커넥터 보호 때문에 FireAMP Connector Service를 중지하지 못함

소개

FireAMP Connector에는 Connector Protection이라는 기능이 있습니다. 이 옵션을 사용하면 FireAMP Connector 서비스를 암호로 보호하고 서비스가 중지되거나 제거되지 않도록 방지할 수 있습니다. 그러나 FireAMP 커넥터 서비스를 중지하거나 제거하면 문제 해결 단계가 되므로 문제 해결 프로세스에 영향을 줄 수 있습니다. 이 문서에서는 FireAMP가 암호로 보호되어 있는 경우 이를 제거하는 방법에 대해 설명합니다.

커넥터 보호 컨피그레이션

Connector Protection 옵션을 활성화하려면 Policy를 수정하고 General(일반) 탭으로 이동하여 Administrative Features(관리 기능)를 확장합니다.

자체 보호 드라이버

커넥터 보호 기능은 자체 보호 드라이버를 사용하여 FireAMP용 디렉토리를 보호합니다. 자체 보호 드라이버는 다음 작업을 수행합니다.

1.  FireAMP에서 사용하는 레지스트리 키가 삭제 및 수정되지 않도록 보호합니다.
2 .  설치 디렉터리에서 파일을 쓰거나 삭제하지 못하도록 응용 프로그램을 보호합니다. 기본 설치 디렉토리는 다음과 같습니다.

"%PROGRAMFILES%\Sourcefire\FireAMP" 

3 .  FireAMP 드라이버가 언로드되거나 덮어쓰기되지 않도록 보호합니다.
4.  FireAMP 애플리케이션 iptray.exe 및 agent.exe를 Windows 작업 관리자를 통해 "처리 종료"되지 않도록 보호합니다.

FireAMP Connector 서비스 중지

중지 이유

FireAMP 커넥터 서비스를 중지하거나 FireAMP를 제거하려는 몇 가지 시나리오는 다음과 같습니다.

1. 손상된 데이터베이스 파일 또는 이전 로그 파일을 제거하려면 서비스를 중지하십시오.
2. 오류, 손상 또는 불완전한 설치로 인해 FireAMP를 제거합니다.
3. 연결 문제를 진단하려면 policy.xml 파일을 대체합니다.

커넥터 속성을 사용하여 서비스 중지

커넥터 보호 기능이 활성화된 경우 FireAMP Connector Properties(FireAMP 커넥터 속성) 창을 사용하여 서비스를 중지할 수 없습니다. 서비스를 관리할 수 있는 단추가 다음과 같이 비활성화되어 있습니다.

CLI를 사용하여 서비스 중지

커넥터 보호 기능이 활성화된 상태에서 서비스를 중지하려고 하면 다음과 같은 오류 메시지가 표시됩니다.

The requested pause, continue, or stop is not valid for this service.

버전 4.3.0 이상에서는 "sfc.exe -k password" 명령을 사용하여 sfc.exe 서비스를 중지할 수 있습니다. 여기서 'password'는 정책에 정의된 암호입니다.

솔루션

명령줄을 사용하여 서비스 중지

참고 - 이 명령은 FireAMP Connector 버전 4.3.0 이상에서만 작동합니다.

sfc.exe -k password

"password"라는 단어를 정책에 설정된 실제 비밀번호로 바꿉니다.

사용자 인터페이스를 사용하여 서비스 중지

사용자 인터페이스에서 비밀번호로 보호된 서비스를 중지할 수 있습니다.