Dieser Artikel enthält grundlegende Informationen über die Schritte für die minimale Datenerfassung bei der Behebung allgemeiner ENS-Probleme.

Stellen Sie sicher, dass alle Protokolle vom gleichen System erfasst werden, auf dem das Problem auftritt, und dass alle Protokolle zur selben Zeit erfasst werden. Die Zeitstempel der Protokollierungsdaten können zur Behebung des Problems verwendet werden.

Nicht übereinstimmende Protokolle von verschiedenen Systemen oder zu unterschiedlichen Zeitpunkten erfasste Protokolle können nicht zur Fehlerbehebung verwendet werden. Solche Protokolle können dazu führen, dass alle Protokolle zur minimalen Datenerfassung erneut erfasst werden müssen.

• Minimum Escalation Requirements- (MER-)Dateien mit Protokollierung der Fehlerbehebung für ENS sind für alle Probleme erforderlich. Informationen zur Protokollierung der Fehlerbehebung finden Sie unter Überprüfen, ob die ENS-Protokollierung der Fehlerbehebung aktiviert ist. Informationen zu MER-Dateien finden Sie unter KB59385 – Verwenden von MER-Tools mit unterstützten McAfee-Produkten. Die Protokollierung der Fehlerbehebung muss für das Real Protect RC.log aktiviert sein, damit es generiert werden kann.

Sammeln Sie weitere Dateien und Protokolle für jedes Problem unten:

• Langsames Booten oder Starten
• Langsame Anmeldung
• Langsamer Anwendungsstart (reproduzierbar oder zufällig)
• Langsame Anwendungsleistung (reproduzierbar oder zufällig)
• Langsame Systemleistung (reproduzierbar oder zufällig)
• Systemabsturz oder Deadlock
• System-Fehlerüberprüfung (Bluescreen)
• Anwendungsabsturz oder Deadlock (reagiert nicht und wird nicht wiederhergestellt)
• Anwendungsabsturz
• Speicherleck (Benutzer- oder Kernelmodus)
• Probleme im Zusammenhang mit Device Guard oder Credential Guard
• Mindestens eine ENS-Komponente konnte nicht installiert werden
• Der Status von ENS lautet: Endpoint Security-Plattform wird nicht ausgeführt.
• DLL-Einschleusung von Drittanbietern
• Probleme im Zusammenhang mit Threat Intelligence Exchange (TIE)
• Probleme im Zusammenhang mit der ENS-Firewall

In den folgenden Abschnitten wird beschrieben, welche Daten für die einzelnen Problemtypen erfasst werden.

Je nach Problem sind möglicherweise die folgenden Tools erforderlich:

• AMTrace – ein internes Tool zur Erfassung von Protokollierungsdaten von AMCore (letzte Aktualisierung am 11. Oktober 2018)
• Windows Performance Recorder – ein Tool von Microsoft
• Process Monitor: ein Tool von Microsoft

Anweisungen zum Vorbereiten und Verwenden der Tools finden Sie in den folgenden Schritten.

So verwenden Sie AMTrace, um Protokollierungsdaten von AMCore zu erfassen:

1. Vorbereiten von AMTrace:
   1. Laden Sie das ZIP-Paket ENSDataCollect.zip aus dem Abschnitt Anhang dieses Artikels herunter.
   2. Extrahieren Sie den Inhalt auf den Desktop.
2. Ausführen von AMTrace:
   1. Klicken Sie auf Start, geben Sie cmd.exe in die Suchleiste ein, klicken Sie mit der rechten Maustaste auf cmd.exe in der Liste, und wählen Sie Als Administrator ausführen aus.
   2. Wenn Sie zum Starten einer Verfolgung bereit sind, verwenden Sie die folgende Befehlsoption, die für den entsprechenden Abschnitt für die Datenerfassung erforderlich ist.
      
      HINWEIS: Im Folgenden finden Sie die Pfade zu den Dateispeicherorten für AMTrace.exe:
      • C:\Users\username\Desktop\ENSDataCollect\AMTracex86
      • C:\Users\username\Desktop\ENSDataCollect\AMTracex64
      AMTrace-Befehlsoptionen:
       
      • Führen Sie zum Verwenden der AMTrace onboot -Option den folgenden Befehl aus:
         
        AMTrace.exe -b onboot -m 4GB
         
        Mit diesem Befehl wird das Tool angewiesen, eine Verfolgung beim nächsten Start zu beginnen.
        HINWEISE:

        • Bei "GB" wird die Groß-/Kleinschreibung beachtet. In diesem Beispiel wird die Protokollgröße auf 4 GB beschränkt. 10 MB ist der Mindestwert und 2 GB der Standardwert, sofern nicht angegeben.
        • Diese Option unterstützt nicht die unten beschriebenen alternativen Protokollierungsmodi.
         
      • Um AMTrace mit der Option jetzt zu verwenden, führen Sie den folgenden Befehl aus:
        
        AMTrace.exe -b now -m 4GB
        
        WICHTIG: Die AMTrace verwendet jetzt standardmäßig die Rollover-Option.
        Mit diesem Befehl wird das Tool angewiesen, eine Verfolgung sofort zu beginnen und die Protokollgröße auf 4 GB pro .etl-Datei zu begrenzen. Wenn das Protokoll 4 GB erreicht, wird ein neues Protokoll erstellt. Jedes Protokoll wird angefügt mit _1, _2usw., bis Sie die Verfolgung beenden, sich der Benutzer abmeldet oder Sie das System herunterfahren.

        
        HINWEIS: Bei "GB" wird die Groß-/Kleinschreibung beachtet.
         
      • So verwenden Sie AMTrace ohne die Rollover-Option:
        Wählen Sie die gewünschte Protokollierungsmethode für das aufzuzeichnende Problem aus:
        
        AMTrace.exe -b now -m 4GB -L stop
        AMTrace.exe -b now -m 4GB -L circular
        
        Der Modus Stoppen erstellt eine Verfolgungssitzung, die die Protokollierung beendet, sobald die Größenbeschränkung erreicht ist.
        Der zirkuläre Modus erstellt eine Verfolgungssitzung, die in einer einzelnen Datei protokolliert wird. Nach Erreichen der maximalen Größe werden ältere Ereignisse überschrieben.

        HINWEIS: Bei "L" und "GB" wird die Groß-/Kleinschreibung beachtet.
   3. Beenden Sie die Verfolgung, und speichern Sie das Protokoll. Verwenden Sie den folgenden Befehl:
       
      AMTrace -e
   4. Wenn möglich, versucht AMTrace, die resultierenden ETL-Dateien automatisch umzubenennen, um die Start- und Stoppzeit für die Protokollierung im Dateinamen anzugeben. Beispielsweise würde amtrace_20200704.010203-010305.etl angeben, dass die Protokollierung am 2020-07-04 (4. Juli 2020) um 1:02:03 begonnen hat und bis 1:03:05 lief.
      Wenn AMTrace die Datei nicht umbenennen kann, wenn die Protokollierung endet, kann die Datei manuell mit einem anderen AMTrace-Befehl umbenannt werden:
      
      AMTrace.exe --datestamp *.etl
      
      Dieser Befehl akzeptier Platzhalter (* oder ?), um mehrere Zeichen oder ein einzelnes Zeichen anzugeben. Mit diesem Befehl werden die angegebenen Dateien und die Start- und Endzeit in den Dateinamen aufgenommen. Er wirkt sich nicht auf Dateien aus, für die bereits ein Datumsstempel hinzugefügt wurde.

Um zu überprüfen, ob ein AMTrace ausgeführt wird, führen Sie den folgenden Befehl aus, um alle aktiven Verfolgungen aufzulisten:

AMTrace -q

Eine Demonstration zum Erfassen von AMTrace-Daten mit diesem Verfahren erhalten Sie im folgenden Video:



Zurück zum Anfang

So verwenden Sie Windows Performance Recorder (WPR):
Ausführen von wprui.exe:

1. Klicken Sie auf Start, geben Sie cmd.exe in die Suchleiste ein, klicken Sie mit der rechten Maustaste auf cmd.exe in der Liste, und wählen Sie Als Administrator ausführen aus.
2. Geben Sie wprui.exe ein, und drücken Sie die Eingabetaste, um WPR zu starten.
    
   HINWEIS: Wenn das Programm nicht ausgeführt oder nicht gefunden wird, müssen Sie es zuerst installieren. WPR ist Teil des Windows Performance Toolkit. Sie ist im Windows SDK oder im Windows Assessment and Deployment Kit verfügbar:
   • Informationen zum Windows SDK finden Sie unter https://developer.microsoft.com/de-de/windows/downloads/windows-10-sdk.
   • Informationen zu Windows Assessment and Deployment Kit finden Sie unter https://msdn.microsoft.com/de-de/windows/hardware/commercialize/test/wpt/index.
      
3. Verwenden Sie ein Leistungsszenario und andere Einstellungen, wie in der folgenden Tabelle empfohlen:
    

   Leistungsproblem	Leistungsszenario	Detailebene	Protokollierungsmodus	Einzuschließende Profile	Anzahl der Iterationen
   Langsames Starten oder Anmelden	Starten	Siehe unten	Datei	Sichtung auf erster Ebene, CPU-Auslastung, Datei-E/A-Aktivität, Minifilter-E/A-Aktivität	Mindestens 1
   Hohe CPU-Auslastung	Allgemein	Siehe unten	Datei	Sichtung auf erster Ebene, CPU-Auslastung, Datei-E/A-Aktivität, Minifilter-E/A-Aktivität	n. z.
   Die Anwendung reagiert langsam oder nicht mehr.	Allgemein	Siehe unten	Datei	Sichtung auf erster Ebene, CPU-Auslastung, Datei-E/A-Aktivität, Minifilter-E/A-Aktivität	n. z.

    
   WPR-Daten werden erfasst, um eine tiefere Analyse des Problems zu ermöglichen. Die Option "Minifilter-E/A-Aktivität" ist eine der wichtigsten und befindet sich im Abschnitt "Szenario-Analyse".
   
   Die Verwendung von WPR stellt eine zusätzliche Belastung für das System dar, was das ursprüngliche Problem, das Sie untersuchen möchten, ändern oder maskieren kann. Erfassen Sie zwei Datensätze mit unterschiedlichen Detailebenen. Verwenden Sie die Einstellung Light (Kurz) zum Anzeigen des Problems und die Einstellung Verbose (Ausführlich), damit ein Datensatz für eine tiefere Analyse geeignet ist. Erfassen Sie mindestens 30 Sekunden.
   
   Erfassen Sie nach Möglichkeit ein WPR-Protokoll ohne das Problem, während Sie den gleichen Task für vergleichende Zwecke ausführen. Ein Datensatz ohne Vorhandensein von ENS ist erforderlich, um den Benchmark für die erwartete Leistung festzulegen.

Eine Demonstration zum Erfassen von WPR-Daten mit diesem Verfahren erhalten Sie im folgenden Video:



Zurück zum Anfang

So verwenden Sie Process Monitor:

1. Vorbereiten von Process Monitor:
   1. Laden Sie Process Monitor unter der folgenden Adresse herunter: https://technet.microsoft.com/de-de/library/bb896645.aspx.
   2. Extrahieren Sie Procmon.exe auf den Desktop.
2. Ausführen von Process Monitor:
   1. Wenn Sie Process Monitor starten möchten, verwenden Sie die unten aufgeführte Option, die für den entsprechenden Abschnitt für die Datenerfassung erforderlich ist.
      • So starten Sie Process Monitor sofort:
        1. Führen Sie Procmon.exe aus. Daraufhin werden sofort Prozessinformationen erfasst.
        2. Drücken Sie zum Beenden von Process Monitor STRG+E, oder klicken Sie auf File (Datei), und deaktivieren Sie Capture Events (Ereignisse erfassen). Drücken Sie erneut STRG+E, um die Datenerfassung fortzusetzen.
        3. Klicken Sie zum Speichern des Protokolls auf File (Datei), Save... (Speichern) (wählen Sie All Events (Alle Ereignisse) aus, und verwenden Sie das native PML-Format).
      • So aktivieren Sie die Process Monitor-Option für die Startprotokollierung, falls dies für den relevanten Datenerfassungsabschnitt erforderlich ist:
        1. Öffnen Sie die Process Monitor-Konsole.
        2. Klicken Sie auf Options (Optionen).
        3. Klicken Sie auf Enable Boot Logging (Startprotokollierung aktivieren).
        4. Klicken Sie im Pop-up-Fenster auf OK. Beim nächsten Neustart wird ein Startverfolgungsprotokoll erstellt.
        5. Um das Protokoll zu speichern, führen Sie Process Monitor erneut aus, und klicken Sie auf File (Datei), Save... (Speichern) (wählen Sie All Events (Alle Ereignisse) aus, und verwenden Sie das native PML-Format).

Eine Demonstration zum Erfassen von Process Monitor-Daten mit diesem Verfahren erhalten Sie im folgenden Video: