如何为 Trellix Agent 启用调试日志记录以对 Windows 进行故障排除

技术文章 ID: KB82170
上次修改时间: 2023-05-12 12:41:30 Etc/GMT

环境

Trellix Agent （TA） 5.x

Microsoft Windows 支持的操作系统。

注意: McAfee Agent 已在版本 5.7.7.

中更名到 TA 有关环境信息，请参阅 KB51573-Trellix Agent 支持平台 5.x。

摘要

技术支持排除故障时，系统可能会请求调试级别的日志文件。此外，技术支持可能会请求以下任一项：

与 Trellix 任务栏图标相关的问题的 McTray 调试日志记录
有关升级或卸载 TA 问题的事件跟踪日志（ETL）

Windows 客户端上的注册表设置控制 TA 的日志级别。如果存在错误，调试日志记录会产生更多的日志条目。调试日志记录在诊断问题时可使功能更加精细。由于调试日志记录生成了太多条目，因此您必须增大日志的大小，以捕获其他信息。使用本文中的建议定义合适的日志大小。日志大小确保日志写入到具有足够空间的驱动器中。较大的日志文件大小比较小的日志文件更好，可确保捕获相关数据。如果日志太小，可能无法捕获相关数据。

TA 5.x 与先前版本在以下方面有所不同：

使用的特定日志
日志位置
日志记录配置

日志说明
TA 使用以下日志：

macmnsvc_<hostname>.log
此 macmnsvc.exe 进程主机服务，包括对等、中继、SuperAgent、代理唤醒和 SuperAgent 唤醒。此 macmnsvc_<hostname>.log 捕获与这些功能相关的日志记录。此外，它还会捕获以下内容：
- 与消息总线代理相关的日志记录
- 由基于消息总线体系结构的企业托管产品执行的操作。例如，Threat Intelligence Exchange 和 Data Exchange Layer
macompatsvc_<hostname>.log
此 macompatsvc.exe 服务是的 masvc 兼容性服务。此服务负责与基于插件和本地过程调用（LPC）托管产品的 TA 的兼容性。此 macompatsvc_<hostname>.log 捕获在插件和基于 LPC 的托管产品上执行的操作。
masvc_<hostname>.log
此 masvc.exe 服务负责属性收集、策略强制实施、任务计划、代理与服务器之间的通信和触发器更新会话。此 masvc_<hostname>.log 捕获与这些操作相关的日志记录。
McScript.log and McScript_Deploy.log
当 masvc.exe 触发更新， McScript.exe 和 McScript_InUse.exe 在安装/卸载或更新会话中调用并负责。此 McScript.log 捕获与更新会话相关的详细信息，例如下载文件的存储库、文件下载状态、安装和卸载脚本以及更新会话状态详细信息。 McScript_Deploy.log 记录有关安装/卸载操作的相同详细信息。
marepomirror_<hostname>.log
此 marepomirror.exe 进程负责存储库镜像。当调用镜像任务时， marepomirror_<hostname>.log 会捕获与镜像相关的所有操作。

日志位置
日志存储在以下位置：

窗户- C:\ProgramData\McAfee\Common Framework\logs
非 Windows- /var/McAfee/agent/logs

启用保护指南调试日志记录
您必须先启用相应的调试日志记录才能重现问题。如果为无法重现的问题启用调试日志记录，它将无法提供足够的故障排除信息。如果您正在调查客户端和服务器问题，则必须先在客户端和服务器上启用调试日志记录，然后再重现问题。要成功捕获帮助调查问题所需的其他信息，需要这两种信息。

解决方案 1

设置 TA 日志级别
有四种可能的日志级别：

禁用 -指明已禁用日志记录
信息 -指定信息性消息，以粗粒度级别突出显示应用程序的进度
Debug -指定对调试应用程序最有用的细粒度信息事件
跟踪- 指定比调试更精细的信息事件。此日志级别不适用于 McScript.log 跟踪日志，因为它没有跟踪日志

日志级别设置方法有两种：

选项1：使用 ePolicy Orchestrator （ePO）控制台在 TA 策略中设置日志级别（调试或信息）
如果设置 启用详细日志记录 ，则会将日志级别设置为针对所有代理日志进行调试。如果未设置 启用详细日志记录 ，则会将日志级别设置为所有代理日志的信息。您只能通过 TA 策略控制日志大小和旋转。本地系统无法更改这些更改。
1. 登录到 ePO控制台。
2. 点击菜单,政策,策略目录。
3. 选择McAfee Agent自产品下拉列表中。
4. 选择一般自类别下拉列表中。
5. 单击要更改的策略。
6. 单击测井选项卡。
7. 选择选项启用详细信息日志记录.
8. 如果需要，更改日志文件大小限制（MB）和翻转计数选项。
9. 单击保存。
10. 要接收策略更改，请将代理唤醒呼叫客户端。
选项2：使用命令。行中的 maconfig 工具设置日志级别（禁用、信息、调试或跟踪）
这些 maconfig 设置会覆盖 ta 策略中的设置，并且适用于重新启动 ta 服务。重新启动 TA 服务后，代理将遵循 TA 策略中设置的日志级别。

注意:默认情况下，TA 5.x 的位置 maconfig.exe 为 C:\Program Files\McAfee\Agent\

在本地系统上打开管理命令。提示，并使用 maconfig.exe 启用调试日志记录：

maconfig.exe -enforce -loglevel n

示例：

maconfig -enforce -loglevel 3

此处， n 等于以下项之一：

0 -已禁用日志记录
1 -日志级别设置为 Info
2 -日志级别设置为调试
3 -日志级别设置为跟踪

注意: 收集最小升级要求（MER）信息时，请执行以下操作：

最好使用 "启用跟踪级别日志记录" maconfig –enforce –loglevel 3
使用命令。强制实施策略 cmdagent –e

解决方案 2

启用 McTray 调试日志记录，创建调试日志以 McTray.exe 对与 Trellix 任务栏图标相关的问题进行故障排除时。

注意： 注意:您必须暂时禁用自我保护以进行以下更改。您只能通过 TA 策略控制自我保护。本地系统无法更改此更改。完成故障排除后，重新启用自我保护。

登录到 ePO 控制台。
单击菜单, 策略, 策略目录。
选择 McAfee Agent 从产品下拉列表。
选择常规从类别下拉列表。
单击要更改的策略。
单击常规选项卡。
取消选择该选项 启用自我保护（仅限 Windows）。
单击保存。
要接收策略更改，请将代理唤醒呼叫客户端。
重新启动客户端系统。

要启用调试日志记录，请按照下列步骤操作：

注意：： 本文包含有关打开或修改注册表的信息。

以下信息供系统管理员使用。注册表修改是不可逆的，如果执行不正确可能会导致系统故障。
执行前，技术支持强烈建议您先备份注册表并了解还原过程。有关详细信息，请参阅高级用户文章的 Microsoft Windows 注册表信息。
请不要运行未确认为真正的注册表导入文件的 REG 文件。

按 Windows + R，键入 regedit ，并单击确定。
导航至以下注册表项：

64位： [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\McAfee\Win32_GUI_Support_DLL]
32 位： [HKEY_LOCAL_MACHINE\SOFTWARE\McAfee\Win32_GUI_Support_DLL]
双击 debug_tracing 字符串值并设置 值数据 到 1 。
关闭注册表编辑器。
重新启动 McTray.exe 过程。

注意：

调试日志记录将继续，直到您将值更改回 0。技术支持建议您在收集了足够的日志后重新更改值。
因为 McTray.exe 在登录用户的配置文件下运行，它还会将调试日志存储在登录用户的配置文件下。MER 工具不收集这些日志;您必须手动获取它们。

McTray 日志位于以下位置：

代理 5.5.1 或更高版本：
C:\Users\<username>\AppData\Local\Temp\McAfeeLogs
代理 5.0.x ：
C:\Users\<username>\AppData\Roaming\McAfee\Common Framework\DB\Support DLL\DebugTraceFile

注意：为 McTray 的每个新实例创建单独的日志文件，包含多达 20 个历史文件，以及一个当前活动日志的文件。每个日志文件会在运行时动态保存至 2 MB，直至调试日志记录关闭。

解决方案 3

收集 ETL
有关升级或卸载 TA 的问题，请通过执行以下步骤收集 ETL：

下载并解压缩文件 ETLTrace*.zip 从 "附件" 一节中介绍的内容。
按 Windows + R，键入 cmd ，然后单击确定。
导航到您解压缩到的目录 ETLTrace*.zip。
运行以下命令：

EtlTrace.exe -Start
重现问题。
返回到命令。提示符并运行以下命令。： EtlTrace.exe -Stop
如果您需要收集二进制文件版本，请运行以下命令。： EtlTrace.exe -GetVer
收集以下文件：
- EtlTrace.log
- Syscore.etl

附件

EtlTrace_18.9.zip
83K • < 1 minute @ broadband

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

语言:

此文章有以下语言版本：

Knowledge Center

如何为 Trellix Agent 启用调试日志记录以对 Windows 进行故障排除

环境

摘要

解决方案 1

解决方案 2

解决方案 3

相关信息

附件

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

如何为 Trellix Agent 启用调试日志记录以对 Windows 进行故障排除

环境

摘要

解决方案 1

解决方案 2

解决方案 3

相关信息

附件

免责声明

受影响的产品

语言:

选择您的区域

Title

Title