Analyse macOS Secure Endpoint Diagnostic-Paket für hohe CPU

Einleitung

Dieses Dokument beschreibt die Schritte zum Analysieren eines Diagnosepakets von Secure Endpoint Public Cloud auf MacOS-Geräten, um Probleme bei hoher CPU-Auslastung zu beheben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Grundlegende Navigation in der Konsole für sichere Endgeräte
• Navigation des macOS-Terminals

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

• Konsole für sichere Endgeräte v5.4.20260915
• MacOS: 27.0
• Secure Endpoint Connector 1.27

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

Der Secure Endpoint Connector scannt alle aktiven Dateien (die sich selbst verschieben, kopieren und/oder ändern) auf einem Computer, es sei denn, dies wird ausdrücklich untersagt. Dies führt zwangsläufig zu Leistungsproblemen, wenn zu viele Prozesse und Vorgänge ausgeführt werden, während der Connector ausgeführt wird, was zu einer hohen CPU-Auslastung, Verlangsamung oder Abstürzen führt. Darüber hinaus kann der Secure Endpoint Connector Dateien aufgrund ihrer Cloud-Reputation blockieren, was in manchen Fällen falsch (falsch positiv) sein kann. Die Lösung für beide Probleme besteht darin, diese Pfade und Prozesse auszuschließen.

Der Fluss der Fehlerbehebung von Leistungsproblemen wird im Bild angezeigt.

Fehlerbehebung

In diesem Abschnitt finden Sie die Informationen, die Sie zur Fehlerbehebung bei Ihrer Konfiguration verwenden können.

Überprüfen Sie, ob auf dem Computer ein anderer Virenschutz installiert ist.

Tipp: Verwenden Sie die von Cisco verwalteten Ausschlüsse, wenn die verwendete Software in der Liste enthalten ist. Denken Sie daran, dass diese Ausschlüsse neuen Versionen einer Anwendung hinzugefügt werden können.

So zeigen Sie die Listen an, die im Abschnitt "Beibehaltene Ausschlüsse" von Cisco auf der Secure Endpoint-Konsole verfügbar sind:

• Navigieren Sie zu Verwaltung > Richtlinien.
• Suchen Sie die Richtlinie, und klicken Sie auf Bearbeiten.
• Klicken Sie in der Richtlinie im Einstellungsfenster auf Ausschlüsse.

Wählen Sie die Geräte aus, die Ihr Endgerät gemäß der derzeit auf dem Computer installierten Software benötigen würde, und speichern Sie dann die Richtlinie, wie im Abbild dargestellt.

Identifizieren der hohen CPU-Auslastung, wenn eine bestimmte Anwendung genutzt wird

Ermitteln Sie, ob das Problem auftritt, während eine Anwendung oder einige von ihnen ausgeführt werden, wenn Sie in der Lage sind, das Problem zu replizieren. Dies hilft bei der Identifizierung potenzieller Ausschlüsse.

Erstellen Sie ein Diagnosepaket für die Analyse.

Um ein nützliches Diagnosepaket zu sammeln, muss die Debug-Protokollstufe aktiviert sein.

Debugging-Ebene am Endpunkt

Wenn Sie das Problem replizieren können und Zugriff auf den Endpunkt haben, ist dies das beste Verfahren zum Erfassen des Diagnosepakets.

• Wählen Sie in der Menüleiste von macOS das Symbol für sichere Endgeräte aus.
• Einstellungen auswählen:
  
• Wählen Sie Info aus.
• Um den Debugmodus zu aktivieren, klicken Sie in das Secure Endpoint-Logo:

  

Eine Benachrichtigung zeigt an, dass sich der Secure Endpoint Connector im Debug-Modus befindet.

Mit diesem Verfahren wird die Ebene des Debug-Protokolls bis zum nächsten Heartbeat-Intervall der Richtlinie aktiviert.

Debugging-Ebene in der Secure Endpoint Command Line Interface (CLI)

• Terminal öffnen
• Ampcli ausführen

  /opt/cisco/amp/ampcli

• Aktivieren Sie in der Secure Endpoint CLI den Debugmodus.

  ampcli>debuglevel 1

Dieser Prozess aktiviert die Debug-Protokollebene bis zum nächsten Policy-Heartbeat-Intervall.

Debug-Ebene in der Richtlinie

Wenn Sie keinen Zugriff auf den Endpunkt haben oder das Problem nicht konsistent reproduziert werden kann, muss die Debug-Protokollstufe in der Richtlinie aktiviert sein.

So aktivieren Sie die Ebene des Debug-Protokolls durch die Richtlinie:

• Wählen Sie Management > Policies (Verwaltung)
• Suchen Sie die Richtlinie, und klicken Sie auf Bearbeiten.
• Wählen Sie Erweiterte Einstellungen > Verwaltungsfunktionen aus.
• Konfigurieren Sie die Connector-Protokollebene und Tray-Protokollebene, um die Richtlinie zu debuggen und zu speichern, wie im Bild gezeigt
  

Vorsicht: Wenn der Debugmodus über die Richtlinie aktiviert ist, erhalten alle Endpunkte diese Konfiguration.

Anmerkung: Synchronisieren Sie die Richtlinie des Endpunkts, um den Debugmodus sicherzustellen.

Secure Endpoint von anderen Antivirus-Lösungen ausschließen

Laut Benutzerhandbuch müssen Antivirus-Produkte die nächsten Verzeichnisse sowie alle darin enthaltenen Dateien, Verzeichnisse und ausführbaren Dateien ausschließen, um mit Secure Endpoint Connector für macOS kompatibel zu sein. Die auszuschließenden Verzeichnisse sind:

• /Anwendungen/Cisco Secure Endpoint/Secure Endpoint Service.app

Reproduzieren des Problems und Sammeln eines Diagnosepakets

Wenn die Debug-Stufe konfiguriert ist, warten Sie, bis der Status der hohen CPU auf dem System auftritt, oder reproduzieren Sie die zuvor identifizierten Bedingungen manuell, und sammeln Sie dann das Diagnosepaket.

So sammeln Sie das Debug-Paket:

• Terminal öffnen
• Verwenden Sie den Befehl

sudo /Applications/Cisco\ Secure\ Endpoint/Secure\ Endpoint\ Service.app/Contents/MacOS/SupportTool

Das Debug-Paket wird im Ordner "~/Desktop" als ZIP-Dateierweiterung gespeichert.

Analyse der hohen CPU-Leistung

Das Debug-Diagnosepaket ist im Desktop gespeichert, um die Analyse zu starten:

• Dekomprimieren des Diagnosepakets
• Es stehen 2 Dateien zur Prüfung zur Verfügung.
  • Dateiausführungen: execs.txt
  • Dateivorgänge: fileops.txt
    
• Die Datei fileops.txt ist das wichtigste Leistungstool für die Fehlerbehebung. Es listet alle aktuellen Vorgänge auf Ihrem Endpunkt auf, während Connector ausgeführt wird. Der Ausdruck lautet wie folgt:
  <Nummer-Scans auf dem Pfad bei der Bündelung> / <Pfad-Scans>
  

  Wenn Sie z. B. über eine Anwendung für Heimnetzwerke verfügen, zeigt fileops.txt die nächsten aktiven Vorgänge an:

  639 /Users/user/Library/Bin/MyApplication/support/
  460 /Users/user/Library/Bin/MyApplication/logs/
  219 /Users/user/Library/Bin/MyApplication/Collection/Node/Server/

• Sobald der Prozess identifiziert wurde, erstellen Sie einen Ausschluss: Wählen Sie Verwaltung > Ausschlüsse aus.
• Wählen Sie den Ausschlusssatz und dann Bearbeiten aus.
• Ausschluss hinzufügen:
  
• Die Datei Execs.txt enthält alle Befehle, die von Prozessen verwendet werden, die ausgeführt werden, während Connector Pakete sammelt. Die hier aufgelisteten Pfade dürfen in der Richtlinie für sichere Endpunkte nicht ausgeschlossen werden, da es sich um Binärdateien (/bin) und Systembinärdateien (/sbin) handelt, die von allen Prozessen verwendet werden. Der Execs.text kann jedoch den Hauptprozess bereitstellen, der ausgeführt wird.
  Beispiel: Die Datei Execs.txt zeigt die nächsten Protokolle an.
  

Da die Anwendung von Bash verwendet, können Sie bestätigen, dass die Anwendung die Ursache für die hohe CPU ist.

Zugehörige Informationen

• Konfigurieren und Identifizieren von sicheren Endpunktausschlüssen
• Technischer Support und Dokumentation

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
2.0	29-Sep-2026	Aktualisiert für macOS Golden Gate
1.0	01-Jun-2020	Erstveröffentlichung