Laatst liep ik tegen het probleem aan dat een gedowngrade Windows Server VPS kampte met een hoge load. Uiteraard is dan het eerste dat je doet 'Task Manager' starten om te kijken welke taken dit betreft en wat het geheugenverbruik is.
Qua geheugenverbruik was er genoeg ram vrij, alleen tussen de processen zaten 2 taken met een behoorlijk hoog CPU-gebruik,
- svchost.exe (20%)
- MsMpEng.exe (60%)
svchost.exe is een proces waarin een of meerdere services zich kunnen bevinden. svchost.exe an sich zegt dus niks. Om te zien welke service in een svchost.exe draait is er een tool Process Explorer. Met deze tool kan eenzelfde overzicht als 'Task Manager' worden opgevraagd, maar gaat nog een stap dieper als je de eigenschappen van een proces opvraagd. Onder de tab 'Threads' en 'Services' is namelijk te zien welke service het daadwerkelijk betreft.
In dit geval bleek het een event-logging service te zijn, en na het kijken in de Event-viewer kwamen er erg vaak "Process Creation" events langs.
Door het uitzetten van Process Creation tracking, viel het cpu-gebruik van svchost.exe terug. Echter bleef MsMpEng.exe 60% cpu verbruik houden.
MsMpEng.exe is Microsoft Malware protection Engine en is Microsoft's standaard virusscanner en heeft door de jaren heen diverse namen gehad.
Om dit probleem op te lossen vergt het wat kennis van wat er precies draait op de server. In dit geval was het een webserver, met een Php-applicatie en een MySQL database. Nu is het natuurlijk niet nodig continu de volgende mappen te scannen,
- IIS log-directory
- MySQL data-folder
- Php webapplicatie
Het is mogelijk hiervoor 'Exclusion Paths' toe te voegen, zodat deze folders niet meer worden gecontroleerd op virussen. Uiteraard brengt dit risico's, als er b.v. via de website bestanden kunnen worden geupload, zal de virusscanner deze mogelijk niet controleren(!).
Als de frontend voor Windows Defender/Malware protection is geinstalleerd kan via de GUI exclusions worden toegevoegd. De server waar ik op zat dat deze frontend niet en daarom kwam PowerShell van pas.
Na het toevoegen van de ExclusionPath's viel de CPU load van MsMpEng.exe terug van 60% naar ~20%.
Loopt u tegen Windows Server issues aan? Neem dan contact op! Altijd leuk even kennis te maken en wie weet kan ik wat voor u betekenen.