Configurar Coleção de Despejo de Falha de Processo para sfc.exe no Windows

Introdução

Este documento descreve como coletar despejos de memória no Windows para o processo sfc.exe.

Ambiente

Plataforma: Ponto de extremidade do Windows

Produto: Conector Cisco Secure Endpoint

Ferramentas: Prompt de Comando do Windows; Microsoft Sysinternals ProcDump (procdump64.exe)

Conhecimento presumido:

• Conector Cisco Secure Endpoint
• Prompt de Comando do Windows

Este documento não está restrito às versões de software e hardware. As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Analise o impacto potencial de qualquer comando antes de usá-lo em uma rede ativa.

Causa

• travamentos de sfc.exe podem deixar o aplicativo Cisco Secure Endpoint em um estado desabilitado ou desconectado.
• O Windows pode invocar um depurador postmortem configurado através dos valores de registro AeDebug; ProcDump pode ser registrado como esse depurador para capturar despejos de travamento.

Problema

• O Cisco Secure Endpoint pode entrar em um estado desabilitado ou desconectado se o sfc.exe falhar. Isso pode ocorrer após um desligamento inesperado do Windows ou outra atividade do Windows.
• O Windows ativa uma ferramenta de depuração configurada nos valores do Registro AeDebug (Application Error Debug). Neste cenário, um programa pode ser pré-selecionado como a ferramenta a ser usada, que é chamada de depurador post mortem.

Resolução

Antes de Começar

1. Confirme o acesso administrativo no endpoint do Windows.
2. Confirme se C:\Dumps existe (ou pode ser criado) e se a conta que está executando ProcDump tem acesso de gravação à pasta.
3. Decida se a coleta automática (registro do depurador postmortem) ou a coleta manual (despejo sob demanda) é necessária.

Baixar e preparar ambiente

1. Baixe Procdump (para ser usado como o depurador postmortem AeDebug) do Sysinternals Suite.

2. Extraia procdump64.exe no C: e crie a pasta Dumps para a coleção de despejo de memória.

Note: ProcDump (procdump64.exe) oferece suporte a dois métodos de coleta de despejo: coleta automática (registre ProcDump como o depurador postmortem e especifique uma pasta de saída) e coleta manual (dispare um despejo para uma ID de processo ou nome de processo específico).

Coleta automática

1. Defina procdump64.exe como o depurador automático na configuração do Registro de depuração post-mortem do Windows (AeDebug) com este comando. Quando um programa trava, o ProcDump salva o despejo de memória na pasta especificada.

procdump64.exe -ma -i C:\Dumps

2. Navegue até a pasta C:\Dumps. Compacte-o e compartilhe-o para análise.

Desinstalar o Depurador Automático

 

1. Para desinstalar o procdump64.exe, use este comando.

procdump64.exe -u

Coleta manual

1. Use este comando para criar um dump sob demanda.

procdump64.exe -accepteula -ma -e -x c:\Dumps <PID | Process Name>

Exemplo para sfc.exe.

procdump64.exe -accepteula -ma -e -x c:\Dumps "%ProgramFiles%\Cisco\AMP\8.6.1.30582\sfc.exe"

2. Navegue até a pasta C:\Dumps. Compacte-o e compartilhe-o para análise.

Compactação da pasta de despejo de memória

Despejos de memória podem ocupar uma quantidade significativa de espaço em disco, por isso é importante parar procdump depois que a coleta for concluída. Você também pode usar a solução alternativa para compactar o tamanho da pasta.

Usar CLI (Interface de Linha de Comando)

Use este comando no prompt de comando para ativar a compactação.

compact /c /s:c:\Dumps

Usar GUI (Graphical User Interface, Interface gráfica do usuário)

1. Navegue até Propriedades para a pasta Dumps e verifique o tamanho original da pasta no disco.

 

2. Em Propriedades, clique em Avançado, selecione Compactar conteúdo para economizar espaço em disco e clique em OK para aplicar a alteração. Esse processo pode levar vários minutos.

 

3. No final, você pode observar que o tamanho da pasta foi significativamente reduzido, quase atingindo a metade de seu tamanho original.

 

Histórico de revisões

Revisão	Data de publicação	Comentários
1.0	24-Mar-2025	Versão inicial