新的恢复工具可帮助解决影响 windows 终结点的 crowdstrike 问题-凯发体育app

作为影响 windows 客户端和服务器的 crowdstrike falcon 代理问题的后续行动,microsoft 发布了一个更新恢复工具,其中包含两个修复选项,以帮助 it 管理员加快修复过程。签名的 microsoft 恢复工具可在 microsoft 下载中心找到:。在这篇文章中,我们包括 hyper-v 上托管的 windows 客户端、服务器和操作系统的详细恢复步骤。两种修复选项如下:

  • 从 winpe 恢复 – 此选项会生成有助于促进设备修复的启动介质。
  • 从安全模式恢复 – 此选项生成启动介质,以便受影响的设备可以启动到安全模式。然后,用户可以使用具有本地管理员权限的帐户登录并运行修正步骤。

 

确定要使用的选项

 

从 winpe 恢复(推荐选项)
此选项可快速直接恢复系统,不需要本地管理员权限。但是,可能需要手动输入 bitlocker 恢复密钥(如果在设备上使用 bitlocker),然后修复受影响的系统。如果使用第三方磁盘加密凯发体育app的解决方案,请参阅供应商指南,以确定恢复驱动器的选项,以便可以从 winpe 运行修正脚本。

 

从安全模式
恢复 此选项可以在启用了 bitlocker 的设备上启用恢复,而无需输入 bitlocker 恢复密钥。对于此选项,您必须有权访问在设备上具有本地管理员权限的帐户。对于使用仅 tpm 保护程序的设备、未加密的设备或 bitlocker 恢复密钥未知的情况,请使用此方法。但是,如果使用 tpm pin bitlocker 保护程序,则用户需要输入 pin(如果已知),或者必须使用 bitlocker 恢复密钥。如果未启用 bitlocker,则用户只需使用具有本地管理员权限的帐户登录。如果使用第三方磁盘加密凯发体育app的解决方案,请与这些供应商合作,确定恢复驱动器的选项,以便可以运行修正脚本。

其他注意事项
尽管 usb 选项是首选,但某些设备可能不支持 usb 连接。在这种情况下,我们在下面提供了使用预引导执行环境 (pxe) 选项的详细步骤。如果设备无法连接到 pxe 网络,并且无法选择 usb,则重新映像设备可能是一种凯发体育app的解决方案。

 

与任何恢复选项一样,在环境中广泛使用它之前,请先在多个设备上进行测试。

 

创建启动媒体的先决条件

  1. 具有至少 8gb 可用空间的 windows 64 位客户端,可以从中运行该工具以创建可启动 usb 驱动器。
  2. 先决条件 #1 中对 windows 客户端的管理权限。
  3. 最小 1gb 且最大 32gb 的 usb 驱动器。此 usb 上的所有现有数据都将被擦除,并自动格式化为 fat32。

 

生成 winpe 恢复媒体
的说明 若要创建恢复媒体,请在先决条件 #1 中提到的 64 位 windows 客户端上执行以下步骤:

  1. 从 microsoft 下载中心下载。
  2. 从下载的凯发体育app的解决方案中提取 powershell 脚本。
  3. 从提升的 powershell 提示符运行 msftrecoverytoolforcsv2.ps1。
  4. adk 将下载并开始创建媒体。可能需要几分钟才能完成。
  5. 选择上述两个选项之一来恢复受影响的设备(请参阅下面的其他详细信息)。
  6. (可选)选择包含要导入到恢复映像中的驱动程序文件的目录。可能需要键盘和大容量存储驱动程序。不需要网络或其他驱动程序。我们建议您选择“n”以跳过此步骤。该工具将递归导入指定目录下的任何 sys 和 ini。
  7. 选择生成 iso 或 usb 驱动器并指定驱动器号的选项。

 

使用启动媒体
的先决条件 可能需要使用恢复媒体的每个启用了 bitlocker 的受影响设备的 。如果使用仅 tpm 保护程序并使用安全启动选项,则不需要恢复密钥。如果使用的是 tpm pin 保护程序,则在不知道设备的 pin 时可能需要恢复密钥。

 

使用从 winpe 媒体恢复

  1. 将 usb 闪存盘插入受影响的设备。
  2. 重新启动设备。
  3. 在重新启动期间,按 f12(或按照特定于制造商的说明启动到 bios)。
  4. 从 bios 启动菜单中,选择从 usb 启动并继续。
  5. 该工具将运行。
  6. 如果启用了 bitlocker,系统将提示用户输入 bitlocker 恢复密钥,包括破折号。提供了恢复密钥选项。对于第三方设备加密凯发体育app的解决方案,请按照供应商提供的任何步骤访问驱动器。
  7. 该工具将按照 运行问题修复脚本。
  8. 完成后,取出 usb 驱动器并正常重新启动设备。

 

使用安全启动媒体
若要在不使用 bitlocker 恢复密钥的情况下修复受影响的设备,并且你有权访问本地管理员帐户,请执行以下操作:

  1. 将 usb 闪存盘插入受影响的设备。
  2. 重新启动设备。
  3. 在重新启动期间,按 f12(或按照特定于制造商的说明启动到 bios)。
  4. 从 bios 启动菜单中,选择从 usb 启动并继续。
  5. 该工具将运行。
  6. 此时将显示以下消息:“此工具会将此计算机配置为在安全模式下启动。警告:在某些情况下,可能需要在运行后输入 bitlocker 恢复密钥。
  7. 按任意键继续。
  8. 此时将显示以下消息:“你的电脑已配置为立即启动到安全模式。
  9. 按任意键继续。
  10. 计算机将重新启动到安全模式。
  11. 用户从媒体/usb 驱动器的根目录运行repair.cmd。该脚本将按照 运行修正步骤。
  12. 此时将显示以下消息:“此工具将删除受影响的文件并恢复正常的启动配置。警告:在某些情况下,可能需要 bitlocker 恢复密钥。警告:此脚本必须在提升的命令提示符下运行。
  13. 按任意键继续。
  14. 用户修复将运行,正常启动流将恢复。
  15. 成功后,用户将看到以下消息:“成功。系统现在将重新启动。
  16. 按任意键继续。设备将正常重启。

 

在 hyper-v 虚拟机上使用恢复媒体 恢复媒体可用于修正受影响的 hyper-v 虚拟机。
为此,请选择在使用上述步骤创建恢复介质时生成 iso 的选项。对于非 hyper-v 虚拟机,请按照虚拟机监控程序供应商提供的说明使用恢复媒体。

 

恢复 hyper-v 虚拟机的步骤

  1. 在受影响的虚拟机上,在“scsi 控制器”>“hyper-v 设置”下添加 dvd 驱动器。

large-1添加dvd驱动器的位置的屏幕截图。

 

  1. 浏览到恢复 iso 并将其添加为“hyper-v 设置”下的“> scsi 控制器dvd 驱动器”下的映像文件

 

large-3添加图像文件的位置的屏幕截图。

 

  1. 记下当前的启动顺序,以便以后可以手动恢复。

 

large原始启动顺序的屏幕截图。

 

  1. 更改启动顺序以将添加的 dvd 驱动器移动到第一个启动项。

 

large-2启动顺序更改的屏幕截图。

 

  1. 启动虚拟机并选择键盘上的任意键以继续引导至 iso 映像。
  2. 根据创建恢复介质时使用的是使用 winpe 选项还是安全模式,请按照上述步骤修复系统。
  3. 从虚拟机的 hyper-v 设置中将启动顺序设置回原始启动设置。
  4. 正常重启。

 

使用 pxe 进行恢复
对于大多数客户来说,上面列出的选项或按照本文末尾链接的知识库中的步骤操作将有助于恢复您的设备。但是,如果设备无法使用从 usb 恢复的选项(例如,由于安全策略或端口可用性),it 管理员可以使用 pxe 进行修正。

若要使用此凯发体育app的解决方案,可以使用 microsoft 恢复工具在现有 pxe 环境中创建的 windows 映像格式 (wim),只要受影响的设备与 pxe 服务器位于同一子网上即可。或者,您可以使用下面的 pxe 服务器方法概述。当 pxe 服务器可以轻松地移动到子网以进行修正时,此选项效果最佳。

 

pxe 恢复的先决条件

  1. 将托管启动映像的 x64 计算机(称为“pxe 服务器”)。
    1. pxe 服务器可以在任何受支持的 windows 客户端 x64 操作系统上运行。
    2. pxe 服务器应具有网络访问权限,以便从  或网络上的内部链接下载工具。
    3. pxe 服务器应为 udp 端口 67、68、69、547 和 4011 创建入站防火墙规则。下载的 pxe 工具 (msftpxetoolforcs.exe) 将更新 pxe 服务器上的 windows 防火墙设置。如果使用第三方防火墙,请按照其建议创建规则。
      注意此脚本不会清理防火墙规则。修正完成后,应删除这些防火墙规则。可以从提升的 powershell 提示符运行 msftpxeinittoolforcs.ps1 clean以从 windows 防火墙中删除这些规则。
    4. 您需要管理员权限才能运行 pxe 工具。
    5. pxe 服务器需要 vc redistributable。最新版本可以从以下位置下载和安装:
  2. 受影响的 windows 设备应与 pxe 服务器位于同一子网中,并且应进行硬连线,而不是使用 wi-fi 网络。

 

配置 pxe 服务器

  1. 从  下载软件包。
    1. zip 文件包含所需的所有文件。将 zip 的内容解压缩到任何目录。
  2. 在提升的 powershell 提示符下,切换到提取文件的目录,并从提升的 powershell 提示符执行以下操作:msftpxeinittoolforcs.ps1
    1. 该脚本将在计算机上启动对 adk 和 adk winpe 加载项安装的扫描,并在缺少时安装它们。接受屏幕上的许可证请求以继续安装。
    2. 该脚本将生成修正脚本并创建有效的启动映像。
    3. 如果需要,请接受提示并提供包含驱动程序文件的路径。键盘和/或大容量存储可能需要驱动程序文件。通常不需要添加驱动程序。如果不需要其他驱动程序文件,请选择“n”。
    4. 系统将提供设置 pxe 服务器的选项,以提供默认修正映像或安全模式映像,并出现以下提示:
      1. “1. 启动到 winpe 以修正问题。如果系统磁盘是 bitlocker 加密的,则需要输入 bitlocker 恢复密钥。
      2. “2.启动到winpe,配置安全模式,进入安全模式后运行修复命令。如果系统磁盘是 bitlocker 加密的,则此选项不太可能需要 bitlocker 恢复密钥。
    5. 该脚本将生成所需的分发文件,并提供复制 pxe 服务器工具的路径。
  3. 确保已安装先决条件  并满足所有先决条件。
  4. 在提升的命令提示符下,切换到复制 pxe 服务器工具的目录。运行 .\msftpxetoolforcs.exe 以启动侦听器进程。
    1. 您不会收到其他响应,因为这是处理连接的 pxe 服务器。不要关闭此窗口,因为它将停止 pxe 服务器。
    2. 您应该在目录内的 msftpxetoolforcs.log 文件中监视 pxe 服务器进度。
      注意:如果要为不同的子网运行多个 pxe 服务器,则需要复制 pxe 服务器工具的目录,并执行上述步骤 3 和 4。
    3. 其他参考资料:

 

恢复受影响的设备

  1. 受影响的设备必须与 pxe 服务器位于同一子网上。
    1. 如果设备位于其他子网中,请在网络环境中配置 ip 帮助程序以启用 pxe 服务器的发现。
  2. 如果受影响的设备未配置为 pxe 启动,请按照下列步骤操作:
    1. 在受影响的设备上,输入 bios\uefi
    2. 此操作在不同型号和制造商之间是不同的。请参阅制造商为您的机器提供的文档(品牌和型号)。
    3. 访问 bios\uefi 的常见选项包括在启动过程中输入 f2、f12、del 或 esc 等密钥。
    4. 确保在设备上启用了网络启动。
    5. 有关其他指导,请参阅制造商的文档
      1. 参考文档:?
    6. 将网络启动选项配置为第一个启动优先级。
    7. 保存新设置并重新启动客户端设备以应用设置。
    8. 设备现在将从 pxe 启动。
  3. pxe 启动受影响的计算机
    1. 根据你选择创建 winpe 还是安全模式媒体,系统将提示用户启动到 windows pe,并且修正脚本将自动执行,或者他们将启动到安全模式,用户需要使用本地管理员凭据登录并手动执行脚本。有关 winpe 和安全模式的体验,请参阅上面的详细步骤。
      1. 如果创建了安全模式选项,则需要以管理员身份从提升的 powershell 提示符运行以下命令
        a. del %systemroot%\system32\drivers\crowdstrike\c-00000291*.sys
        b. bcdedit /deletevalue {current} 安全启动
        c. shutdown -r -t 00
  4. 完成后,通过响应屏幕上的提示正常重启设备。输入 bios\uefi 并手动更新引导顺序,以根据需要删除 pxe 引导。

 

有关影响运行 crowdstrike falcon 代理的 windows 客户端和服务器的问题的更多信息,请参阅:

  •  上提供了各种 windows 信息
  • 以下文章中介绍了其他恢复选项:
    • kb:
    • windows 365 云电脑,客户可能会尝试在更新发布之前(2024 年 7 月 19 日)将其云电脑还原到已知的良好状态,如下所述:或
  • 对于在 azure 上运行的 windows 虚拟机,请按照 中的缓解步骤操作
  • 有关 crowdstrike 的其他详细信息,请访问:

原创文章,作者:校长,如若转载,请注明出处:https://www.yundongfang.com/yun298926.html

(0)
打赏 微信扫一扫不于多少! 微信扫一扫不于多少! 支付宝扫一扫礼轻情意重 支付宝扫一扫礼轻情意重
上一篇 2024年5月29日 上午11:26
下一篇 2024年7月22日

相关推荐

  • unriddle:ai 论文写作工具

    unriddle:ai 论文写作工具 y combinator 支持的研究工具,旨在加速研究人员和学生阅读和撰写研究论文的过程,提供 ai 辅助的信息检索、内容理解和写作功能,支持…

    2024年9月20日
  • clockwise:基于 ai 的日历工具

    clockwise:基于 ai 的日历工具 clockwise 是一个基于 ai 的时间管理日历工具,旨在通过智能调度帮助个人和团队更高效地管理时间。 它能够像魔术一样工作,为团队…

    2024年9月20日
  • fluxgym:flux lora 训练工具

    fluxgym:flux lora 训练工具 fluxgym:一个非常简单的傻瓜式 flux lora 训练工具。最低只需要12g显存就可以训练。后端还是用的kohya脚本。使用方…

    2024年9月20日
  • replit 发布了 ai 编程工具 replit agent

    replit 发布了 ai 编程工具 replit agent replit 发布了 ai 编程工具 replit agent。这玩意太强了,对于编程零基础的人非常有用。 clua…

    2024年9月20日
  • 应用程序无法在iphone上加载:如何修复

    您的 iphone 上没有加载应用程序?如果一个应用程序需要很长时间才能加载,这是不正常的。除了仍处于测试阶段的应用程序外,当您在 iphone 上打开它们时,它们应该会立即加载。…

    2024年6月15日 苹果apple
  • apple music 会自行暂停歌曲:修复

    您的曲目是否在 apple music 上不断自动暂停?音乐中频繁和突然的停顿意味着它正在缓冲,这就是为什么它无法连续流式传输歌曲的原因。从生锈、不稳定的音乐质量连接开始,可能会暂…

    2024年6月15日 苹果apple
  • iphone卡在飞行模式:如何修复

    在某些情况下,飞行模式非常方便。但是,如果您的iphone突然卡在其中,相同的飞行模式可能会让您头疼。在本文中,我们设计了这套凯发体育app的解决方案,可以让您的iphone退出飞行模式。 快速解…

    2024年6月15日 苹果apple
  • iphone中的imessage注销错误:修复

    给朋友发短信时收到“imessage注销”错误消息?如果在“信息”中禁用了“imessage”选项,则可能会显示此错误提示。最初,您应该重试通过imessage发送相同的消息几次。…

    2024年6月13日 工具软件
  • imessage不发送图片,失败:如何修复

    在iphone上从imessage应用程序发送图片时遇到问题?无论是宠物的快照还是快速捕获您的工作,通过imessage发送图片都非常容易。但是,就像其他 apple 应用程序和服…

    2024年6月12日 工具软件
  • iphone卡在充电屏幕上:修复

    您的iphone是否卡在充电屏幕上?iphone中的此类问题并非闻所未闻。因此,您可以进行一些修复和其他安排来解决此问题。可能的原因包括使用错误种类的 usb 电缆或使用变形的 u…

    2024年6月12日 苹果apple
  • 实时活动在iphone上不起作用:修复

    实时活动无法在iphone上运行?实时活动非常有用,可以在 iphone 上获取持续更新。如果实时活动功能不起作用,您将无法从任何应用程序获得实时更新。您必须打开应用程序并重复一系…

    2024年6月12日 苹果apple
  • iphone键盘未显示:修复

    无法访问 iphone 上的键盘?在某些情况下,即使您点击应用程序的活动部分,键盘也可能不会显示在屏幕上。有时这种类型的错误会出现在 ios 上,有几种解决方法可以解决这个问题。不…

    2024年6月12日 苹果apple
  • iphone应用程序未更新:这是修复程序

    无法更新 iphone/ipad 上的应用程序?每个应用程序都需要在服务中的某个时间点进行更新,以在应用程序中引入新功能或修补错误。因此,如果您无法更新 iphone 中的应用程序…

    2024年6月12日 苹果apple
  • gmail无法在iphone上打开:修复

    等待一封非常重要的电子邮件,但是如果gmail停止在iphone上工作怎么办?不仅重要邮件不会进入您的手机,而且如果您根本无法打开 gmail 应用程序,则无法查看收件箱。如果是这…

    2024年6月12日 苹果apple
  • iphone随机关机:修复

    您的iphone是否随机关机?像其他微不足道的问题一样,你不应该掉以轻心。在几种情况下,您的iphone可以随机关机。我们已经讨论了所有情况和可能的凯发体育app的解决方案,并制定了详细的步骤。只…

    2024年6月1日 苹果apple
  • airdrop接受拒绝弹出窗口在iphone上丢失:修复

    iphone上的airdrop系统缺少接受/拒绝功能?airdrop是apple的专有文件共享系统,未经用户同意,无法运行。因此,没有接受/拒绝弹出窗口仅意味着 airdrop 将…

    2024年6月1日 工具软件
  • 卡片未添加到apple wallet中:修复

    随着 apple wallet 的推出,支付的便利性增加了许多倍。但是,如果您无法将卡添加到 apple 钱包中,则无法有效地付款或使用 apple 钱包。在 apple 钱包中添…

    2024年5月29日 工具软件
  • 屏幕时间在iphone中不起作用:修复

    在iphone上获取错误的屏幕时间信息?屏幕时间可帮助您跟踪和控制手机的使用情况。因此,如果iphone无法计算出iphone上的正确屏幕时间,则必须立即修复。如果您正在寻找指南,…

    2024年5月29日 苹果apple
  • 此 apple id 尚未在 itunes store 中使用:修复

    使用apple id登录itunes store时,可能会在屏幕上抛出此错误提示“此apple id尚未在itunes store中使用”。没有什么可担心的错误提示,您可以按照这些…

    2024年5月29日 苹果apple
  • snapchat ss06 错误,重复活动:修复

    登录 snapchat 时,如果您尝试重复输入密码,它会显示一条带有此错误代码“ss06”的长消息。因此,如果您在登录帐户时收到此错误消息,则无法正常访问您的 snapchat 帐…

    2024年5月29日
  • spicetify不起作用?7 种修复方法

    spicetify 是一个命令行工具,可让您自定义 spotify 应用程序、添加有用的扩展程序和更改主题,无论您是否订阅了高级版。但是由于它不受spotify的官方支持,因此它可…

    2024年5月28日 技术教程
  • windows 11 启动修复工具:10 个最佳本机和第三方选项

    最好的 windows 11 启动修复工具可以轻松解决启动问题。 如果您无法进入电脑的桌面环境,或者它加载了“启动修复”屏幕,则其启动记录存在问题。通常,在蓝屏死机或其他电脑故障后…

    2024年5月23日 win 11
  • 修复 windows 11上错误0x80070299的 5 种快速方法

    当您尝试将文件从内部硬盘驱动器移动到外部驱动器时,可能会发生错误0x80070299。当您尝试安装程序时,也会发生这种情况。 文件系统损坏或超出文件系统配额是导致此错误的主要原因。…

    2024年5月20日 win 11
  • 显示我的来电显示卡在纺车上:修复

    您的手机是否一直卡在来电显示页面上的旋转轮上?来电显示页面通常包含您的来电帐户设置信息,例如您的手机号码。这意味着电话在“设置”的“来电显示”页面中挂断。这些凯发体育app的解决方案将有助于解决i…

    2024年5月20日 苹果apple
  • iphone中的黄屏问题:修复

    https://u.jd.com/ubb2dn7   iphone 显示屏是否在屏幕上显示黄色条?即使您的手机在显示屏上只显示一个条形图,使用起来也可能很烦人。在这种情况…

    2024年5月20日 苹果apple
网站地图