Configurar colección de volcado de memoria de procesos para sfc.exe en Windows

Introducción

Este documento describe cómo recopilar volcados de memoria en Windows para el proceso sfc.exe.

Entorno

Plataforma: extremo de Windows

Producto: Conector de terminal seguro de Cisco

Herramientas: Símbolo del sistema de Windows; Microsoft Sysinternals ProcDump (procdump64.exe)

Conocimiento supuesto:

• Conector de terminal seguro de Cisco
• Símbolo del sistema de Windows

Este documento no se limita a las versiones de software y hardware. La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Revise el impacto potencial de cualquier comando antes de utilizarlo en una red activa.

Causa

• Los bloqueos de sfc.exe pueden dejar la aplicación Cisco Secure Endpoint en un estado deshabilitado o desconectado.
• Windows puede invocar un depurador postmortem configurado mediante los valores del Registro AeDebug; ProcDump se puede registrar como ese depurador para capturar volcados de memoria.

Problema

• Cisco Secure Endpoint puede entrar en un estado deshabilitado o desconectado si sfc.exe falla. Esto puede ocurrir después de un apagado inesperado de Windows u otra actividad de Windows.
• Windows activa una herramienta de depuración configurada en los valores del Registro AeDebug (Application Error Debug). En este escenario, se puede preseleccionar un programa como la herramienta que se va a utilizar, lo que se denomina depurador postmortem.

Resolución

Antes de comenzar

1. Confirme el acceso administrativo en el extremo de Windows.
2. Confirme que C:\Dumps existe (o que se puede crear) y que la cuenta que ejecuta ProcDump tiene acceso de escritura a la carpeta.
3. Decida si se requiere la recopilación automática (registro del depurador postmortem) o la recopilación manual (volcado a petición).

Descargar y preparar el entorno

1. Descargue Procdump (para ser utilizado como el depurador AeDebug postmortem) de Sysinternals Suite.

2. Extraiga procdump64.exe a la C: y crear la carpeta Dumps para la recolección de volcado de memoria.

Nota: ProcDump (procdump64.exe) admite dos métodos de recopilación de volcados: colección automática (registrar ProcDump como depurador postmortem y especificar una carpeta de resultados) y colección manual (desencadenar un volcado para un identificador de proceso o nombre de proceso específico).

Recogida automática

1. Establezca procdump64.exe como el depurador automático en la configuración del Registro de depuración postmortem de Windows (AeDebug) con este comando. Cuando un programa se bloquea, ProcDump guarda el volcado de bloqueo en la carpeta especificada.

procdump64.exe -ma -i C:\Dumps

2. Navegue hasta la carpeta C:\Dumps. Compártalo y compártelo para su análisis.

Desinstalar el depurador automático

 

1. Para desinstalar procdump64.exe, utilice este comando.

procdump64.exe -u

Recogida manual

1. Utilice este comando para crear un volcado a petición.

procdump64.exe -accepteula -ma -e -x c:\Dumps <PID | Process Name>

Ejemplo de sfc.exe.

procdump64.exe -accepteula -ma -e -x c:\Dumps "%ProgramFiles%\Cisco\AMP\8.6.1.30582\sfc.exe"

2. Navegue hasta la carpeta C:\Dumps. Compártalo y compártelo para su análisis.

Compresión de carpeta de volcado de memoria

Los volcados de memoria pueden ocupar una cantidad significativa de espacio en disco, por lo que es importante detener procdump una vez que se complete la recolección. También puede utilizar la solución alternativa para comprimir el tamaño de la carpeta.

Utilizar CLI (interfaz de línea de comandos)

Utilice este comando en el símbolo del sistema para habilitar la compresión.

compact /c /s:c:\Dumps

Usar GUI (interfaz gráfica de usuario)

1. Navegue hasta Propiedades para la carpeta Volcados y verifique el tamaño original de la carpeta en el disco.

 

2. En Propiedades, haga clic en Avanzado, seleccione Comprimir contenido para ahorrar espacio en disco, y haga clic en Aceptar para aplicar el cambio. Este proceso puede tardar varios minutos.

 

3. Al final, puede observar que el tamaño de la carpeta se ha reducido significativamente, casi alcanzando la mitad de su tamaño original.

 

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
1.0	24-Mar-2025	Versión inicial