NetWorker: L'evento BugCheck del sistema client Windows causa il riavvio del sistema durante il backup

Risoluzione (a più livelli, preferenza per un'interruzione minima)

A. Rendere VSS e NetWorker "compatibili con AV" (prima opzione consigliata)

• Esclusioni della scansione in tempo reale (entrambi i prodotti AV):
  • Lavorazioni:
    nsrexecd.exe, save.exe, savefs.exe, nsrsvc.exe (se presente) e qualsiasi file binario dell'helper NetWorker in
    C:\Program Files\EMC NetWorker\nsr\bin\ (o il percorso di installazione).
  • Cartelle:
    C:\Program Files\EMC NetWorker\ (intero nsr tree), NetWorker temporanei e percorsi della cache se personalizzati.
  • Artefatti VSS:
    Escludi l'accesso a \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy* e posizioni di staging VSS per evitare l'ispezione approfondita dei volumi di istantanee durante la creazione.
• Difensore: Preferire la modalità passiva quando un antivirus di terze parti gestisce la protezione in tempo reale (utilizzando la configurazione di policy o Defender). In questo modo si mantiene la visibilità EDR evitando al contempo il doppio conflitto di filtri in tempo reale.
• McAfee: Applicare le esclusioni consigliate da NetWorker/VSS; assicurarsi che le policy HIPS o DLP non esaminino le copie shadow o blocchino volsnap/vssvc.

Risultato: Riduce l'attività del filtro durante le operazioni VSS e la pressione sullo stack del kernel senza rimuovere AV.

B. Ridurre la profondità di driver e filtro durante l'esperienza VSS.

• Disabilitare temporaneamente i moduli endpoint non essenziali (HIPS, DLP, controllo dei dispositivi) durante le finestre di backup in base alla policy, se il team di sicurezza approva.
• Aggiornare i driver o le definizioni AV e gli aggiornamenti cumulativi di Windows VSS/VolSnap : i driver obsoleti contribuiscono alle inefficienze di utilizzo dello stack.
• Se è presente un provider VSS di terze parti , forzare il provider Microsoft Software Shadow Copy (impatto del test):
  • Controlli di servizio: Garantire Volume Shadow Copy Il servizio è integro.
  • Disabilitare o districare i provider non Microsoft se sono noti conflitti (in coordinamento con la piattaforma o il team di sicurezza).

C. Pianificazione e mitigazione del carico

• Eseguire i backup al di fuori dei picchi di attività (I/O, scansioni o attività degli endpoint a uso intensivo di I/O).
• Scaglionamento dei job in modo che un minor numero di client attivi contemporaneamente istantanee VSS se le policy centrali causano scansioni sincronizzate.

D. Ultima risorsa (da evitare, a meno che non sia obbligatorio)

• Scegli un prodotto AV in tempo reale . Se il criterio lo consente, impostare Defender in modalità passiva/solo EDR o disabilitare completamente la modalità in tempo reale quando McAfee è l'antivirus principale.
  La disinstallazione di un antivirus dovrebbe essere un passaggio finale, non la raccomandazione predefinita.

E. Soluzione alternativa operativa (se prevalgono le esigenze aziendali)

• Continuare i backup con VSS:*=Off temporaneamente se il rischio di coerenza è accettabile per il carico di lavoro interessato. Documentare che la coerenza delle applicazioni a livello di VSS (writer) può essere ridotta (ad esempio, file aperti). Utilizzare per dataset non critici solo durante il processo di correzione.

Verifica

• Dopo aver applicato le esclusioni e le ottimizzazioni dei driver, eseguire:
  • vssadmin list writers → confermare Stable
  • Test di un'istantanea manuale: wmic shadowcopy call create Volume='C:\' (monitoraggio degli eventi per il controllo dei bug)
  • Eseguire un backup del file system NetWorker su un singolo volume; Quindi eseguire lo scale-up.
  • Verificare che non sia stato eseguito alcun BugCheck e che il processo venga completato con VSS abilitato.