Etapas mínimas de coleta de dados para problemas de Endpoint Security

Este artigo fornece informações básicas sobre as etapas da Coleta mínima de dados para solucionar problemas comuns do ENS.

Verifique se todos os registros são coletados do mesmo sistema que enfrentam o problema e que todos os registros são coletados ao mesmo tempo. Os carimbos de data e hora dos dados do registro em log podem ser usados para solucionar o problema.

Registros incompatíveis de sistemas diferentes ou registros coletados em momentos diferentes, não podem ser usados para a solução de problemas. Tais registros podem fazer com que o recolete todos os logs de coleta de dados mínimos.

Important Os arquivos a seguir são necessários para Suporte técnico:

Requisitos mínimos de escalonamento (MER) arquivos com log de depuração para ENS são necessários para todos os problemas. Para obter informações sobre o log de depuração, consulte Verificar se o registro em log da depuração do ENS está ativado. Para obter informações sobre os arquivos do MER, consulte: ARTIGO KB59385-como usar as ferramentas do MER com produtos McAfee compatíveis. O registro em log de depuração deve ser ativado para o Real Protect RC.log a ser gerado.

Colete outros arquivos e registros para cada problema abaixo:

Inicialização ou inicialização lenta
Entrada lenta
Inicialização lenta do aplicativo (reproduzível ou aleatório)
Desempenho lento do aplicativo (reproduzível ou aleatório)
Desempenho lento do sistema (reproduzível ou aleatório)
Travamento ou bloqueio do sistema
Verificação de bug do sistema (tela azul)
Bloqueio ou interrupção do aplicativo (não respondendo e não recuperando)
Falha do aplicativo
Vazamento de memória (modo de usuário ou de kernel)
Problemas relacionados ao Device Guard ou ao Credential Guard
Falha na instalação de um ou mais componentes do ENS
O status de ENS é: Plataforma do Endpoint Security não está sendo executado!
Injeção de DLL de terceiros
Problemas relacionados ao Threat Intelligence Exchange (TIE)
Problemas relacionados ao Firewall do ENS

Dependendo do problema, talvez você precise das seguintes ferramentas:

Ferramentas

AMTrace é uma ferramenta interna para coletar dados de registro em log de AMCore (última atualização em 11 de outubro de 2018). Para usar AMTrace para coletar dados de registro de AMCore:
1. Preparar AMTrace:
  1. Fazer download do pacote zip ENSDataCollect.zip na guia Associação deste artigo.
  2. Extraia o conteúdo para a área de trabalho.
2. Executa AMTrace:
  1. Clique Começo, digite cmd.exe na barra de pesquisa, clique com o botão direito do mouse cmd.exe na lista e clique em Executa como administrador.
  2. Quando estiver pronto para iniciar um rastreamento, use a opção de comando abaixo, exigida pela seção de coleta de dados relevante.
    
    INDICADO A seguir estão os caminhos para o AMTrace.exe locais arquivo:
    - C:\Users\username\Desktop\ENSDataCollect\AMTracex86
    - C:\Users\username\Desktop\ENSDataCollect\AMTracex64
    AMTrace opções de comando:
    - Para usar o AMTrace onboot opção, execute o seguinte comando:
      
      AMTrace.exe -b onboot -m 4GB
      
      Este comando instrui a ferramenta a iniciar um rastreamento no próxima inicialização.
      ANOTAÇÕES
      
      O "GB" diferencia maiúsculas e minúsculas. Este exemplo limita o tamanho do registro a 4 GB. 10 MB é o valor mínimo aceito e 2 GB é o padrão, se não especificado.
      
      Essa opção não é compatível com os modos de registro alternativos descritos abaixo.
    - Para usar AMTrace com o Ora opção, execute o seguinte comando:
      
      AMTrace.exe -b now -m 4GB
      
      Important O AMTrace Agora usa o revisão opção por padrão.
      
      Este comando instrui a ferramenta a iniciar um rastreamento imediatamentee para limitar o tamanho do registro a 4 GB por .etl arquivo. Quando o registro atingir 4 GB, um novo registro será criado. Cada registro é anexado com _1, _2e assim por diante até que você interrompa o rastreamento, o usuário efetuará logoff ou encerrará o sistema.
      
      INDICADO O "GB" diferencia maiúsculas e minúsculas.
    - Para usar AMTrace tenha a opção de sobreposição:
      Escolha um método de registro apropriado para o problema que você deseja registrar:
      
      AMTrace.exe -b now -m 4GB -L stop
      AMTrace.exe -b now -m 4GB -L circular
      
      O Stop o modo cria uma sessão de rastreamento que para de entrar em log depois de atingir o limite de tamanho.
      O circular o modo cria uma sessão de rastreamento que registra um arquivo único. Depois de atingir o tamanho máximo, os eventos mais antigos são sobrescritos.
      
      INDICADO Os "L" e "GB" diferenciam maiúsculas de minúsculas.
  3. Interrompa o rastreamento e salve o log. Use o seguinte comando:
    
    AMTrace -e
  4. Quando possível, AMTrace tenta renomear automaticamente os arquivos ETL resultantes para incluir a hora de início e a hora de término do registro no nome do arquivo. Por exemplo, amtrace_20200704.010203-010305.etl indicaria que o registro começou 2020-07-04 (4 de julho de 2020) às 1:02:03 e continuau até 1:03:05.
    Mesmo AMTrace Não é possível renomear o arquivo quando o log for interrompido, ainda é possível renomear o arquivo manualmente com outro AMTrace preta
    
    AMTrace.exe --datestamp *.etl
    
    Esse comando aceita caracteres curinga (* Quanto ?) para fazer referência a vários caracteres ou um único caractere, respectivamente. Esse comando renomeia o arquivo ou os arquivos especificados para incluir as horas de início e de término no nome do arquivo. Ele não afeta arquivos que já tenham o é adicionado.
Para confirmar se um AMTrace estiver em andamento, execute o comando a seguir para listar todos os rastreamentos ativos:

AMTrace -q

Para uma demonstração de como coletar AMTrace dados com este procedimento, Assista ao seguinte vídeo:
GFlags permite que você ative e desative recursos avançados de diagnóstico e solução de problemas do sistema interno. Você pode executar GFlags a partir de uma janela de prompt de comando ou usar a caixa de diálogo interface gráfica do usuário. Em geral, é usado para ativar os indicadores que outras ferramentas rastreiam, contabilizam e registram.
MER coleta logs de eventos, arquivo detalhes da versão, arquivos, detalhes do processo e detalhes do registro de McAfee produtos instalados no computador. O Suporte técnico usa dados coletados para solucionar problemas. Para obter mais informações, consulte: ARTIGO KB59385-como usar as ferramentas do MER com produtos McAfee compatíveis.
Monitor do processo o é uma ferramenta da Microsoft que monitora e exibe todas as atividades do sistema arquivo em um sistema operacional Windows em tempo real. Use a ferramenta de administração de sistemas, perícia de computador e depuração de aplicativos. Como usar o Process Monitor:
1. Prepare Monitoramento de processo:
  1. Faça download do monitor de processos no Página de downloads do Process Monitor.
  2. Extrato Procmon.exe para a área de trabalho.
2. Execute o Monitoramento de processo:
  1. Quando estiver pronto para iniciar o monitor do processo, use a opção abaixo, exigida pela seção de coleta de dados relevante.
    - Para iniciar o Monitoramento de processo imediatamente:
      1. Executa Procmon.exe e começará automaticamente a capturar as informações do processo.
      2. Para parar o Monitoramento de processo, pressione Ctrl+E ou clique em Arquivo e desmarque Capturar eventos. Pressione Ctrl+E novamente para retomar a coleta de dados.
      3. Para salvar o log, clique em Arquivo, Salvar... (selecione Todos os eventos e use o formato de PML nativo).
    - Para ativar a opção de registro de inicialização do monitor de processos, se necessário, na seção coleta de dados relevantes:
      1. Abra o console do Monitoramento de processo.
      2. Clique em Opções.
      3. Clique em Ativar registro em log da inicialização.
      4. Clique em OK na janela de pop-up. Na próxima vez que ocorrer uma reinicialização, um log de rastreamento de inicialização será criado.
      5. Para salvar o log, execute o Monitoramento de processo novamente e clique em Arquivo, Salvar... (selecione Todos os eventos e use o formato de PML nativo).
Para ver uma demonstração de como coletar dados do monitor de processos com esse procedimento, Assista ao seguinte vídeo:
Procdump o é um utilitário de linha de comando usado para monitor um aplicativo para picos de CPU. Ele gera despejos de falhas durante um pico que um administrador ou desenvolvedor pode usar para determinar a causa do pico.
Perfmon o é uma ferramenta que os administradores podem usar para examinar como os programas, que estão sendo executados em seus computadores, afetam o desempenho do computador. Use a ferramenta em tempo real para analisar como os programas em execução afetam o desempenho do sistema. Você também pode usar essa ferramenta para coletar informações de arquivo de log para análise de dados de desempenho do sistema mais tarde.
Olmo exibe os dados que o sistema operacional coleta sobre alocações de memória dos pools de kernel paginados e não-paginados do sistema, e os pools de memória usados para as sessões dos serviços de terminal. Os dados são agrupados por marca de alocação de pool. Microsoft Suporte técnico usa essas informações para encontrar vazamentos de memória no modo de kernel.
Conversor de VMware o é um utilitário gratuito da VMware que ajuda a converter sistemas físicos com base em Windows e Linux para VMware máquinas virtuais. Você também pode usá-lo para converter formatos de imagem de terceiros, como imagens de backup e outras máquinas virtuais, para VMware máquinas virtuais. Use essa ferramenta para criar máquinas virtuais a fim de fornecer Suporte técnico para a solução de problemas.
WinDbg é um Microsoft depurador distribuído para o sistema operacional Windows. Use essa ferramenta para depurar aplicativos de modo de usuário, drivers de dispositivo e o próprio sistema operacional no modo kernel. Ele tem uma interface gráfica de usuário e é mais potente do que o depurador do Visual Studio.

O Windows Performance Recorder (WPR) é uma ferramenta de gravação de desempenho de Microsoft baseada no rastreamento de eventos do Windows (ETW). Ele registra eventos do sistema que podem ser analisados usando o Windows Performance Analyzer (WPA). Como usar o WPR:

Clique Começo, digite cmd.exe na barra de pesquisa, clique com o botão direito do mouse cmd.exe na lista e clique em Executar como administrador.
Ferência wprui.exe e pressione ENTER para iniciar o WPR.

INDICADO Se o programa não for executado ou não for encontrado, você deverá primeiro instalá-lo. O WPR é parte do kit de ferramentas de performance do Windows. Ele está disponível no SDK do Windows ou no kit de avaliação e distribuição do Windows:
- Para obter Windows SDK, consulte o Página de downloads do SDK do Windows.
- Para obter Windows o kit de avaliação e distribuição, consulte o Página de downloads do kit de avaliação e distribuição do Windows.

Optar por usar um Cenário de desempenho e outras configurações, conforme recomendado na tabela a seguir:

Problemas de performance	Cenário de desempenho	Nível de detalhe	Modo de registro em log	Perfis a serem incluídos	Número de iterações
Inicialização ou entrada lenta	Inicialização	Veja abaixo	Arquivo	Triagem de primeiro nível, uso de CPU, atividade de E/S do arquivo, atividade de E/S do minifiltro	Pelo menos 1
Alta utilização de CPU	Geral	Veja abaixo	Arquivo	Triagem de primeiro nível, uso de CPU, atividade de E/S do arquivo, atividade de E/S do minifiltro	N/A
O aplicativo está lento ou não está respondendo	Geral	Veja abaixo	Arquivo	Triagem de primeiro nível, uso de CPU, atividade de E/S do arquivo, atividade de E/S do minifiltro	N/D

Os dados do WPR são coletados para permitir uma análise mais profunda do problema. A opção "Atividade de E/S do minifiltro" é uma das mais importantes e está localizada na seção "Análise de cenário".

O uso do WPR coloca uma sobrecarga extra no sistema, que pode alterar ou mascarar o problema original que você deseja investigar. Colete dois conjuntos de dados com diferentes níveis de detalhes. Use a configuração Resumida para mostrar o problema e a configuração Detalhada para permitir um conjunto de dados adequado para uma análise detalhada. Capture pelo menos 30 segundos.

Quando possível, colete um registro do WPR sem o problema enquanto executa a mesma tarefa, para fins de comparação. Um conjunto de dados sem ENS presente é necessário para estabelecer o benchmark do desempenho esperado.

Para ver uma demonstração de como coletar dados do WPR com esse procedimento, Assista ao seguinte vídeo:

As seções a seguir descrevem os dados a serem coletados para cada tipo de problema:

Verifique se o registro em log da depuração do ENS está ativado

Para obter instruções, consulte: KB91797-registro de depuração de Ativar para solucionar problemas de Endpoint Security.

Voltar ao início

Inicialização ou entrada lenta

Execute as etapas desta seção se os sintomas forem qualquer um dos seguintes:

Inicialização lenta
Entrada lenta

Etapas de coleta de dados para AMTrace e Process Monitor:

Começo AMTrace com o onboot alternativa.
Inicie o Monitoramento de processo e ative a opção de registro em log da inicialização.
Reinicialize o sistema.
Reproduza o problema.
Entre no sistema.
Stop AMTrace e salve o registro.
Abra o Monitoramento de processo e salve o log da inicialização.

Etapas de coleta de dados para o Gravador de Desempenho do Windows:

Execute o WPR.
Configure o cenário de desempenho de Inicialização .
Inicie a captura.
Reinicialize o sistema.
Reproduza o problema.
Entre no sistema.
Permita que o WPR: rastreamento de inicialização seja concluído.
Capture os arquivos ETL salvos.

Voltar ao início

Desempenho lento (reproduzível)

Execute as etapas nesta seção se os sintomas forem reproduzidos e forem um dos seguintes:

Inicialização lenta de aplicativo
Desempenho lento de aplicativo
Desempenho lento do sistema

Etapas de coleta de dados para AMTrace e Process Monitor:

Iniciar Monitoramento de processo.
Começo AMTrace com o Ora alternativa.
Reproduza o problema.
Stop AMTrace e salve o registro.
Interrompa o Monitoramento de processo e salve o log.

Etapas de coleta de dados para o Gravador de Desempenho do Windows:

Execute o WPR.
Configure o cenário de desempenho Geral .
Inicie o rastreamento.
Reproduza o problema.
Interrompa o rastreamento.
Capture o arquivo ETL salvo.

Voltar ao início

Desempenho lento (aleatório)

Execute as etapas nesta seção se os sintomas ocorrerem aleatoriamente e se forem um dos seguintes:

Inicialização lenta de aplicativo
Desempenho lento de aplicativo
Desempenho lento do sistema

Etapas de coleta de dados para AMTrace:

Começo AMTrace com o revisão alternativa.
Quando o problema ocorrer, pare AMTrace e salve o registro.

Etapas de coleta de dados para o Windows Performance Recorder (WPR):

Execute o WPR.
Configurar o Ti Cenário de desempenho com Rowset como o modo de registro em log.
Inicie o rastreamento.
Reproduza o problema.
Salve o rastreamento assim que possível depois de reproduzir o problema.
Capture o arquivo ETL salvo.

Voltar ao início

Travamento do sistema, deadlock ou verificação de bugs (tela azul)

Execute as etapas desta seção se os sintomas forem qualquer um dos seguintes:

Travamento ou bloqueio do sistema
Verificação de bug do sistema (tela azul)

Etapas da coleta de dados para um travamento ou bloqueio do sistema:

Configure o sistema para criar um memory.dmp completo. Exibidas KB56023-criar um despejo de memória para análise por Suporte técnico.
Configure o sistema para permitir uma falha de teclado. Ver este Microsoft artigo para forçar uma falha no teclado.
Crie o arquivo de descarregar quando o problema ocorrer. Geralmente, quanto mais tempo você puder esperar antes de gerar a arquivo de despejo, mais fácil será identificar a condição de travamento no despejo.

Etapas de coleta de dados para uma verificação de bug do sistema:

Configure o sistema para criar um memory.dmp completo. Exibidas KB56023-criar um despejo de memória para análise por Suporte técnico.
Colete a arquivo de despejo completo quando a verificação de bug do sistema (tela azul) ocorrer.

Etapas de coleta de dados para saída do FLTMC:

Abra um prompt de comando administrativo.
Ferência fltmc.
Colete a saída do fltmc preta.

Voltar ao início

Travamento, bloqueio ou falha do aplicativo

Execute as etapas desta seção se os sintomas forem qualquer um dos seguintes:

Interrupção ou bloqueio do aplicativo (não respondendo e não recuperando)
Falha do aplicativo

Etapas da coleta de dados para um travamento ou bloqueio do aplicativo:

Faça download do ProcDump no Página de downloads do ProcDump.
Extraia o ProcDump para a área de trabalho.
Abra um prompt de comando administrativo e altere o diretório para C:\Users\username\Desktop\Procdump.
Execute o seguinte comando: procdump -ma
Colete o arquivo de descarga criado, que está no Procdump pasta.

Etapas da coleta de dados para uma falha do aplicativo:

Se o processo de travamento for um processo de ENS, desative o ENS autoprotection.
Descarregar ProcDump na guia Página de downloads do ProcDump.
Extrato ProcDump para a área de trabalho.
Abra um prompt de comando administrativo e altere o diretório para C:\Users\username\Desktop\Procdump.
Execute o seguinte comando: procdump -ma -e

INDICADO O switch-e instrui ProcDump para gerar um despejo na próxima vez que o processo falhar.
Aguarde até que o processo falhe novamente.
Colete o arquivo de descarga criado, que está no Procdump pasta.
Reative a autoproteção do ENS.

Voltar ao início

Vazamento de memória (usuário ou kernel)

Execute as etapas nesta seção se os sintomas envolverem um modo de usuário ou um vazamento de memória de aplicativo. Coletar três (3) Despejos de falha do aplicativo ou modo de usuário para análise.

Faça download do ProcDump no Página de downloads do ProcDump.
Extraia o ProcDump para a área de trabalho.
Identifique o nome do processo que está vazando a memória.
Ativar um rastreamento de pilha no processo de vazamento. Exibidas KB91252-como ativar um rastreamento de pilha usando o utilitário Gflags. exe.
Aguarde até que o processo suspeito mostre o uso de memória alta.
Abra um prompt de comando administrativo e altere o diretório para C:\Users\username\Desktop\Procdump.
Execute o seguinte comando: procdump -ma
Colete o arquivo de descarga criado, que está no Procdump pasta.
Repita as etapas e colete três (3) descargas de falha do aplicativo ou do modo de usuário para análise.
Desativar o rastreamento de pilha no processo assim que todos os arquivos de despejo de falha são coletados. Exibidas KB91252-como ativar um rastreamento de pilha usando o utilitário Gflags. exe.

NOTA: a coleta de dados de vazamento de memória precisa ser executada ao longo do tempo, pois a perda de memória exibirá seu comportamento ao longo do tempo. Para os melhores resultados da coleta de dados, é recomendável reinicializar o sistema e, em seguida, iniciar a coleta de dados a seguir. Essa sequência permite que o conjunto de dados mostre a existência do vazamento de memória, ao longo do tempo, conforme ela é manifestada no sistema.

Execute as etapas nesta seção se houver suspeita de perda de kernel de memória envolvendo um processo de McAfee.

Familiarize-se com Poolmon em Perfmon uso e configuração descritas em KB74951-como solucionar problemas de alta utilização de memória em sistemas.
Configure o sistema para criar um memory.dmp completo. Exibidas KB56023-criar um despejo de memória para análise por Suporte técnico.
Configure o sistema para permitir uma falha de teclado. Ver este Microsoft artigo para forçar uma falha no teclado.
Reinicialize o sistema relatado para mostrar uma perda de memória.
Use a configuração para Poolmon em Perfmon descrito em KB74951-como solucionar problemas de alta utilização de memória em sistemas. Iniciar o Poolmon em Perfmon coleta de dados.
Aguarde até que o sistema mostre o uso de memória alta.
Stop Poolmon em Perfmone colete os dados resultantes.
Forçar o sistema a executar uma verificação de bug, enquanto o uso de memória alta ainda é exibido.
Colete a descarga de memória.

Voltar ao início

Problemas relacionados ao Device Guard ou ao Credential Guard

Execute as etapas nesta seção se os sintomas envolvem o Device Guard ou o Credential Guard.

Colete os dados de ENS apropriados para o sintoma observado, conforme descrito neste artigo.
Além disso, colete um rastreamento de ETW (rastreamento de eventos para Windows) com o seguinte comando, executado em um prompt de comando administrativo:

@echo off
ECHO These commands enable tracing:
@echo on
logman create trace "base_DeviceGuard" -ow -o c:base_DeviceGuard.etl -p "Microsoft-Windows-DeviceGuard" 0xffffffffffffffff 0xff -nb 16 16 -bs 1024 -mode Circular -f bincirc -max 4096 -ets
@echo off
echo
ECHO Reproduce your issue and enter any key to stop tracing
@echo on
pause
logman stop "base_DeviceGuard" -ets
@echo off
echo Tracing has been captured and saved successfully at c:base_DeviceGuard.etl
pause

Voltar ao início

Falha na instalação de componentes do ENS

Execute as etapas de coleta de dados nesta seção se um ou mais componentes do ENS não puderem ser instalados.

INDICADO Verifique se você coleta os dados durante a instalação local do ENS. Solucione os problemas de cada módulo como um produto separado.

Faça download e descompacte o pacote independente no Site de downloads de produtos.
Iniciar Monitoramento de processo.
Começo AMTrace com o revisão alternativa.
Recrie o problema. Execute a instalação local (setupEP.exe) como administrador e selecione o único módulo para o qual você está Solucionando problemas.
Stop AMTrace e salve o registro.
Interrompa o Monitoramento de processo e salve o log.
Colete um arquivo de Requisitos mínimos de escalonamento (MER) (execute como administrador).

Voltar ao início

O ENS não está em execução ou injeção de DLL de terceiros

Execute as etapas desta seção se os sintomas forem qualquer um dos seguintes:

O status de ENS é: Plataforma do Endpoint Security não está sendo executado!
Injeção de DLL de terceiros

Etapas da coleta de dados:

Iniciar Monitoramento de processo.
Começo AMTrace com o Ora alternativa.
Abra e feche o console do ENS para recriar o problema.
Stop AMTrace e salve o registro.
Interrompa o Monitoramento de processo e salve o log.
Colete um arquivo MER (execute como administrador).
Exporte e colete uma cópia da política Opções de Em Comum do Endpoint Security atribuída.

Voltar ao início

Problemas que envolvem o módulo Threat Intelligence Exchange (TIE)

Execute as etapas desta seção se os sintomas estiverem relacionados ao TIE:

Colete os dados apropriados com base nos sintomas descritos neste artigo.
Além disso, colete o registro do servidor TIE no servidor TIE appliance em /var/McAfee/tieserver/logs/tieserver.log.

Voltar ao início

Problemas que envolvem o módulo do Firewall do ENS

Execute as etapas em KB90662-solucionar problemas de tráfego de aplicativo/de rede ao usar o ENS Firewall.

Voltar ao início

Knowledge Center

Etapas mínimas de coleta de dados para problemas de Endpoint Security

Ambiente

Resumo

Solução

Informações relacionadas

Anexo

Aviso de isenção de responsabilidade

Produtos afetados

Idiomas:

Title

Title

Knowledge Center

Etapas mínimas de coleta de dados para problemas de Endpoint Security

Ambiente

Resumo

Solução

Informações relacionadas

Anexo

Aviso de isenção de responsabilidade

Produtos afetados

Idiomas:

Escolha a sua região

Title

Title