自助服务保障性（Orchestrator）数据收集工具

技术文章 ID: KB92519
上次修改时间: 2022/03/30

环境

McAfee 自助服务保障性（Orchestrator）1.0.0-数据收集工具

摘要

McAfee 自助服务保障性 Orchestrator
SSS Orchestrator 是一种数据收集工具。它带来了在单个 orchestrator 下端点客户使用的几种支持性工具。该工具在合适的时间调用合适的工具，并简化了数据收集工作。此工具捕获数据收集发生的上下文，这有助于报告正确的遥测数据。

单击以展开您要查看的部分：

目的

在以下情况下使用此工具：

使用技术支持打开服务请求时，需要进行数据收集
当数据收集工作复杂或简单时
当您需要的工具或工具太多或难以使用时
当问题是零星、随机或按需重复时
示例：
- 捕获数据高 CPU问题，在环境中随机发生。此问题需要 McAfee 和 Microsoft 中的工具串联运行，并且仅在 CPU 处于高位时运行。
- 运行在第三方应用程序启动时捕获行为所需的 McAfee 和 Microsoft 工具。另外，第三方随机体验访问被拒绝失败和崩溃的情况。如果未发生故障，请勿收集日志。
- 在某些第三方进程启动时，启用 Endpoint Security 和 McAfee Agent 的调试日志记录。在启动后两分钟内崩溃时，收集该第三方的进程转储。禁用调试日志记录，并在发生崩溃时收集文件。否则，请停止日志记录，直至下一次进程启动。

该方法工具包含

Orchestrator 是一个.zip文件,被命名为MfeDiag_.zip。

WinZip文件包含以下内容：

Doc文件夹： doc 文件夹由帮助文档组成。 Playbook.yml文件包含创建您自己与该问题相关的手册的步骤。 TelemetryData.txt文件包含有关收集用于产品改进和技术支持目的的遥测信息的详细信息。此文件是在根文件夹中创建的。
Playbooks文件夹：由两个子文件夹组成，包括自定义和默认。默认文件夹包含一些根据客户升级而创作的行动手册。在创作新的操作手册时，将使用自定义文件夹。
Plug-ins文件夹：插件包含两个子文件夹，即自定义和默认。在默认文件夹中，有一些PowerShell脚本，用于监控特定用例。插件基本上是 PowerShell 模块。自定义插件可以写入并保存到自定义文件夹。互联网上有许多资源用于PowerShell脚本。
注意：在执行时，会检查默认插件以进行签名，但不会检查自定义插件是否进行签名。 McAfee 不负责客户创建的自定义插件。
运行文件夹：默认情况下，运行文件夹不存在，当刚从以下包提取时MfeDiag_1.0.0.xxx.zip。执行MfeDiag.exe时，文件夹会自动创建。此文件夹包含按时间戳保存的按压缩（. tgz）格式执行的命令的输出。此压缩文件包含MfeDiag.log,MfeDiag_Telemetry.xml 文件和其他转储文件或日志。这些文件取决于命令执行中使用的工具。
工具文件夹：工具文件夹分为 "自定义" 和 "默认"，其中包含子文件夹，即 x64 和 x86。默认工具随附所有相关的 McAfee 工具。您可以通过以下方式下载自定义工具MfeDiag.exe -update:true. 要使用第三方工具，用户必须在出现提示时接受第三方许可协议。您还可以将其他所需工具放到自定义文件夹中。
注意：默认工具会在执行时进行签名检查，但不会检查自定义工具是否进行签名。 McAfee 不负责客户创建的自定义工具。
MfeDiag.exe：接受参数的主要可执行文件。有关二进制文件的输入参数的信息，请参阅help.txt文档中的doc文件夹。
MfeDiag.log：运行后生成的日志文件MfeDiag.exe。它仅显示最后一个命令执行的日志输出。
MfeDiag_Telemetry：此.xml文件显示上次执行的命令的遥测输出。
免版税工具 License.txt：此文件包含 Orchestrator 最终用户许可协议（EULA）。默认情况下，该文件不存在于根文件夹中。首次执行此操作时，将显示 EULA 页面。接受后，将在根文件夹中创建此文件。

在主机上运行 Orchestrator

开始前，请确保您有Windows PowerShell 版本3.0或更高版本安装。

注意：WindowsPowerShell默认情况下随适用的操作系统附带。验证PowerShell的版本，并将其升级到3.0或更高版本。此外，如果漏洞利用防护已启用，则PowerShell规则执行策略绕过不得配置为阻止。
下载MfeDiag_1.0.0.xxx.zip从各自的位置。
解压缩 zip，并在管理员模式下打开命令提示符。
MfeDiag文件需要第三方工具才能完成数据收集。因此，更新第三方工具非常重要，因为它们未随MfeDiag包。
要更新工具，请运行以下命令：

MfeDiag.exe -update:true
接受Orchestrator许可协议。仅当您首次运行该工具时才需要此确认。
您还可以运行以下命令来接受 Orchestrator EULA：

MfeDiag.exe -update:true -accepteula:true
接受第三方工具的下载。下载工具后，将显示一个弹出窗口，以 EULA 接受。在出现提示时接受第三方许可协议。

第三方工具会下载到文件夹中：..\MfeDiag_1.0.0.xxx\tools\custom
在启动每个第三方工具的下载后，会弹出一个窗口并要求您接受用户许可协议。 EULA 在出现提示时必须接受。
如果已在系统上接受 EULA 工具（procdump,procmon），它不会再次提示您。将显示帮助对话框。

注意：您需要互联网连接才能下载第三方工具。
Data collected by the SSS Orchestrator is compressed, and is stored in MfeDiag_1.0.0.xxx\run\.tgz.

注意：

McAfee 没有装运第三方工具的许可。需要更新作为从 internet 下载第三方工具的首要步骤。
任何想要在多个系统上应用 Orchestrator 的客户都无需更新所有系统上的第三方工具。执行一次步骤，然后创建 ePolicy Orchestrator （ePO）端点部署套件（EEDK）包。可以使用 ePO 将 EEDK 包部署到剩余的系统。您只需接受单个系统上第三方工具的 EULA。

命令行参数

Use: MfeDiag.exe [options...]

选项	说明
-autoupgrade:false	跳过自动升级MfeDiag用于运行的工具二进制文件。
-? \| /? \| -help	Display help.
-update:true	下载或更新第三方工具。
-Procname:ProcessName	指定要在手册中使用的进程名称。例如：-procname:mcshield.exe
-filepath:""	指定要在手册中使用的文件路径。例如：-filepath:"C:\test\Logs"
-play playbookname.yml	运行指定的手册。例如：-play CreateEEDK.yml
-verify playbookname.yml	验证指定的战术手册。例如：-verify CreateEEDK.yml
-accepteula:true	默默接受 Orchestrator EULA。
-threshold:	指定要在手册中使用的 CPU 阈值。例如：-threshold:20

如何执行操作手册并记录观察

示例问题：当 Endpoint Security 进程在系统上占用较高 CPU 时，数据收集。
操作手册名称：ENS_Process_HighCPU_Level1.yml

操作手册执行的操作：
该操作手册监控指定阈值的指定 Endpoint Security 进程的 CPU 使用情况。它收集PerfCounters,Procmon,AMTrace，和MER数据（如果在阈值中存在违反）。
如果您要收集其他 CPU 阈值，可以使用以下命令指定阈值：-threshold:

在管理员模式下打开命令提示符。
导航至Mfediag解压缩文件夹，然后键入以下命令：

MfeDiag.exe -play ENS_Process_HighCPU_Level1.yml -procname:mcshield.exe -threshold:40

注意：MfeDiag.exe可执行文件等待 CPU 使用率，以违反40% 阈值。
重现问题，并等待 CPU 违反阈值。
在系统上启动完全 Endpoint Security 按需扫描。

注意：触发完全按需扫描时，CPU 利用率超过阈值限制。 MfeDiag.exe开始收集PerfCounters,Procmon，和AMTrace数据。最后，收集 MER 日志。
执行完成后，导航至MfeDiag_1.0.0.xxx\run.

注意：输出日志显示在MfeDiag.log 文件。 Mfediag.log文件位于根目录中MfeDiag_1.0.0.xxx\run\tgz。该文件显示执行的命令的输出，并显示不同的内部工具活动。所有第三方工具生成的报告都压缩在MfeDiag_1.0.0.xxx\run\tgz文件。

ePO 端点部署套件（EEDK）

在继续之前，您必须完成上述步骤，并更新第三方工具。
使用名为的默认手册创建 EEDK 包CreateEEDK.yml。使用以下命令：

MfeDiag.exe -play CreateEEDK.yml

该命令会在根目录中生成 EEDK 包。

如何将 Orchestrator 从 ePO 部署到多个主机：
使用 ePO 部署 Orchestrator 的一站式解决方案是通过 EEDK 包。要使用该选项，请按照以下步骤操作：

上传包MFEDIAG_EEDK.zip到 ePO 中的主存储库。
选择系统树中的系统或组列表。
创建一个立即运行客户端任务任务，方法是单击操作,代理,立即运行客户端任务。
在立即运行客户端任务窗口中，选择产品McAfee 代理，则任务类型为产品部署，然后单击创建新任务。
在立即运行客户端任务页面上，选择：
- 目标平台
- 产品作为McAfee 诊断工具1.0.0.xxx
提供相应的命令行参数以运行该手册。例如：

-播放

Package and Command-Line information example:
单机立即运行客户端任务。

注意：
- The location of the output logs is: %ProgramData%\McAfee\MfeDiag\.tgz.
- 以下内容适用于需要使用 EEDK 包在客户端上执行的任何手册。您必须先接受客户端系统上第三方工具的 EULA。

用于数据收集的脚本

默认脚本

脚本名称	脚本名称描述
CheckThridPartyToolsEULAAcceptance	检查是否已接受 EULA 的第三方工具。
CreateEEDK	创建可部署到多个主机系统的 ePO 可部署套件。
Template_DefaultToolsPlaybook例如	使用所有 McAfee 工具的示例手册。例如，如何使用AMTrace，或ETLTrace。
Template_ExecuteCustomToolExample	使用任何第三方自定义工具的示例手册。有关如何使用的示例iperf。
Template_HighCPUUsage	如果任何进程的 CPU 使用情况都很高，请收集Procdump,Procmon，和MER文件。
Template_LogFilterExample	在任何日志文件中等待某个字符串匹配的示例手册，并收集所需的数据。
Template_MERLogCollection	要调用的脚本示例MER用于日志收集。
Template_ProcessCrashWithProcdump	如果任何进程崩溃，请收集进程转储，并使用Procdump，和MER文件。
Template_ProcessCrashWithWER	如果任何进程崩溃，请收集进程转储，并使用Windows 错误报告（记录），和MER。
Template_ProcessHang	如果任何进程挂起，请使用以下方法收集进程转储Procdump，和MER。
Template_ProcessMemoryLeakWithProcdump	如果任何进程泄漏内存，请使用以下方法收集进程转储Procdump，和MER文件。
Template_ProcessMemoryLeakWithUMDH	如果任何进程泄漏内存，则收集用户模式转储堆(UMDH)快照和MER。
Template_ProcessMultipleCrashDumps	收集指定进程的多个故障转储。

通用设置脚本

Endpoint Security (ENS) 脚本

脚本名称	脚本名称描述
ENS_EventBasedLogCollection	根据事件 ID 触发器，收集AMTrace,Procmon 示例：如果事件ID1000发生崩溃，收集所需的数据。
ENS_eventMessageBasedLogCollection	收集特定消息发生时的日志。
ENS_FirewallPolicyCollection	收集ENS 防火墙策略详细信息。
ENS_InstallationFailure	可用于收集数据，方法是使用Procmon,AMTrace，和MER文件，当ENS 安装失败发生时。
ENS_InstallationFailure_ePO	监控安装失败并收集Procmon,AMTrace，和MER文件，当通过 ePO安装 ENS时。
ENS_Process_HighCPU_Level1	如果ENS 进程中存在 CPU 问题，请收集PerfCounters,Procmon,AMTrace，和MER文件。
ENS_Process_HighCPU_level1_Parallel	监控指定阈值中指定的存在进程的 CPU。收集PerfCounters,Procmon,AMTrace，和MER，如果存在阈值违约，则同时执行文件。
ENS_Process_HighCPU_ Level2	如果存在进程中存在 CPU 问题，请收集PerfCounters和实时内核转储
ENS_Process_HighCPU_Level3	如果存在进程中存在 CPU 问题，请收集PerfCounters以及完整的内存转储。
ENS_Process_MemoryLeak	如果存在内存泄漏的进程，请收集多个Procmon,Procdump,Poolmon,UMDH快照和AMTrace。
ENS_SlowAppStartup_Random	如果存在进程需要较长时间才能启动，请触发Procmon和AMTrace。
ENS_SlowAppStartup_Repro	如果存在进程需要较长时间才能启动，请收集Procmon和AMTrace。
ENS_SlowODSTask	如果ENS ODS 任务较慢，请收集多个Procmon, AMTrace以及一个MER文件。
ENS_SystemHighCPU	如果系统 CPU 使用情况很高，请收集Procmon,AMTrace,WPR,PerfCounters以及一个 MER。

VirusScan Enterprise (VSE) 脚本

脚本名称	脚本名称描述
VSE_InstallationFailure	可用于收集Procmon,ETLTrace以及一个MER文件当发生 VSE 安装失败。
VSE_ODS_Hang_x64	监控按需扫描任务进程(scan64.exe)特定持续时间。收集Procmon,ETLTrace，和MER数据，如果进程在64位计算机上经过指定的持续时间后仍在运行。
VSE_ODS_Hang_x86	监控按需扫描任务进程(scan32.exe）（特定持续时间）。收集Procmon,ETLTrace，和MER数据，如果进程在32位计算机上经过指定的持续时间后仍在运行。

McAfee Application and Change Control (MACC) 脚本

脚本名称	脚本名称描述
MACC_ExecutionDenied	监控事件 ID 21，该事件与应用程序的执行被拒绝有关，并在发生此事件时收集 MER 文件。
MACC_Gatherinfo	通过运行收集信息gatherinfo. bat。
MACC_HighCPU	If the SolidCoreservice出现高CPU问题，请收集Procdump, Procmon，和Gatherinfo数据。
MACC_HighMemory	如果该SolidCoreservice具有高内存使用问题，请收集Procdump和Procmon。
MACC_Loglevel	可用于设置所需的日志级别。
MACC_PackageControl	按 MACC 对任何安装程序进行包修改防护事件，并收集Gatherinfo数据。
MACC_PreventedExecution	按 MACC 对任何二进制文件执行阻止事件，并收集Gatherinfo数据。
MACC_SystemCrash	如果 MACC 系统崩溃，请将注册表值设置为collectCrashdump，并收集Gatherinfo数据。
MACC_InstallationFailure	当发生 MACC 安装失败时，可用于收集安装日志。
MACC_MER	此操作手册通过运行来收集信息MER对于MACC产品。
MACC_Process_MemoryLeak	启用gflag使用注册表，并在应用程序的内存使用达到特定阈值时收集进程转储。
MACC_Procmon_MER	此手册收集Procmon和MER数据，用于系统性能问题的数据。
MACC_SlowAppStartup_Random	监控并收集具有启动速度慢的任何进程的性能数据。
MACC_SystemCrashDataZip	将内存转储复制到c:\Windows至 "运行" 文件夹
MACC_WriteDenied	按 MACC 等待文件修改防护事件，以执行任何文件ID 20。 Collects 的Gatherinfo数据。

Management for Optimized Virtual Environments (MOVE) Antivirus Playbooks

脚本名称	脚本名称描述
MOVE_Clientx86_InstallationFailure	在开始安装32位 MOVE 客户端之前，先运行手册。此手册会监控安装失败，并收集Procmon,AMTrace和 MER 文件。
MOVE_Clientx64_InstallationFailure	在开始安装64位 MOVE 客户端之前，先运行手册。此手册会监控安装失败，并收集Procmon,AMTrace，和MER文件。
MOVE_DataCollection	此手册会更改指定 MOVE 模块的日志级别，并收集MER文件。

MVISION 剧本

脚本名称	脚本名称描述
MVE_Process_MemoryLeak	启用gflag 使用注册表。在应用程序的内存使用达到特定阈值时收集进程转储。

创作您自己的操作手册

创建您自己的操作手册并非一件难事。 yml文档文件夹下的文件可帮助您创建一份不费力的手册。

创建操作手册时需要记住几件事：

在简单任务中概述您的用例。分解需要的内容和需要的时间。
按照文件中所述的约定进行操作doc\playbook.yml。
避免在YAML 软件中使用制表符空格。以下是来自官方 YAML 网站的常见问题解答https://yaml.org/faq.html.

"选项卡已被禁止，因为不同的编辑器和工具对其进行了不同处理。由于缩进对正确解释 YAML 非常关键，因此该问题过于棘手，甚至无法尝试。实际上，Python 的Guido van Rossum已承认在Python源代码中允许标签页对许多人来说是一个头疼的问题。

注意：

Orchestrator 支持操作手册已知工作流，包括特定于产品的工作流。
特定于用户或特定于产品的工作流可缩短自动补救或有效数据收集的时间。
Orchestrator 还支持根据需要构建自定义操作手册。
该手册还支持根据时间、事件或外部触发器调用不同工具。

支持的操作系统

操作系统	诊断工具 1.0.0
客户端
Microsoft Windows 10 （64位/x64） Microsoft Windows 10 （32位/x86）	是
Microsoft Windows 8 (64-bit / x64) Microsoft Windows 8 (32-bit / x86)	是
Windows 7 （64位/x64） Windows 7 (32-bit / x86)	是
服务器
Microsoft Windows Server 2019	是
Microsoft Windows Server 2016	是
Microsoft Windows Server 2012 R2	是
Microsoft Windows Server 2012	是
Microsoft Windows Server 2008 Release 2 (64-bit)	是
Microsoft Windows Server 2008	是

启用调试日志记录

产品	文章
McAfee Application and Change Control (MACC)	KB90755
Management for Optimized Virtual Environments (MOVE)	KB87799
Endpoint Security (ENS)	KB91797

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

ePolicy Orchestrator 5.10.x

语言:

此文章有以下语言版本：

English United States
Spanish Spain
French
Italian
Japanese
Portuguese Brasileiro
Chinese Simplified

Knowledge Center

自助服务保障性（Orchestrator）数据收集工具

环境

摘要

相关信息

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

自助服务保障性（Orchestrator）数据收集工具

环境

摘要

相关信息

免责声明

受影响的产品

语言:

选择您的区域

Title

Title