• Procmon supervisa y muestra toda la actividad del sistema de archivos en un sistema operativo Microsoft Windows en tiempo real. Se utiliza en administración de sistemas, análisis forenses y depuración de aplicaciones.
• Procdump es una utilidad de línea de comandos que se utiliza para monitor una aplicación para obtener picos en la CPU. Genera volcados de bloqueo durante un pico que un administrador o desarrollador puede utilizar para determinar la causa del pico.
• Perfmon es una herramienta que los administradores pueden utilizar para examinar la forma en que los programas, que se ejecutan en sus equipos, afectan al rendimiento del equipo. La herramienta se utiliza en tiempo real para analizar cómo el rendimiento del sistema se ve afectado por la ejecución de programas. También puede utilizar esta herramienta para recopilar información sobre el archivo de registro para el análisis de datos de rendimiento del sistema posteriormente.
• MER recopila registros de eventos, detalles de versión de archivos, archivos, detalles de procesos y detalles de registro de los productos instalados en el equipo. Los datos recopilados se analizan y se utilizan en Soporte técnico para resolver problemas.
• GFlags permite activar y desactivar las funciones de diagnóstico y solución de problemas de los sistemas internos avanzados. Puede ejecutarlo GFlags desde una ventana de símbolo del sistema o utilizar su cuadro de diálogo de interfaz gráfica de usuario. Se suele utilizar para activar los indicadores que controlan, recuento y registran otras herramientas.
• WinDbg es un depurador para el sistema operativo Microsoft Windows, distribuido por Microsoft. Se puede utilizar para depurar aplicaciones en modo de usuario, controladores de dispositivos y el propio sistema operativo en modo de kernel. Dispone de una interfaz gráfica de usuario y es más eficiente que el depurador de Visual Studio.
• PoolMon muestra datos que el sistema operativo recopila sobre las asignaciones de memoria de los grupos de kernels paginados y no paginados del sistema, así como los grupos de memoria utilizados para las sesiones de servicios de Terminal Server. Los datos se agrupan por la etiqueta de asignación de grupos. Microsoft Soporte técnico utiliza esa información para localizar las fugas de memoria en modo kernel.
• VMware Converter es una utilidad gratuita de VMware que ayuda a convertir Windows y sistemas físicos basados en Linux a VMware máquinas virtuales. También puede utilizarla para convertir formatos de imagen de terceros, como imágenes de copia de seguridad y otras máquinas virtuales, en VMware máquinas virtuales. Utilice esta herramienta para crear máquinas virtuales con el fin de proporcionar Soporte técnico para la solución de problemas.

1. ¿Qué sistema operativo?
2. ¿Qué versión de Solidcore?
3. ¿Hay algún otro software de Trellix instalado?
4. ¿Cuál es el sistema utilizado para (servidor de archivos, estación de trabajo, controlador de dominio)?
5. ¿Cuál es el problema?
6. ¿Qué solución de problemas se ha realizado?

1. ¿Cambia el comportamiento en cualquier otro modo (actualizar, activado, observar, desactivado)?
2. ¿Cambia el comportamiento con el mA desactivado?
3. ¿Cambia el comportamiento con el control de ejecución desactivado?

1. Versión de ePO?
2. ¿Versión actual de la extensión de Solidcore?
3. Si se amplía la extensión, ¿cuál es la ruta de ampliación de la extensión?
4. ¿Cuál es el mensaje de error de la pantalla frente al registro de Orion?
5. Proporcione las capturas de pantalla que muestren el problema.

• Copia de seguridad SQL completa y recuperación de desastres: Utilice el base de conocimiento para buscar "backup/recovery for ePO" si tiene un clúster o un "AWS" porque hay un artículo independiente de KB para cada uno.
• Reglas de Solidcore
• Directiva de Solidcore
• Asignaciones de directivas de Solidcore
• Tareas cliente de Solidcore
• Asignaciones de tareas cliente de Solidcore
• Paneles de Solidcore personalizados
• Consultas de Solidcore personalizadas
• Respuestas automáticas de Solidcore personalizadas
• Conjuntos de permisos de Solidcore personalizados
• Captura de pantalla de cualquier configuración de Solidcore personalizada
• Exportar tabla para certificados (no podemos exportar los certificados; debe tenerlos de nuevo)
• Exportar tabla para los hashes de instalador (debe volver a insertar los hashes y los certificados en los instaladores)
• Tareas servidor

• Verifique que estén instalados todos los certificados raíz necesarios.

1. Descargar Procmon .
2. Ejecutar Procmon con el registro de arranque.
3. Reproduzca el problema.
4. Recopile los MER, Gatherinfo, archivos (*.PML) y Procmon .

1. Descargar Procmon .
2. Ejecute Procmon como administrador.
3. Reproduzca el problema.
4. Recopile los MER archivos (*.PML) , Gatherinfo y Procmon .
5. Recopile lo siguiente para la aplicación:
   • Nombre de proceso de la aplicación que se está iniciando
   • Versión de la aplicación
   • Si la aplicación es interna o está hecha por otra empresa
   • Copia de la aplicación o un vínculo a dónde obtener una versión de prueba

1. Realice una captura de pantalla de la tarea Manager que muestre el uso de recursos elevados con los nombres de los procesos.
2. Tenga en cuenta con qué frecuencia se produce el lento rendimiento (cada 5 minutos, 60 minutos, en total).
3. Recopile Windows Performance Monitor con el tiempo de lentitud (5 minutos a menos que sea necesario más).
4. Recopile los archivos MER, Gatherinfo y Windows Perfmon .

• Para desactivar el control de ejecución, ejecute "sadmin features disable execution-control"
• Para activar control de ejecución, ejecute "sadmin features enable execution-control"

1. Descargar ProcDump .
2. Extraiga ProcDump en el escritorio.
3. Abra un símbolo del sistema administrativo y cambie el directorio a C:\Users\username\Desktop\Procdump
4. Ejecute el siguiente comando: procdump -ma <process name/process ID>
5. Recopile el archivo de volcado creado. Se encuentra en la Procdump carpeta.
6. Recopile el MER y Gatherinfo los archivos.

1. Descargar ProcDump .
2. Extraiga ProcDump en el escritorio.
3. Abra un símbolo del sistema administrativo y cambie el directorio a C:\Users\username\Desktop\Procdump
4. Ejecute el siguiente comando: procdump -ma -e <process name/process ID>
   
   Nota: El conmutador-e indica Procdump a generar un volcado la próxima vez que se bloquee el proceso.
   
5. Espere a que el proceso se bloquee de nuevo.
6. Recopile el archivo de volcado creado, que se encuentra en la Procdump carpeta.
7. Recopile los MER archivos y Gatherinfo .

1. Configure el sistema para crear un memory.dmp . Para obtener más información, consulte KB56023-cómo crear un volcado de memoria para su análisis por soporte técnico.
2. Configure el sistema para permitir un bloqueo del teclado. Consulte el artículo sobre cómo forzar un bloqueo del sistema en el Microsoft del teclado.
3. Cree el archivo de volcado cuando se produzca el problema. Por lo general, cuanto más tiempo se puede esperar antes de generar el archivo de volcado, más fácil es identificar la condición de bloqueo en el volcado.
4. Recopile el MER y Gatherinfo los archivos.
5. Recopilar FLTMC .

1. Configure el sistema para crear un memory.dmp . Para obtener más información, consulte KB56023-cómo crear un volcado de memoria para su análisis por soporte técnico.
2. Recopile el archivo de volcado completo cuando se produzca la comprobación de errores del sistema (pantalla azul) (el archivo de volcado se encuentra en c:\Windows).
3. Recopile el MER y Gatherinfo los archivos.
4. Recopilar FLTMC .

Siga los pasos que se indican en esta sección si los síntomas son de rendimiento lento de ePO, se bloquean o no responden.

1. Active la depuración de Orion.
2. Active el volcado del montón de Java.
3. Recopile los archivos de volcado del montón de MER y Java.

1. Active el Orion de depuración.
2. Reproduzca el problema (ampliar o instalar).
3. Recopile un MER de ePO.

1. Active la depuración de la extensión Solidcore.
2. Reproduzca el problema.
3. Recopile capturas de pantalla de los eventos y problemas.
4. Recopile un MER de ePO.

1. Active la depuración de la extensión Solidcore.
2. Recopile una captura de pantalla del problema con los pasos de la reproducción.
3. Exportación de panel (normalmente una consulta).
4. Recopile un MER de ePO.

1. Asegúrese de que se estén ejecutando los servicios del servidor de ePO.
2. Asegúrese de que el cliente esté solidificado.
3. Compruebe la hora de obtención del inventario (última y siguiente).
4. Si el tiempo de inventario es superior a siete días, vuelva a ejecutar la tarea de extracción.
5. Si el tiempo de inventario es inferior a siete días, ejecute la tarea de restablecimiento de tiempo de inventario. Para restablecer la última sincronización de inventario de la hora en el cliente, ejecute los siguientes comandos:

1. Active el registro de depuración de Orion.
2. Vuelva a ejecutar la tarea de migración.

1. Seleccionar el servidor de ePO (para) y el registro de depuración de eventparser*.logOrion .
2. Seleccionar registro de depuración de McAfee Agent (MA) (nivel de registro 8).
3. Cree algunos eventos en el cliente.
4. Verifique que los eventos se creen en la AgentEvents carpeta ( c:\program data\mcafee\agent\agentevents ).
5. Copie los eventos del cliente.
6. Sincronizar MA y enviar los eventos a ePO.
7. Verifique que los eventos vayan a la carpeta Event Parser ( <ePO install dir>\DB\Events ).
8. Recopile una MER y Gatherinfo del cliente y una Mer desde el servidor de ePO.

1. Active el registro de depuración de Orion.
2. Inicie sesión en la consola de ePO.
3. Comprobar servidores registrados de ePO:
   Menú, servidores registrados, servidor de McAfee GTI, acciones, editar
4. Comprobar la conexión; Asegúrese de que dice correcto.

• Recopile un MER de ePO.
• Recopile el resultado de la configuración de GTI mediante SQL.

1. Abra el Símbolo del sistema de administrador.
2. Recupere la CLI local mediante la ejecución sadmin recover . Se necesita una contraseña para desbloquear la CLI local.
3. Execute gatherinfo.bat (Windows) o gatherinfo.sh (UNIX).
4. Una vez gatherinfo finalizado el proceso, se crea un archivo con el nombre gatherinfo.zip (Windows) o gatherinfo-<Hostname>-<Date>.tar.gz en el directorio actual.

1. En el cliente, descargue el cliente de Mer.
2. Ejecutar MER.exe en el cliente.
3. Seleccione todas las aplicaciones o seleccione manualmente ACC.
4. Cuando haya terminado, cargue el .tgz archivo en el caso o permita que la herramienta se cargue a sí misma.

1. Arranque el sistema en modo seguro.
2. Inicie el editor del registro (Inicio, ejecutar, regedit).
3. Desplazarse HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\swin\parameters
4. Editar clave RTEModeOnReboot = 2 or 0
5. Reiniciar

1. sadmin recover (se necesita una contraseña para desbloquear la CLI)
2. sadmin loglevel enable MAHDLR ALL
3. sadmin lockdown para restringir el acceso a la CLI

1. sadmin recover (se necesita una contraseña para desbloquear la CLI)
2. sadmin loglevel disable MAHDLR ALL
3. sadmin loglevel enable MAHDLR ERROR WARNING SYSTEM
4. sadmin lockdown para restringir el acceso a la CLI

1. sadmin recover (se necesita una contraseña para desbloquear la CLI)
2. sadmin config set LogfileNum=n* - (donde n * es el número de archivos en decimal)
3. sadmin config set LogfileSize=nnnn*** - (donde nnnn * * es el tamaño del archivo en kilobytes (KB))
4. sadmin lockdown para restringir

1. sadmin recover (se necesita una contraseña para desbloquear la CLI)
2. sadmin config set LogfileNum=4
3. sadmin config set LogfileSize=2048
4. sadmin lockdown para restringir

1. Arranque el sistema en modo seguro.
2. Desplazarse C:\program files\mcafee\solidcore
3. Eliminar el archivo Passwd
4. Reinicie en modo normal.
5. Recuperar CLI: sadmin recover

1. Cree comando SC: Run con los siguientes comandos
   • config set InvDiffLastAccessTime=default
   • config set PullInvLastAccessTime=default
2. Envíe la tarea al cliente.

1. Abra el Símbolo del sistema de administrador.
2. Recupere la CLI local mediante la ejecución sadmin recover . Se necesita una contraseña para desbloquear la CLI local.
3. Ejecute los siguientes comandos:
   • sadmin config set InvDiffLastAccessTime=default
   • sadmin config set PullInvLastAccessTime=default

• sadmin auth -l > auth.txt
• findstr /R /N "^" auth.txt

1. Abra el Símbolo del sistema de administrador.
2. Recupere la CLI local mediante la ejecución sadmin recover . Se necesita una contraseña para desbloquear la CLI local.
3. Ejecute el siguiente comando:
   • sadmin usm get all
4. Compruebe la salida.

1. Recopile el registro de instalación desde el cliente ( C:\windows\solidcore_install.log ).
2. Abra los registros en un editor de texto.
3. Busque "valor devuelto 3."
4. Busque el error.

1. Abra un símbolo del sistema administrativo.
2. Escriba " fltmc. "
3. Recopile el resultado del fltmc comando.

1. Descargue Process Monitor desde Microsoft.
2. Extraiga el archivo ProcessMonitor.zip en el escritorio.
3. Para iniciar el registro, haga clic Procmon.exe con el botón derecho del ratón y elija Ejecutar como administrador para ejecutar la herramienta.
4. Seleccione Opcionesy active el registro de arranque.
5. Haga clic en Aceptar.
6. Reinicie el equipo.
7. Cuando haya finalizado la carga de Windows, haga doble clic Procmon.exe.

1. Inicie sesión en la consola de ePO.
2. Seleccione menú, configuracióny reglas de Solidcore.
3. Haga clic en la pestaña grupos de reglas .
4. Seleccione la opción reglas creadas por el usuario. Estas reglas son las que se editan junto a ellas.
5. Haga clic en Exportar.
6. Guarde el archivo XML en el equipo local.

1. Tome el archivo XML exportado para la copia de seguridad y colóquelo en el equipo donde acceda a ePO.
2. Inicie sesión en la consola de ePO.
3. Seleccione menú, configuracióny reglas de Solidcore.
4. Haga clic en la pestaña grupos de reglas .
5. Haga clic en Import.
6. Seleccione archivo.
7. Haga clic en Aceptar.

1. Inicie sesión en la consola de ePO.
2. Seleccione menú, DirectivaCatálogo de directivas.
3. En producto, seleccione Application control.
   
   Nota: Debe seleccione este valor para "la supervisión de la integridad," "Change control," y "general."
   
4. En categoría, seleccione todo.
5. En propiedades del producto, haga clic en exportar.
6. Vínculohaga clic con el botón derecho.
7. Elija Guardar como para guardar el archivo XML.

1. Coloque la copia de seguridad del archivo XML de las tareas servidor en el equipo en el que accede a ePO.
2. Inicie sesión en la consola de ePO.
3. Seleccione menú, DirectivaCatálogo de directivas.
4. En propiedades del producto, haga clic en importar.
   
   Nota: Debe hacer clic en esta opción para "Application control" "la supervisión de la integridad," "Change control," y "general."
   
5. Elija el archivo.
6. Haga clic en Aceptar.

1. Haga clic en Inicio, Ejecutar, escriba regedit y, a continuación, haga clic en Aceptar.
2. Desplácese hasta la siguiente clave de registro y expándala:

3. Seleccione la subclave Java .
4. En el panel de la derecha, haga doble clic en el valor de las opciones y anexe los datos de valor de abajo a la parte inferior:

5. Haga clic en Inicio, Ejecutar, escriba services.msc y, a continuación, haga clic en Aceptar.
6. Reinicie el servicio servidor de aplicaciones de ePO .
7. Si el error vuelve a producirse, ejecute la herramienta Minimum Escalation Requirements (MER) para ePO. Asegúrese de que el volcado del montón de Java esté incluido en los resultados de MER. Para obtener más información sobre la recopilación de ePO, consulte KB72895-cómo recopilar un registro de requisitos de escalación mínima para EPolicy Orchestrator y McAfee Agent.

1. Desplácese hasta el C:\Program Files\McAfee\ePolicy Orchestrator\Server\conf\orion directorio.
2. Abrir log-config.xml con un editor de texto.
3. Desplácese hasta el final del archivo.
4. Anexe la sección siguiente al final del archivo antes de la </log4j:configuration> etiqueta final.

5. Guarde el log-config.xml archivo.

• Kernel
• Sistema operativo
• X86/64
• Versión de fecha de kernel
• Número de sistemas afectados

1. Recopile la información necesaria.
2. Abra una solicitud de servicio en Insights con lo siguiente:
   • Título: solicitud de kernel- -
   • Descripción: escriba los campos de solicitud de información.
3. Envíe una solicitud de JIRA con la misma información:
   • Producto: Solidcore Agent
   • Versión: 6.3.x
   • Componente: General
   • Compilación encontrada: 6.3.0 (Introduzca la última compilación disponible; para obtener la compilación más reciente, consulte KB87944-plataformas compatibles con Application y Change Control)
   • Tipo de error: producto
   • Origen real: publicación posterior
   • Origen esperado: publicación posterior
   • Hardware: * si no está seguro, establézcalo en "todo"
   • Sistema operativo: * si el sistema operativo no está presente en la lista, seleccione "Linux"
   • Pasos para la reproducción: N/d
   • Resultados reales: N/d
   • Resultados esperados: N/A
   • Resumen: Linux/UNIX-solicitud de kernel- -
   • Descripción: escriba los campos de solicitud de información.

SELECT COUNT(ID) AS ROWS, DATA_TYPE

FROM SCOR_DATA_CHANNEL
GROUP BY DATA_TYPE
ORDER BY 1 DESC

SELECT COUNT(ID) AS ROWS, DATA_TYPE
FROM SCOR_STAGING_DATA_CHANNEL
GROUP BY DATA_TYPE
ORDER BY 1 DESC

SELECT * FROM [dbo].[SCOR_CONFIG] WHERE CONTEXT='cloudIntegration' OR CONTEXT='gtiIntegration' ORDER BY CONTEXT
SELECT * FROM [dbo].[OrionRegisteredServers]

select
pt.FeatureTextID,
pt.CategoryTextID,
pt.TypeTextID,
po.Name,
po.PolicyObjectID,
SUM(DATALENGTH(PSV.SettingValue)) DataSize
from EPOPolicySettingValues PSV
inner join epopolicyobjecttosettings pots
on psv.PolicySettingsID = pots.PolicySettingsID
inner join epopolicyobjects po
on pots.policyobjectid = po.policyobjectid
inner join epopolicytypes pt
on po.typeid = pt.typeid
group by pt.FeatureTextID, pt.CategoryTextID, pt.TypeTextID, po.Name, po.PolicyObjectID
having SUM(DATALENGTH(PSV.SettingValue)) > 10240
order by DataSize DESC;

select * from EPOPolicyTypes pt
inner join EPOPolicyObjects po on po.typeid = pt.typeid
where pt.TypeTextID = 'AWL Rules (Windows)' and po.name like 'McAfee Default'

select po.PolicyObjectID, po.Name, po.TypeID,
pt.TypeTextID, pt.CategoryTextID, pt.FeatureTextID,
ps.PolicySettingsID , ps.Name, ps.ParamInt, ps.ParamStr,
psv.PolicySettingValuesID, psv.SectionName, psv.SettingName, psv.SettingValue
from EPOPolicyObjects po
left join EPOPolicyTypes pt on po.TypeID = pt.TypeID
left join EPOPolicyObjectToSettings po2s on po.PolicyObjectID = po2s.PolicyObjectID
left join EPOPolicySettings ps on ps.PolicySettingsID = po2s.PolicySettingsID
left join EPOPolicySettingValues psv on psv.PolicySettingsID = ps.PolicySettingsID
where po.PolicyObjectID = 389

select Distinct po.PolicyObjectID, po.Name, po.TypeID,
pt.TypeTextID, pt.CategoryTextID, pt.FeatureTextID,
ps.PolicySettingsID , ps.Name, ps.ParamInt, ps.ParamStr,
psv.PolicySettingValuesID, psv.SectionName, psv.SettingName, psv.SettingValue
from EPOPolicyObjects po
left join EPOPolicyTypes pt on po.TypeID = pt.TypeID
left join EPOPolicyObjectToSettings po2s on po.PolicyObjectID = po2s.PolicyObjectID
left join EPOPolicySettings ps on ps.PolicySettingsID = po2s.PolicySettingsID
left join EPOPolicySettingValues psv on psv.PolicySettingsID = ps.PolicySettingsID
where pt.FeatureTextID ='SCOR_AWL' and SettingName = 'Group_name' and ps.Name not like '%Settings%'