Configurare la raccolta di dettagli arresto anomalo del processo per sfc.exe in Windows

Opzioni per il download

PDF (804.3 KB)
Visualizza con Adobe Reader su diversi dispositivi

Aggiornato:24 marzo 2025

ID documento:222893

Linguaggio senza pregiudizi

La documentazione per questo prodotto è stata redatta cercando di utilizzare un linguaggio senza pregiudizi. Ai fini di questa documentazione, per linguaggio senza di pregiudizi si intende un linguaggio che non implica discriminazioni basate su età, disabilità, genere, identità razziale, identità etnica, orientamento sessuale, status socioeconomico e intersezionalità. Le eventuali eccezioni possono dipendere dal linguaggio codificato nelle interfacce utente del software del prodotto, dal linguaggio utilizzato nella documentazione RFP o dal linguaggio utilizzato in prodotti di terze parti a cui si fa riferimento. Scopri di più sul modo in cui Cisco utilizza il linguaggio inclusivo.

Informazioni su questa traduzione

Cisco ha tradotto questo documento utilizzando una combinazione di tecnologie automatiche e umane per offrire ai nostri utenti in tutto il mondo contenuti di supporto nella propria lingua. Si noti che anche la migliore traduzione automatica non sarà mai accurata come quella fornita da un traduttore professionista. Cisco Systems, Inc. non si assume alcuna responsabilità per l’accuratezza di queste traduzioni e consiglia di consultare sempre il documento originale in inglese (disponibile al link fornito).

Sommario

Introduzione

Prerequisiti

Problema

Scarica e prepara ambiente

Raccolta automatica

Disinstallare il debugger automatico

Raccolta manuale

Compressione cartella dettagli arresto anomalo

Usa CLI (Command Line Interface)

Interfaccia grafica utente (GUI)

Introduzione

In questo documento viene descritto come raccogliere i dump di arresto anomalo del sistema in Windows per il processo sfc.exe.

Ambiente

Piattaforma: Endpoint Windows

Prodotto: Cisco Secure Endpoint Connector

Strumenti: Prompt dei comandi di Windows Microsoft Sysinternals ProcDump (procdump64.exe)

Conoscenze presunte:

Cisco Secure Endpoint Connector
Prompt dei comandi di Windows

Il documento può essere consultato per tutte le versioni software o hardware. Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Esaminare l'impatto potenziale di un comando prima di usarlo su una rete attiva.

Causa

Gli arresti anomali di sfc.exe possono lasciare l'applicazione Cisco Secure Endpoint disabilitata o disconnessa.
Windows può richiamare un debugger post-mortem configurato tramite i valori del Registro di sistema AeDebug; È possibile registrare ProcDump come tale debugger per acquisire i dump di arresto anomalo del sistema.

Problema

In caso di arresto anomalo di sfc.exe, Cisco Secure Endpoint può passare allo stato disattivato o disconnesso. Questo problema può verificarsi dopo un arresto imprevisto di Windows o un'altra attività di Windows.
Windows attiva uno strumento di debug configurato nei valori del Registro di sistema AeDebug (Application Error Debug). In questo scenario, è possibile preselezionare un programma come strumento da utilizzare, denominato debugger post-mortem.

Risoluzione

Operazioni preliminari

Confermare l'accesso amministrativo all'endpoint di Windows.
Verificare che C:\Dumps esista o possa essere creato e che l'account che esegue ProcDump disponga dell'accesso in scrittura alla cartella.
Decidere se è necessaria la raccolta automatica (registrazione del debugger post-mortem) o manuale (dump su richiesta).

Scarica e prepara ambiente

1. Scaricare Procdump (da utilizzare come debugger post-mortem di AeDebug) da Sysinternals Suite.

2. Estrarre procdump64.exe in C: e creare la cartella Dump per la raccolta dei dettagli dell'arresto anomalo del sistema.

Nota: ProcDump (procdump64.exe) supporta due metodi di raccolta dei dettagli: raccolta automatica (registrare ProcDump come debugger post-mortem e specificare una cartella di output) e raccolta manuale (attivare un dump per un ID processo o un nome processo specifico).

Raccolta automatica

1. Impostare procdump64.exe come debugger automatico nella configurazione del Registro di sistema per il debug post-mortem di Windows (AeDebug) con questo comando. Quando un programma si blocca, ProcDump salva il dump di arresto anomalo nella cartella specificata.

procdump64.exe -ma -i C:\Dumps

2. Passare alla cartella C:\Dumps. Comprimerlo e condividerlo per l'analisi.

Disinstallare il debugger automatico

1. Per disinstallare procdump64.exe, utilizzare questo comando.

procdump64.exe -u

Raccolta manuale

1. Utilizzare questo comando per creare un dump su richiesta.

procdump64.exe -accepteula -ma -e -x c:\Dumps <PID | Process Name>

Esempio di sfc.exe.

procdump64.exe -accepteula -ma -e -x c:\Dumps "%ProgramFiles%\Cisco\AMP\8.6.1.30582\sfc.exe"

2. Passare alla cartella C:\Dumps. Comprimerlo e condividerlo per l'analisi.

Compressione cartella dettagli arresto anomalo

I dump di arresto anomalo possono occupare una quantità significativa di spazio su disco, pertanto è importante arrestare procdump una volta completata la raccolta. È inoltre possibile utilizzare la soluzione alternativa per comprimere le dimensioni della cartella.

Usa CLI (Command Line Interface)

Utilizzare questo comando al prompt dei comandi per abilitare la compressione.

compact /c /s:c:\Dumps

Interfaccia grafica utente (GUI)

1. Passare a Proprietà per la cartella Dump e controllare le dimensioni originali della cartella su disco.

2. In Proprietà, fare clic su Avanzate, selezionare Comprimi contenuto per risparmiare spazio su disco, quindi fare clic su OK per applicare la modifica. Questo processo può richiedere alcuni minuti.