2008 R2 terminal server, 50%cpu load svchost @ logon

[nasdude]

Situatie:

Op mijn werk heb ik een 2008 R2 terminal server ingericht met daarop een client applicatie.

- De server draait op een VMWare host: 16gb ram, 2x xeon x5270 (3.5ghz),
- en maakt gebruik van een IBM DS3300 iscsi datastore

- De vmware guest heeft toegewezen gekregen: toegewezen 4 cores, 8GB ram
- Windows 2008 (x64) R2 Enterprisse
- Terminal Server geactiveerd
- Symantec 11 Endpoint Protection
- Afas-Client (de client applicatie)
- Concurrent users tijdens kantoor tijden: tussen 8 en 12 users

De updates worden vanuit de SCCM server uitgerolt op de server

Het probleem:
Een gebruiker logt in, en svchost.exe schiet naar (+/-) 50 CPU Load, voor ongeveer 3 minuten) daarna draait de applicatie soepel.

vooral in de ochtend geeft dit wat problemen, zodra er 2 gebruikers redelijk tegelijkertijd inloggen begint de applicatie stroef te lopen, schermen lijken te hangen etc... nadat svchost tot rust is gekomen draait het weer prima.


de tasklist (het stukje met svchost):

code:

svchost.exe                    816 AeLookupSvc, Appinfo, AppMgmt, BITS,
                                   CertPropSvc, gpsvc, IKEEXT, iphlpsvc,
                                   LanmanServer, ProfSvc, RasMan, Schedule,
                                   SENS, SessionEnv, ShellHWDetection,
                                   Winmgmt, wuauserv
svchost.exe                    868 EventSystem, fdPHost, netprofm, nsi,
                                   SstpSvc, W32Time, WinHttpAutoProxySvc
svchost.exe                    916 Netman, TrkWks, UmRdpService, UxSms
Smc.exe                        948 SmcService
svchost.exe                    216 CryptSvc, Dnscache, LanmanWorkstation,
                                   NlaSvc, WinRM

Hebben jullie tips waar ik het beste kan beginnen?

Thanks!

overigens zie ik in vmware alleen een dikke piek in CPU gebruik, disk-IO blijft laag

[Zwelgje]

Endpoint protection niet zo geconfigureerd dat ie een quickscan doet @logon

welke versie van SEP heb je eigenlijk? 11.0 maar welke updates releases

[Rolfie]

Eens met process explorer kijken, wat die op dat moment doet?