BSOD 故障排除：解决 kernel security check failure

蓝屏死机（BSOD）事件代表阻止 Windows 正常运行的关键系统错误。这些事件由系统突然停止触发，导致特征性的蓝屏显示。BSOD 由多种因素引起。本文将深入探讨其中最关键的原因之一：Kernel security check failure。我们将探讨该错误的潜在起因，并提供相应的故障排除步骤。

为什么会发生 kernel security check 错误

Windows 内核作为操作系统的核心组件，执行安全检查以防止未经授权的访问并维护系统稳定性。当内核检测到异常行为或潜在的未经授权访问尝试时，会发生 KERNEL_SECURITY_CHECK_ERROR。这些事件被内核视为安全威胁，导致蓝屏死机（BSOD）崩溃。

这可能源自多种原因。本节将探讨这些关键故障背后的常见原因。

• 驱动程序故障： 驱动程序作为操作系统与硬件组件之间的中介。故障驱动程序，尤其是存在漏洞或兼容性问题的驱动，可能尝试访问未授权的内存或执行未授权操作。这种未经授权的访问会触发内核安全检查，导致 BSOD。
• 硬件问题： 故障硬件，尤其是 RAM 或存储设备，可能导致内核将其解释为安全威胁的异常行为。例如，故障 RAM 可能存储损坏数据，导致内核检测到访问无效内存的尝试，从而触发安全检查失败。
• 软件冲突： 虽然少见，但软件冲突也可能导致 kernel security check failure。不兼容或存在漏洞的软件应用可能以意外方式与内核交互，导致安全检查失败和 BSOD。
• 系统文件损坏： Windows 操作系统依赖各种系统文件实现核心功能。如果这些文件损坏，可能引入内核视为安全威胁的错误。损坏的系统文件可能导致内核安全检查失败并触发 BSOD。
• 超频： 超频指将硬件组件推至设计运行速度之上。虽然有助于提升性能，但超频可能引入不稳定和错误。在某些情况下，超频会导致硬件行为异常，触发内核安全检查和 BSOD。
• 恶意软件感染： 恶意软件（malware）可能故意针对内核或系统文件以获取未经授权的访问或破坏系统稳定性。在此类情况下，内核安全检查可能检测到这些恶意活动并触发 BSOD 以防止进一步损害。

与 kernel security check failure 相关的常见错误代码：

通过分析因计算机意外关机和重启而触发的事件日志中的错误代码，可以推断 kernel security check 错误的可能原因。下表列出了一些可能导致 kernel security check failure 的错误代码。

这些高度指示性的代码需要进一步调查以确认蓝屏死机的确切原因。分析系统日志和内存转储等附加信息可以为故障排除提供更多背景。有关错误代码的详细信息，请参阅Microsoft's Bug Code Reference list。

修复 Windows 10 中的内核安全检查错误

本节列出了 Windows 10 和 11 中内核安全检查失败错误的常见修复方法。

1. 更新 Windows 和驱动程序：Vulnerabilities triggered by outdated Windows or drivers can cause kernel security check errors. Ensure that your system is fully updated with the latest Windows patches and driver updates.
   • 进入设置 > 更新与安全 > Windows 更新检查最新更新并安装。
   • 要更新设备驱动程序，尤其是显示和芯片组驱动程序，您可以通过设备管理器手动更新，或使用制造商网站提供的针对您硬件的驱动程序更新。
2. 运行系统文件检查器（SFC）和 DISM： Start the system in Safe Mode. If it doesn't encounter the error, then the system hardware and primary drivers are not at fault. If it encounters the error again, follow the below steps:
   • 系统文件检查器：运行系统文件检查器（SFC）工具扫描并修复损坏的系统文件。以管理员身份打开命令提示符，输入 sfc /scannow。工具将显示扫描结果。如果 SFC 未发现完整性违规，则表示系统文件健康，不是内核安全检查失败的原因。如果 SFC 发现损坏文件但无法修复，则表明问题复杂。此时，您可以运行 DISM 工具修复 Windows 映像本身。
   • DISM（部署映像服务和管理）：有时，SFC 无法修复某些严重损坏的文件。在这种情况下，启动 DISM 工具修复 Windows 映像本身。以管理员身份打开命令提示符，输入 DISM /Online /Cleanup-Image /RestoreHealth。请注意，DISM 需要活动的互联网连接以下载修复文件。
   • 考虑系统还原：如果 SFC 和 DISM 失败，且问题最近开始，您可以使用系统还原将系统恢复到错误发生之前的时间点。如果最近的软件安装或配置更改导致文件损坏，这可能会有帮助。
   注意

   系统还原可能并非总是成功，应作为尝试其他方法后的最后手段。

3. 识别并修复故障硬件：对于因 RAM 或存储设备故障等硬件问题导致的内核安全错误，请运行硬件诊断工具。使用如Memtest86, 或系统制造商提供的诊断工具测试 RAM。如诊断显示问题，请更换故障硬件。
4. 检查恶意软件：如果内核安全检查失败是由恶意软件引起，请使用您偏好的杀毒或反恶意软件工具进行扫描，以清除潜在威胁。
5. 修复超频问题：如果您为提升性能对 CPU 或 GPU 进行了超频，建议暂时禁用超频。

额外提示：

• 分析事件日志：Windows 事件查看器可能包含有关错误具体原因的线索。查找蓝屏死机发生时段的条目，特别是在系统和 Kernel-Power 日志中，寻找可能揭示问题的错误消息或警告。
• 考虑专业帮助：如果您已尝试所有故障排除步骤但问题仍然存在，建议寻求计算机技术人员或高级用户的帮助，以进一步诊断问题。

日志分析如何帮助您深入了解 kernel security 错误的故障排除

日志管理解决方案可集中管理网络中所有来源的日志，包括 Windows 环境。如果您是系统管理员，集中日志数据可以避免检查不同系统的单独日志，节省分析蓝屏死机时的时间和精力。

用于探查内核安全检查失败的日志分析技术：

• 理解错误消息：内核日志可能包含指示原因的特定错误消息。查找“驱动违规”、“内存访问错误”或涉及特定驱动程序或硬件组件的关键词。
• 事件关联： Correlate logs from different sources to identify potential triggers. For example, kernel logs might indicate a driver issue, while application logs could show abnormal behavior before the BSOD.

  以下示例展示如何在日志管理平台中构建或利用关联规则，以检测和调查潜在的内核安全检查失败。下述规则关联来自多个来源的事件，识别可能指示内核安全检查失败蓝屏的情况。当 Windows 系统日志中的关键系统事件指示潜在系统关闭或关键错误，随后出现基于潜在错误检查代码的特定事件 ID 的错误事件时，该规则被触发。

            Source= (Windows System Event Log)
            Event ID = (1001) AND Log Message Contains ("Critical")  followed by
Event ID 2 with bug codes = (0x00000139 or 0x000000D1 or 0x0000007F) AND Log Message Contains ("Error") within 5 minutes
        

通过关联这两个事件，SIEM 解决方案或日志管理工具可以识别可能与内核安全检查失败蓝屏相关的情况。工具通常还提供调整时间限制（5 分钟）和在事件 ID 2 中添加额外错误代码的选项。请注意，这不是最终诊断，而是标记潜在事件以供进一步调查。

ManageEngine EventLog Analyzer 如何帮助您分析 Windows 10 和 11 中的内核安全检查失败：

ManageEngine 的 EventLog Analyzer 是一款全面的日志管理解决方案，提供开箱即用的 BSOD 分析报告。该报告提供以下信息：

• BSOD 发生时间
• 发生 BSOD 的系统
• 用于错误代码分析的精确信息
• 转储文件的位置
• 转储文件的报告 ID

此外，它允许管理员在关键 Windows 系统出现 BSOD 时触发警报，立即修复问题而不影响业务连续性。