Servizi che cambiano di stato e si disattivano

[crazy.cat]

In azienda si sono decisi (meglio tardi che mai) a passare i pc a windows 11, solo che ci sono due grossi problemi.
1) I servizi di windows update e il trasferimento intelligente bits si disattivano e cambiano il loro stato d'avvio dopo alcuni minuti.
Io li sblocco, cambio lo stato d'avvio e questi dopo tre minuti circa li ritrovo modificati.
Non si vedono cause apparenti che lo provocano, dicono che non ci sono policy impostate che lo facciano.
Questo causa il mancato aggiornamento di windows in molti pc.

2) La seconda cosa, ancora più strana, è che l'antivirus aziendale che viene installato, il cortex, non disattiva windows defender, così il pc ha due antivirus attivi.
Se apro defender mi dice che è cortex a proteggere il pc, però defender ha tutto attivo e non dovrebbe.

Qualche idea?

[CUB3]

Entrambi i problemi sono presenti sulle stesse macchine? Che siano correlati? Avrai già provato a disabilitare Defender e dopo riattivare gli altri due servizi, immagino...

[crazy.cat]

si i problemi sono sulla stessa macchina, non ho provato a disabilitare defender anche perché dovrei collegarmi al pc o fare tutto da remoto che è più complicato.
Però come idea non mi dispiace (anche perché non ne ho altre al momento).
Vedo come fare.

[Al3x]

anche noi abbiamo il Cortex ma per ora nessuna anomalia simile a quella descritta. Avete un server WSUS interno?

[crazy.cat]

anche noi abbiamo il Cortex ma per ora nessuna anomalia simile a quella descritta.

Condoglianze, credevo fossimo gli unici sfigati ad usarlo.

Avete un server WSUS interno?

Tecnicamente esiste, che funzioni è un altro discorso.
Il problema è che anche tanti pc che sono a casa non si aggiornano e questi vanno diretti su windows update non sul wsus

[Al3x]

Condoglianze, credevo fossimo gli unici sfigati ad usarlo.

lasciamo perdere...

Tecnicamente esiste, che funzioni è un altro discorso.
Il problema è che anche tanti pc che sono a casa non si aggiornano e questi vanno diretti su windows update non sul wsus

provo a chiedere al tecnico del presidio che abbiamo da noi, le nostre postazioni si aggiornano sia da casa che in ufficio (gli aggiornamenti sono "filtrati" perché hanno delle postazioni di test alle quali applicano le ultime patch per evitare danni a quelle in produzione)

[Al3x]

Domanda:
buongiorno Luca, vorrei farti una domanda per pura curiosità tecnica. Ho notato che i portatili si aggiornano anche quando sono a casa, pensavo che lo facessero solo quando sono collegati alla rete interna tramite WSUS
Esiste una impostazione che possa forzare gli aggiornamenti gestiti centralmente anche in mancanza di un collegamento con il WSUS aziendale? Oppure mi sto sbagliando e non funziona così?

questa la sua risposta:
Ciao Alessandro, da qualche anno a questa parte è presente nell'infrastruttura SCCM dell'azienda un gateway che permette la distribuzione degli aggiornamenti anche quando il dispositivo non è connesso alla rete aziendale e quindi al SUP.

Se non comunica nemmeno con il gateway che è pubblicato su internet ovviamente non riceverà gli aggiornamenti

[crazy.cat]

Piccolo aggiornamento, sembra che il fatto di avere i servizi disattivi non gli freghi poi tanto, il blocco degli aggiornamenti era dovuto a un altra causa, il sistema di script che usiamo per farli.
Rimane la stranezza di defender attivo.

[Zigul]

Potrebbe essere che Defender sia entrato in modalità passiva a causa della coesistenza con Cortex? Da qui e soprattutto qui mi sembra di capire che la modalità passiva non sia esattamente una disattivazione e suggeriscono questo comando PowerShell per controllarne lo stato:

Codice: Seleziona tutto

Get-MpComputerStatus | select AMRunningMode

[crazy.cat]

PS C:\Windows\system32> Get-MpComputerStatus | select AMRunningMode

AMRunningMode
-------------
Not running

[aceral]

Ma non si può disattivare il defender dal registro di sistema?

[crazy.cat]

Ma non si può disattivare il defender dal registro di sistema?

Sembra di no, almeno a me non ha risolto, avevo trovato due possibili soluzioni ma non sono servite.

Go to HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender.
Create a New DWORD Value:
Right-click on the Windows Defender folder, select New, and then DWORD (32-bit) Value.
Name the new value DisableAntiSpyware.

Set-MpPreference -DisableRealtimeMonitoring $true
Set-MpPreference -DisableScriptScanning $true
Set-MpPreference -DisableBehaviorMonitoring $true
Set-MpPreference -DisableIOAVProtection $true
Set-MpPreference -DisableIntrusionPreventionSystem $true

[aceral]

Ho l'impressione che ogni nuova versione mette sempre più ostacoli alla personalizzazione per questo uso sempre le cose fino a quando mi funzionano. C'è quest'altra procedura descritta in questo articolo.
https://www.xda-developers.com/how-to-d ... indows-11/

[Zigul]

AMRunningMode
-------------
Not running

Se l'esito del comando è "not running" (nemmeno "passive") si direbbe che Defender è disabilitato, ma se c'è una discrepanza con gli effettivi processi attivi forse conviene provare a (ri)attivare Defender (senza successo, dato Cortex) e poi disattivarlo, sperando che si risolvano così le "sconfigurazioni".
Comunque, se è davvero necessario disattivare Defender a tutti i costi (lo è? Non è che è impostata una collaborazione fra i due per un SIEM, o meglio uno XSIAM?), qui pare abbiano risolto la mancata disattivazione di Defender (dal passive mode, ma magari funziona anche in questo caso) disabilitando tramite interfaccia (non tramite registro) AppSmartControl, come spiegato da una risposta in seconda pagina.