Analizza il pacchetto di diagnostica degli endpoint sicuri macOS per CPU elevata

Introduzione

In questo documento viene descritto come analizzare un bundle di diagnostica da Secure Endpoint Public Cloud su dispositivi macOS per risolvere i problemi di utilizzo elevato della CPU.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Navigazione di base in Secure Endpoint Console
• Navigazione del terminale macOS

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

• Secure Endpoint Console v5.4.20260915
• macOS: 27.0
• Secure Endpoint Connector 1.27

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Secure Endpoint Connector esegue la scansione di tutti i file attivi (quelli che si spostano, copiano e/o modificano da soli) su un computer, a meno che non sia esplicitamente indicato di non farlo. Ciò comporta inevitabilmente problemi di prestazioni se vengono eseguiti troppi processi e operazioni durante l'esecuzione del connettore, con conseguente elevato utilizzo della CPU, rallentamenti o arresti anomali. Inoltre, Secure Endpoint Connector può bloccare i file in base alla reputazione del cloud, che a volte può essere errata (falso positivo). La soluzione a entrambi i problemi consiste nell'escludere questi percorsi e processi.

Il flusso di risoluzione dei problemi relativi alle prestazioni è mostrato nell'immagine.

Risoluzione dei problemi

Le informazioni contenute in questa sezione permettono di risolvere i problemi relativi alla configurazione.

Verificare se nel computer è installato un altro antivirus

Suggerimento: Utilizzare le esclusioni gestite da Cisco se il software in uso è incluso nell'elenco, tenere presente che tali esclusioni possono essere aggiunte alle nuove versioni di un'applicazione.

Per visualizzare gli elenchi disponibili nella sezione delle esclusioni gestite da Cisco sulla console Secure Endpoint:

• Passare a Gestione > Criteri.
• Trovare il criterio e fare clic su Modifica.
• Sul criterio, finestra impostazioni fare clic su Esclusioni.

Selezionare quelli necessari all'endpoint in base al software attualmente installato nel computer, quindi salvare il criterio, come mostrato nell'immagine.

Identificare la CPU elevata quando un'applicazione specifica è in uso

Identificare se il problema si verifica durante l'esecuzione di un'applicazione o di alcune di esse, se si è in grado di replicare il problema, in modo da identificare potenziali esclusioni.

Ottenere un pacchetto diagnostico per l'analisi

Per raccogliere un pacchetto diagnostico utile, è necessario abilitare il livello del log di debug.

Livello di debug nell'endpoint

Se è possibile replicare il problema e accedere all'endpoint, questa è la procedura migliore per acquisire il bundle di diagnostica.

• Sulla barra dei menu di macOS, selezionare l'icona Secure Endpoint.
• Selezionare Impostazioni:
  
• Selezionare Informazioni su.
• Per abilitare la modalità di debug, fare clic sul logo dell'endpoint sicuro:

  

Una notifica indica che Secure Endpoint Connector è in modalità di debug.

Questa procedura abilita il livello del registro di debug fino al successivo intervallo di heartbeat dei criteri.

Debug Level nell'interfaccia della riga di comando (CLI) di Secure Endpoint

• Aprire un terminale
• Esegui ampcli

  /opt/cisco/amp/ampcli

• Nella CLI di Secure Endpoint abilitare la modalità di debug

  ampcli>debuglevel 1

Questo processo abilita il livello del registro di debug fino al successivo intervallo di heartbeat dei criteri.

Livello di debug nel criterio

Se non si dispone dell'accesso all'endpoint o se il problema non può essere riprodotto in modo coerente, è necessario abilitare il livello del registro di debug nel criterio.

Per abilitare il livello di registro di debug in base al criterio:

• Selezionare Gestione > Criteri.
• Trovare il criterio e fare clic su Modifica.
• Selezionare Advanced Settings > Administrative Features.
• Configurare Connector Log Level e Tray Log Level per eseguire il debug e salvare il criterio, come mostrato nell'immagine
  

Attenzione: Se la modalità di debug è abilitata dal criterio, tutti gli endpoint ricevono questa configurazione.

Nota: Sincronizzare i criteri dell'endpoint per verificare la modalità di debug.

Escludere Secure Endpoint da altre soluzioni antivirus

In base al manuale dell'utente, i prodotti antivirus devono escludere le directory successive e tutti i file, le directory e i file eseguibili in esse contenuti per essere compatibili con Secure Endpoint Connector per macOS. Le directory da escludere sono:

• /Applications/Cisco Secure Endpoint/Secure Endpoint Service.app

Riprodurre il problema e raccogliere un pacchetto diagnostico

Quando il livello di debug è configurato, attendere che sul sistema si verifichi lo stato di CPU elevata o riprodurre manualmente le condizioni precedentemente identificate, quindi raccogliere il pacchetto di diagnostica.

Per raccogliere il bundle di debug:

• Aprire un terminale
• Utilizzare il comando

sudo /Applications/Cisco\ Secure\ Endpoint/Secure\ Endpoint\ Service.app/Contents/MacOS/SupportTool

Il pacchetto di debug viene salvato nella cartella ~/Desktop come estensione file .zip.

Analisi delle prestazioni elevate della CPU

Il bundle di diagnostica per il debug è lo storage nel desktop, per avviare l'analisi:

• Decomprimi pacchetto diagnostico
• Ci sono 2 file da rivedere
  • Esecuzioni file: execs.txt
  • Operazioni sui file: fileops.txt
    
• Il file fileops.txt funge da strumento di prestazioni principale per la risoluzione dei problemi. Durante l'esecuzione del connettore, vengono elencate tutte le operazioni attualmente attive sull'endpoint e il messaggio è il seguente:
  <Numero di scansioni eseguite sul percorso al momento della raccolta del bundle> / <Percorso scansionato>
  

  Ad esempio, se si dispone di un'applicazione homebrew, il file fileops.txt mostra le successive operazioni attive:

  639 /Users/user/Library/Bin/MyApplication/support/
  460 /Users/user/Library/Bin/MyApplication/logs/
  219 /Users/user/Library/Bin/MyApplication/Collection/Node/Server/

• Una volta identificato il processo, creare un'esclusione: selezionare Gestione > Esclusioni.
• Selezionare il set di esclusione, quindi Modifica.
• Aggiungere l'esclusione:
  
• Il file Execs.txt contiene tutti i comandi utilizzati dai processi che vengono eseguiti durante la raccolta dei bundle da parte del connettore. I percorsi elencati non devono essere esclusi dal criterio Endpoint protetto, poiché si tratta di binari (/bin) e binari di sistema (/sbin) utilizzati da tutti i processi in Execs.text, che possono tuttavia fornire il processo principale in esecuzione.
  Ad esempio, se nel file Execs.txt vengono visualizzati i log successivi.
  

Poiché l'applicazione homebrew utilizza bash, è possibile confermare che l'applicazione è la causa dell'elevata CPU.

Informazioni correlate

• Configurazione e identificazione delle esclusioni degli endpoint sicuri
• Supporto tecnico e documentazione

Cronologia delle revisioni

Revisione	Data di pubblicazione	Commenti
2.0	29-Sep-2026	Aggiornato per MacOS Golden Gate
1.0	01-Jun-2020	Versione iniziale