Raccolta dei registri ProcMon per la risoluzione dei problemi AMP all'avvio

Introduzione

In qualità di amministratore di sistema, è possibile ottenere registri dettagliati utilizzando Process Monitor (procmon.exe) per determinare se il connettore FireAMP si blocca durante il processo di avvio del computer. Questi registri verranno richiesti anche da Cisco TAC per risolvere i problemi. Process Monitor è un'utilità gratuita che può aiutarci in questa fase. Il file può essere scaricato gratuitamente dal sito https://docs.microsoft.com/en-us/sysinternals/downloads/procmon

In questo documento viene descritto come raccogliere i log di ProcMon e i dump della memoria se il problema si verifica durante un processo di avvio del sistema (ovvero se sta generando BSOD all'avvio). Questi registri sono necessari per acquisire gli eventi di sistema che si verificano durante l'avvio.

Procedura:

1. Impostare le macchine di prova in modo che il problema possa essere facilmente riprodotto.

2. Scaricare ed eseguire lo strumento ProcMon come amministratore. Andare su File -> Process Monitor Backing Files e selezionare un Percorso. 

3. In Procmon Tool, selezionare Options -> Enable Boot Logging (Opzioni > Abilita registrazione avvio). 

4. Selezionare Genera eventi profiling minaccia e Ogni secondo.

5. Assicurarsi che tutti i filtri pertinenti siano selezionati in Procmon e che i dati siano stati raccolti.

6. Se non si è in grado di replicare l'arresto anomalo, è possibile forzare l'arresto anomalo di Windows utilizzando l'utility NotMyFault64.exe, che è possibile ottenere da https://live.sysinternals.com/files/

Di seguito sono riportate le istruzioni per l'esecuzione. https://docs.microsoft.com/en-us/windows/client-management/generate-kernel-or-complete-crash-dump

7. Bloccare la macchina.

8. Avviare il computer in modalità provvisoria e raccogliere manualmente Procmon.pmb e MEMORY.DMP, entrambi i file si trovano nella cartella C:\Windows. Questi file devono essere condivisi con Cisco TAC.

7. Se si è in grado di eseguire l'avvio in "modalità normale" se i file PMB vengono generati nella cartella C:\Windows, se si avvia nuovamente ProcMon verranno visualizzati i seguenti log. Da questo, è possibile salvare nuovamente gli eventi facendo clic sul pulsante Salva.