实时CPU恶意软件扫描程序对恶意软件进行故障排除

技术文章 ID: KB89354
上次修改时间: 2022/03/31

环境

McAfee Endpoint Security for Linux Threat Prevention 10.x
McAfee Endpoint Security for Mac Threat Prevention 10.x
McAfee Endpoint Security 威胁防护 10.x
McAfee Management for Optimized Virtual Environments (MOVE)
McAfee MOVE AntiVirus无代理（MOVE无 AV Agent）
McAfee MOVE AntiVirus 多平台（MOVE AV 多平台）
McAfee VirusScan Enterprise 8.8.x
McAfee VirusScan Enterprise for Linux 2.x, 1.x

摘要

所有 McAfee 实时防恶意软件扫描程序都通过插入组件进行操作，该组件用于监控内存中运行的任何进程提交的所有磁盘访问请求。该组件截获文件，并提交至扫描引擎。然后扫描引擎会返回有关文件是否是恶意文件的决定。如果文件不是恶意的，该文件会返回到请求该文件的进程。如果文件是恶意的，则对该文件采取操作。实时防恶意软件扫描程序CPU与系统中发生的磁盘活动数量成正比。如果系统空闲，扫描程序将处于空闲状态。因此，预期实时防恶意软件扫描程序会对现有应用程序CPU使用进行填充，但其并非系统资源消耗后的配置强制。

由于 McAfee Enterprise 软件存在于各种环境中，因此提供的默认配置要在所有可能环境中的保护与性能之间达到所需的平衡是不可能的。希望管理员根据特定环境的需求调整实时防恶意软件扫描程序的每个实例。

要执行调整，需要衡量默认或现有配置的性能，然后修改配置以提高性能并增加安全性。有时，可通过更改配置处理性能问题。在这种情况下，实时防恶意软件扫描程序与第三方程序或系统本身之间可能存在冲突。必须解决此类型的冲突，以排除问题。

若要确定高恶意软件CPU McAfee Enterprise 针对 Endpoint Security 、MOVE AV Agentless、MOVE AVMulti 平台或 VirusScan Enterprise 使用实时恶意软件扫描程序，请使用本文中的诊断程序。仅提供常规补救步骤。

注意：高CPU利用率是用户最常出现的性能改进程序。但是，本文介绍的故障排除与可能发生的任何性能、系统稳定性或应用程序稳定性问题有关。在以下步骤中，文章指导配置更改，同时监控每个更改对活动CPU的影响。但是，您可以替代这些步骤来替代任何给定性能、系统稳定性或应用程序稳定性以及高稳定性。

原因

使用以下诊断程序确认导致该组件使用CPU高。

目录
单击以展开您要查看的部分：

识别资源使用问题所涉及的 McAfee Enterprise 软件中的组件

通过将实时防恶意软件扫描程序配置为仅提供具有.zzz扩展名扫描引擎。此测试可扫描引擎设备。如果这会导致CPU利用率显著降低，则扫描引擎原因。

针对所有Endpoint Security平台，配置扫描项目在"访问扫描"策略中，设置为 Z这一设置：
- 在Endpoint Security客户：
  1. 点击威胁防护.
  2. 单击 显示高级。
  3. 点击访问扫描.
  4. 向下滚动至该部分进程设置.
  5. 查找扫描项目设置。
  6. 点击仅指定的文件类型.
  7. 输入值Z这一功能.
  8. 单击应用。
  9. 如果已启用以下选项，请单击高风险和低风险Process Types （进程类型）选项卡，并重复上述步骤。
    
    对高风险和低风险进程分别配置不同的设置
    
    注意：如果使用高风险和低风险进程扫描设置，则一次测试这些设置可能会有帮助。
- 在 ePolicy Orchestrator 中：
  
  注意：您可以选择为此测试设置唯一的策略，并将其仅分配给测试系统。复制生产策略或McAfee Default策略并执行以下操作。若要策略分配，请使用修改单个系统上的策略功能系统树的行动菜单。
  1. 打开策略目录并选择访问扫描政策。
  2. 单击 显示高级。
  3. 向下滚动至该部分进程设置.
  4. 查找扫描项目设置。
  5. 点击仅指定的文件类型.
  6. 输入值Z这一功能.
  7. 单击保存。
  8. 如果对高风险和低风险进程配置不同的设置为启用状态，请单击高风险和低风险Process Types （进程类型）选项卡，并重复上述步骤。
    
    注意：如果使用高风险和低风险进程扫描设置，则一次测试这些设置可能会有帮助。
针对MOVE AV 无代理/多平台，设置要扫描的文件类型至 Z这一步扫描（在"一访问扫描"策略中）：

注意：您可以选择为此测试设置唯一的策略，并将其仅分配给测试系统。复制生产策略或McAfee Default策略并执行以下操作。使用修改单个系统上的策略功能系统树的行动菜单和修改策略分配。
1. 在 ePolicy Orchestrator 中，打开策略目录.
2. 单击访问扫描政策。
3. 单击 显示高级。
4. 向下滚动至要扫描的文件类型.
5. 点击仅以下.
6. 点击添加。
7. 输入值Z这一功能.
8. 单击OK（确定）。
9. 删除已列出的任何其他扩展。
10. 保存策略。
11. 将代理唤醒呼叫与强制策略选项一起使用，然后对系统实施策略。或者，在无代理 S VM 上，使用cmdagent -c -e 功能自/opt/McAfee/agent/bin/在控制台中或多平台 S VM 中，使用检查新策略按钮。
针对VirusScan Enterprise，设置扫描项目属性至 Z区访问扫描模块中的 Z这一属性：
- 在VirusScan Enterprise客户：
  1. 右键单击访问扫描并选择性能.
  2. 点击所有进程.
  3. 单击扫描项目选项卡。
  4. 对于扫描项目属性，请单击仅指定的文件类型.
  5. 点击指定.
  6. 输入值Z这一功能.
  7. 单击添加。
  8. 点击OK.
  9. 点击应用.
  10. 对于高风险进程和低风险进程（如果已启用）重复以下步骤。
    
    注意：如果使用高风险和低风险进程扫描设置，则一次测试这些设置可能会有帮助。
- 在 ePolicy Orchestrator 中：
  
  注意：您可以选择为此测试设置唯一的策略，并将其仅分配给测试系统。复制生产策略或McAfee Default策略并执行以下操作。使用修改单个系统上的策略功能系统树的行动菜单，并修改策略分配。
  1. 打开策略目录并选择访问扫描默认进程策略.
  2. 单击扫描项目选项卡。
  3. 对于要扫描的文件类型属性，请单击仅指定的文件类型.
  4. 输入值Z这一功能.
  5. 点击保存。
  6. 对于高风险进程和低风险进程（如果已启用）重复以下步骤。
    
    注意：如果使用高风险和低风险进程扫描设置，则一次测试这些设置可能会有帮助。
  7. 将代理唤醒呼叫与强制策略选项一起使用，然后对系统实施策略。或者，使用检查新策略按钮。
针对VirusScan Enterprise for Linux，设置扫描项目在"一访问扫描"策略中对 Z这一属性进行配置：

注意：您可以选择为此测试设置唯一的策略，并将其仅分配给测试系统。复制生产策略或McAfee Default策略并执行以下操作。使用修改单个系统上的策略功能系统树的行动菜单，并修改策略分配。
1. 在 ePolicy Orchestrator 中，打开策略目录.
2. 单击访问扫描策略.
3. 单击检测选项卡。
4. 更改扫描项目设置为指定的文件类型.
5. 输入值Z这一功能.
6. 点击保存。
7. 将代理唤醒呼叫与强制策略选项一起使用，然后对系统实施策略。或者，使用cmdagent -c -e 功能自/opt/McAfee/agent/bin/ 在控制台中。

逐步禁用 McAfee Enterprise 软件中的组件以查找资源使用问题所涉及的特定组件

如果 Z是否未对高使用率CPU进行备份，扫描引擎会高效地扫描发送给它的所有文件。下一步是确定哪些实时防恶意软件扫描程序导致扫描程序出现破坏功能的原因。要调查，请一次禁用产品的功能。在每个事件之间，复制CPU事件并观察高 CPU利用率是否过高。

针对所有Endpoint Security平台：
1. 禁用按访问扫描。如果高 CPU 利用率下降，则重新启用访问扫描，然后禁用以下选项并在每个选项后进行测试。否则，继续执行下一步。
  - 扫描引导扇区
  - 启用时扫描进程
  - 扫描受信任的安装程序（如果涉及到应用程序安装）
  - ScriptScan
  - 扫描网络驱动器
  - 在写入磁盘时扫描
  - 在从磁盘中读取时扫描
  - 查找未知的有害程序和特洛伊木马程序
  - 查找未知的宏威胁
  - 扫描存档文件内部
  - 解码 MIME 编码文件
  - 检测有害程序
2. 禁用访问保护。如果高 CPU 利用率下降，则重新启用访问保护，然后在每个访问保护规则上禁用阻止和报告，然后在每个访问保护规则后进行测试。否则，继续执行下一步。
3. 禁用漏洞利用防护。如果高漏洞CPU，请重新启用漏洞利用防护，然后禁用每个特征码和应用程序保护规则并随后进行测试。
针对MOVE AV 无代理/多平台:
1. 禁用在写入磁盘时扫描文件并进行测试。如果未降低CPU利用率，请继续下一步。
2. 禁用在从磁盘中读取时扫描文件并进行测试。如果未降低CPU利用率，请继续下一步。
3. 禁用扫描网络卷上的文件并进行测试。
针对VirusScan Enterprise:
1. 禁用按访问扫描。如果高 CPU 利用率下降，请重新启用访问扫描，然后禁用以下组件并在每个组件后进行测试。否则，继续执行下一步。
  - 扫描引导扇区
  - 启用时扫描进程
  - 扫描受信任的安装程序（如果涉及到应用程序安装）
  - ScriptScan
  - 扫描网络驱动器
  - 在写入磁盘时扫描
  - 在从磁盘中读取时扫描
  - 查找未知的有害程序和特洛伊木马程序
  - 查找未知的宏威胁
  - 扫描存档文件内部
  - 解码 MIME 编码文件
  - 检测有害程序
2. 禁用访问保护。如果高网络CPU下降：
  1. 重新启用访问保护。
  2. 禁用每个访问保护规则的阻止和报告，并在每个规则后进行测试。
    
    否则，继续执行下一步。
3. 禁用发送时电子邮件扫描程序。如果高传输CPU丢弃，请禁用发送时电子邮件扫描程序的所有子兼容性，然后在每个子兼容性后进行测试。
针对VirusScan Enterprise for Linux:
禁用"访问扫描"。如果高 CPU 利用率下降，请重新启用访问扫描，然后禁用以下组件并在每个组件后进行测试。
- 在写入磁盘时扫描文件
- 在从磁盘中读取时扫描文件
- 扫描网络卷上的文件
- 查找未知的程序病毒
- 查找未知的宏病毒
- 查找潜在有害程序
- 查找计划程序
- 扫描多文件存档文件内部
- 解码 MIME 编码文件

查看有问题的组件的日志

确定有问题的组件后，查看该组件的日志通常很有帮助。这些日志经常确定问题的原因。例如，"VirusScan Enterprise扫描"的文件日志可能将被特定目录中扫描时间消息饱和。这些消息可能甚至全部与同一第三方应用程序相关联。

系统下Windows McAfee Enterprise 产品日志%programdata%\McAfee\. MOVE AV 多平台日志位于安装目录的c:\program files (x86)\McAfee\MOVE AV Server. 从特定系统Mac （MER）文件，可以轻松查看来自 Mac 和 Linux 系统的 McAfee Enterprise 日志。有关收集日志文件的说明，请参阅以下MER：

识别问题所涉及的第三方应用程序

它有助于识别导致磁盘活动最多的程序，这些磁盘活动导致扫描活动最多。通常，扫描进程（如McShield.exe,Nails或oasmanager）是资源使用者第一，而提示磁盘活动的应用程序在磁盘使用者中CPU第二。但是，并非所有情况都那么简单。如果需要进一步改进，请重新引入CPU状态，然后开始关闭第三方应用程序。确定有问题的应用程序后，请尝试逐步禁用该应用程序的子组件（如果适用）。

卸载 McAfee Enterprise 软件

如果未出现上述渐进式禁用，CPU利用率下降，请卸载 McAfee 实时防恶意软件扫描软件，然后检查 CPU 利用率状态。

解决方案

之前数据收集步骤的结果指明了导致该问题的原因，并提供调整配置的方法，以绕过有问题的组件。

创建排除项：
如果 Z是否对问题进行了处理，则明确需要从"访问扫描"组件中排除目录、文件类型或进程。首先，对系统中所有受信任的第三方应用程序进行目录管理。联系各个供应商，获取防恶意软件的建议排除项集。排除项是未扫描的文件夹列表，以及请求磁盘活动时不触发扫描的正在运行的进程的列表。排除文件夹，且如果防恶意软件产品被Endpoint Security或VirusScan Enterprise，则将此进程添加到低风险进程配置文件中。请确保任一禁用读取时扫描,写入时扫描，或根据需要同时进行这两项操作。

如果上述操作未完全排除问题，请查看事件扫描时间扫描日志。如果存在一致的模式，则这可能表明您需要更多排除项。

Process Monitor 是 Sysinternals 套件Microsoft工具，如果需要进一步调整，还可提供帮助。代理和代理的活动VirusScan Enterprise MOVE无代理/多平台扫描进程为McShield.exe. 此扫描程序的活动Endpoint Security为enstp.exe.

如果禁用了问题的其他一个组件，如ScriptScan,Access Protection或 Exploit Prevention，为受影响的组件创建排除项。某些组件会排除目录路径，而其他组件则排除在内存中运行的进程。有关详细信息，请查看产品手册中产品版本相应的部分。在这种情况下，产品日志通常会显示资源问题的来源。

与第三方应用程序冲突：
以下项目必须解决该应用程序与 McAfee Enterprise 软件的冲突：

卸载 McAfee Enterprise 防恶意软件产品时，已处理该问题。
或
冲突的来源可通过卸载第三方应用程序来识别

通常，此类问题已是已知问题。确保您的 McAfee Enterprise 软件和第三方产品具有最新的更新或修补程序。另外，请查看受影响 McAfee 产品的已知问题文章。如果已记录该问题，则可能有一个解决方法。如果问题未解决问题，则有关应用程序冲突调查，请参阅：KB73182 - 有关 McAfee Enterprise 产品和第三方应用程序之间兼容性问题的 McAfee 支持声明. 例如Endpoint Security，有一个数据收集程序可用于提供有关 McAfee Enterprise 产品的详细信息。有关说明，请参阅：KB86691 - 针对新问题的最小Endpoint Security步骤.

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

Diagnostic Data Collection
Endpoint Security for Linux Threat Prevention 10.x
Endpoint Security for Mac Threat Prevention 10.x
Endpoint Security Threat Prevention 10.7.x
Endpoint Security Threat Prevention 10.6.x
MOVE Antivirus Agentless 4.8.x
MOVE Antivirus Agentless 4.7.x
MOVE Antivirus Multi-platform 4.8.x
MOVE Antivirus Multi-platform 4.7.x
MOVE Antivirus Multi-platform 4.6.x (EOL)
Troubleshooting
VirusScan Enterprise 8.8 (EOL)
VirusScan Enterprise for Linux 1.9.x (EOL)
VirusScan Enterprise for Linux 2.0.x (EOL)

语言:

此文章有以下语言版本：

German
English United States
Spanish Spain
French
Italian
Japanese
Portuguese Brasileiro
Chinese Simplified

Knowledge Center

实时CPU恶意软件扫描程序对恶意软件进行故障排除

环境

摘要

原因

解决方案

相关信息

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

实时CPU恶意软件扫描程序对恶意软件进行故障排除

环境

摘要

原因

解决方案

相关信息

免责声明

受影响的产品

语言:

选择您的区域

Title

Title