用于针对存储问题的各种 Endpoint Security 进行故障排除的数据收集步骤

技术文章 ID: KB91401
上次修改时间: 2023-05-12 11:45:20 Etc/GMT

环境

Endpoint Security （ENS）存储保护 2.x

有关存储保护支持环境的 ENS 的详细信息，请参阅 Endpoint Security 存储保护的 K B94811-支持平台。

摘要

本文提供有关收集用于针对存储问题的以下 ENS 的数据进行故障排除的基本信息：

ENS for Storage 无法安装
ENS for Storage 无法连接到文件管理器
应用程序性能下降
用户拒绝访问文件管理器上的文件
ENS for Storage service 崩溃

以下部分将介绍针对每种问题收集的数据。对于所有报告的事件，请始终收集以下信息：

文件管理器使用的协议-NetApp 或 ICAP

注意: 如果是 NetApp，请指明是7模式还是8模式
文件管理器的型号
文件管理器使用的操作系统版本
已安装版本 ENS for Storage
安装的 ENS 版本

根据问题的不同，可能需要以下工具：

ENS for Storage 调试日志记录
- ENS for Storage 调试日志记录可以使用 ENS 通用选项策略启用或禁用
  - 编辑分配给 ENS for Storage 扫描程序的策略
  - 向下滚动到 "客户端日志记录" "字段
  - 在调试日志记录下，在存储保护 "启用旁边放置一个复选标记"

注意: 数据捕获完成后，始终禁用调试日志记录。保留 ENS for Storage 的调试日志记录启用会增加平均请求时间，并且 poentially 会对性能产生影响。

MER 工具-Trellix 工具。
有关详细信息，请参阅 KB59385 如何使用支持 Trellix 产品的 MER 工具。
进程监视器-Microsoft 工具。
有关详细信息，请参阅本 Microsoft 文章。
ProcDump-Microsoft 工具
有关详细信息，请参阅本 Microsoft 文章。

解决方案 1

如何使用进程监视器：

准备进程监视器：
1. 从此 Microsoft 文档下载进程监视器。
2. 解压缩 Procmon.exe 到桌面。
运行进程监视器：
1. 运行 Procmon.exe 。此命令。会开始自动捕获进程信息。
2. 停止进程监视器：
  按 Ctrl + E 或单击文件并取消选择 捕获事件。再次按下 Ctrl+E 以恢复数据收集。
3. 保存日志：
  单击文件单击保存。选择 所有事件 并使用本机 .PML 格式。

解决方案 2

如何使用 Procdump ：

从此Microsoft 文档中下载 Procdump 。
解压缩 Procdump64.exe 到桌面。
打开管理命令提示符。
将目录更改为提取的 Procdump64.exe 位置。
键入 procdump64 -ma -e 并按 Enter 键。

注意: 这些开关可让 Procdump 您在下一次未处理的异常上生成完整的进程转储。

解决方案 3

ENS for Storage 无法安装：

收集适用于所有已安装产品的 MER。
确定安装是否用于从先前的版本升级，或者如果安装是全新安装，请在支持案例中记下此信息。

解决方案 4

ENS for Storage 无法连接到文件管理器：

收集所有已安装产品的完整 MER。
如果 "文件管理器消息" 日志包含相应的连接错误，请收集该错误的副本或消息日志的副本，并将其放在您的支持案例中。

注意： Trellix 支持 responsbile 用于确认以下内容，因为在处理连接问题时，它与 ENS 的存储相关。当仅参与 Trellix 支持时，诸如 RPC 连接失败之类的问题可能会 undiagnosed。连接问题，当与 ENS for Storage 产品或其配置无关时，通常需要 NetApp 和 Microsoft 支持来诊断 root 原因。

ENS for Storage 及其 prerequsites （ENS 威胁防护和通用平台）已安装且功能正常（例如，服务不崩溃）。
ENS 的策略配置已正确应用并强制实施。
AMCore 更新正在正确应用。

解决方案 5

低应用程序性能（在 ENS for Storage 的已连接的文件管理器上正在处理）：

启用 ENS 用于存储调试日志记录。
重现问题。
禁用调试日志记录。
收集完整 MER。

解决方案 6

用户拒绝访问文件管理器上的文件（ NetApp ）：

如果问题可重现，请执行以下操作：
1. 启用 ENS 用于存储调试日志记录。
2. 重现问题。
3. 停止调试日志记录。
收集所有已安装产品的完整 MER。
打开文件管理器上的消息日志，查找相应的文件访问失败。

注意: 如果文件管理器上的消息记录未记录相应的失败或错误，请获取该问题重现的时间戳，以及在此问题的重现中使用的特定文件名或类型。

解决方案 7

用户拒绝访问文件管理器（ICAP）上的文件：

如果问题可重现，请执行以下操作：
1. 启用 ENS 用于存储调试日志记录。
2. 重现问题。
3. 停止调试日志记录。
收集所有已安装产品的完整 MER。
从文件管理器上的消息日志中找到相应的文件访问失败，将其复制并放入您的技术支持案例中。

注意: 如果文件管理器上的消息记录未记录相应的失败或错误，请获取该问题重现的时间戳，以及在此问题的重现中使用的特定文件名或类型。

解决方案 8

ENS for Storage 服务崩溃：

按上文所述进行配置 Procdump 。
Procdump 当服务遇到其他崩溃时收集输出。
收集完整 MER。

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

语言:

此文章有以下语言版本：

Knowledge Center

用于针对存储问题的各种 Endpoint Security 进行故障排除的数据收集步骤

环境

摘要

解决方案 1

解决方案 2

解决方案 3

解决方案 4

解决方案 5

解决方案 6

解决方案 7

解决方案 8

相关信息

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

用于针对存储问题的各种 Endpoint Security 进行故障排除的数据收集步骤

环境

摘要

解决方案 1

解决方案 2

解决方案 3

解决方案 4

解决方案 5

解决方案 6

解决方案 7

解决方案 8

相关信息

免责声明

受影响的产品

语言:

选择您的区域

Title

Title