Fehlerbehebung bei Fehlalarmanalyseereignissen in Cisco Secure Endpoint

Einführung

In diesem Dokument wird beschrieben, wie eine Datei-Analyse mit Fehlalarmen in AMP (Advanced Malware Protection) für Endgeräte erfasst wird.

Mitwirkend von Jesus Javier Martinez, Cisco TAC Engineer.

Voraussetzungen

Anforderungen

Cisco empfiehlt, über Kenntnisse in folgenden Bereichen zu verfügen:

• AMP Console-Dashboard
• Ein Konto mit Administratorrechten

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf Cisco AMP für Endgeräte Version 6.X.X und höher.

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Hintergrundinformationen

AMP für Endgeräte kann übermäßige Warnungen für eine bestimmte Datei/einen bestimmten Prozess und einen sicheren Hash-Algorithmus (SHA) 256 generieren. Wenn Sie vermuten, dass in Ihrem Netzwerk Fehlalarme auftreten, können Sie sich an das Cisco Technical Assistance Center (TAC) wenden. Das Diagnoseteam führt dann eine eingehendere Dateianalyse durch. Wenn Sie sich an das Cisco TAC wenden, müssen Sie folgende Informationen angeben:

· Datei-SHA 256-Hash
· Datei-Beispielkopie
· Erfassung von Warnungs-Ereignissen von der AMP-Konsole
· Erfassung von Ereignisdetails über die AMP-Konsole
· Informationen über die Datei (woher sie stammt und warum sie in der Umgebung sein muss)
· Erläutern, warum die Datei/der Prozess Ihrer Meinung nach falsch positiv sein kann

Fehlerbehebung bei Fehlalarmen Dateianalyse in AMP für Endgeräte

Dieser Abschnitt enthält Informationen, mit denen Sie alle erforderlichen Details zum Öffnen eines Fehlalarmen-Tickets beim Cisco TAC erhalten.

Datei SHA 256 Hash

Schritt 1: Um den SHA 256-Hash abzurufen, navigieren Sie zu AMP Console > Dashboard > Events.

Schritt 2: Wählen Sie den Alert Event aus, klicken Sie auf SHA256 und wählen Sie Copy aus, wie im Bild gezeigt.

Beispieldatei

Schritt 1: Sie können das Dateibeispiel von der AMP Console abrufen und zu AMP Console > Dashboard > Events navigieren.

Schritt 2: Wählen Sie das Alert Event aus, klicken Sie auf den SHA256 und navigieren Sie zu File Fetch> File Fetch wie im Bild gezeigt.

Schritt 3: Wählen Sie das Gerät aus, auf dem die Datei erkannt wurde, und klicken Sie auf Abrufen wie im Bild gezeigt (das Gerät muss EIN aktiviert sein), wie im Bild gezeigt. 

Schritt 4: Sie erhalten die Nachricht wie im Bild gezeigt.

Nach einigen Minuten erhalten Sie eine E-Mail-Benachrichtigung, wenn die Datei wie im Bild gezeigt heruntergeladen werden kann.

Schritt 5: Navigieren Sie zu AMP Console > Analysis > File Repository und wählen Sie die Datei aus, und klicken Sie auf Download wie im Bild gezeigt.

Schritt 6: Das Benachrichtigungsfeld wird angezeigt. Klicken Sie auf Download (Herunterladen), wie im Bild gezeigt, und die Datei wird auf eine ZIP-Datei heruntergeladen.

Erfassung von Warnereignissen von der AMP-Konsole

Schritt 1: Navigieren Sie zu AMP Console > Dashboard > Events.

Schritt 2: Wählen Sie das Alert Event aus, und übernehmen Sie die Erfassung wie im Bild gezeigt.

Erfassung von Ereignisdetails von der AMP-Konsole

Schritt 1: Navigieren Sie zu AMP Console > Dashboard > Events.

Schritt 2: Wählen Sie das Alert Event aus, und klicken Sie auf die Option Device Trajectory (Device Trajectory), wie im Bild gezeigt.

Es wird zu Device Trajectory-Details umgeleitet, wie im Bild gezeigt.

Schritt 3: Erfassen Sie das Feld Ereignisdetails, wie im Bild gezeigt.

Schritt 4: Scrollen Sie bei Bedarf nach unten, und nehmen Sie einige Aufnahmen vor, um alle im Bild angezeigten Veranstaltungsdetails abzurufen.

Informationen zur Datei

• Informationen darüber, woher die Datei stammt.
• Wenn die Datei von einer Website kommt, teilen Sie die Web-URL. 
• Teilen Sie eine kleine Dateibeschreibung und erläutern Sie die Dateifunktion.

Erläuterung

• Warum glauben Sie, dass der Dateiprozess falsch positiv sein kann? 
• Geben Sie die Gründe an, aus denen Sie der Datei vertrauen.

Bereitstellung von Informationen

• Wenn Sie alle Daten erfasst haben, laden Sie alle angeforderten Informationen auf https://cway.cisco.com/csc/ hoch.
• Stellen Sie sicher, dass Sie die Service Request-Nummer angeben.

Schlussfolgerung

Cisco ist stets bemüht, die Bedrohungsinformationen für die AMP für Endgeräte-Technologie zu verbessern und zu erweitern. Wenn Ihre AMP für Endgeräte-Lösung jedoch eine falsche Warnmeldung auslöst, können Sie einige Maßnahmen ergreifen, um weitere Auswirkungen auf Ihre Umgebung zu verhindern. Dieses Dokument enthält eine Richtlinie, die alle erforderlichen Details zum Erstellen eines Falls beim Cisco TAC bezüglich eines Fehlalarmen enthält. Basierend auf der Dateianalyse des Diagnostic Team kann sich die Einstufung der Datei ändern, um die auf der AMP-Konsole ausgelösten Warnungsereignisse zu stoppen, oder das Cisco TAC kann die richtige Lösung bereitstellen, damit die Datei/der Prozess ohne Probleme in Ihrer Umgebung ausgeführt werden kann.