    alex    timeout 7200 /home/alex/.wine/drive_c/drweb/v9/update_now.sh 1>/dev/null 2>&1
5  2 * * sun,wed    alex    timeout 7200 /home/alex/.wine/drive_c/drweb/v11_av/update_now.sh 1>/dev/null 2>&1
5  4 * * sun,wed    alex    timeout 7200 /home/alex/.wine/drive_c/drweb/v11_ss/update_now.sh 1>/dev/null 2>&1
5  6 * * sun,wed    alex    killall -INT Xvfb 1>/dev/null 2>&1

# sun mon tue wed thu fri sat 
# jan feb mar apr may jun jul aug sep oct nov dec

Названия столбцов по порядку: минуты, часы, день месяца, месяц, день недели, запускать от имени, команда.

Обновлятор может зависнуть, поэтому каждый запуск подстраховывается таймаутом в два часа (7200 мин). По окончанию уничтожаются ненужные более виртуальные мониторы, созданные Xvfb (killall). Ненужный текстовый выхлоп направляется в dev/null, потому что иначе крон не поленится отправить вам его почтой.

Чтобы клиенты могли забрать базы, откройте доступ к папке через samba в /etc/samba/smb.conf:

[global]

security = share
browseable = yes
read only = yes
guest ok = yes
map to guest = Bad User
usershare allow guests = yes

[drweb_av]
path = /....../bases/

Обязательно включить guest ok, потому что родной клиент доктора подключается анонимно, не передавая вообще никакого имени пользователя.

Другой линукс-сервер может тянуть у нас базы простым копированием:

cd /tmp/ > last.log 2>&1
echo `date` >> last.log 2>&1
smbget --recursive --nonprompt --update --guest --quiet smb://192.168.1.123/ >> last.log 2>&1
echo "Done." >> last.log 2>&1

Ошибки

Проблемы совместимости

Интересная особенность Докторов начиная с девятого - одинаковый номер версии баз, "90" . Здесь можно увидеть намёк на совместимость, но её нет. Доктор не откажется зашвырнуться базами из чужого зеркала, но после перезагрузки ему резко поплохеет. В большинстве случаев он просто не запустится, и хорошо, если получится удалить его ремувером. Галочка "обновлять только базы" уменьшит процент внезапно вышедших из строя машин, но, по-хорошему, заведите отдельные зеркала для каждой из используемых на предприятии версий (10, 11.0, 11.5, 12, -AV, -SS, etc)

• Не пытайтесь с помощью зеркала обновить версию Доктора до следующей мажорной, например, с 11.0 до 11.5. Корректно сделать это можно только переустановкой либо с помощью центра управления, если он есть. Зеркалом можно обновлять базы и компоненты только в пределах версии.

• Всегда используйте обновлятор той же версии, что и базы, которые он качает. Обновлятор 11.0 не сможет загружать обновления для 11.5.

• Если обновлятор перестал качать базы, замените его на свежий, который прилетел с обновлениями.

• Устанавливая Dr.Web используйте только свежие дистрибутивы с сайта, желательно сегодняшние. Свежие базы и старый доктор могут не подружиться.

Что значит, мажорная версия, и где проходит граница совместимости? Найдите у себя файлик drwzones.xml. Он определяет, что и откуда загружается:

<zones>

  <geo-update path="/xmlzone/release/1100/windows">
      <server name="geo drweb update" address="update.geo.drweb.com"/>
  </geo-update>

  <path value="/xmlzone/release/1100/windows"/>
  <protocol value="http"/>

  <zone name="zone1" address="update.drweb.com"/>
</zones>

Число 1100 - и есть номер версии. Зеркало обновляет базы и компоненты только в пределах этой версии. Если цифра отличается, нужно делать разные зеркала.

Неожиданно, у продуктов Антивирус Dr.Web и Dr.Web Security Space этот файл одинаковый. Совместимы ли их базы? Конечно нет)

Такая ситуация подталкивает к очевидно логичному решению: на предприятии должна использоваться единая версия Доктора. Волюнтаризм и инакомыслие следует пресекать административно-техническими методами. И по возможности поднимать esuite.

Ошибка: null credentials

Пустые данные о полномочиях, в доступе отказано. Проблема существует для всех версий Доктора. Клиент, тянущий обновления из зеркала по SMB, запускается под системной учётной записью и не передаёт имени пользователя. Поэтому сервер-зеркало должен предоставлять доступ к папке bases анонимным пользователям.

Решается через политики или в реестре, в ключе:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanmanServer\Parameters\NullSessionShares

Пропишите в столбик названия шар, например, bases. Если не работает, убедитесь, что тут ноль:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\restrictanonymous

Кроме того, дайте доступ на папку и все файлы внутри группам пользователей "АНОНИМНЫЙ ВХОД" и "Все" (регистр важен). Это делается в двух местах:

• Свойства папки -> Доступ -> Расширенная настройка общего доступа - раз,
• Свойства папки -> Безопасность - два.

Под Linux samba, как говорилось выше, достаточно включитьguest ok.

Прочие ошибки

• Убедитесь, что в папке лежит рабочий ключ.
• Перечитайте инструкцию ещё раз вдумчиво, должно помочь.
• Обратитесь к системному администратору.

Ссылки: документация, FAQ по обновлениям, форум поддержки.