Windowsでのsfc.exeのプロセス・クラッシュ・ダンプ・コレクションの構成

概要

このドキュメントでは、sfc.exeプロセスのWindowsでクラッシュダンプを収集する方法について説明します。

環境

プラットフォーム:Windowsエンドポイント

製品:Cisco Secure Endpointコネクタ

ツール:Windowsコマンドプロンプト、Microsoft Sysinternals ProcDump(procdump64.exe)

想定される知識:

• Cisco Secure Endpointコネクタ
• Windowsコマンドプロンプト

このドキュメントは、ソフトウェアとハードウェアのバージョンに限定されるものではありません。このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。実稼働中のネットワークで使用する前に、コマンドの潜在的な影響を確認してください。

原因

• sfc.exeがクラッシュすると、Cisco Secure Endpointアプリケーションが無効または接続解除された状態のままになる場合があります。
• Windowsでは、AeDebugレジストリ値を使用して設定されたポストモーテムデバッガを呼び出すことができます。ProcDumpは、クラッシュダンプをキャプチャするためにそのデバッガとして登録できます。

問題

• sfc.exeがクラッシュすると、Cisco Secure Endpointが無効または切断された状態になる場合があります。これは、予期しないWindowsのシャットダウンまたはその他のWindowsアクティビティの後に発生する可能性があります。
• Windowsは、AeDebug（アプリケーションエラーデバッグ）レジストリ値に設定されているデバッグツールをアクティブにします。このシナリオでは、プログラムを使用するツールとして事前に選択しておくことができます。これをポストモーテムデバッガと呼びます。

解決方法

はじめる前に

1. Windowsエンドポイントで管理アクセスを確認します。
2. C:\Dumpsが存在すること（または、作成可能であること）と、ProcDumpを実行しているアカウントにそのフォルダへの書き込みアクセス権があることを確認します。
3. 自動収集（事後デバッガ登録）と手動収集（オンデマンド・ダンプ）のどちらを必要とするかを決定します。

環境のダウンロードと準備

1. Sysinternals SuiteからProcdump （AeDebug postmortemデバッガとして使用）をダウンロードします。

2. procdump64.exeをC:ドライブに解凍し、クラッシュダンプ収集用のDumpsフォルダを作成します。

注: ProcDump (procdump64.exe)は、自動収集（ProcDumpをポストモーテムデバッガとして登録し、出力フォルダを指定する）と手動収集（特定のプロセスIDまたはプロセス名に対してダンプをトリガーする）の2つのダンプ収集メソッドをサポートしています。

自動収集

1. 次のコマンドを使用して、procdump64.exeをWindows Postmortemデバッグレジストリ設定(AeDebug)の自動デバッガとして設定します。プログラムがクラッシュすると、ProcDumpは指定されたフォルダにクラッシュダンプを保存します。

procdump64.exe -ma -i C:\Dumps

2. C:\Dumpsフォルダに移動します。圧縮して分析のために共有します。

自動デバッガのアンインストール

 

1. procdump64.exeをアンインストールするには、次のコマンドを使用します。

procdump64.exe -u

手動収集

1. このコマンドを使用して、オンデマンドでダンプを作成します。

procdump64.exe -accepteula -ma -e -x c:\Dumps <PID | Process Name>

sfc.exeの例。

procdump64.exe -accepteula -ma -e -x c:\Dumps "%ProgramFiles%\Cisco\AMP\8.6.1.30582\sfc.exe"

2. C:\Dumpsフォルダに移動します。圧縮して分析のために共有します。

クラッシュダンプフォルダの圧縮

クラッシュダンプは大量のディスク領域を占有する可能性があるため、収集が完了したらprocdumpを停止することが重要です。回避策を使用して、フォルダのサイズを圧縮することもできます。

CLI（コマンドラインインターフェイス）の使用

圧縮を有効にするには、コマンドプロンプトで次のコマンドを使用します。

compact /c /s:c:\Dumps

GUI（グラフィカルユーザインターフェイス）の使用

1. DumpsフォルダのPropertiesに移動し、ディスク上のフォルダのoriginal sizeを確認します。

 

2. 「プロパティ」で、「詳細」をクリックし、「内容を圧縮してディスク・スペースを節約する」を選択し、「OK」をクリックして変更を適用します。このプロセスには数分かかることがあります。

 

3. 最後に、フォルダのサイズが大幅に減少し、元のサイズの半分に達したことを確認できます。

 

更新履歴

改定	発行日	コメント
1.0	24-Mar-2025	初版