4.995.00で大容量ファイルを検索するとCPU負荷ががる件(was So-net blog:写真とコンピュータウイルスｅｔｃ:トレンドマイクロ　久々にやってくれました。

セキュリティ TREND IT

Trencmiroから情報が出ました。4.995.00で容量の大きなファイルを検索を行う際に検索に時間がかかるそうです。

結局Trendmicroのパターンファイルを使うすべてのウイルス対策プロダクトが影響を受けるとのことです（ウイルスバスター２００８も）

■概要

ウイルスパターンファイル4.995.00を弊社製品に適用後、特定条件においてウイルス検索に時間がかかる現象が発生することを確認いたしました。
お客様には大変ご迷惑をおかけしましたことを深くおわび申し上げます。
本件に関して弊社では、本現象の解消を確認したパターンファイル4.997.00を公開いたしました。

■対象製品

■発生条件

この現象はウイルスパターンファイル 4.995.00 適用後に、メールファイルやデータベースなどの大容量（大きいサイズ）のファイル検索を行う際に発生する可能性があります。

■対応方法

ウイルスパターンファイル 4.997.00にて修正が行われております。ウイルスパターンファイル 4.997.00以降へアップデートできている環境においては、本問題は発生いたしません。パターンファイルのアップデートをお願いいたします。
ウイルスパターンファイルのアップデートができない場合には、以下の方法にて手動でアップデートを実施してください。

パターン4.995.00不具合のお話です。

4.997.00でも微妙に治ってないといううわさも有ります。

ウイルスパターンファイル 4.995.00 において、
一部の大容量ファイル検索時に時間を要する現象が確認されました。

現在、本現象の解消を確認したオフィシャルパターンファイル
4.997.00 を緊急リリースさせていただいております。

■現象が確認された OPR 4.995.00 の公開時刻
2008年2月13日 00:00 頃 〜 下記 OPR 4.997.00 公開時刻まで

■現象が回避された OPR 4.997.00 の公開時刻
2008年2月13日 6:40 頃 〜

■発生条件
OPR 4.995.00 適用の状態で、400MB以上の大容量の Exchange サーバのデータベースファイルや、
Outlook データファイル（.pst）の検索時に現象の発生が確認されております。

また、IBM 社のサーバ環境においては、IBM Automatic Server Restart ユーティリティにより、
本状態を異常と判断し再起動を実施している場合があります。

セキュメモにまとめが有ります。

400MB以上の大容量ファイルがあったら発生するそうです。

Exchange / Outlook でなくても、「400MB以上の大容量」ファイルが存在するような環境で容易に発生するようです。

ロータスサポートから情報が出ているそうです。

ロータスサポートより、トレンドマイクロのパターンファイル　４．９９５　にて、Notesサーバー障害が出るとの情報を頂ました。
最新バージョンは、只今　４．９９７　まで上がっています。こちらにアップデートすれば障害が回避されるとの事です。

SANS DiaryでもDominoで影響が出ているとの情報が出ています。

4.997.00でも一部直っていないようです（Trendmicroサポートに問い合わせ中との事）

この二日間本当にインフラ屋さんです。会社のパターンファイルが4.997になってしまっているため影響は無かったのですが、お客さまのところで火を噴いたとか…

4.997でまだ完全に治ってないという事を聞いているので現在調査中ですー。

情報は出てますが、Trendmicro速報とはいえ早めに情報を出すべきでしょうねぇ。

「詳細はわかりませんが、不具合が発生しています」とかでも。

とりあえず、朝から発生している謎のシステム障害に頭を抱えているかもしれないシステム管理者の皆さん向けに速報でした。
皆さんのご検討を祈ります。
しかし、トレンドマイクロはなかなか以前から体質が変わりませんねぇ…(ーー;)

ここでもNotesサーバのアクセス障害、、、検索続けたらそりゃ遅くなるわな・・・

先ほど、ようやくNotesサーバーへのアクセス障害から復旧
朝出社直後から、メールが読めないと苦情満載。
あれこれ調べたけれど、これといった原因が見つからず
仕方なく、保守契約している会社に連絡。
中略
午後2時40分　復旧
原因は、トレンドマイクロのサーバープロテクトという対ウィルスソフトの更新により
クライアントからNotesサーバーへのアクセス障害が発生していました。

検索元ワラタｗ

欲しい方はhmx-17さんにもらいましょうｗ

ロール番号インクリメント直前のところで何をやらかしているのかと小一時間
とりあえず保存した。
これで謎のファイルは

2.594.00, 3.335.00, 4.777.00
4.781.00, 4.995.00

2008/02/13 19:10 5.101.00（5.997.00の次のパターン)がでました。

これで、バスターに自分が撃退されそうです。 - naoki0311's diaryとこの問題も治ったら良いのに。

　

もにょ先生もトラブってたもにょう

もにょせんせいも、こぢま先生も神ですってば

この記事を見つけた瞬間……
こじませんせいが神に見えました。
こじませんせいに感謝 m(_"_)m

ITProの情報が出ています。

トレンドマイクロは2008年2月13日、同社の企業向けウイルス対策ソフト「ウイルスバスター コーポレートエディション」などに問題が発生したことを明らかにした。特定バージョンのパターンファイルを適用すると、特定の条件下では、ウイルス検索に通常以上の時間がかかるという。同社では、問題を解消したパターンファイルを公開済み。

InternetWatchの記事も出ています。

今回情報を流すタイミング等は悪かったようですね。そこらへんは反省されることでしょう。

なお、トレンドマイクロのテスト環境では、400MB以上のファイルを検索した場合に今回のトラブルの影響を受けることがわかったという。ただし、トラブルの原因の詳細については、調査中としている。
トレンドマイクロでは2005年4月にも、ウイルス対策ソフト「ウイルスバスター」でパターンファイルによるトラブルが発生していた。これにより、問題のあったパターンファイルを適用したPCのCPU使用率が100％に上昇したほか、場合によってはPCが起動しなくなるケースも見られた。

IBMがKBを出しています！すげー事だ。

2008/02/12 に公開されたトレンドマイクロ社のウイルスパターンファイル 4.995.00 が適用されている環境において、上記の問題が発生することが報告されています。現時点では、パターンファイルを最新版の 4.997.00 (2/13 時点) に更新することで現象が回避できることを確認しています。

なぜNotesは停止してExchangeは停止しなかったか。

実は、ウイルスバスターCorp版のインストールガイドに以下の記述が有ります。

Exchangeは、Corp版が自動的に除外設定をしているので、検索対象外になっているのです。
Notesの記述はないのですが、通常SIerであればこのあたりは気付く内容だと思われますが・・・・現実は・・・ってことですね。

Microsoft Exchange Server

ウイルスバスター Corp. サーバのインストール中にクライアントをインストールする場合、ウイルスバスター Corp. は、クライアントが検索するすべてのファイルにアクセスする必要があります。
Microsoft Exchange Server がローカルディレクトリのメッセージをキューに入れるため、Exchange Server がメッセージを処理できるように、これらのディレクトリを検索から除外する必要があります。

ウイルスバスター Corp. は、Microsoft Exchange 2000/2003 のすべてのディレクトリを自動的に検索から除外します。

この設定はWeb コンソールから設定できます ([ ネットワーク上のコンピュータ] → [ グローバルクライアント設定] → [ ウイルス/ 不正プログラム検索設定])。

Microsoft Exchange 2007 に関する検索除外の詳細については、次のWeb サイト
( 英語) を参照してください。
http://technet.microsoft.com/en-us/library/bb332342.aspx
Trend Micro InterScan for Microsoft Exchange ( 以下、InteｒScan for Microsoft Exchange)
は、お使いのExchange サーバを、ウイルス/ 不正プログラムやその他の潜在的な脅威か
ら保護することができます。InterScan for Microsoft Exchange に関する情報については、
トレンドマイクロのWeb サイト(http://www.trendmicro.co.jp) または販売代理店にお問
い合わせください。

SQL Serverは？？？っていうと、自動ではなく推奨設定なので影響を受けたということですね。

SQL Server

Microsoft SQL Server のデータベース検索が可能です。ただしこの検索によって、データ
ベースにアクセスするアプリケーションのパフォーマンスを低下させる場合がありま
す。SQL Sever データベースとそのバックアップフォルダは、リアルタイム検索の対象か
ら除外することをお勧めします。データベースの検索が必要な場合、業務時間外などの影
響が少ない時間帯に手動で実行することをお勧めします。

美濃加茂市役所では住民情報システムに問題が出たそうです。

同市によると、発行できなかったのは住民票や印鑑証明書、所得証明、納税証明など。同システムは、市民約５万５０００人の名前や住所、納税状況などを記録・管理している。１２日に更新したウイルス対策ソフトが誤作動したとみられ、同市役所窓口の端末からシステムにアクセスできない状態になった。

ダウンローダ型の不正プログラムの振る舞い検知で誤検知が発生してしまったそうです。

4.995.00では、トレンドマイクロが検体を入手していないダウンローダ型不正プログラムへの対策として、不正プログラムの振る舞いに基づいて検知を行なう機能を強化。これにより、ウイルス対策製品の検索エンジン内部に、ファイルからのハッシュ値を取り込んで演算する処理が組み込まれた。しかし、検索対象ファイルの大きさ・種類・その組み合わせによって、演算時に通常想定している処理時間の限界値を逸脱するケースがあったという。

まぁ、パターンの問題であれば個人向けも全部影響するわけですわな。

トレンドマイクロによれば、「ウイルスパターンファイル4.995.00を使用している製品」とは、同社のウイルスパターンファイルを適用するすべてのウイルス対策製品で、この中には個人向けに販売している「ウイルスバスター」も含まれる。

関連URL

screenshot