クライアント アナライザーに関する問題を診断する

Microsoft Defender for Endpointのトラブルシューティングを行う場合、問題の解決には診断データの収集が重要です。 パフォーマンス、接続、検出に関連する問題など、さまざまな問題にはさまざまなテレメトリが必要です。 これらの問題を調査しているセキュリティエキスパートとして、Client Analyzer ツールを使用して、organizationの Defender for Endpoint の問題に関するデータを収集できます。 このデータを使用すると、organizationの Defender for Endpoint の問題のトラブルシューティングを行うことができます。必要に応じて Microsoft サポートと連携して問題を解決できます

この記事では、さまざまな種類の問題と、クライアント アナライザー ツールを使用してデータを収集する方法について説明します。 ツールのフラグは、 Windows での高度なトラブルシューティングのためにデータ収集に記載されています。

問題を分類する

表に一覧表示されているカテゴリを使用して、発生している問題の種類を特定します。 データを収集するときに、適切なフラグを使用してクライアント アナライザー ツールを実行します。

問題	説明と例	フラグ
再現できない問題	散発的に発生する問題、または自動化されたプロセスによってトリガーされ、再現できない問題。 これには、自動更新やスキャンなどのスケジュールされたタスクに関連する問題や、予期しないトリガーされた攻撃サーフェスリダクション (ASR) ルールが含まれます。	フラグなしで実行する
再現できるパフォーマンス上の問題	CPU 使用率の高い、メモリ消費の問題、応答時間の遅いなどが含まれます。	-a と -v
全般	オンデマンド スキャン、手動更新、センサー ポータルとアラートの問題、コマンドでトリガーできる攻撃サーフェスリダクション (ASR) の問題、アプリの互換性の問題。	-e と -v
吊り下げシステム	応答しないシステムとフリーズ。 メモリ ダンプやクラッシュ分析などの高度なデバッグ手法が必要です。	-z
互換性	サード パーティ製アプリケーション、その他のセキュリティ ソリューション、システム ソフトウェア、パフォーマンスの問題、および機能の問題に関する問題。	-c、 -e 、 -v
フォルダー アクセスの制御 (CFA)	ブロックされたアプリケーション、予期しないアクセス許可、保護されたフォルダーの構成に関連する問題を含めます。	再現可能: -cfa、 -e 、 -v Nonreproducible: -cfa
データ損失防止 (DLP)	ポリシーの適用の問題、コンテンツ検出の誤検知と否定的な問題、DLP クライアントの正常性と接続の問題が含まれます。	再現可能: -e、 -t 、 -v Nonreproducible: -t
インジケーター	予期したとおりに適用されない URL、ドメイン、IP アドレス、ファイル、証明書に関する問題を含めます。	ファースト パーティ製ブラウザーの URL、IP、ドメイン: -a、 -i 、 -v File インジケーター: -v
Web コンテンツ フィルター処理 (WCF)	ファースト パーティとサード パーティのブラウザーを使用して Web コンテンツにアクセスするときに、WCF ポリシーを適用解除します。	-a、 -i 、 -v
ネットワーク保護	ネットワーク保護では、URL、ドメイン、IP にサード パーティ製ブラウザーからアクセスする場合、構成済みのポリシーはトリガーされません。	-i と -v

クライアント アナライザー ツールを実行する

このセクションの手順に従って、特定した問題のデータを収集します。 必要に応じて、適切なフラグを使用します。 作業条件と非稼働条件の両方に関連するシナリオがある場合は、シナリオごとに個別のログ パッケージを収集し、各コレクションに明確にラベルを付けます。 比較は、パフォーマンスの問題の原因となる違いを特定するのに役立ちます。

1. ログ収集の実行を開始します。

   
   MDEClientAnalyzer.cmd
   
   

   -a、-e、-vなどの期間を含むフラグを使用した場合は、ログ コレクションの期間を指定するように求められます。

2. ログ収集が開始されたら、ログの収集中に問題のデータがキャプチャされるように、問題を再現します。

3. ログ収集を停止するには、 qを押します。