Konfigurieren der Prozess-Absturzspeicherauflistung für "sfc.exe" unter Windows

Einleitung

In diesem Dokument wird beschrieben, wie Sie Crash Dumps unter Windows für den Prozess sfc.exe sammeln.

Umwelt

Plattform: Windows-Endgerät

Produkt: Cisco Secure Endpoint Connector

Tools: Windows-Eingabeaufforderung; Microsoft Sysinternals ProcDump (procdump64.exe)

Angenommene Kenntnisse:

• Cisco Secure Endpoint Connector
• Windows-Eingabeaufforderung

Dieses Dokument ist nicht auf Software- und Hardwareversionen beschränkt. Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Überprüfen Sie vor der Verwendung in einem aktiven Netzwerk die möglichen Auswirkungen aller Befehle.

Ursache

• Bei Abstürzen von sfc.exe kann die Anwendung Cisco Secure Endpoint deaktiviert oder die Verbindung getrennt werden.
• Windows kann einen Postmortem-Debugger aufrufen, der über die AeDebug-Registrierungswerte konfiguriert wurde. ProcDump kann als dieser Debugger registriert werden, um Crash-Dumps zu erfassen.

Problem

• Wenn sfc.exe abstürzt, kann Cisco Secure Endpoint in einen deaktivierten oder getrennten Status wechseln. Dies kann nach einem unerwarteten Herunterfahren von Windows oder nach anderen Windows-Aktivitäten auftreten.
• Windows aktiviert ein Debugtool, das in den Registrierungswerten AeDebug (Application Error Debug) konfiguriert ist. In diesem Szenario kann ein Programm als zu verwendendes Tool vorausgewählt werden, das als Postmortem-Debugger bezeichnet wird.

Auflösung

Vorbereitungen

1. Bestätigen Sie den Administratorzugriff auf den Windows-Endpunkt.
2. Bestätigen Sie, dass C:\Dumps vorhanden ist (oder erstellt werden kann) und dass das Konto, das ProcDump ausführt, Schreibzugriff auf den Ordner hat.
3. Entscheiden Sie, ob eine automatische Sammlung (Registrierung des Postmortem-Debuggers) oder eine manuelle Sammlung (bedarfsgesteuertes Auslesen) erforderlich ist.

Download- und Vorbereitungsumgebung

1. Laden Sie Procdump (als AeDebug-Postmortem-Debugger zu verwenden) von Sysinternals Suite herunter.

2. Extrahieren Sie procdump64.exe in C: -Laufwerk und erstellen Sie den Ordner Dumps für die Crash-Dump-Sammlung.

Anmerkung: ProcDump (procdump64.exe) unterstützt zwei Methoden zur Dump-Sammlung: automatische Sammlung (Registrieren Sie ProcDump als Postmortem-Debugger, und geben Sie einen Ausgabeordner an) und manuelle Sammlung (Auslösen eines Dump für eine bestimmte Prozess-ID oder einen Prozessnamen).

Automatische Erfassung

1. Legen Sie procdump64.exe mit diesem Befehl als automatischen Debugger in der Windows-Postmortem-Debugregisterkonfiguration (AeDebug) fest. Wenn ein Programm abstürzt, speichert ProcDump den Absturzabbild im angegebenen Ordner.

procdump64.exe -ma -i C:\Dumps

2. Navigieren Sie zum Ordner C:\Dumps. Zippen Sie es und teilen Sie es für die Analyse.

Deinstallieren des automatischen Debuggers

 

1. Verwenden Sie den folgenden Befehl, um procdump64.exe zu deinstallieren.

procdump64.exe -u

Manuelle Erfassung

1. Verwenden Sie diesen Befehl, um einen Dump bei Bedarf zu erstellen.

procdump64.exe -accepteula -ma -e -x c:\Dumps <PID | Process Name>

Beispiel für sfc.exe.

procdump64.exe -accepteula -ma -e -x c:\Dumps "%ProgramFiles%\Cisco\AMP\8.6.1.30582\sfc.exe"

2. Navigieren Sie zum Ordner C:\Dumps. Zippen Sie es und teilen Sie es für die Analyse.

Komprimierung des Absturzspeicherabbildordners

Crash Dumps können eine beträchtliche Menge an Speicherplatz belegen, daher ist es wichtig, procdump zu stoppen, sobald die Sammlung abgeschlossen ist. Sie können die Problemumgehung auch verwenden, um die Größe des Ordners zu komprimieren.

CLI (Befehlszeilenschnittstelle) verwenden

Verwenden Sie diesen Befehl in der Eingabeaufforderung, um die Komprimierung zu aktivieren.

compact /c /s:c:\Dumps

Benutzeroberfläche verwenden (grafische Benutzeroberfläche)

1. Navigieren Sie zu Eigenschaften für den Ordner Dumps und überprüfen Sie die Originalgröße des Ordners auf der Festplatte.

 

2. Klicken Sie unter Eigenschaften auf Erweitert, wählen Sie Inhalt komprimieren, um Speicherplatz zu sparen, und klicken Sie auf OK, um die Änderung zu übernehmen. Dieser Vorgang kann einige Minuten dauern.

 

3. Am Ende können Sie beobachten, dass die Ordnergröße deutlich reduziert hat, fast erreicht die Hälfte der ursprünglichen Größe.

 

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
1.0	24-Mar-2025	Erstveröffentlichung