Решение проблемы непредвиденной ошибки средства восстановления системы в Windows 7 x64 при установленном антивирусе Eset NOD32 Antivirus 9

Лирика

У каждого активного пользователя периодически возникает необходимость откатить систему до предыдущего состояния. Для этого в Windows уже давно предусмотрено «Восстановление системы», относящееся к категории служебных программ. Конечно, это средство не безупречно, ведь система управляет точками восстановления по собственному усмотрению: вы можете создать точку или удалить точки восстановления, но не можете задать время хранения для каждой конкретной точки. Поэтому системные точки постоянно появляются и исчезают по воле системы. Так что, желая откатить систему где-то в начале месяца, вы можете обнаружить, что откатывать её некуда, хотя ещё на днях точки были. Вероятно, Microsoft полагает, что подобный контроль со стороны пользователя излишен. Возможности администрирования компьютера вообще стараются запрятать подальше и ограничить, предполагая природную неразумность пользователя. Например, в Windows 7 Домашней расширенной почти полностью отсутствует управление профилями пользователя: единственный профиль пользователя по умолчанию считается профилем с правами администратора, но по факту его права сильно ограничены и реальным администратором остаётся всё же система. Например, чтобы задание всегда выполнялось с правами администратора непосредственно из меню «Выполнить» без введения дополнительных специальных команд, или для открытия содержимого файла CBS.log (C:\Windows\Logs\CBS\CBS.log) непосредственно (без копирования в другую директорию), вам придётся отключить службу «Предотвращения выполнения данных» (DEP) в параметрах быстродействия системы. Но всё это лирика. В следующем параграфе мы рассмотрим ситуацию, когда точки восстановления на месте, но попытка восстановления из всех этих точек завершается непредвиденной ошибкой.

Практика

Итак, средству восстановления системы не удалось получить доступ к файлу. Возможно проблема в антивирусной программе, нам предлагают отключить антивирус и попробовать ещё раз. Действительно, я как раз обновила Eset NOD32 Antivirus с версии 5-ть до версии 9-ть. А с версией 5 всё работало. Вирусов в системной директории нет. Все службы теневого копирования и архивации запущены (по умолчанию они запускаются вручную). Средство проверки и автоматического исправления защищённых системных файлов сообщает, что всё в порядке, либо изучение лог-файла “CBS.log” убеждает вас, что обнаруженные «неисправимые» неполадки не могут быть причиной для подобных проблем. У меня, например, два модифицированных файла системных заставок и средство проверки бракует их из-за несовпадения по размеру файлов. В Безопасном режиме средство восстановления успешно работает, но это неудобно. Забегая вперёд, скажу, что проблема действительно в антивирусе. Перспектива удаления новой версии антивируса, установка старой версии и повторная активации не вызвала у меня энтузиазма. В Интернете можно найти совет отключить модуль самозащиты, но он работает для антивируса «Касперский», а для NOD32 не срабатывает. Пришлось покопаться в дополнительных настройках антивируса в разделе «Настройка». Там я обнаружила, что модуль самозащиты входит в систему предотвращения вторжений на узел (HIPS). В подразделе “HIPS” чуть ниже основных настроек находится пункт «Правила». Щелчок по ссылке изменить вызывает окно настройки правил. Жму на кнопку «Добавить» и создаю правило “rstrui” (так называется файл, вызывающий процесс восстановления системы, хотя название не важно), выбираю действие: «Разрешить», операции влияния: файлы, приложения, записи реестра (отметить галочкой). Состояние: включено (отмечено галочкой по умолчанию). Жму «Далее». В разделе «Исходные приложения» выбираю «Определённые приложения», жму «Добавить». В открывшемся окне нахожу файл процесса: C:\Windows\System32\rstrui.exe, жму «Далее». В окне «Операции с файлами» отмечаю пункты: удалить файл, выполнить запись в файл, непосредственный допуск к диску, жму «Далее». В окне «Файлы» выбираю «Все файлы», жму «Далее». В окне «Операции приложения» отмечаю пункты: завершить/приостановить работу другого приложения, запустить новое приложение, изменить состояние другого приложения (согласно справке NOD32 в Windows x64 последний пункт не возможен, так что может не отмечаться), жму «Далее». В окне «Приложения» выбираю «Все приложения», жму «Далее». В окне «Операции реестра» отмечаю пункт «Все операции реестра», жму «Далее». В окне «Записи реестра» выбираю «Все записи», жму «Готово». Пробую выполнить операцию восстановления. По завершении операции читаю: «Сбой программы восстановления системы при восстановлении реестра из точки восстановления» и так далее. Я на верном пути! Захожу в настройки антивируса, жму «Изменить» в пункте «Правила» и вижу, что у программы отобраны все права работы с реестром. Выделяю правило “rstrui”, жму «Изменить» и восстанавливаю права программы на работу с реестром, жму «Готово». Теперь ради эксперимента отключаю систему “HIPS”, сняв галочку с пункта «Включить систему HIPS», жму “OK”. Отключение этой системы требует перезагрузки. Перезагружаю компьютер, убеждаюсь, что система предотвращения вторжений на узел отключена, и повторяю операцию восстановления. Операция проходит успешно, то есть для успешной работы программы восстановления системы достаточно отключить “HIPS”. Но здесь есть ряд неудобств: при отключённой “HIPS” антивирус страшно ругается и через какое-то время включает “HIPS”сам, а отключение этой системы требует перезагрузки. Представьте, сколько времени вы потеряете и нервов потратите, когда в следующий раз захотите откатить систему и забудете отключить “HIPS”, процесс-то совсем не быстрый. Хорошая новость в том, что проблему можно решить без полного отключения системы предотвращения вторжений на узел (HIPS), сняв галочки с модуля самозащиты и расширенного модуля сканирования памяти. Именно последний модуль мешал программе восстановления системы работать с реестром. Данные модули не автозапускаются и теперь антивирус не ругается на отключённую “HIPS”. При этом правило “rstrui” с правами работы с файлами, приложениями и реестром остаётся. Скажу честно, я не проверяла, достаточно ли только отключения модулей и будет ли работать программа восстановления системы без специального правила. Именно поэтому создание правила “rstrui” расписано так подробно. Попробуйте сами. Если отключения модулей не достаточно, добавьте правило для программы восстановления системы, как описано выше. Желаю успеха!