Échec de l'arrêt du service de connecteur FireAMP en raison de la protection des connecteurs

Introduction

Le connecteur FireAMP est doté d'une fonction appelée Protection des connecteurs. Cette option vous permet de protéger par mot de passe le service FireAMP Connector et d'empêcher son arrêt ou sa désinstallation. Toutefois, cela peut avoir un impact sur le processus de dépannage, car l'arrêt du service de connecteur FireAMP ou sa désinstallation peuvent être utilisés comme étape de dépannage. Ce document décrit comment désinstaller FireAMP lorsqu'il est protégé par mot de passe.

Configuration de la protection des connecteurs

Afin d'activer l'option Protection du connecteur, modifiez votre stratégie, accédez à l'onglet Général et développez Fonctionnalités administratives.

Pilote Self-Protect

La fonctionnalité Connector Protection utilise un pilote d'autoprotection pour protéger les répertoires de FireAMP. Un pilote d'autoprotection effectue les tâches suivantes :

1.  Protégez les clés de Registre utilisées par FireAMP contre la suppression et la modification.
2.  Protégez les applications contre l'écriture ou la suppression de fichiers dans le répertoire d'installation. Le répertoire d'installation par défaut est le suivant :

"%PROGRAMFILES%\Sourcefire\FireAMP" 

3.  Protégez les pilotes FireAMP contre le déchargement ou le remplacement.
4.  Protégez les applications FireAMP, ipplateau.exe et agent.exe, contre le traitement final via le Gestionnaire des tâches Windows.

Arrêt du service de connecteur FireAMP

Motifs d'arrêt

Dans certains cas, vous pouvez arrêter le service de connecteur FireAMP ou désinstaller FireAMP :

1. Arrêtez le service afin de supprimer les fichiers de base de données corrompus ou les anciens fichiers journaux.
2. Désinstallez FireAMP en raison d'une erreur, d'une corruption ou d'une installation incomplète.
3. Remplacez le fichier policy.xml afin de diagnostiquer les problèmes de connectivité.

Arrêter le service à l'aide des propriétés du connecteur

Vous ne pourrez pas arrêter le service à l'aide de la fenêtre Propriétés du connecteur FireAMP si la fonction Protection du connecteur est activée. Les boutons permettant de gérer le service sont désactivés comme suit :

Arrêter le service à l'aide de CLI

Lorsque vous tentez d'arrêter un service alors que la fonction de protection du connecteur est activée, vous recevez un message d'échec comme ci-dessous :

The requested pause, continue, or stop is not valid for this service.

Sur la version 4.3.0+, le service sfc.exe peut être arrêté avec la commande « sfc.exe -k password » où 'password' est le mot de passe défini dans la stratégie.

Solution

Arrêter le service à l'aide de la ligne de commande

Remarque : cette commande fonctionne uniquement sur la version 4.3.0 et les versions ultérieures du connecteur FireAMP.

sfc.exe -k password

Remplacez le mot « mot de passe » par le mot de passe réel défini dans votre stratégie.

Arrêter le service à l'aide de l'interface utilisateur

Vous pouvez arrêter le service protégé par mot de passe à partir de l'interface utilisateur.