Pasos mínimos de recopilación de datos para problemas de Endpoint Security

En este artículo se proporciona información básica sobre la Recopilación de datos mínima pasos para solucionar problemas de ENS comunes.

Asegúrese de que todos los registros son recopilado desde el mismo sistema que experimenta el problema y que todos los registros se recopilan al mismo tiempo. Las marcas de tiempo de los datos de registro se pueden utilizar para solucionar el problema.

Los registros no coincidentes de distintos sistemas, o los registros recopilados en momentos distintos, no se pueden utilizar para solucionar problemas. Dichos registros podrían acarrear la necesidad de rerecopilar todos los registros de recopilación de datos mínimos.

ASPECTO Se necesitan los siguientes archivos para Soporte técnico:

Requisitos mínimos de escalación (MER) archivos con registro de depuración para ENS son necesarios para todos los problemas. Para obtener información sobre registro de depuración, consulte Verificar si el registro de depuración ENS está activado. Para obtener información sobre los archivos de MER, consulte: EL artículo KB59385-cómo utilizar herramientas de MER con productos de McAfee compatibles. El registro de depuración debe estar activado para la Real Protect RC.log que se va a generar.

Recopile otros archivos y registros por cada problema que se indica a continuación:

Inicio o arranque lento
Inicio de sesión lento
Inicio lento de la aplicación (reproducible o aleatorio)
Rendimiento lento de la aplicación (reproducible o aleatorio)
Rendimiento lento del sistema (reproducible o aleatorio)
Bloqueo o bloqueo del sistema
Comprobación de errores del sistema (pantalla azul)
Bloqueo o bloqueo de aplicación (no responde y no se recupera)
Bloqueo de la aplicación
Fuga de memoria (modo de usuario o kernel)
Problemas relacionados con Device Guard o Credential Guard
Uno o varios componentes de ENS no se pueden instalar
El estado de ENS es: Plataforma de Endpoint Security no se está ejecutando.
Inyección de DLL de terceros
Problemas relacionados con Threat Intelligence Exchange (TIE)
Problemas relacionados con el Firewall de ENS

Según el problema, es posible que necesite las siguientes herramientas:

Las

AMTrace es una herramienta interna para recopilar datos de registro de AMCore (última actualización: 11 de octubre de 2018). Para utilizar AMTrace para recopilar datos de registro de AMCore:
1. Pare AMTrace:
  1. Descargar el paquete zip ENSDataCollect.zip de la Anexión de este artículo.
  2. Extraiga el contenido en el escritorio.
2. Ejecutándose AMTrace:
  1. Pulsar Inicio, escriba cmd.exe en la barra de búsqueda, haga clic con el botón derecho en cmd.exe en la lista y haga clic en Ejecutándose como administrador.
  2. Cuando esté listo para iniciar un rastreo, utilice la siguiente opción de comando, que requiere la sección de recopilación de datos relevante.
    
    SEÑALAR A continuación se indican las rutas a la AMTrace.exe ubicaciones de archivos:
    - C:\Users\username\Desktop\ENSDataCollect\AMTracex86
    - C:\Users\username\Desktop\ENSDataCollect\AMTracex64
    AMTrace Opciones de comando:
    - Para utilizar la AMTrace onboot Ejecute el siguiente comando:
      
      AMTrace.exe -b onboot -m 4GB
      
      Este comando indica a la herramienta que inicie un rastreo en la siguiente arranque.
      Notas
      
      El "GB" distingue entre mayúsculas y minúsculas. En este ejemplo se limita el tamaño del registro a 4 GB. 10 MB es el valor mínimo aceptado y 2 GB es el predeterminado, si no se especifica.
      
      Esta opción no admite los modos de registro alternativos que se describen a continuación.
    - Para utilizar AMTrace con la cerra Ejecute el siguiente comando:
      
      AMTrace.exe -b now -m 4GB
      
      ASPECTO Lo AMTrace ahora utiliza el negociación opción predeterminada.
      
      Este comando indica a la herramienta que inicie un rastreo inmediatamentey para limitar el tamaño del registro a 4 GB por .etl File. Cuando el registro alcanza los 4 GB, se crea un nuevo registro. Cada registro se anexa con 1, _2, etc. hasta que detenga el rastreo, el usuario cierre la sesión o apague el sistema.
      
      SEÑALAR El "GB" distingue entre mayúsculas y minúsculas.
    - Para utilizar AMTrace ningún la opción de sustitución:
      Elija un método de registro adecuado para el problema que desee registrar:
      
      AMTrace.exe -b now -m 4GB -L stop
      AMTrace.exe -b now -m 4GB -L circular
      
      Lo final el modo crea una sesión de rastreo que detiene el registro una vez alcanzado el límite de tamaño.
      Lo camino el modo crea una sesión de rastreo que registra en un único archivo. Tras alcanzar el tamaño máximo, se sobrescriben los eventos más antiguos.
      
      SEÑALAR Las "L" y "GB" distinguen entre mayúsculas y minúsculas.
  3. Detenga el rastreo y guarde el registro. Utilice el siguiente comando:
    
    AMTrace -e
  4. Cuando sea posible, AMTrace intenta cambiar automáticamente el nombre de los archivos ETL resultantes para que incluyan la hora de inicio y la hora de detención del registro en el nombre de archivo. Por ejemplo, amtrace_20200704.010203-010305.etl indicaría que el registro comenzó el 2020-07-04 (4 de julio de 2020) a las 1:02:03 y continuó hasta el 1:03:05.
    Si AMTrace no se puede cambiar el nombre del archivo cuando se detiene el registro; aún es posible cambiar el nombre del archivo manualmente con otro AMTrace mando
    
    AMTrace.exe --datestamp *.etl
    
    Este comando acepta caracteres comodín (* bien ?) para hacer referencia a varios caracteres o un solo carácter, respectivamente. Este comando cambia el nombre del archivo o archivos especificados para que incluyan las horas de inicio y detención en el nombre del archivo. No afecta a los archivos que ya tienen el datestamp agregado.
Para confirmar si un AMTrace en curso, ejecute el siguiente comando para ver las trazas activas:

AMTrace -q

Para obtener una demostración de cómo recopilar AMTrace datos con este procedimiento, observe el siguiente vídeo:
GFlags permite activar y desactivar las funciones de diagnóstico y solución de problemas de los sistemas internos avanzados. Puede ejecutar GFlags en una ventana del símbolo del sistema o utilice su cuadro de diálogo de interfaz gráfica de usuario. Se suele utilizar para activar los indicadores que controlan, recuento y registran otras herramientas.
MER recopila registros de eventos, detalles de versión de archivos, archivos, detalles de procesos y detalles de registro de los productos de McAfee instalados en el equipo. Soporte técnico utiliza datos recopilados para resolver problemas. Para obtener más información, consulte: EL artículo KB59385-cómo utilizar herramientas de MER con productos de McAfee compatibles.
Monitor de procesos es una herramienta de Microsoft que supervisa y muestra toda la actividad del sistema de archivos en un Windows sistema operativo en tiempo real. Utilice la herramienta de administración de sistemas, análisis forenses y depuración de aplicaciones. Cómo utilizar Process Monitor:
1. Prepare Process Monitor:
  1. Descargue Process Monitor desde la Página de descargas de Process Monitor.
  2. Traer Procmon.exe en el escritorio.
2. Ejecute Process Monitor:
  1. Cuando esté listo para iniciar Process Monitor, utilice la siguiente opción, que requiere la sección de recopilación de datos relevante.
    - Para iniciar inmediatamente Process Monitor:
      1. Ejecutándose Procmon.exe y se empieza a capturar automáticamente la información del proceso.
      2. Para detener Process Monitor, pulse Ctrl+E o haga clic en Archivo y anule la selección Eventos de captura. Pulse Ctrl+E de nuevo para reanudar la recopilación de datos.
      3. Para guardar el registro, haga clic en Archivo, Guardar... (seleccione Todos los eventos y utilice el formato de PML nativo).
    - Para activar la opción de registro de inicio de Process Monitor, si es necesario, en la sección correspondiente de recopilación de datos:
      1. Abra la consola de Process Monitor.
      2. Haga clic en Opciones.
      3. Haga clic en Activar registro de arranque.
      4. Haga clic en Aceptar en la ventana emergente. La próxima vez que se reinicie, se creará un registro de rastreo de arranque.
      5. Para guardar el registro, ejecute Process Monitor de nuevo y haga clic en Archivo, Guardar... (seleccione Todos los eventos y utilice el formato de PML nativo).
Para obtener una demostración de cómo recopilar datos de Process Monitor con este procedimiento, consulte el siguiente vídeo:
Procdump es una utilidad de línea de comandos que se utiliza para monitor una aplicación para obtener picos en la CPU. Genera volcados de bloqueo durante un pico que un administrador o desarrollador puede utilizar para determinar la causa del pico.
Perfmon es una herramienta que los administradores pueden utilizar para examinar la forma en que los programas, que se ejecutan en sus equipos, afectan al rendimiento del equipo. Utilice la herramienta en tiempo real para analizar la forma en que los programas en ejecución afectan al rendimiento del sistema. También puede utilizar esta herramienta para recopilar información sobre el archivo de registro para el análisis de datos de rendimiento del sistema posteriormente.
PoolMon muestra los datos que recopila el sistema operativo sobre las asignaciones de memoria de los grupos de kernels paginados y no paginados del sistema, así como de los grupos de memoria utilizados para las sesiones de servicios de Terminal Server. Los datos se agrupan por la etiqueta de asignación de grupos. Microsoft Soporte técnico utiliza esa información para localizar las fugas de memoria en modo kernel.
Convertidor de VMware es una utilidad gratuita de VMware que ayuda a convertir los sistemas físicos basados en Windows y Linux a VMware máquinas virtuales. También puede utilizarla para convertir formatos de imagen de terceros, como imágenes de copia de seguridad y otras máquinas virtuales, en VMware máquinas virtuales. Utilice esta herramienta para crear máquinas virtuales con el fin de proporcionar Soporte técnico para la solución de problemas.
WinDbg es un depurador distribuido Microsoft para el sistema operativo Windows. Utilice esta herramienta para depurar aplicaciones en modo de usuario, controladores de dispositivos y el propio sistema operativo en modo de kernel. Dispone de una interfaz gráfica de usuario y es más eficaz que el depurador de Visual Studio.

Windows registration Recorder (WPR) es una herramienta de grabación de rendimiento de Microsoft basada en el rastreo de eventos para Windows (ETW). Registra los eventos del sistema que puede analizar mediante Windows Performance Analyzer (WPA). Cómo usar WPR:

Pulsar Inicio, escriba cmd.exe en la barra de búsqueda, haga clic con el botón derecho en cmd.exe en la lista y haga clic en Ejecutar como administrador.
Escriba wprui.exe y pulse Intro para iniciar WPR.

SEÑALAR Si el programa no se ejecuta o no se encuentra, primero debe instalarlo. WPR forma parte del kit de herramientas de Windows performance. Está disponible en el SDK de Windows o en el kit de despliegue y evaluación de Windows:
- Para obtener Windows SDK, consulte la Página Windows de descargas de SDK.
- Para obtener Windows Assessment and Deployment Kit, consulte la Página de descargas de Windows Assessment and Deployment Kit.

Optar por utilizar una Escenario de rendimiento y otras opciones de configuración, tal y como se recomienda en la siguiente tabla:

Problemas de rendimiento	Escenario de rendimiento	Nivel de detalle	Modo de registro	Perfiles que incluir	Número de iteraciones
Arranque o inicio de sesión lento	Arranque	Consulte a continuación	Archivo	Evaluación del primer nivel, uso de la CPU, actividad de e/S de archivos, actividad de minifiltro e/S	Al menos 1
Uso de la CPU elevado	General	Consulte a continuación	Archivo	Evaluación del primer nivel, uso de la CPU, actividad de e/S de archivos, actividad de minifiltro e/S	N/D
La aplicación es lenta o no responde	General	Consulte a continuación	Archivo	Evaluación del primer nivel, uso de la CPU, actividad de e/S de archivos, actividad de minifiltro e/S	N/D

Los datos de WPR se recopilan para permitir un análisis más profundo del problema. La opción "actividad de e/s de minifiltro" es una de las más importantes y se encuentra en la sección "Análisis de escenario".

El uso de WPR impone una presión adicional en el sistema, lo cual puede modificar o enmascarar el problema original que desea investigar. Recopile dos conjuntos de datos con distintos niveles de detalle. Utilice la configuración Leve para mostrar el problema y la configuración Verbose para permitir un conjunto de datos adecuado para un análisis más profundo. Capture al menos 30 segundos.

Si es posible, recopile un registro de WPR sin el problema mientras realiza la misma tarea, con fines comparativos. Se requiere un conjunto de datos sin ENS presente para establecer el punto de referencia de rendimiento esperado.

Para obtener una demostración de cómo recopilar datos de WPR con este procedimiento, consulte el siguiente vídeo:

En las siguientes secciones se describen los datos que se deben recopilar para cada tipo de problema:

Verificar si el registro de depuración de ENS está activado

Para obtener instrucciones, consulte: KB91797-activar registro de depuración para solucionar problemas de Endpoint Security.

Volver al principio

Arranque, inicio o inicio de sesión lentos

Siga los pasos que se indican en esta sección si los síntomas son los siguientes:

Arranque o Inicio lento
Inicio de sesión lento

Pasos de recopilación de datos para AMTrace y Process Monitor:

Inicio AMTrace con la onboot Option.
Inicie Process Monitor y active la opción de registro al arranque.
Reinicie el sistema.
Reproduzca el problema.
Inicie sesión en el sistema.
Final AMTrace y guarde el registro.
Abra Process Monitor y guarde el registro de arranque.

Pasos de recopilación de datos para Windows Performance Recorder:

Ejecute WPR.
Configure el escenario de rendimiento de Arranque.
Inicie la captura.
Reinicie el sistema.
Reproduzca el problema.
Inicie sesión en el sistema.
Permita que WPR: Boot Trace finalice.
Capture los archivos ETL guardados.

Volver al principio

Rendimiento lento (reproducible)

Siga los pasos que se indican en esta sección si los síntomas son reproducibles y son cualquiera de los siguientes:

Inicio lento de la aplicación
Rendimiento lento de la aplicación
Rendimiento lento del sistema

Pasos de recopilación de datos para AMTrace y Process Monitor:

Inicie Process Monitor.
Inicio AMTrace con la cerra Option.
Reproduzca el problema.
Final AMTrace y guarde el registro.
Detenga Process Monitor y guarde el registro.

Pasos de recopilación de datos para Windows Performance Recorder:

Ejecute WPR.
Configure el escenario de rendimiento General .
Inicie el rastreo.
Reproduzca el problema.
Detenga el rastreo.
Capture el archivo ETL guardado.

Volver al principio

Rendimiento lento (aleatorio)

Siga los pasos que se indican en esta sección si los síntomas se producen de forma aleatoria y son cualquiera de los siguientes:

Inicio lento de la aplicación
Rendimiento lento de la aplicación
Rendimiento lento del sistema

Pasos de recopilación de datos para AMTrace:

Inicio AMTrace con la negociación Option.
Cuando se produzca el problema, detenga AMTrace y guarde el registro.

Pasos de recopilación de datos para Windows Performance Recorder (WPR):

Ejecute WPR.
Configure el escenario de rendimiento General con Memory como modo de registro.
Inicie el rastreo.
Reproduzca el problema.
Guarde el ratreo, tan pronto como sea posible tras reproducir el problema.
Capture el archivo ETL guardado.

Volver al principio

Bloqueo del sistema, interbloqueo o comprobación de errores (pantalla azul)

Siga los pasos que se indican en esta sección si los síntomas son los siguientes:

Bloqueo o bloqueo del sistema
Comprobación de errores del sistema (pantalla azul)

Pasos de recopilación de datos para un bloqueo o bloqueo del sistema:

Configure el sistema para crear un memory.dmp completo. Ve KB56023: crea un volcado de memoria para su análisis mediante Soporte técnico.
Configure el sistema para permitir un bloqueo del teclado. Consulte este Microsoft artículo para forzar un bloqueo del teclado.
Cree el archivo de volcado cuando se produzca el problema. Por lo general, cuanto más tiempo se puede esperar antes de generar el archivo de volcado, más fácil es identificar la condición de bloqueo en el volcado.

Pasos de recopilación de datos para una comprobación de errores del sistema:

Configure el sistema para crear un memory.dmp completo. Ve KB56023: crea un volcado de memoria para su análisis mediante Soporte técnico.
Recopile el archivo de volcado completo cuando se produzca la comprobación de errores del sistema (pantalla azul).

Pasos de recopilación de datos para la salida de FLTMC:

Abra un símbolo del sistema administrativo.
Escriba fltmc.
Recopile la salida de la fltmc mando.

Volver al principio

Bloqueo de la aplicación, interbloqueo o bloqueo

Siga los pasos que se indican en esta sección si los síntomas son los siguientes:

Bloqueo o bloqueo de aplicación (no responde y no recuperado)
Bloqueo de la aplicación

Pasos de recopilación de datos para una aplicación bloqueada o interbloqueo:

Descargue ProcDump desde la Página de descargas de ProcDump.
Extraiga ProcDump al escritorio.
Abra un símbolo del sistema administrativo y cambie el directorio a C:\Users\username\Desktop\Procdump.
Ejecute el siguiente comando: procdump -ma
Recopile el archivo de volcado creado, que se encuentra en la Procdump directorio.

Los pasos de recopilación de datos para una aplicación bloqueada:

Si el proceso de bloqueo es un proceso de ENS, desactive la autoprotección de ENS.
Cárguela ProcDump de la Página de descargas de ProcDump.
Traer ProcDump en el escritorio.
Abra un símbolo del sistema administrativo y cambie el directorio a C:\Users\username\Desktop\Procdump.
Ejecute el siguiente comando: procdump -ma -e

SEÑALAR El conmutador-e indica a ProcDump para generar un volcado la siguiente vez que se bloquee el proceso.
Espere a que el proceso se bloquee de nuevo.
Recopile el archivo de volcado creado, que se encuentra en la Procdump directorio.
Vuelva a activar autoprotección de ENS.

Volver al principio

Pérdida de memoria (usuario o kernel)

Siga los pasos que se indican en esta sección si los síntomas implican una fuga de memoria en el modo de usuario o de la aplicación. Recopilar tres (3) El modo de usuario o los volcados de bloqueo de aplicaciones para análisis.

Descargue ProcDump desde la Página de descargas de ProcDump.
Extraiga ProcDump al escritorio.
Identifique el nombre del proceso que tiene una fuga de memoria.
Active un rastreo de pila en el proceso que tiene fugas. Ve KB91252-cómo activar un rastreo de pila con la utilidad Gflags. exe.
Espere a que el proceso sospechoso muestre un uso elevado de la memoria.
Abra un símbolo del sistema administrativo y cambie el directorio a C:\Users\username\Desktop\Procdump.
Ejecute el siguiente comando: procdump -ma
Recopile el archivo de volcado creado, que se encuentra en la Procdump directorio.
Repita los pasos y recopile tres (3) volcados de bloqueo del modo de usuario o de la aplicación para su análisis.
Desactive el rastreo de la pila en el proceso una vez recopilados todos los archivos de volcado de bloqueo. Ve KB91252-cómo activar un rastreo de pila con la utilidad Gflags. exe.

NOTA: La recopilación de datos de fuga de memoria debe realizarse a lo largo del tiempo, ya que la fuga de memoria mostrará su comportamiento a lo largo del tiempo. Para obtener los mejores resultados de recopilación de datos, se recomienda reiniciar el sistema y, a continuación, iniciar la siguiente recopilación de datos. Esta secuencia permite que el conjunto de datos muestre la existencia de fugas de memoria a lo largo del tiempo, ya que se manifiesta en el sistema.

Siga los pasos que se indican en esta sección si se produce una fuga de memoria kernel debido a un proceso de McAfee.

Familiarícese con Poolmon así Perfmon uso y configuración descritos en KB74951-cómo solucionar problemas de uso elevado de memoria en sistemas.
Configure el sistema para crear un memory.dmp completo. Ve KB56023: crea un volcado de memoria para su análisis mediante Soporte técnico.
Configure el sistema para permitir un bloqueo del teclado. Consulte este Microsoft artículo para forzar un bloqueo del teclado.
Reinicie el sistema notificado para mostrar una fuga de memoria.
Utilice la configuración de Poolmon así Perfmon descrito en KB74951-cómo solucionar problemas de uso elevado de memoria en sistemas. Iniciar la Poolmon así Perfmon recopilación de datos.
Espere a que el sistema muestre un uso elevado de la memoria.
Final Poolmon así Perfmony recopilar los datos resultantes.
Fuerce al sistema a realizar una comprobación de errores mientras el uso elevado de la memoria sigue apareciendo.
Recopile el volcado de memoria.

Volver al principio

Problemas relacionados con Device Guard o Credential Guard

Siga los pasos que se indican en esta sección si los síntomas implican Device Guard o Credential Guard.

Recopile los datos de ENS adecuados para el síntoma experimentado, tal y como se describe en este artículo.
Además, recopile un rastro de ETW (Event Tracing for Windows) con el siguiente comando, ejecutado en un símbolo del sistema administrativo:

@echo off
ECHO These commands enable tracing:
@echo on
logman create trace "base_DeviceGuard" -ow -o c:base_DeviceGuard.etl -p "Microsoft-Windows-DeviceGuard" 0xffffffffffffffff 0xff -nb 16 16 -bs 1024 -mode Circular -f bincirc -max 4096 -ets
@echo off
echo
ECHO Reproduce your issue and enter any key to stop tracing
@echo on
pause
logman stop "base_DeviceGuard" -ets
@echo off
echo Tracing has been captured and saved successfully at c:base_DeviceGuard.etl
pause

Volver al principio

No se pueden instalar los componentes de ENS

Lleve a cabo los pasos de recopilación de datos en esta sección si uno o varios componentes de ENS no se instalan.

SEÑALAR Asegúrese de recopilar los datos durante una instalación local de ENS. Solucione los problemas de cada módulo como un producto independiente.

Descargue y descomprima el paquete independiente desde el Sitio web de descargas de productos.
Inicie Process Monitor.
Inicio AMTrace con la negociación Option.
Recree el problema. Ejecute la instalación local (setupEP.exe) como administrador y seleccione el módulo único que va a solucionar.
Final AMTrace y guarde el registro.
Detenga Process Monitor y guarde el registro.
Recopile un archivo de requisitos mínimos de escalación (MER) (ejecute como administrador).

Volver al principio

ENS no está funcionando o no se está ejecutando la inyección de DLL de terceros

Siga los pasos que se indican en esta sección si los síntomas son los siguientes:

El estado de ENS es: Plataforma de Endpoint Security no se está ejecutando.
Inyección de DLL de terceros

Pasos de recopilación de datos:

Inicie Process Monitor.
Inicio AMTrace con la cerra Option.
Abra y cierre la consola de ENS para volver a crear el problema.
Final AMTrace y guarde el registro.
Detenga Process Monitor y guarde el registro.
Recopile un archivo MER (ejecutar como administrador).
Exporte y recopile una copia de la directiva de Opciones de Ajustes generales de Endpoint Security asignada.

Volver al principio

Problemas que implican el módulo de Threat Intelligence Exchange (TIE)

Siga los pasos que se indican en esta sección si los síntomas están relacionados con la VINCULAción:

Recopile los datos adecuados en función de los síntomas descritos en este artículo.
Además, recopile el inicio de sesión del Servidor de TIE del appliance del servidor de TIE en /var/McAfee/tieserver/logs/tieserver.log.

Volver al principio

Problemas que implican el módulo de Firewall de ENS

Siga los pasos que se indican en KB90662-solución de problemas de tráfico de la aplicación/red al utilizar ENS Firewall.

Volver al principio

Knowledge Center

Pasos mínimos de recopilación de datos para problemas de Endpoint Security

Entorno

Resumen

Solución

Información relacionada

Archivo adjunto

Descargo de responsabilidad

Productos implicados

Idiomas:

Title

Title

Knowledge Center

Pasos mínimos de recopilación de datos para problemas de Endpoint Security

Entorno

Resumen

Solución

Información relacionada

Archivo adjunto

Descargo de responsabilidad

Productos implicados

Idiomas:

Elija su región

Title

Title