Automatische Sammlung von Prozessabsturzsicherungen unter Windows für den Prozess "Sfc.exe" konfigurieren
Einleitung
In diesem Dokument wird beschrieben, wie Sie Crash Dumps unter Windows für den Prozess sfc.exe sammeln.
Voraussetzungen
Anforderungen
Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:
- Cisco Secure Endpoint Connector
- Eingabeaufforderungsfenster
Verwendete Komponenten
Dieses Dokument ist nicht auf Software- und Hardwareversionen beschränkt. Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.
Problem
- Die Anwendung Cisco Secure Endpoint kann aufgrund eines Absturzes von sfc.exe in den Status "deaktiviert" oder "getrennt" wechseln. Dies kann durch ein unerwartetes Herunterfahren von Windows oder andere Windows-Aktivitäten verursacht werden.
- Windows aktiviert ein Debugtool, das in den AeDebug-Registrierungswerten konfiguriert ist. In diesem Szenario kann ein Programm als zu verwendendes Tool vorausgewählt werden, das als Postmortem-Debugger bezeichnet wird.
Lösung
1. Laden Sie Procdump (als AeDebug-Postmortem-Debugger zu verwenden) von Sysinternals Suite herunter.
2. Extrahieren Sie procdump.exe in C: Ordner Dumps für die Sammlung von Crash-Dump erstellen:
Anmerkung: Es gibt zwei Hauptmethoden, um Dumps mit procdump64.exe zu sammeln:
・ procdump64.exe -ma -i C:\Dumps installiert Procdump als Postmortem-Debugger (AeDebug) und gibt den Ordner (C:\Dumps) an, in dem Crash-Dumps beim Absturz eines Prozesses automatisch gespeichert werden. In diesem Modus wird Procdump so eingerichtet, dass Abstürze überwacht und vollständige Speicherabbilder im angegebenen Verzeichnis gespeichert werden. Es ist nützlich, wenn Sie bemerken, dass sfc.exe häufig abstürzt.
・ procdump64.exe -ma <PID | Prozessname> löst manuell einen vollständigen Speicherauszug (-ma) des angegebenen laufenden Prozesses anhand seiner PID oder seines Prozessnamens aus. Mit diesem Befehl wird der Dump sofort erfasst, anstatt auf ein Absturzereignis zu warten.
Zusammenfassend kann gesagt werden, dass die Option -i mit einem Ordnerpfad Procdump als einen Absturzhandler installiert, der Abstürze in diesem Ordner speichert, während eine PID oder ein Prozessname angegeben wird, um bei Bedarf einen Absturz dieses Prozesses zu erfassen. Beide verwenden das -ma-Flag, um einen vollständigen Speicherauszug zu erstellen. Diese Verwendung wird im Cisco-Dokument zum Sammeln von Prozess-Absturzsicherungen unter Windows mit Procdump64.exe beschrieben.
3a) Legen Sie Procdump mit dem folgenden Befehl als AeDebugger fest:
procdump64.exe -ma -i C:\Dumps
3b) Alternativ können Sie diesen Befehl verwenden, um bei Bedarf einen Dump zu erstellen:
procdump64.exe -ma <PID | Process Name>
Beispiel für sfc.exe:
procdump64.exe -accepteula -ma -e -x c:\Dumps %ProgramFiles%\Cisco\AMP\8.2.3.30119\sfc.exe
4. Navigieren Sie wie dargestellt zum Ordner C:\Dumps. Zippen Sie es und teilen Sie es für die Analyse:
Deinstallation
So deinstallieren Sie procdump:
procdump64.exe -u
Anmerkung: Crash Dumps können eine beträchtliche Menge an Speicherplatz belegen, daher ist es wichtig, procdump zu stoppen, sobald die Sammlung abgeschlossen ist.
Sie können die Größe des Ordners jedoch auch mit der Problemumgehung komprimieren:
CLI verwenden
Verwenden Sie diesen Befehl an der Eingabeaufforderung, um die Komprimierung zu aktivieren.
compact /c /s:c:\install
Benutzeroberfläche verwenden
1. Navigieren Sie zu Eigenschaften des Ordners Dumps und überprüfen Sie die Originalgröße des Ordners auf der Festplatte wie folgt:
2. Navigieren Sie zur Option Erweitert, aktivieren Sie die Komprimierung, und wenden Sie sie an. Dieser Vorgang kann einige Minuten dauern.
3. Am Ende können Sie beobachten, dass die Ordnergröße deutlich reduziert hat, fast erreicht die Hälfte der ursprünglichen Größe.
Revisionsverlauf
| Überarbeitung | Veröffentlichungsdatum | Kommentare |
|---|---|---|
1.0 |
24-Mar-2025
|
Erstveröffentlichung |
FeedbackCisco kontaktieren
- Eine Supportanfrage öffnen
- (Erfordert einen Cisco Servicevertrag)