Symantec Anti Virus 9 Corporate Editionによる障害

2011年がスタートしました。あけましておめでとうございます。

昨日から仕事ははじまっているわけですが、初日から手痛いトラブル対応に巻き込まれました。

すでにサポートが切れてしまっているウイルス対策ソフト製品「SymantecAntiVirus 9.0 Corporate Edition」によるトラブルでした。

今後、同一のトラブルに遭遇することは少ないと思いますが、備忘録として記録しておきます。

【現象】

・OSが起動しないか、起動してログオンしてもリソース不足で正常に利用できない

・起動時に、BSOD。「Stop 0xc0000218」が表示され、起動できない。

・イベントログ（システム）に、下記のエラーが記録される（イベントID:2020　ソース:Srv）

種類: エラー
イベント ID : 2020
ソース : Srv
説明 : プールが空であるため、サーバーはシステムのページ プールから割り当てること　　ができませんでした。

・イベントログ（システム）に、下記のエラーが記録される（イベントID:20　ソース:NAVAP）

種類: エラー
ソース: NAVAP
イベントID: 20
説明: Unable to initialize virus scanning engine database file.

実際には、イベントログを見ることはおろか、コマンドプロンプトさえ開けないほどのリソース不足になります。ただし、セーフモードでの起動では問題が無いという状態です。

【環境】

・OS：Windows Server 2003 R2 (SP2)

・ウイルス対策ソフト：Symantec AntiVirus 9.0 Corporate Edition（以下、SAV9)

【原因】

・SAV9が、ウイルス定義ファイルの更新に失敗した場合に発生する。

※ウイルス定義ファイルの更新に失敗した場合は、下記のエラーがシステムイベントに記録されます。

種類: エラー
ソース: NAVAP
イベントID: 20
説明: Unable to initialize virus scanning engine database file.

【解決策】

・SAV9のアンインストール

　※ただし、リソース不足に陥っており、コントロールパネルが開けず、アンインストールができない状態になっている場合が多い。

⇒SAV9のアンインストール手順

１．OSをセーフモードで起動する

※ただし、Windows Installerサービスが開始できず、そのままでは、アンインストール作業は実行できません

２．サービスの画面にて、SAV9関連のサービスのスタートアップをすべて無効にする

※”Symantec”の表記があるサービスと”SavRoam”というサービスがありました。

３．デバイスマネージャを右クリックし、表示から、非表示デバイスを表示して、SAV9関連のデバイスを無効にする

以上の作業を実施してから、通常のモードでOSを起動すると、おそらく正常に起動するので、コントロールパネルの方から、SAV9のアンインストールを実施し、再起動します。

以上で、SAV9のアンインストールができ、サーバが正常動作を始めます。

今回のトラブル対応では、SAV9の再導入まで試したのですが、LiveUpdateでの定義ファイルの更新にて、２つあるうちの１つが更新に失敗し、最初の状態に戻ってしまったため、他のウイルス対策ソフトを導入して暫定回避しました。

サポート切れのウイルス対策製品ということもあり、サポート対象製品へのアップデートの提案にすすめることにしました。

ちなみに、本現象。作業対象となったサーバのみで発生し、SAV9の親サーバになっているWindows Server 2003(無印)では発生していません。

トラブル発生のトリガーとなったのは、2010.12.31のLiveUpdateによって取得しようとしたウイルス定義ファイルのようです（約106MBで2分割されている？）。

下記に参考技術情報を記載します。

【参考技術情報】

文書番号: 272568 - 最終更新日: 2007年2月20日 - リビジョン: 3.1
ログオン時にイベント ID 2019、2020、または "システム リソースが不足しています" エラーが返される
http://support.microsoft.com/kb/272568/ja

文書番号: 156640 - 最終更新日: 2005年11月29日 - リビジョン: 5.0
Stop 0xC0000218 エラー メッセージのトラブルシューティング
http://support.microsoft.com/kb/156640/ja

イベントログに「イベント ID: 20、Unable to initialize virus scanning engine database files.」が記録される

記事: TECH101659   |  作成日: 2007-01-07   |  Updated: 2007-01-07

http://www.symantec.com/business/support/index?page=content&id=TECH101659&locale=ja_JP

SAVCE 9.x クライアント (Windows NT/2000/XP/2003) の手動アンインストール方法

記事: TECH100621   |  作成日: 2004-01-26   |  Updated: 2007-01-14

http://www.symantec.com/business/support/index?page=content&id=TECH100621&locale=ja_JP

インストール中のサーバーの選択画面でインストールが突然終了してしまう

記事: TECH119283   |  作成日: 2005-01-23   |  Updated: 2007-01-08

http://www.symantec.com/business/support/index?page=content&id=TECH119283&locale=ja_JP