Configurar Coleta Automática de Despejos de Falha de Processo no Windows para Processo Sfc.exe
Introdução
Este documento descreve como coletar despejos de memória no Windows para o processo sfc.exe.
Pré-requisitos
Requisitos
A Cisco recomenda que você tenha conhecimento destes tópicos:
- Conector Cisco Secure Endpoint
- Janelas de Prompt de Comando
Componentes usados
Este documento não está restrito às versões de software e hardware. As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.
Problema
- O aplicativo Cisco Secure Endpoint pode entrar em um estado desabilitado ou desconectado devido a uma falha do sfc.exe. Isso pode ser causado por um desligamento inesperado do Windows ou por outras atividades do Windows.
- O Windows ativa uma ferramenta de depuração configurada nos valores do Registro AeDebug. Neste cenário, um programa pode ser pré-selecionado como a ferramenta a ser usada, que é chamada de depurador post mortem.
Solução
1. Baixe Procdump (para ser usado como o depurador postmortem AeDebug) do Sysinternals Suite.
2. Extraia procdump.exe em C: unidade e criar pasta Dumps para coleção de despejo de memória:
Note: Há duas maneiras principais de coletar dumps usando procdump64.exe:
· procdump64.exe -ma -i C:\Dumps instala o Procdump como o depurador post-mortem (AeDebug) e especifica a pasta (C:\Dumps) onde os despejos de memória serão salvos automaticamente quando um processo falhar. Este modo configura o Procdump para monitorar travamentos e salvar os despejos de memória completos no diretório especificado. É útil se você observar que o sfc.exe trava com frequência.
· procdump64.exe -ma <PID | Process Name> aciona manualmente um despejo de memória completo (-ma) do processo em execução especificado por seu PID ou nome de processo. Esse comando captura o dump imediatamente em vez de esperar por um evento de travamento.
Em resumo, a opção -i com um caminho de pasta instala o Procdump como um manipulador de travamento, salvando dumps em travamentos nessa pasta, enquanto a especificação de um PID ou nome de processo captura um dump desse processo sob demanda. Ambos usam o sinalizador -ma para criar um despejo de memória completo. Esse uso é descrito no documento da Cisco sobre coleta de despejos de travamento de processo no Windows com Procdump64.exe
3-A. Defina Procdump como AeDebugger com o comando:
procdump64.exe -ma -i C:\Dumps
3-B. Como alternativa, use este comando para criar dump sob demanda:
procdump64.exe -ma <PID | Process Name>
Exemplo para sfc.exe:
procdump64.exe -accepteula -ma -e -x c:\Dumps %ProgramFiles%\Cisco\AMP\8.2.3.30119\sfc.exe
4. Navegue até a pasta C:\Dumps como mostrado. Compacte-o e compartilhe-o para análise:
Desinstalação
Para desinstalar o procdump, use:
procdump64.exe -u
Note: Despejos de memória podem ocupar uma quantidade significativa de espaço em disco, por isso é importante parar procdump depois que a coleta for concluída.
Embora, você também possa usar a solução alternativa para compactar o tamanho da pasta:
Usar CLI
Use esse comando no prompt de comando para ativar a compactação.
compact /c /s:c:\install
Usar GUI
1. Navegue para Propriedades da pasta Dumps e verifique o tamanho original da pasta no disco como mostrado:
2. Navegue até a opção Avançado, ative a compactação e aplique-a. Esse processo pode levar vários minutos.
3. No final, você pode observar que o tamanho da pasta foi significativamente reduzido, quase atingindo a metade de seu tamanho original.
Histórico de revisões
| Revisão | Data de publicação | Comentários |
|---|---|---|
1.0 |
24-Mar-2025
|
Versão inicial |
FeedbackContate a Cisco
- Abrir um caso de suporte
- (É necessário um Contrato de Serviço da Cisco)