Introdução
Este documento descreve como solucionar problemas de alarmes do sistema "Canal SLIC Desativado" do Secure Network Analytics (SNA).
Pré-requisitos
Requisitos
A Cisco recomenda que você tenha conhecimento básico de SNA.
SLIC significa "Stealthwatch Labs Intelligence Center"
Componentes Utilizados
Este documento não se restringe a versões de software e hardware específicas.
As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.
Procedimento
O alarme "Canal SLIC desativado" é acionado quando o Gerenciador SNA não consegue obter atualizações de feed dos Threat Intelligence Servers, anteriormente SLIC. Para entender melhor o que causou a interrupção das atualizações do feed, faça o seguinte:
- Conecte-se ao SNA Manager via SSH e efetue login com
root credenciais.
- Analise o
/lancope/var/smc/log/smc-core.log arquivo e procure os logs do tipo SlicFeedGetter.
Depois de encontrar os logs relevantes, continue na próxima seção, considerando que há várias condições que podem fazer com que esse alarme seja disparado.
Logs de erro comuns
Os logs de erro mais comuns vistos no smc-core.log relacionado ao alarme de Canal SLIC Desativado são:
Tempo limite da conexão esgotado
2023-01-03 22:43:28,533 INFO [SlicFeedGetter] Performing request to get Threat Feed update file.
2023-01-03 22:43:28,592 INFO [SlicFeedGetter] Threat Feed Host 'lancope.flexnetoperations.com' resolves to ip address '64.14.29.85'
2023-01-03 22:43:28,592 INFO [SlicFeedGetter] Threat Feed URL: /control/lncp/LancopeDownload?token=20190925-9EAE0&accountID=Stealthwatch+Threat+Intelligence&fileID=TEAMB-FILE&lastUpdate=0
2023-01-03 22:45:39,604 ERROR [SlicFeedGetter] Getting Threat Feed update failed with exception.
org.apache.http.conn.HttpHostConnectException: Connect to lancope.flexnetoperations.com:443 [lancope.flexnetoperations.com/64.14.29.85] failed: Connection timed out (Connection timed out)
Não é possível localizar um caminho de certificação válido para o destino solicitado
2023-01-04 00:27:50,497 INFO [SlicFeedGetter] Performing request to get Threat Feed update file.
2023-01-04 00:27:50,502 INFO [SlicFeedGetter] Threat Feed Host 'lancope.flexnetoperations.com' resolves to ip address '64.14.29.85'
2023-01-04 00:27:50,502 INFO [SlicFeedGetter] Threat Feed URL: /control/lncp/LancopeDownload?token=20190925-9EAE0&accountID=Stealthwatch+Threat+Intelligence&fileID=TEAMB-FILE&lastUpdate=0
2023-01-04 00:27:51,239 ERROR [SlicFeedGetter] Getting Threat Feed update failed with exception.
javax.net.ssl.SSLHandshakeException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
Falha no handshake
2023-01-02 20:00:49,427 INFO [SlicFeedGetter] Performing request to get Threat Feed update file.
2023-01-02 20:00:49,433 INFO [SlicFeedGetter] Threat Feed Host 'lancope.flexnetoperations.com' resolves to ip address '64.14.29.85'
2023-01-02 20:00:49,433 INFO [SlicFeedGetter] Threat Feed URL: /control/lncp/LancopeDownload?token=20190925-9EAE0&accountID=Stealthwatch+Threat+Intelligence&fileID=TEAMB-FILE&lastUpdate=0
2023-01-02 20:00:50,227 ERROR [SlicFeedGetter] Getting Threat Feed update failed with exception.
javax.net.ssl.SSLHandshakeException: Handshake failed
Etapas para executar
As atualizações do feed de inteligência de ameaças podem ser interrompidas devido a condições diferentes. Execute as próximas etapas de validação para garantir que seu SNA Manager atenda aos requisitos.
Etapa 1. Validar Status do Smart Licensing
Navegue Central Management > Smart Licensing e verifique se o status da licença do Threat Feed é Authorized.
Etapa 2. Verificar a Resolução do Sistema de Nomes de Domínio (DNS)
Certifique-se de que o Gerenciador SNA possa resolver com êxito o endereço IP para lancope.flexnetoperations.com and esdhttp.flexnetoperations.com
Etapa 3. Verifique a conectividade com os servidores de feed de inteligência de ameaças
Verifique se o Gerenciador SNA tem acesso à Internet e se a conectividade com os servidores de inteligência de ameaças listados a seguir tem permissão:
| Porta e protocolo |
Fonte |
Destino |
| 443/TCP |
Gerenciador SNA |
esdhttp.flexnetoperations.com lancope.flexnetoperations.com |
Observação: se o Gerenciador SNA não tiver permissão para ter acesso direto à Internet, verifique se a configuração do Proxy para acesso à Internet está em vigor.
Etapa 4. Desabilitar Inspeção/Descriptografia de SSL
O segundo e o terceiro erros descritos na Common Error Logs seção podem ocorrer quando o Gerenciador do SNA não recebe o certificado de identidade correto ou a cadeia de confiança correta usada pelos servidores de feed de inteligência de ameaças. Para evitar isso, certifique-se de que nenhuma Inspeção/Descriptografia SSL seja executada em sua rede (por Firewalls ou servidores proxy compatíveis) para conexões entre o SNA Manager e os servidores de Inteligência de ameaças listados na Verify Connectivity to the Threat Intelligence Feed Servers seção.
Se você não tiver certeza se a Inspeção/Descriptografia SSL é executada em sua rede, você pode coletar uma captura de pacote entre o endereço IP do SNA Manager e o endereço IP do Threat Intelligence Servers e analisar a captura para verificar o certificado recebido. Para isso, faça o seguinte:
1. Conecte-se ao Gerenciador SNA pelo SSH e faça login com root credenciais.
2. Execute um dos dois comandos listados a seguir (o comando a ser executado depende se o gerenciador SNA usa ou não um servidor proxy para acesso à Internet):
tcpdump -w /lancope/var/tcpdump/slic_issue.pcap -nli eth0 host 64.14.29.85
tcpdump -w /lancope/var/tcpdump/slic_issue2.pcap -nli eth0 host [IP address of Proxy Server]
3. Deixe a captura ser executada por 2-3 minutos e, em seguida, pare-a.
4. Transfira o arquivo gerado para fora do Gerenciador SNA para análise. Isso pode ser feito com o Secure Copy Protocol (SCP).
Defeitos relacionados
Há um defeito conhecido que pode afetar a conexão com os servidores SLIC:
- A comunicação SMC SLIC pode expirar e falhar se a porta de destino 80 estiver bloqueada. Consulte o bug da Cisco ID CSCwe08331
Informações Relacionadas
Feedback