Contenu

Introduction

Procédure:

Introduction

En tant qu'administrateur système, vous pouvez obtenir des journaux détaillés à l'aide du Moniteur de processus (procmon.exe) pour déterminer si le connecteur FireAMP est suspendu au cours du processus de démarrage de l'ordinateur. Ces journaux seront également demandés par le TAC de Cisco afin de résoudre de tels problèmes. Process Monitor est un utilitaire gratuit qui peut nous aider ici. Vous pouvez le télécharger gratuitement à l'adresse https://docs.microsoft.com/en-us/sysinternals/downloads/procmon

Ce document décrit les étapes de collecte des journaux ProcMon et du vidage de la mémoire si le problème survient lors d'un processus de démarrage du système (ce qui signifie qu'il génère des BSOD au démarrage). Ces journaux sont nécessaires pour capturer les événements système qui se produisent pendant le démarrage.

Procédure:

1. Installer les machines d'essai de manière à ce que le problème puisse être reproduit facilement.

2. Téléchargez et exécutez l'outil ProcMon en tant qu'administrateur. Accédez à Fichier -> Fichiers de sauvegarde du Moniteur de processus et sélectionnez un chemin d'accès.

3. Dans l'outil Procmon, accédez à Options -> Activer la journalisation de démarrage.

4. Sélectionnez Générer des événements de profilage des menaces et Toutes les secondes.

5. Assurez-vous que tous les filtres pertinents sont sélectionnés dans Procmon et que les données sont collectées.

6. Si vous ne parvenez pas à répliquer le plantage, vous pouvez forcer le plantage de Windows à l'aide de l'utilitaire NotMyFault64.exe que vous pouvez obtenir de https://live.sysinternals.com/files/

Les instructions relatives à l'exécution de sont disponibles ici : https://docs.microsoft.com/en-us/windows/client-management/generate-kernel-or-complete-crash-dump

7. Crash de la machine.

8. Démarrez l'ordinateur en mode sans échec et collectez manuellement Procmon.pmb et MEMORY.DMP, les deux fichiers se trouvent dans C:\Windows folder. Ces fichiers doivent être partagés avec le TAC Cisco.

7. Si vous pouvez éventuellement le démarrer en « mode normal » si les fichiers PMB sont générés dans le fichier C:\Windows folder, alors si vous lancez à nouveau ProcMon, vous verrez les journaux suivants. À partir de là, vous pouvez réenregistrer les événements en cliquant sur le bouton Enregistrer.