DLP 事件未解析或 SQL 服务因 SQL 错误日志中的堆栈转储崩溃

技术文章 ID: KB92600
上次修改时间: 2021-12-03 12:41:28 Etc/GMT

环境

McAfee Data Loss Prevention (DLP) Endpoint 11.x
McAfee ePolicy Orchestrator (ePO) 5.x

问题 1

在 SQL 错误日志中出现与以下内容类似的错误：

错误： 8646，严重性： 21，状态： 1.
spid174无法在索引 ID 中查找索引条目1，表174115861，在数据库中 ''. 指示的索引已损坏或当前更新计划出现问题. 运行 DBCC CHECKDB 或 DBCC CHECKTABLE。如果问题仍然存在，请联系产品支持部门。
spid146 **Dump thread - spid = 0，EC = 0x0000022076B0B810
spid146 \Stack Dump 正在发送至 D：\MSSQL\Program Files\Microsoft SQL Server\MSSQL13。MSSQLSERVER\MSSQL\LOG\SQLDump1056.txt
spid146 * ··请：··*？？？·····请：：。
spid146 *
spid146 * 开始堆栈转储：
spid146 * 06/16/21 14：54：55 spid 146
spid146 *
spid146 *CPerIndexMetaQS：：错误Abort - 索引损坏
spid146 *
spid146 * 输入缓冲区 170 字节 -
spid146 * 16 00 00 00 12 00 00 00 02 00 00 00 00 00 00 00 00 00 00 00 00 00 00
spid146 *U D L P _ C01 00 00 00 1f 00 55 00 44 00 4c 00 50 00 5f 00 43 00
spid146 *n n C o m p u6c 00 65 00 61 00 6e 00 43 00 6f 00 6d 00 70 00 75 00
spid146 *t e r P r o e r74 00 65 00 72 00 50 00 72 00 6f 00 70 00 65 00 72 00
spid146 *t i e s _ S P@ 74 00 69 00 65 00 73 00 5f 00 53 00 50 00 00 00 10 40
spid146 * m c A e 00 6d 00 63 00 41 00 66 00 65 00 65 00 41 00 67 00 65
spid146 * n G u i d $ - 00 6e 00 74 00 47 00 75 00 69 00 64 00 00 24 10 a2
spid146 * ΜμD| < @ 95 dc b5 44 7c eb 11 3c 12 00 00 00 00 00 00 0c 40 00
spid146 * c o o p u t e r _ 63 00 6f 00 6d 00 70 00 75 00 74 00 65 00 72 00 5f 00
spid146 * id & 69 00 64 00 01 26 04 00

问题 2

ePO 中的"事件解析器"无法解析 DLP 事件且正移动到"调试"文件夹，如下所示：

EventParser_systemname.log

20200305143912 X #09972 EVNTPRSR source\server.cpp(1015): Processing , E:\Program Files (x86)\McAfee\Agent Handler\DB\Events\7abc6c8e-2090-4d3a-8c61-72b98f477e32-mc_202003051633028977091000021A0.xml.

20200305143912 X #09972 EPODAL ePOData_Connection.cpp(590): ssl Authenticate mode is 1

20200305143912 X #09972 HOSTDLPEVENT Start processing event using ProcessEvent(LPUNKNOWN DBConnection, LPUNKNOWN XMLDoc)

20200305143912 X #09972 HOSTDLPEVENT EPOEvents_InsertEvent2 returned AutoID 1447072515

20200305143912 E #10844 HOSTDLPEVENT Error processing event. Error: SP: UDLP_CleanComputerProperties_SP, Param: @computer_id. Error: Transaction (Process ID 97) was deadlocked on lock resources with another process and has been chosen as the deadlock victim. Rerun the transaction.. Error Code: -2147467259

20200305143912 E #10844 HOSTDLPEVENT Failed process event. 已用时间：（以毫秒为单位）： 8781

20200305143912 E #10844 EVNTPRSR source\server.cpp(1064): COM Error 0x80004005, source=(null), desc=(null), msg=Unspecified error

原因

该问题通过名称为 DLP 存储的程序引起UDLP_CleanComputerProperties_SP. 因为此存储过程中发生以下情况，所以会发生此问题：

DELETE FROM [dbo].[UDLP_RulesPerUser] WHERE [UDLP_RulesPerUser].user_id in (SELECT user_id FROM UDLP_UserProperties with(nolock) WHERE computer_id = @computer_id)

此声明正在对使用 " "读取的数据执行删除操作nolock提示，可能导致索引受损。

解决方案

要解决此问题，请执行以下操作：

对 ePO 数据库（DB）进行完全备份。

注意：您必须进行备份才能继续。
运行附件中提及的脚本UDLP_CleanComputerProperties_SP_v1.txt 文件。

注意：要运行该脚本，请确保SQLDUMP 和Eventparser 日志内容匹配。
运行中提及的脚本cleanUserSession.txt文件。

附件 1

UDLP_CleanComputerProperties_SP_v1.sql
3K • < 1 minute @ broadband

附件 2

cleanUserSession.sql
86Bytes • < 1 minute @ broadband

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

语言:

此文章有以下语言版本：

Knowledge Center

DLP 事件未解析或 SQL 服务因 SQL 错误日志中的堆栈转储崩溃

环境

问题 1

问题 2

原因

解决方案

附件 1

附件 2

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

DLP 事件未解析或 SQL 服务因 SQL 错误日志中的堆栈转储崩溃

环境

问题 1

问题 2

原因

解决方案

附件 1

附件 2

免责声明

受影响的产品

语言:

选择您的区域

Title

Title