用于解决问题的最小Endpoint Security步骤

工具

SSSO 是一种工具，便于在单个界面中使用多个独立工具进行数据收集。SSSO 使用预定义的运行手册和触发器来自动收集。有关详细信息，请参阅KB92519-自助服务可支持性 Orchestrator 数据收集工具.
AMTrace 是一种内部工具，用于收集来自 AMCore （上次更新时间10月 11 2018 日的日志记录数据）。 AMTrace用于从以下来源 AMCore 收集日志记录数据：
1. 准备 AMTrace ：
  1. 从本文的 "附件" 部分下载 zip 包 ENSDataCollect.zip 。
  2. 将内容解压缩到桌面。
2. 运行 AMTrace ：
  1. 单击启动，请在搜索栏中键入 cmd.exe ，右键单击 cmd.exe 列表，然后单击 "以 管理员身份运行"。
  2. 当您准备好开始跟踪时，请使用下面的命令。选项来要求相关的数据收集部分。
    
    注意: 以下是文件位置的路径 AMTrace.exe ：
    - C:\Users\username\Desktop\ENSDataCollect\AMTracex86
    - C:\Users\username\Desktop\ENSDataCollect\AMTracex64
    AMTrace 命令。选项：
    - 要使用该 AMTrace onboot 选项，请运行以下命令。：
      AMTrace.exe -b onboot -m 4GB
      此命令。指示工具在 下一次引导时开始跟踪。
      注意：
      
      "GB"区分大小写。此示例将日志大小限制为 4 GB。10 MB 是最小接受值，2 GB 为默认值（如果未指定）。
      
      此选项不支持下面所述的备用日志记录模式。
    - 要与now选项一起使用 AMTrace ，请运行以下命令。：
      AMTrace.exe -b now -m 4GB
      
      重要说明: AMTrace 现在使用的是滚动更新选项。
      
      此命令。指示工具立即开始跟踪，并将日志大小限制为每个 .etl 文件 4 GB。当日志大小达到 4 GB 时，将创建一个新的日志。每个日志都附加了 _1、 _2等，直到您停止跟踪、用户注销或关闭系统为止。
      
      注意: "GB" 区分大小写。
    - 要在没有滚动更新选项的 AMTrace 情况下 使用：
      为您要记录的问题选择适当的日志记录方法：
      AMTrace.exe -b now -m 4GB -L stop
      AMTrace.exe -b now -m 4GB -L circular
      停止模式会创建一个跟踪会话，该会话会在达到大小限制后停止日志记录。
      循环模式会创建一个跟踪会话，用于记录单个文件。达到最大大小后，较早的事件将被覆盖。
      
      注意: "L" 和 "GB" 区分大小写。
  3. 停止跟踪并保存日志。请使用以下命令：
    AMTrace -e
  4. 如果可能， AMTrace 尝试自动重命名生成的 ETL 文件，以包括开始时间以及日志记录文件名的停止时间。例如， amtrace_20200704.010203-010305.etl 表示日志记录开始于2020-07-04 （7月4日，2020 1:02:03），并持续到1:03:05。
    如果 AMTrace 在日志记录停止时无法重命名文件，则仍可以使用其他 AMTrace 命令。手动重命名文件：
    AMTrace.exe --datestamp *.etl
    此命令。接受通配符（ * 或 ? ），以分别引用多个字符或单个字符。此命令用于重命名指定的文件或文件，以在文件名中包括开始和停止时间。它不会影响已添加 datestamp 的文件。
要确认 AMTrace 是否正在进行，请运行以下命令。以列出所有活动跟踪：
AMTrace -q

有关如何使用此过程收集 AMTrace 数据的演示，请查看以下视频：
GFlags 允许您启用和禁用高级内部系统诊断和故障排除功能。您可以从命令。提示窗口运行 GFlags 或使用其图形用户界面对话框。通常用于打开其他工具跟踪、计数和日志的指示符。
MER 会收集您计算机上安装的产品中的事件日志、文件版本详细信息、文件、进程详细信息和注册表详细信息。技术支持收集的数据解决问题。有关详细信息，请参阅 KB59385-如何将 MER 工具与我们的产品配合使用。
进程监视器是一种Microsoft工具，可实时监控和显示 Windows 操作系统上的所有文件系统活动。在系统管理、计算机鉴证和应用程序调试过程中使用该工具。如何使用进程监视器：
1. 准备进程监视器：
  1. 从下载进程监视器进程监视器下载页面.
  2. 解压缩 Procmon.exe 到桌面。
2. 运行进程监视器：
  1. 当您准备好启动进程监视器时，请使用下面的选项（相关的数据收集部分需要）。
    - 要立即启动进程监视器，请：
      1. 自动运行 Procmon.exe; 它会启动以捕获进程信息。
      2. 要停止进程监视器，请按下 Ctrl+E 或单击文件并取消选择捕获事件. 再次按下 Ctrl+E 以恢复数据收集。
      3. 要保存日志，请依次单击文件、 保存 ... （选择 所有事件 并使用本机 .pml 格式）。
    - 要在相关数据收集部分需要时启用进程监视器引导日志记录选项，请执行以下步骤：
      1. 打开进程监视器控制台。
      2. 点击选项.
      3. 点击启用引导日志记录.
      4. 在弹出窗口中单击确定。下次重新启动时，会创建引导跟踪日志。
      5. 若要保存日志，请再次运行进程监视器，然后单击文件,救。。。（选择所有事件并使用本地 PML 格式）。
有关如何使用此过程收集进程监视器数据的演示，请查看以下视频：
ProcDump 是一个命令。行实用工具，用于监控应用程序的 CPU 峰值。在管理员或开发人员可以使用的峰值期间，它会生成崩溃转储，以确定流量暴增的原因。
PerfMon 是一个工具，管理员可以使用它来检查在其计算机上运行的程序如何影响计算机的性能。实时使用该工具分析运行程序对系统性能的影响。您还可以使用此工具收集日志文件信息，以稍后进行系统性能数据分析。
PoolMon显示操作系统从已分页和非分页内核池以及用于终端服务会话的内存池上收集有关内存分配的数据。 PoolMon 根据池分配标记对数据进行分组。 Microsoft 技术支持该信息查找内核模式内存泄漏。
VMware转换器是一个免费的 VMware 实用工具，可帮助将 Windows 和基于Linux的物理系统转换为VMware虚拟机。您还可以使用它将第三方镜像格式（如备份映像和其他虚拟机）转换为VMware虚拟机。使用此工具创建虚拟机，以提供技术支持故障排除工具。
WinDbg 是适用于 Windows 操作系统的 Microsoft 分发的调试器。使用此工具调试内核模式下的用户模式应用程序、设备驱动程序和操作系统本身。它具有图形用户界面，比 Visual Studio 调试器功能强大。

Windows 性能记录器 （WPR）是一种性能记录工具来自 Microsoft 的，它基于 Windows 事件跟踪（ETW）。它可记录系统事件，然后您可以使用分析器（WPA） Windows系统事件。要使用 WPR，请执行以下步骤：

单击启动，请在搜索栏中键入 cmd.exe ，右键单击 cmd.exe 列表，然后单击 " 以管理员身份运行"。
键入 wprui.exe 并按 enter 以启动 WPR。

注意: 如果程序未运行或未找到，则必须先安装它。WPR 是性能工具包Windows一部分。它可从 Windows SDK 或 Windows 评估和部署工具包中获取：
- 有关Windows SDK，请参阅Windows SDK 下载页面.
- 有关 Windows 评估和部署工具包的详细内容，请参阅 Windows 评估和部署工具包下载页面。

根据下表中的建议，选择使用 性能方案 和其他设置：

性能问题	性能方案	详细信息级别	日志记录模式	要包含的配置文件	迭代次数
引导或登录慢	引导	请参阅下文	文件	第一级分类、CPU 使用率、文件 I/O 活动、Minifilter I/O 活动	至少 1
高 CPU 使用率	一般	请参阅下文	文件	第一级分类、CPU 使用率、文件 I/O 活动、Minifilter I/O 活动	N/A
应用程序响应慢或无响应	一般	请参阅下文	文件	第一级分类、CPU 使用率、文件 I/O 活动、Minifilter I/O 活动	N/A

收集 WPR 数据，以便进一步分析问题。 "Minifilter I/O Activity"选项最重要的选项之一，位于"场景分析"部分下。

使用 WPR 会对系统施加额外的压力，这可能会更改或掩盖您要调查的原始问题。收集两个具有不同详细信息级别的数据集。使用光设置以显示问题，以及详细设置，以允许进行进一步分析的数据集。捕获至少 30 秒。

如有可能，在您执行相同任务时收集没有问题的 WPR 日志，以用于创建目标。数据集无 ENS 存在需要建立预期性能基准。

有关如何使用此过程收集 WPR 数据的演示，请查看以下视频：

以下各节介绍针对每种问题类型要收集的数据：

验证是否调试日志记录 ENS 应用程序

有关说明，请参阅 KB91797-启用调试日志记录，以对 Endpoint Security 问题进行故障排除。

返回顶部

引导、启动或登录慢

如果症状为以下任一症状，请执行本节中的步骤：

引导或启动缓慢
慢速登录

SSO 行动手册：

在操作手册完成后，注意:立即从 SSSO 实用工具收集 WebMER。

方案说明		ENS_BootLogging_Start_Auto.yml
前提条件			PowerShell 版本 3.0 漏洞利用防护特征码"PowerShell 中的执行策略绕过"已禁用或配置为不阻止已启用 ENS 调试日志记录
SSSO 执行的工具				进程监视器 AMTrace
笔记	在下一次系统重新启动时，此操作手册会配置进程监视器并 AMTrace 收集已注册 ENS_BootLogging_Stop_Auto.yml 为计划任务的引导跟踪日志记录。在执行此任务后，必须手动重新启动系统。有关说明，请查看 SSSO 日志记录。重新启动时， ENS_BootLogging_Stop_Auto.yml 执行并收集引导日志。

手动数据收集：
针对和进程监视器的 AMTrace 数据收集步骤：

使用该 onboot 选项启动 AMTrace 。
开始进程监视器并启用引导日志记录选项。
重新启动系统。
重现问题。
登录系统。
停止 AMTrace 并保存日志。
打开进程监视器并保存引导日志。
收集MER SSSO 实用工具的信息。

针对性能改进的 Windows数据收集步骤：

运行 WPR。
配置引导性能方案。
开始捕获。
重新启动系统。
重现问题。
登录系统。
允许WPR：引导跟踪完成。
捕获已保存的 ETL 文件。
收集MER SSSO 实用工具的信息。

返回顶部

性能慢（可复制）

如果症状可复制且具有以下任一功能，请执行本节中的步骤：

应用程序启动缓慢
应用程序性能下降
系统性能降低

SSSO 行动手册

方案说明		ENS_Process_HighCPU_Level1.yml
前提条件			PowerShell 版本 3.0 漏洞利用防护特征码"PowerShell 中的执行策略绕过"已禁用或配置为不阻止已启用 ENS 调试日志记录 Windows Performance Recorder安装
SSSO 执行的工具				进程监视器 AMTrace WPR PerfMon WebMER
笔记	该手册要求您提供目标进程名称和CPU阈值来触发数据收集。

手动数据收集：
针对和进程监视器的 AMTrace 数据收集步骤：

开始进程监视器.
使用 "now" （立即）选项启动 AMTrace 。
重现问题。
停止 AMTrace 并保存日志。
停止 进程监视器并保存日志。
收集MER SSSO 实用工具的信息。

WPR 的数据收集步骤：

运行 WPR。
配置一般性能方案。
启动跟踪。
重现问题。
停止跟踪。
捕获已保存的 ETL 文件。
收集MER SSSO 实用工具的信息。

返回顶部

性能慢（随机）

如果随机出现症状且具有以下任一症状，请执行本节中的步骤：

应用程序启动缓慢
应用程序性能下降
系统性能降低

SSSO 行动手册

方案说明		ENS_Process_HighCPU_Level1.yml
前提条件			PowerShell 版本 3.0 漏洞利用防护特征码"PowerShell 中的执行策略绕过"已禁用或配置为不阻止已启用 ENS 调试日志记录 Windows Performance Recorder安装
SSSO 执行的工具				进程监视器 AMTrace WPR PerfMon WebMER
笔记	该手册要求您提供目标进程名称和CPU阈值来触发数据收集。

手动数据收集：
针对以下内容的 AMTrace 数据收集步骤：

使用翻转选项启动 AMTrace 。
发生问题时，请停止 AMTrace 并保存日志。
收集MER SSSO 实用工具的信息。

WPR 的数据收集步骤：

运行 WPR。
配置一般性能方案，具有记忆作为日志记录模式。
启动跟踪。
重现问题。
在重现问题后尽快保存跟踪。
捕获已保存的 ETL 文件。
收集MER SSSO 实用工具的信息。

返回顶部

系统挂起、死锁或错误检查（蓝屏）

如果症状为以下任一症状，请执行本节中的步骤：

系统挂起或死锁
系统错误检查（蓝屏）

SSSO 行动手册（系统挂起或死锁）：

在操作手册完成后，注意:立即从 SSSO 实用工具收集 WebMER。

方案说明		ENS_Process_HighCPU_Level3.yml
前提条件			PowerShell 版本 3.0 漏洞利用防护特征码"PowerShell 中的执行策略绕过"已禁用或配置为不阻止已启用 ENS 调试日志记录针对完全或内核内存转储配置的系统。
SSSO 执行的工具				NotMyFault
笔记	您需要为此操作手册配置 "进程名称" 变量（例如 mcshield.exe ）。对各自的进程名称进行监控，以违反 CPU阈值（默认为 40%）。通过该阈值后，会触发系统崩溃。

手动数据收集：
系统挂起或死锁的数据收集步骤：

将系统配置为创建完整 memory.dmp 的。参阅 KB56023 - 创建内存转储以供技术支持进行分析.
配置系统以允许键盘崩溃。请参阅该Microsoft文章造成键盘崩溃.
出现问题时创建转储文件。通常，在生成转储文件之前可以等待的时间越长，在转储中识别挂起情况就越简单。
如果系统位于可访问状态，则MER SSSO 实用工具收集一个事件。

系统错误检查的数据收集步骤：

将系统配置为创建完整 memory.dmp 的。参阅 KB56023 - 创建内存转储以供技术支持进行分析.
当执行系统错误检查（蓝屏）时收集完整的转储文件。
如果系统位于可访问状态，则MER SSSO 实用工具收集一个事件。

返回顶部

应用程序挂起、死锁或崩溃

如果症状为以下任一症状，请执行本节中的步骤：

应用程序挂起或死锁（未响应且不会恢复）
应用程序崩溃

SSSO 行动手册

方案说明		Template_ProcessHang.yml
前提条件			PowerShell 版本 3.0 漏洞利用防护特征码"PowerShell 中的执行策略绕过"已禁用或配置为不阻止已启用 ENS 调试日志记录 ENS 自我保护已禁用
SSSO 执行的工具				进程转储 WebMER
笔记	您必须提供目标进程或遇到挂起的进程，以执行该 Playbook。如需获得有关确定特定进程名称的帮助，请联系技术支持。

手动数据收集：
应用程序挂起或死锁的数据收集步骤：

从下载 ProcDumpProcDump 下载页面.
提取ProcDump 到桌面。
打开管理命令。提示符，然后将目录更改为 C:\Users\username\Desktop\Procdump 。
运行以下命令：procdump -ma
收集创建的转储文件，该文件位于文件夹中 Procdump 。
收集MER SSSO 实用工具的信息。

应用程序崩溃的数据收集步骤：

如果崩溃进程是 ENS 进程，请禁用 ENS 自我保护。
从 " ProcDump 下载" 页面下载 ProcDump 。
解压缩 ProcDump 到桌面。
打开管理命令。提示符，然后将目录更改为 C:\Users\username\Desktop\Procdump 。
运行以下命令：procdump -ma -e

注意: -E 开关指示 ProcDump 在下一次进程崩溃时生成转储。
等待进程再次崩溃。
收集创建的转储文件，该文件位于文件夹中 Procdump 。
重新启用 ENS 自我保护。
收集MER SSSO 实用工具的信息。

返回顶部

内存泄漏（用户或内核）

如果症状涉及用户模式或应用程序内存泄漏，请执行本节中的步骤。 收集三（3）用于分析的用户模式或应用程序故障转储。

注意：内存泄漏数据收集需要一段时间来执行，正如内存泄漏会表现出其经过一段时间的行为一样。为了获得最佳数据收集结果，建议重新启动系统，然后启动以下数据收集。此顺序允许数据集在系统清单中显示内存泄漏一段时间的存在。

SSSO 行动手册（用户模式泄漏）

方案说明		ENS_Process_MemoryLeak.yml
前提条件			必须禁用 ENS 自我保护 ENS 调试日志记录 Windows开发套件（WDK）必须安装在系统中 Windows调试工具必须安装在系统中（包括于 WDK 安装中） PowerShell 版本 3.0 ENS 漏洞利用防护特征码"PowerShell 中的执行策略绕过"规则不应配置为"阻止"
SSSO 执行的工具				GFlags Taskkill UMDH PoolMon AMTrace 进程监视器 WebMER
笔记	该手册要求您提供一个目标进程名称来跟踪其内存占用时间。要正确执行该手册，测试期间必须禁用 ENS 自我保护。

手动数据收集（用户模式泄漏）：

从下载 ProcDumpProcDump 下载页面.
提取ProcDump 到桌面。
识别泄漏内存的进程名称。
启用泄漏过程的堆栈跟踪。请参阅 KB91252-如何使用 gflags .exe 实用工具启用堆栈跟踪。
等待可疑进程显示内存使用率高。
打开管理命令。提示符，然后将目录更改为 C:\Users\username\Desktop\Procdump 。
运行以下命令：procdump -ma
收集创建的转储文件，该文件位于文件夹中 Procdump 。
重复上述步骤，收集三（3）用户模式或应用程序崩溃转储，用于分析。
收集所有崩溃转储文件后，禁用进程的堆栈跟踪。请参阅 KB91252-如何使用 gflags .exe 实用工具启用堆栈跟踪。

手动数据收集（内核模式泄漏）：
如果存在可疑的内核内存泄漏（涉及我们的某个进程），请执行此部分中的步骤。

熟悉 KB74951 中所述的使用和配置，以及如何对系统上的高内存使用进行故障排除。 PoolMon PerfMon
将系统配置为创建完整 memory.dmp 的。参阅 KB56023 - 创建内存转储以供技术支持进行分析.
配置系统以允许键盘崩溃。请参阅该Microsoft文章造成键盘崩溃.
重新启动系统（报告为显示内存泄漏）。
使用 KB74951 中的配置 PoolMon 和 PerfMon 概述 -如何对系统上的高内存使用率进行故障排除。PoolMon 启动和 PerfMon 数据收集。
等待系统显示内存使用率高。
停止 PoolMon 并 PerfMon 收集结果数据。
在仍然存在高内存使用率时强制系统执行错误检查。
收集内存转储。

返回顶部

与 Device Guard 或凭据保护相关的问题

如果症状涉及 Device Guard 或 Credential Guard ，请执行本节中的步骤。

收集适用于已用小程序 ENS 数据，如本文所述。
另外，使用以下命令。收集 ETW 跟踪，在管理命令。提示符下执行：

@echo off
ECHO These commands enable tracing:
@echo on
logman create trace "base_DeviceGuard" -ow -o c:base_DeviceGuard.etl -p "Microsoft-Windows-DeviceGuard" 0xffffffffffffffff 0xff -nb 16 16 -bs 1024 -mode Circular -f bincirc -max 4096 -ets
@echo off
echo
ECHO Reproduce your issue and enter any key to stop tracing
@echo on
pause
logman stop "base_DeviceGuard" -ets
@echo off
echo Tracing has been captured and saved successfully at c:base_DeviceGuard.etl
pause

返回顶部

ENS 组件安装失败

如果 ENS 的一个或多个组件安装失败，请执行此部分中的数据收集步骤。

注意: 在大多数情况下，使用本地安装路径进行 ENS 安装数据收集非常理想。此配置可以隔离 ENS 安装程序本身的任何潜在故障，并且不会执行任务或网络错误。如果必须在基于 ePO 的部署中完成数据收集，请与技术支持一起确保审阅数据时考虑此配置。

SSSO 行动手册（本地安装）

方案说明		ENS_InstallationFailure.yml
前提条件			PowerShell 版本 3.0 漏洞利用防护特征码"PowerShell 中的执行策略绕过"已禁用或配置为不阻止已启用 ENS 调试日志记录
SSSO 执行的工具				进程监视器 AMTrace WebMER 系统文件检查器（SPF）
笔记	此操作手册会观察进程的生成 SetupEp.exe 过程，并在 ENS 本地安装开始时开始收集数据。

SSSO 行动手册（ePO 部署）

方案说明		ENS_InstallationFailure_ePO.yml
前提条件			PowerShell 版本 3.0 漏洞利用防护特征码"PowerShell 中的执行策略绕过"已禁用或配置为不阻止已启用 ENS 调试日志记录
SSSO 执行的工具				进程监视器 AMTrace WebMER 系统文件检查器（SPF）
笔记	此操作手册会监视进程的生成 SetupCC.exe 过程，并在 ENS 基于 ePO 的部署开始时收集数据。

手动数据收集：

注意: 请确保在 ENS 的本地安装过程中收集数据。将每个模块作为单独的产品进行故障排除。

下载并解压缩产品下载站点.
开始进程监视器.
使用翻转选项启动 AMTrace 。
重新创建问题。以管理员身份运行本地安装（ setupEP.exe ），然后选择您要排除故障的单个模块。
停止 AMTrace 并保存日志。
停止进程监视器并保存日志。
使用 SSSO MER收集一个安全文件（以管理员角色运行）。

返回顶部

ENS 未运行或第三方 DLL 注入

如果症状为以下任一症状，请执行本节中的步骤：

ENS 的状态为 "Endpoint Security 平台未运行！"
第三方 DLL 注入

SSSO 行动手册

方案说明		ENS_Process_HighCPU_Level1.yml
前提条件			PowerShell 版本 3.0 漏洞利用防护特征码"PowerShell 中的执行策略绕过"已禁用或配置为不阻止已启用 ENS 调试日志记录 Windows Performance Recorder安装
SSSO 执行的工具				进程监视器 AMTrace WPR PerfMon MER
笔记	将参数设置为进程名称 " mfeesp.exe " 和阈值为0%。执行《运行手册》后，立即打开并关闭 ENS 控制台，以重现问题。

手动数据收集：

开始进程监视器.
使用 "now" （立即）选项启动 AMTrace 。
打开和关闭 ENS 控制台以重新创建问题。
停止 AMTrace 并保存日志。
停止进程监视器并保存日志。
收集MER文件（以管理员角色运行）。
导出并收集已分配的副本Endpoint Security 通用设置选项政策。

返回顶部

涉及系统（TIE Threat Intelligence Exchange的问题

如果症状与 TIE 有关，请执行本节中的步骤：

根据本文中列出的症状收集适当的数据。
此外，在 /var/McAfee/tieserver/logs/tieserver.log TIE 服务器装置上收集 TIE 服务器日志。

返回顶部

涉及 ENS 防火墙模块的问题

执行 KB90662 中的步骤 -使用 ENS 防火墙时对应用程序/网络流量进行故障排除。

返回顶部

Knowledge Center

用于解决问题的最小Endpoint Security步骤

环境

摘要

相关信息

附件

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

用于解决问题的最小Endpoint Security步骤

环境

摘要

相关信息

附件

免责声明

受影响的产品

语言:

选择您的区域

Title

Title