Contents

Introduction

Corrija o erro "O serviço de reputação de arquivo não está acessível" recebido para o AMP

Troubleshoot

Informações Relacionadas

Introduction

Este documento descreve o alerta atribuído ao Cisco Email Security Appliance (ESA) com Advanced Malware Protection (AMP) habilitado, em que o serviço não consegue se comunicar pela porta 32137 ou 443 para a reputação do arquivo.

Corrija o erro "O serviço de reputação de arquivo não está acessível" recebido para o AMP

O AMP foi lançado para uso no ESA no AsyncOS versão 8.5.5 para segurança de e-mail.  Com a AMP licenciada e habilitada no ESA, os administradores recebem esta mensagem:

The Warning message is:

The File Reputation service is not reachable.

Last message occurred 2 times between Tue Jul 26 10:17:15 2015 and Tue Jul 26 10:18:16 2016.

Version: 12.5.0-066

Serial Number: 123A82F6780XXX9E1E10-XXX5DBEFCXXX

Timestamp: 07 Oct 2019 14:25:13 -0400

O serviço AMP pode estar ativado, mas provavelmente não se comunica na rede por meio da porta 32137 para a reputação do arquivo.

Se esse for o caso, o administrador do ESA pode optar por fazer com que a reputação do arquivo se comunique pela porta 443.

Para fazer isso, execute ampconfig > advanced na CLI e verifique se Y está selecionado para Deseja habilitar a comunicação SSL (porta 443) para reputação de arquivo? [N]>:

(Cluster example.com)> ampconfig

Choose the operation you want to perform:

- SETUP - Configure Advanced-Malware protection service.

- ADVANCED - Set values for AMP parameters (Advanced configuration).

- SETGROUP - Add this appliance to the group of appliances that can share File Analysis reporting details.

- CACHESETTINGS - Configure the cache settings for AMP.

- CLUSTERSET - Set how advanced malware protection is configured in a cluster.

- CLUSTERSHOW - Display how advanced malware protection is configured in a cluster.

[]> advanced

Enter cloud query timeout?

[15]>

Choose a file reputation server:

1. AMERICAS (cloud-sa.amp.cisco.com)

2. AMERICAS(Legacy) (cloud-sa.amp.sourcefire.com)

3. EUROPE (cloud-sa.eu.amp.cisco.com)

4. APJC (cloud-sa.apjc.amp.cisco.com)

5. Private reputation cloud

[1]>

Do you want use the recommended analysis threshold from cloud service? [Y]>

Enter heartbeat interval?

[15]>

Do you want to enable SSL communication (port 443) for file reputation? [N]> Y

Proxy server detail:

Server :

Port :

User :

Do you want to change proxy detail [N]>

Do you want to suppress the verdict update alerts for all messages that are not delivered to the recipient? [N]>

Choose a file analysis server:

1. AMERICAS (https://panacea.threatgrid.com)

2. EUROPE (https://panacea.threatgrid.eu)

3. Private analysis cloud

[1]>

Se você usar a GUI, escolha Serviços de segurança > Reputação e análise de arquivo > Editar configurações globais > Avançado (lista suspensa) e verifique se a caixa de seleção Usar SSL está marcada como mostrado aqui:

Confirme toda e qualquer alteração na configuração.

Por fim, revise o registro atual da AMP para ver o sucesso ou a falha do serviço e da conectividade. Você pode fazer isso no CLI com o tail amp.

Antes das alterações feitas em ampconfig > advanced, você teria visto isso nos registros do AMP:

Mon Jan 26 10:11:16 2015 Warning: amp The File Reputation service in the cloud

is unreachable.

Mon Jan 26 10:12:15 2015 Warning: amp The File Reputation service in the cloud

is unreachable.

Mon Jan 26 10:13:15 2015 Warning: amp The File Reputation service in the cloud

is unreachable.

Depois que a alteração for feita em ampconfig > advanced, você verá isso nos registros do AMP:

Mon Jan 26 10:19:19 2015 Info: amp stunnel process started pid [3725]

Mon Jan 26 10:19:22 2015 Info: amp The File Reputation service in the cloud

is reachable.

Mon Jan 26 10:19:22 2015 Info: amp File reputation service initialized

successfully

Mon Jan 26 10:19:22 2015 Info: amp File Analysis service initialized

successfully

Mon Jan 26 10:19:23 2015 Info: amp The File Analysis server is reachable

Mon Jan 26 10:20:24 2015 Info: amp File reputation query initiating. File Name =

'amp_watchdog.txt', MID = 0, File Size = 12 bytes, File Type = text/plain

Mon Jan 26 10:20:24 2015 Info: amp Response received for file reputation query

from Cloud. File Name = 'amp_watchdog.txt', MID = 0, Disposition = file unknown,

Malware = None, Reputation Score = 0, sha256 = a5f28f1fed7c2fe88bcdf403710098977

fa12c32d13bfbd78bbe27e95b245f82, upload_action = 1

O arquivo amp_watchdog.txt, como mostrado no exemplo anterior, será executado a cada 10 minutos e será rastreado no registro do AMP. Esse arquivo faz parte do keep-alive do AMP.

Uma consulta normal no registro da AMP em relação a uma mensagem com o(s) tipo(s) de arquivo configurado(s) para Reputação de arquivo e Análise de arquivo seria semelhante a esta:

Wed Jan 14 15:33:01 2015 Info: File reputation query initiating. File Name =

'securedoc_20150112T114401.html', MID = 703, File Size = 108769 bytes, File

Type = text/html

Wed Jan 14 15:33:02 2015 Info: Response received for file reputation query from

Cloud. File Name = 'securedoc_20150112T114401.html', MID = 703, Disposition = file

unknown, Malware = None, Reputation Score = 0, sha256 = c1afd8efe4eeb4e04551a8a0f5

533d80d4bec0205553465e997f9c672983346f, upload_action = 1

Com essas informações de log, o administrador deve ser capaz de correlacionar o ID da mensagem (MID) nos logs de e-mail.

Troubleshoot

Reveja as configurações de firewall e rede para garantir que a comunicação SSL esteja aberta para:

Porta

Protocolo

Entrada/Saída

Hostname

Descrição

443

TCP

OUT

Conforme configurado em Serviços de segurança > Reputação e análise de arquivos, seção Avançado.

Acesso a serviços em nuvem para análise de arquivos.

32137

TCP

OUT

Conforme configurado em Serviços de segurança > Reputação e análise de arquivos, seção Avançado, seção Avançado, parâmetro Pool de servidores em nuvem.

Acesso a serviços em nuvem para obter a reputação do arquivo.

Você pode testar a conectividade básica de seu ESA para o serviço de nuvem por meio de Telnet para garantir que seu dispositivo possa acessar com êxito os serviços AMP, a reputação de arquivo e a análise de arquivo.

Observação: os endereços para Reputação de arquivo e Análise de arquivo são configurados na CLI com ampconfig > advanced ou na GUI com Serviços de segurança > Reputação e análise de arquivo > Editar configurações globais > Advanced (menu suspenso).

Note: Se estiver utilizando um proxy de túnel entre o ESA e o(s) servidor(es) do File Reputation, talvez seja necessário ativar a opção Relax Certificate Validation for Tunnel Proxy. Essa opção é fornecida para ignorar a validação de certificado padrão se o certificado do servidor proxy de túnel não for assinado por uma autoridade raiz confiável pelo ESA. Por exemplo, selecione esta opção se estiver usando um certificado autoassinado em um servidor proxy de túnel interno confiável.

Exemplo de reputação de arquivo:

10.0.0-125.local> telnet cloud-sa.amp.sourcefire.com 443

Trying 23.21.199.158...

Connected to ec2-23-21-199-158.compute-1.amazonaws.com.

Escape character is '^]'.

^]

telnet> quit

Connection closed.

Exemplo de análise de arquivo:

10.0.0-125.local> telnet panacea.threatgrid.com 443

Trying 69.55.5.244...

Connected to 69.55.5.244.

Escape character is '^]'.

^]

telnet> quit

Connection closed.

Se o ESA for capaz de executar telnet para o servidor de reputação de arquivos e não houver um proxy de upstream descriptografando a conexão, o dispositivo talvez precise ser registrado novamente com o Threat Grid. Na CLI do ESA, há um comando oculto:

10.0.0-125.local> diagnostic

Choose the operation you want to perform:

- RAID - Disk Verify Utility.

- DISK_USAGE - Check Disk Usage.

- NETWORK - Network Utilities.

- REPORTING - Reporting Utilities.

- TRACKING - Tracking Utilities.

- RELOAD - Reset configuration to the initial manufacturer values.

- SERVICES - Service Utilities.

[]> ampregister

AMP registration initiated.

Informações Relacionadas

- Teste de proteção avançada contra malware (AMP) ESA

- Guias do usuário do ESA

- Perguntas frequentes do ESA: O que é um ID de mensagem (MID), ID de conexão de injeção (ICID) ou ID de conexão de entrega (DCID)?

- Como faço para pesquisar e exibir os logs de e-mail no ESA?

- Suporte Técnico e Documentação - Cisco Systems