أستكشاف الأخطاء وإصلاحها "؛الفئة غير القابلة للمسح الضوئي = خطأ رسالة، السبب غير القابل للمسح = خطأ أرشيف&قطع؛ في الإيسا

المقدمة

يصف هذا وثيقة كيف أن يتحرى الخطأ "UnscanAble فئة = رسالة خطأ، unscanAble سبب = أرشيف خطأ: تجاوز حد الحجم الإجمالي للملفات غير المؤرشفة في Cisco ESA.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• أجهزة أمان البريد الإلكتروني Cisco Email Security Appliance (ESA)
• الحماية المتقدمة من البرامج الضارة من Cisco

المكونات المستخدمة

لا يقتصر هذا المستند على إصدارات برامج ومكونات مادية معينة.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المستخدمة في هذا المستند بتكوين ممسوح (افتراضي). راجع التأثير المحتمل لأي تغيير قبل تطبيقه في شبكة إنتاج.

معلومات أساسية

عندما تصل رسالة مرفقة إلى "الحماية المتقدمة من البرامج الضارة" (AMP) في مسار معالجة البريد، أي مرحلة ESA التي يتم فيها مسح المرفق، تحاول ESA تحليل المرفق. كما تتحقق الإيسا من رؤوس الرسائل لتتوافق مع طلب التعليقات (RFC) 2045 (RFC 2045). وإذا لم تكن الرسالة متوافقة تماما، فإن الإيسا لا تزال تبذل قصارى جهدها لتحليل المرفق.

بعد ذلك، يتحقق ESA ما إذا كان المرفق هو ملف أرشيف. وإذا كان الأمر كذلك، فإن الإيسا تحاول فك حزمها. تقيم ESA عدة عوامل لتقدير الحجم غير المضغوط وضمان صحة الأرشيف. وتكشف الإيسا أيضا أرشيفات مشكوك فيها، مثل الملفات شديدة الضغط.

إذا لم يتوفر أي حكم على سمعة الملف من البحث عن سمعة السحابة، وكان الملف يفي بمعايير التحليل، فإن ESA يقوم بحجب الملف وتحميله إلى AMP sandbox، أي بيئة تحليل الملفات المستندة إلى السحابة.

بعد ذلك تفتح ESA اتصالا بخوادم AMP، وتحميل الملف، وتنتظر تحديثات الحكم، كما هو موضح في الصورة:

وتقدم الإيسا حكما بناء على هذه السيناريوهات:

• إذا كان أحد الملفات المستخرجة ضار، تقوم خدمة سمعة الملف بإرجاع حكم "ضار" لملف الأرشيف أو مضغوط.
• إذا كان الملف المضغوط أو ملف الأرشيف مضغوطا وكانت جميع الملفات المستخرجة نظيفة، ترجع خدمة سمعة الملف حكما على 'Malicious' لملف الأرشيف أو المضغوط.
• إذا كان الحكم الصادر عن أي من الملفات المستخرجة غير معروف، فإن الملفات المستخرجة تكون إختيارية (إذا تم تكوينها وكان نوع الملف مدعوما لتحليل الملف) مرسلة لتحليل الملف.
• إذا كان الحكم الخاص بأي من الملفات المستخرجة أو المرفقات منخفض المخاطر، فلا يتم إرسال الملف لتحليل الملف.
• إذا فشل الاستخراج لملف مضغوط أو ملف أرشيف أثناء فك الضغط، ترجع خدمة سمعة الملف حكما بعدم إمكانية المسح الضوئي للملف المضغوط أو ملف الأرشيف. إذا كان أحد الملفات التي تم إستخراجها ضار في هذا السيناريو، فإن خدمة سمعة الملف ترجع حكما على "غير ضار" للملف المضغوط أو ملف الأرشيف. والحكم الضار يسبق الحكم الذي لا يمكن مسحه.

يمكن أن تتجاوز الملفات المضغوطة بشدة مثل CSV، XML، و TXT الحد الأقصى لحجم الملف الذي تم ترميزه بشكل ثابت في ESA. خوارزميات الضغط مثل Lempel-Ziv، تولد خريطة رقمية تحسب عدد وموضع الحروف ضمن الوثيقة بأكملها. يمكن أن ينتج عن هذه العملية أحجام ملفات أرشيف صغيرة جدا.

على النقيض، الملفات التي تحتوي على رسومات أو تنسيقات مثل PDF، JPG، و PNG لا يتم ضغطها بنفس الطريقة. ونتيجة لذلك، فإنها تبقى عادة قريبة من حجم ملفها الأصلي.

مسألة

تقوم ESA بتسجيل إصدار حكم AMP غير قابل للمسح الضوئي على مرفق مضغوط مع وجود السبب "خطأ في الأرشيف: تجاوز الحد الإجمالي لحجم الملفات غير المؤرشفة.

البيئة

• Cisco ESA
• AMP ممكن للمسح الضوئي للمرفق

السبب

المرفق هو أرشيف مضغوط يتخطى حدود ESA ذات الترميز الثابت لإجمالي حجم الملفات غير المؤرشفة. أنواع الملفات القابلة للضغط بدرجة عالية (على سبيل المثال، CSV و XML و TXT) يمكن أن تنتج أرشيفات صغيرة تتمدد بشكل ملحوظ عند فك حزمها، مما قد يؤدي إلى إصدار قرار "غير قابل للمسح الضوئي".

الحل

أستخدم أحد هذه الخيارات بناء على المعالجة المطلوبة: إعلام المستخدم، أو الاحتواء والمراجعة. تساعد خطوات التحقق المعروضة في تحديد الخيار المراد إستخدامه.

ولتأكيد الشرط، حدد موقع النوع المذكور من إدخال سجل البريد.

مثال لإدخال سجل البريد:

Info:   The attachment could not be scanned. File Name = 'ACTS Chopped ISO 88591 encod_NoSchema.XML.zip', MID = 226, SHA256 = 7efa6154b7519872055cff10a69067dcad88562f708b284a390a9abcf5e99b8f, Unscannable Category = Message Error, Unscannable Reason = Archive Error: Exceeded the total size limit of the unarchived files

قبل البدء: دققت واخترت خيار

1. في ESA، انتقل إلى Monitor >سجلات البريد.
2. حدد موقع معرف الرسالة (MID) الذي يظهر السبب غير القابل للمسح = خطأ أرشيف: تجاوز الحد الإجمالي لحجم الملفات غير المؤرشفة.
3. تأكد من أن المرفق هو أرشيف مضغوط، على سبيل المثال، ملف .zip، وأنه يتوسع بشكل كبير عند فك حزمته.
4. أختر الخيار 1 إذا كان يجب تسليم الرسالة ويحتاج المستلم فقط إلى تحذير في سطر الموضوع.
5. أختر الخيار 2 إذا كان يجب إحتواء الرسالة للمراجعة في العزل الخاص بفيروس التفشي (PVO).
6. بعد تطبيق التغيير، قم بإرسال رسالة إختبار مع أرشيف ممثل. تحقق من السلوك المتوقع في جهاز العرض >سجلات البريد، وإذا تم إستخدامها، في العزل الخاص بفيروس النهج والتفشي (PVO).

الخيار 1. إعداد علامة موضوع للمرفقات التي لا يمكن مسحها

1. في ESA، انتقل إلى سياسات البريد>سياسات البريد الوارد أو سياسات البريد الصادر، وذلك وفقا للموضع الذي تم فيه تمكين مسح AMP.
2. انقر فوق النهج الذي يعالج الرسالة المتأثرة.
3. في إعدادات AMP للنهج، حدد مكان الإجراء للمرفقات التي لا يمكن مسحها ضوئيا.
4. تعيين تعديل الرسالة إلى Prepend.
5. في حقل نص الموضوع، أدخل البادئة [AMP UnscanAble] أو علامة تحذير أخرى معتمدة.
6. انقر فوق إرسال وقم بإجراء التغيير.
7. إرسال رسالة إختبار مع أرشيف ممثل والتحقق من أن ESA يقوم بتسليم الرسالة مع علامة الموضوع المحددة مسبقا.

الخيار 2 - عزل الرسائل التي لا يمكن مسحها ضوئيا في الحجر الصحي الخاص بفيروسات السياسات وتفشي الأمراض

1. في ESA، انتقل إلى سياسات البريد>سياسات البريد الوارد أو سياسات البريد الصادر، وذلك وفقا للموضع الذي تم فيه تمكين مسح AMP.
2. انقر فوق النهج الذي يعالج الرسالة المتأثرة.
3. في إعدادات AMP للنهج، حدد مكان الإجراء للمرفقات التي لا يمكن مسحها ضوئيا.
4. تعيين إجراء الرسالة التي يتعذر مسحها ضوئيا إلى عزل.
5. أختر العزل الخاص بفيروس النهج والتفشي (PVO) كوجهة عزل.
6. انقر فوق إرسال وقم بإجراء التغيير.
7. إرسال رسالة إختبار مع أرشيف ممثل والتحقق من أن ESA تضع الرسالة في الحجر الصحي الخاص ب"فيروس وتفشي الوباء" (PVO) لمراجعة المحلل.

معلومات ذات صلة

• دليل أفضل الممارسات للحماية المتقدمة من البرامج الضارة على ESA
• التحقق من تحميلات تحليل الملفات على ESA
• أستكشاف أخطاء "خدمة سمعة الملف غير قابلة للوصول" وإصلاحها على Cisco ESA
• الدعم الفني والتنزيلات من Cisco

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	29-Oct-2019	الإصدار الأولي