如何确定系统事件日志报告事件 ID 514、516、或 519（使用 vtpinfo.exe）的信任问题

技术文章 ID: KB87795
上次修改时间: 2021/11/30

环境

McAfee Agent 5.x、4.x
McAfee Application and Change Control 7.x、6.x
McAfee Data Exchange Layer 3.x、2.x、1.x
McAfee Data Loss Prevention Endpoint 10.x、9.x
McAfee Endpoint Intelligence Agent 2.x
McAfee Endpoint Security 防火墙 10.x
McAfee Endpoint Security 威胁防护 10.x
McAfee Endpoint Security Web 控制 10.x
McAfee Host Intrusion Prevention 8.x
McAfee VirusScan Enterprise 8.x
Syscore 15.3 或更高版本

摘要

本文介绍在故障排除系统事件日志报告事件 ID 514、516 或 519 的问题时，如何使用内置 Syscore 实用工具 VtpInfo 来判断模块或进程的信任状态。

VtpInfo 命令判断 McAfee 是否信任模块（DLL 或 EXE）或进程 (EXE)。如果进程不受信任，则命令输出将确定导致问题的组件。

问题

Windows 系统事件日志报告事件 ID 为 514、516 或 519 的多个条目，如下所示：

事件类型：警告
事件来源：mfehidk
事件类别：(256)
事件 ID：514
说明：
进程 C:\Program Files\McAfee\VirusScan Enterprise\ pid (###) 包含未经签名或损坏的代码，已阻止它使用 McAfee 驱动程序执行特权操作

事件类型：警告
事件来源：mfehidk
事件类别：(256)
事件 ID：516
说明：
进程 **\VSTSKMGR.EXE pid (XXXX) 包含经签名但不受信任的代码，但是允许使用 McAfee 驱动程序执行特权操作

事件类型：警告
事件来源：mfehidk
事件类别：(256)
事件 ID：519
说明：
无法通过 mfevtp 服务成功验证进程 **\VSTSKMGR.EXE pid (####)，已阻止它使用 McAfee 驱动程序执行特权操作

事件类型：警告
事件来源：mfehidk
事件类别：(256)
事件 ID：514
说明：
进程 **\OUTLOOK.EXE pid (###) 包含未经签名或损坏的代码，系统已阻止它使用 McAfee 驱动程序执行特权操作

在某些系统上，每隔几分钟就会记录一个事件。

客户端上未报告其他现象。

重要说明：产品功能和性能不受影响。

解决方案

使用 VtpInfo 工具从提升的命令提示符运行下列命令来判断磁盘上的文件或运行中进程的信任状态：

vtpinfo.exe /validatemodule "<DLL 或 EXE 的完整路径>"

vtpinfo.exe /validateprocess <应用程序运行时的进程 ID (PID)>

要保存含有模块或进程的信任状态信息的文件，请从提升的命令提示符运行下列命令：

注意：运行命令前，请确保目录 C:\Temp\ 存在，否则命令将失败。该命令不会创建目标目录。

"C:\Program Files\Common Files\McAfee\SystemCore\vtpinfo.exe" /validatemodule "<DLL 或 EXE 的完整路径>" >C:\Temp\vtpinfo.txt

"C:\Program Files\Common Files\McAfee\SystemCore\vtpinfo.exe" /validateprocess <应用程序运行时的 PID> >C:\Temp\vtpinfo.txt

查看文件 vtpinfo.txt 以判断指定模块或进程中的受信任或不受信任状态。结果中会列出已加载到进程且正在查询的所有模块及其信任状态。文件的末尾会将结果进行合计。如果出现 validation_state= VALIDATION_STATE_INVALID 或 privileges= PRIVILEGE_NONE，说明模块或进程不受信任。

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

Application and Change Control 8.3.x
Application and Change Control 8.2.x
Application and Change Control 8.1.x
Application and Change Control 8.0.x
Application and Change Control 7.0.x (EOL)
Application and Change Control 6.2.x
Application and Change Control 6.1 (EOL)
Data Exchange Layer 6.x
Data Exchange Layer 5.x
Data Loss Prevention Endpoint 11.5.x (EOL)
Diagnostic Data Collection
Endpoint Intelligence Agent 3.x
Endpoint Intelligence Agent 2.6
Endpoint Security Firewall 10.7.x
Endpoint Security Firewall 10.6.x
Endpoint Security Threat Prevention 10.7.x
Endpoint Security Threat Prevention 10.6.x
Endpoint Security Web Control 10.7.x
Endpoint Security Web Control 10.6.x
Host Intrusion Prevention 8.0 (EOL)
McAfee Agent 5.6.x
Troubleshooting
VirusScan Enterprise 8.8 (EOL)

语言:

此文章有以下语言版本：

German
English United States
Spanish Spain
French
Italian
Japanese
Korean
Dutch
Portuguese Brasileiro
Chinese Simplified
Chinese Traditional

Knowledge Center

如何确定系统事件日志报告事件 ID 514、516、或 519（使用 vtpinfo.exe）的信任问题

环境

摘要

问题

解决方案

相关信息

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

如何确定系统事件日志报告事件 ID 514、516、或 519（使用 vtpinfo.exe）的信任问题

环境

摘要

问题

解决方案

相关信息

免责声明

受影响的产品

语言:

选择您的区域

Title

Title