Configurer la collecte automatique des vidages de panne de processus sous Windows pour le processus Sfc.exe

Introduction

Ce document décrit comment collecter des vidages sur incident sous Windows pour le processus sfc.exe.

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Connecteur Cisco Secure Endpoint
• Fenêtres Invite de commandes

Composants utilisés

Ce document n'est pas limité aux versions logicielles et matérielles. The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Problème

• L'application Cisco Secure Endpoint peut passer à l'état désactivé ou déconnecté en raison d'une panne de sfc.exe. Cela peut être dû à un arrêt inattendu de Windows ou à d'autres activités de Windows.
• Windows active un outil de débogage configuré dans les valeurs de Registre AeDebug. Dans ce scénario, un programme peut être présélectionné en tant qu'outil à utiliser, appelé débogueur post-mortem.

Solution

1. Téléchargez Procdump (à utiliser comme débogueur post-mortem AeDebug) à partir de Sysinternals Suite.

2. Extrayez procdump.exe en C : lecteur et créer le dossier Dumps pour la collection de vidage sur incident :

3 bis. Définissez Procdump comme AeDebugger avec la commande :

procdump64.exe -ma -i C:\Dumps

 

3 ter. Vous pouvez également utiliser cette commande pour créer un vidage à la demande :

procdump64.exe -ma <PID | Process Name>

Exemple pour sfc.exe :

procdump64.exe -accepteula -ma -e -x  c:\Dumps %ProgramFiles%\Cisco\AMP\8.2.3.30119\sfc.exe

4. Accédez au dossier C:\Dumps comme indiqué. Compressez-le et partagez-le pour analyse :

Désinstallation

 

Pour désinstaller procdump, utilisez :

procdump64.exe -u

Bien que, vous pouvez également utiliser la solution de contournement pour compresser la taille du dossier :

Utiliser CLI

Utilisez cette commande à l'invite de commandes pour activer la compression.

compact /c /s:c:\install

Utiliser l'interface graphique

1. Accédez aux Propriétés du dossier Dumps et vérifiez la taille d'origine du dossier sur le disque comme indiqué :

 

2. Accédez à l'option Avancé, activez la compression et appliquez-la. Ce processus peut prendre plusieurs minutes.

 

3. En fin de compte, vous pouvez observer que la taille du dossier a considérablement réduit, atteignant presque la moitié de sa taille d'origine.

 

Historique de révision

Révision	Date de publication	Commentaires
1.0	24-Mar-2025	Première publication