识别系统事件日志报告事件 ID 514、516或519时的信任问题

技术文章 ID: KB87795
上次修改时间: 2023/03/10

环境

McAfee Agent 5.x
应用程序和更改控制 8.x 、 6.x
7.x Data Exchange Layer 6.x ， 5.x
Data Loss Prevention Endpoint 11.x
Endpoint Intelligence Agent 3.x ， 2.x
Endpoint Security 10.x
主机入侵防护 8.x
VirusScan Enterprise 8.x
SysCore 15.3 或更高版本

摘要

本文介绍如何使用内置 SysCore 实用工具 VtpInfo 。当您对系统事件日志报告事件 ID 为514、516或519的问题进行故障排除时，可以使用此实用工具来确定模块或进程的信任状态。

VtpInfo 命令。确定 Trellix 是否信任模块（DLL 或 exe）或进程（EXE）。如果某个进程不受信任，命令。输出会指出哪些组件是原因所在。

问题

Windows 系统事件日志报告事件 ID 514、516或519的多个条目，如下所示：

Event Type: Warning
Event Source: mfehidk
Event Category: (256)
Event ID: 514
Description:
Process C:\Program Files\McAfee\VirusScan Enterprise\ pid (###) contained unsigned or corrupted code and was blocked from performing a privileged operation with a McAfee driver

Event Type: Warning
Event Source: mfehidk
Event Category: (256)
Event ID: 516
Description:
Process **\VSTSKMGR.EXE pid (XXXX) contains signed but untrusted code, but was allowed to perform a privileged operation with a McAfee driver

Event Type: Warning
Event Source: mfehidk
Event Category: (256)
Event ID: 519
Description:
Process **\VSTSKMGR.EXE pid (####) could not be successfully validated with the mfevtp service and was blocked from performing a privileged operation with a McAfee driver

Event Type: Warning
Event Source: mfehidk
Event Category: (256)
Event ID: 514
Description:
Process **\OUTLOOK.EXE pid (###) contained unsigned or corrupted code and was blocked from performing a privileged operation with a McAfee driver

在某些系统上，每隔几分钟就会记录一次该事件。

客户端未报告任何其他症状。

重要说明： 产品功能和性能不受影响。

解决方案

VtpInfo 使用工具确定磁盘上或正在运行的进程上的文件的信任状态。在提升的命令。提示符中使用以下命令：

vtpinfo.exe /validatemodule "<full path to DLL or EXE>"

vtpinfo.exe /validateprocess <process ID (PID) that the application is running as>

要使用模块或进程的信任状态信息保存文件，请从提升的命令。提示符处运行以下命令：

注意： 在运行命令。之前，请确保目录 C:\Temp\ 存在，否则它会失败。命令。不会创建目标目录。

"C:\Program Files\Common Files\McAfee\SystemCore\vtpinfo.exe" /validatemodule "<full path to DLL or EXE>" >C:\Temp\vtpinfo.txt

"C:\Program Files\Common Files\McAfee\SystemCore\vtpinfo.exe" /validateprocess <PID that the application is running as> >C:\Temp\vtpinfo.txt

查看该文件 vtpinfo.txt. 确定指定模块或进程中的受信任或不受信任的内容。加载到正被查询的进程中的所有模块都会在结果中以其信任状态列出。在该文件的末尾，会显示聚合结果。如果您看到 validation_state= VALIDATION_STATE_INVALID 或 privileges= PRIVILEGE_NONE ，则模块或进程不受信任。

在识别不受信任的模块或进程之后，请联系供应商以确定如何防止该二进制文件注入 Trellix 软件。

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

语言:

此文章有以下语言版本：

Knowledge Center

识别系统事件日志报告事件 ID 514、516或519时的信任问题

环境

摘要

问题

解决方案

相关信息

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

识别系统事件日志报告事件 ID 514、516或519时的信任问题

环境

摘要

问题

解决方案

相关信息

免责声明

受影响的产品

语言:

选择您的区域

Title

Title