Windowsサーバクラッシュの3大原因とその回避策（前編）

古いウイルス対策ソフトウェアによるWindowsサーバクラッシュ

Windowsサーバをクラッシュさせる3つの原因について詳しく説明し、それらの回避に必要なベストプラクティスを紹介する。

公開 2011年02月28日 11時00分

更新 2012年09月04日 16時01分

著者

Bruce Mackenzie-Low

[TechTarget]

印刷する

　Windowsサーバのクラッシュにはさまざまなタイプがあるが、大部分のクラッシュの原因は3つに大別される。すなわち「古いウイルス対策ソフトウェア」「互換性のないストレージドライバ」「多過ぎるフィルタドライバ」だ。私はこの10年間に世界中から依頼を受けて1000件近くのクラッシュを分析してきたが、その経験からいえるのは、これらは回避すべき問題だということだ。

　以下では、サーバをクラッシュさせるこれら3つの一般的な原因について詳しく説明し、それらの回避に必要なベストプラクティスを紹介する。

古いウイルス対策ソフトウェア

　Windowsサーバのクラッシュは、「古いウイルス対策ソフトウェアが原因で発生する」ものが断然多い。ウイルス対策ソフトウェアはいずれも、I/O（読み書き）要求を途中で受信して付加的なチェックを行うデバイスドライバ（より具体的に言えば、“フィルタドライバ”）を使用する。ウイルス対策ドライバは、定義ファイルに含まれる既知のウイルスのパターンと検査対象ファイルを照合する。感染ファイルを検出し、感染が広がらないようにするためだ。

　フィルタドライバは、低レベルのカーネル関数とデータ構造を介してOSとやりとりするカーネルモードコードから成る。これらの関数とデータ構造には、あらかじめ定義された一連の引数とデータ型が含まれている。これらは、対応するデバイスドライバからの呼び出し時に、存在すると想定されている引数とデータ型だ。関数に誤ったデータ型や不正な数の引数が渡されると、エラーが発生し、カーネルモードでシステムクラッシュを引き起こす可能性がある。

　この問題は、サービスパックやメジャーアップグレードなどによるOSのバージョン変更に伴って、こうしたカーネル関数やデータ構造が開発者によって変更された場合に起こる。Microsoftは、OSに変更を加えるに当たっては、自社のデバイスドライバの互換性テストを常に適切に行っている。しかし、同社がサードパーティー製デバイスドライバの互換性を保証するためのテストを行っていないのは明らかだ。このため、古いウイルス対策ドライバがこうしたカーネル関数やデータ構造の変更と衝突すると、最終的にシステムをクラッシュさせてしまう。他のフィルタドライバもこの問題を発生させやすいが、ウイルス対策ドライバがこの問題の最大の犯人だ。

　例を見てみよう。

　このクラッシュは、「Stop 0x8Eエラー（KERNEL_MODE_EXCEPTION_NOT_HANDLED）」が発生し、バグチェックが実行されたことによるものだった。Windowsデバッガで「!analyze -v」コマンドを入力すると、以下のスタックパターンが表示される。スタックを末尾から読むと、NtCreateFileの呼び出しに関連するフィルタドライバbuggydrvが、バグチェックを生成させ、システムをシャットダウンさせたことが分かる（この解説の目的は犯人探しではないので、このドライバの名前は変えてある）。「!lmi buggydrv」コマンドにより、このドライバは2006年に作られたことが分かる。だが、OSはWindows Server 2003 SP2であり、これがリリースされたのは2007年だ。これにより、この古いウイルス対策ドライバは、この新しいバージョンのOSでテストされていなかったことが分かる。

nt!KeBugCheckEx+0x1b

nt!KiDispatchException+0x3a2

nt!CommonDispatchException+0x4a

nt!Kei386EoiHelper+0x186

buggydrv+0x13059　　　←クラッシュを引き起こしたフィルタドライバ

buggydrv+0x8390

buggydrv+0x8809

buggydrv+0x2940

nt!IofCallDriver+0x45

nt!IopParseDevice+0xa35

nt!ObpLookupObjectName+0x5b0

nt!ObOpenObjectByName+0xea

nt!IopCreateFile+0x447

nt!IoCreateFile+0xa3

nt!NtCreateFile+0x30　　　←CreateFileを呼び出すシステムコール

nt!KiFastCallEntry+0xfc

　この例のクラッシュは、ベンダーが既知の問題として文書化済みで、対処策としてウイルス対策ソフトウェアの新バージョンを提供していた。実際、ユーザーが遭遇するWindowsサーバクラッシュの大部分は、他の誰かが既に経験しており、通常はその解決策が文書化され、インターネットで公開されている。このため、OSを更新するときには（サービスパックで更新するときも）、必ず事前に使っているソフトウェアの提供元にソフトウェアが更新されていないかを確認しなければならない。このことを覚えておくことが重要だ。

　次回は、クラッシュの原因となる残りの2つでる「互換性のないストレージドライバ」「多過ぎるフィルタドライバ」に対する解決策を紹介する。

印刷する