為Windows上的sfc.exe配置進程故障轉儲集合
簡介
本文檔介紹如何在Windows上為sfc.exe進程收集故障轉儲。
環境
平台:Windows終結點
產品:思科安全終端聯結器
工具:Windows命令提示符；Microsoft Sysinternals ProcDump(procdump64.exe)
假定知識:
- 思科安全終端聯結器
- Windows命令提示符
本檔案所述內容不限於軟體和硬體版本。本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。在用於活動網路之前，請審查任何命令的潛在影響。
原因
- sfc.exe崩潰可能會使思科安全終端應用程式處於禁用或斷開連線狀態。
- Windows可以呼叫通過AeDebug登錄檔值配置的事後偵錯程式；可以將ProcDump註冊為偵錯程式以捕獲崩潰轉儲。
問題
- 如果sfc.exe崩潰，思科安全終結點可以進入禁用或斷開狀態。出現意外的Windows關閉或其他Windows活動後，可能會出現這種情況。
- Windows啟用在AeDebug（應用程式錯誤調試）登錄檔值中配置的調試工具。在此場景中，可以預先選擇一個程式作為要使用的工具，這稱為死後調試程式。
解析
開始之前
- 確認對Windows終結點的管理訪問許可權。
- 確認C:\Dumps存在（或可以建立），並且運行ProcDump的帳戶具有對資料夾的寫訪問許可權。
- 決定是需要自動收集（事後偵錯程式註冊）還是需要手動收集（按需轉儲）。
下載並準備環境
1.從Sysinternals Suite下載Procdump（將用作AeDebug事後偵錯程式）。
2.將procdump64.exe解壓到C:驅動器並建立故障轉儲集合的Dumps資料夾。
自動收集
1.使用此命令將procdump64.exe設定為Windows事後調試登錄檔配置(AeDebug)中的自動偵錯程式。當程式崩潰時，ProcDump會將崩潰轉儲儲存在指定的資料夾中。
procdump64.exe -ma -i C:\Dumps
2.導航至C:\Dumps資料夾。壓縮並共用以供分析。
解除安裝自動偵錯程式
1.要解除安裝procdump64.exe，請使用以下命令。
procdump64.exe -u
手動收集
1.使用此命令可根據需要建立轉儲。
procdump64.exe -accepteula -ma -e -x c:\Dumps <PID | Process Name>
sfc.exe的示例。
procdump64.exe -accepteula -ma -e -x c:\Dumps "%ProgramFiles%\Cisco\AMP\8.6.1.30582\sfc.exe"
2.導航至C:\Dumps資料夾。壓縮並共用以供分析。
崩潰轉儲資料夾壓縮
崩潰轉儲可能會佔用大量磁碟空間，因此收集完成後立即停止procdump非常重要。也可以使用替代方法壓縮資料夾的大小。
使用CLI（命令列介面）
在命令提示符下使用此命令啟用壓縮。
compact /c /s:c:\Dumps
使用GUI（圖形使用者介面）
1.導覽至轉儲資料夾的屬性，然後檢查磁碟上資料夾的原始大小。
2.在屬性中，按一下高級，選擇壓縮內容以節省磁碟空間，然後按一下確定以應用更改。此過程可能需要幾分鐘時間。
3.最後，您可以觀察到，資料夾大小已顯著減小，幾乎達到其原始大小的一半。
修訂記錄
| 修訂 | 發佈日期 | 意見 |
|---|---|---|
1.0 |
24-Mar-2025
|
初始版本 |
意見