Contenido

Introducción

Prerequisites

Listas de Verificación de Resolución de Problemas

Datos adicionales

1. Tráfico de sesión completa

2. Archivos de Troubleshooting

3. Captura de paquetes (PCAP)

Introducción

Un sistema FireSIGHT genera eventos cuando detecta un nuevo host en el segmento de red supervisado. Es posible que detecte un sistema operativo o servicio de forma incorrecta o con menos confianza. Si un evento se marca como Unknown, significa que se analiza el tráfico, pero los sistemas operativos no coinciden con ninguna de las huellas digitales conocidas. Este documento proporciona una lista de verificación y recomendaciones para minimizar los eventos Desconocidos.

Prerequisites

La información que contiene este documento se basa en estas versiones de software y hardware.

- FireSIGHT System, appliances FirePOWER y appliances virtuales NGIPS

- Software versión 5.2 o posterior

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). If your network is live, make sure that you understand the potential impact of any command.

Listas de Verificación de Resolución de Problemas

Si el sistema FireSIGHT está generando eventos que están en estado pendiente o desconocido, puede seguir los pasos siguientes para iniciar la resolución de este problema:

Nota: Los hosts no identificados no son lo mismo que los hosts desconocidos. Los hosts no identificados son aquellos sobre los que un sistema aún no ha recopilado suficiente información para identificar sus sistemas operativos.

Lista de comprobación de Troubleshooting

Recomendaciones

1. ¿Qué versión de VDB está instalada en FireSIGHT Management Center?

La última versión de VDB tiene más información de huellas digitales. Siempre se recomienda tener la última versión instalada en FireSIGHT Management Center.

2. ¿Cuál es el límite de host de su licencia de FireSIGHT? ¿Cuántos hosts ha detectado FireSIGHT?

Si el límite del host supera, un sistema FireSIGHT elimina los datos más antiguos a medida que entran los nuevos. Puede configurar la directiva del sistema para que descarte nuevos hosts cuando se alcance el límite de hosts.

3. ¿A cuántos saltos se encuentran los hosts desde el dispositivo gestionado FireSIGHT?

Cuanto mayor sea el recuento de saltos entre los hosts y un dispositivo administrado, más lejos estará el host del dispositivo y, por lo tanto, mayor será la probabilidad de que el tráfico se haya modificado y no permita una identificación precisa.

4. ¿Hay algún dispositivo en línea entre los hosts y el dispositivo administrado?

La presencia de cualquier dispositivo en línea, como firewall, dispositivo NAT, balanceador de carga y servidor proxy, puede modificar la información de encabezado TCP o IP original, que también puede ser la causa de la recolección de información mal identificada o no identificada de los hosts.

5. ¿Los dispositivos administrados monitorean el tráfico en alguna red de ruteo asíncrona?

Si un sistema FireSIGHT supervisa el tráfico de routing asincrónico, es posible que no pueda ver la sesión completa.

6. ¿Se utiliza algún puerto no estándar para algún servicio? ¿Hay algún descodificador personalizado configurado para hacer frente a los puertos no estándar?

Un descodificador personalizado configurado incorrectamente puede entrar en conflicto con los descodificadores predeterminados.

Datos adicionales

Si se siguen todas las recomendaciones anteriores, pero aún así se encuentran hosts desconocidos, pendientes o no identificados, entonces tendremos que analizar los siguientes datos y dos puntos;

1. Tráfico de sesión completa

Tráfico de sesión completa de los hosts que se identifican incorrectamente, o que se marcan como desconocidos o pendientes.

2. Archivos de Troubleshooting

Solución de problemas de archivos desde FireSIGHT Management Center y el dispositivo administrado. El mapa de red o la topología que muestra la ubicación del dispositivo administrado sería útil.

3. Captura de paquetes (PCAP)

Los paquetes recibidos por el dispositivo administrado pueden ser diferentes de los paquetes originados en los hosts. Sucede si existe algún encabezado que modifique el dispositivo en línea entre los hosts y el dispositivo administrado. Por lo tanto, es mejor capturar PCAP de ambos extremos: hosts y dispositivos administrados, lo que permite comparar los encabezados de los dos PCAP. Cualquier discordancia entre los paquetes puede causar una identificación errónea de servicios o hosts.