أستكشاف أخطاء فئة عنوان URL في CSF وإصلاحها والتحقق منها

المقدمة

يوضح هذا المستند كيفية التحقق من تعيينات فئة URL على "جدار الحماية الآمن" و FMC للتأكد من إستخدام الجهاز لتصنيف URL نفسه. 

المتطلبات الأساسية

يجب تمكين ترخيص تصفية URL للجهاز وتكامل خدمات السحابة في حالة صحية ونهج التحكم بالوصول الذي يتضمن تصفية URL وتم نشره بعد تكوين شرط URL.

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• تصفية عنوان URL الخاص بمركز إدارة Firepower (FMC) وعمليات البحث عن الفئات
• فحص حركة مرور Cisco Secure Firewall (CSF) وتقييم السياسة
• تصنيف URL وسلوك السمعة، والذي يستند إلى Talos الذي يبدأ بالإصدار 6.5 من CSF

المكونات المستخدمة

يصف هذا المستند الوظيفة المتاحة في إصدارات Cisco Secure Firewall و FMC 6.5 والإصدارات الأحدث. تستخدم الأمثلة الواردة في هذا الدليل الإصدار 7.6.5.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

المنتجات ذات الصلة

كما يمكن إستخدام هذا المستند مع هذه المنتجات والإصدارات:

• مركز إدارة جدار الحماية الآمن (FMC)
• جدار الحماية الآمن (CSF) من Cisco
• تصفية URL وعمليات تكامل خدمات السحابة

معلومات أساسية

تعتمد تصفية URL على قاعدة بيانات فئة يتم تقييمها أثناء فحص حركة المرور. تخزن FMC معلومات فئة URL لوجهة ما، ويقوم الجهاز بإجراء بحث عن وقت التشغيل عند فحص حركة المرور. في حالة وجود عدم تطابق بين FMC أو الجهاز أو قاعدة بيانات السحابة، يمكن أن تظهر نتائج النهج غير متناسقة حتى عند تكوين نهج التحكم في الوصول بشكل صحيح.

جزء مهم من التحقق من الصحة هو التأكد من أن تعيين فئة عنوان URL متناسق عبر FMC والجهاز. يتأثر البحث عن فئة عنوان URL بإعدادات تكامل خدمات السحابة وذاكرة التخزين المؤقت للجهاز. في حالة تعطيل إعداد تحديث ذاكرة التخزين المؤقت أو طول العمر الافتراضي للإدخال، يمكن أن تظل بيانات الفئة القديمة قيد الاستخدام بعد أن يقوم Talos بتحديث التصنيف.

عمارة

عند تمكين تصفية عنوان URL، يتحقق الجهاز أولا من ذاكرة التخزين المؤقت لعنوان URL المحلي. إذا لم تكن الفئة موجودة بالفعل في ذاكرة التخزين المؤقت، فيمكن للجهاز الاستعلام عن قاعدة البيانات المحلية أو عن Cisco Cloud. يستخدم الجهاز قاعدة بيانات URL المحلية الخاصة به وذاكرة التخزين المؤقت للبحث أثناء عملية الفحص، كما يتصل Beakerd ب Talos لتنزيل بيانات تصفية URL وتحديثها. على الأجهزة التي تديرها FMC، يعمل Beakerd على FMC وهو في حالة انتظار على CSF. إذا تم إدارة CSF محليا، فسيتم تشغيل العملية على الجهاز نفسه. 

يرسل Talos حزم قاعدة بيانات كاملة في أحجام متعددة، والتي يتم تخزينها تحت /var/sf/cloud_download/cisco. 

هنا بعض الأمثلة على ما يمكن أن تبدو عليه ملفات قاعدة البيانات من Talos:

• Cisco_uridb_large_1541554243 (500 ميجابايت)
• Cisco_uridb_medium_1541553645 (125 ميجابايت)
• Cisco_uridb_small_1541553061 (33 ميجابايت)

ملاحظة: تبدأ ملفات قاعدة البيانات ب cisco_uridb ثم يتم سرد الحجم (صغير أو متوسط أو كبير). يمكن أن تختلف الأحجام بناء على الأجهزة المستخدمة.

الخطوة 1: البحث عن فئة عنوان URL في FMC

تحتفظ FMC بقاعدة بيانات عنوان URL محلية تقوم بتعيين وجهات عنوان URL إلى الفئات المعينة لها. هذه هي الخطوة الأولى الموصى بها عند التحقق من كيفية تصنيف عنوان URL.

انتقل إلى تحليل الموقع > متقدم > URL في FMC.

أدخل عنوان URL الذي تريد التحقق منه ومراجعة الفئة المعينة له.

في المثال المبين أدناه، يوجد www.cisco.com ضمن فئة أجهزة الكمبيوتر والإنترنت.

الخطوة 2: مراجعة إعدادات تكامل تصفية URL

تحدد إعدادات تكامل تصفية URL مكان مصدر FMC وجهاز CSF قاعدة بيانات فئة URL. يحتفظ كل جهاز بقاعدة البيانات المحلية الخاصة به للبحث عن عنوان URL ويمكن أن يستعلم عن مجموعة Cisco Cloud للحصول على معلومات URL إضافية أو محدثة.

انتقل إلى التكامل > عمليات التكامل الأخرى > خدمات السحابة في FMC لمراجعة هذه الإعدادات.

تحقق من صحة التكامل ومن تكوين ذاكرة التخزين المؤقت للبحث عن عنوان URL للتحديث وفقا لتوقيت النهج المتوقع.

تحذير: يمكن أن تحتفظ ذاكرة التخزين المؤقت للبحث عن عنوان URL بنتائج الفئة والسمعة التي تم إستردادها مسبقا. إذا تم تعطيل انتهاء صلاحية ذاكرة التخزين المؤقت أو تكوينها لفترة طويلة من العمر، يمكن للجهاز الاستمرار في إستخدام المعلومات المخزنة مؤقتا بعد أن يقوم Talos بتحديث التصنيف، مما يمكن أن يتسبب في أختلاف نتيجة الجهاز بشكل مؤقت عن البحث عن FMC أو Talos الحالي.

الخطوة 3: تأكيد فئة عنوان URL على الجهاز باستخدام تتبع دعم النظام

للتحقق من أن جهاز CSF يصنف عنوان URL بنفس الطريقة مثل FMC، قم بتشغيل تتبع دعم النظام من واجهة سطر الأوامر (CLI) الخاصة بالجهاز. وهذا يوضح كيفية تقييم محرك فحص SNORT لحركة المرور وفئة URL التي يتم إرجاعها عند فحص الاتصال.

في واجهة سطر أوامر (CLI) برنامج الإرسال فائق السرعة (FTD)، أدخل الأمر دعم النظام واستجيب للمطالبات التفاعلية:

> system support trace

Enable firewall-engine-debug too? [n]: y
Please specify an IP protocol: tcp
Please specify a client IP address: 192.168.0.11
Please specify a client port:
Please specify a server IP address: 173.37.145.84
Please specify a server port: 443

ملاحظة: في هذا المثال، 173.37.145.84 هو عنوان IP ل www.cisco.com. أستخدم عنوان IP للوجهة الذي يتوافق مع عنوان URL الذي تقوم باستكشافه.

مثال الإخراج:

192.168.0.11 41328 -> 173.37.145.84 443 6 AS=0 ID=0 GR=1-1: returned from url lookup, url_info is 90 2003 0 0 0 0 0 0 0 0

192.168.0.11 41328 -> 173.37.145.84 443 6 AS=0 ID=0 GR=1-1 URL lookup for www.cisco.com/ found rep 90, cat 2003, 0, 0, 0, 0, 0, 0

في هذا الإخراج، يرجع عنوان URL معرف فئة لعام 2003. توضح الخطوة التالية كيفية حل هذه القيمة الرقمية لاسم الفئة المطابق.

الخطوة 4: حل رقم الفئة لاسم الفئة

يرجع بحث فئة URL على الجهاز معرف فئة رقمي. لتعيين هذا الرقم إلى اسم فئة قابل للقراءة من قبل الإنسان، افتح ملف aup_category.json على الجهاز.

انتقل إلى الدليل /var/sf/cloud_download/ على CSF في وضع الخبير. تأكد من أنك في وضع المستخدم الجذر.

افتح ملف تعريفات الفئة:

root@firepower:/var/sf/cloud_download# less aup_categories.json

البحث عن معرف الفئة الذي تم إرجاعه في إخراج التتبع. مثال لإدخال الفئة 2003:

{
"id": 2003,
"uuid": "abba9b63-bb10-4729-b901-2e2aa0f02003",
"mnemonic": "comp",
"name": "Computers and Internet",
"type": "aup_cats",
"state": "active"
}

ملاحظة: أرقام معرف الفئة متناسقة عبر جميع أجهزة CSF. نفس المعرف الرقمي يعمل على تعيين نفس اسم الفئة على كل جهاز CSF.

التحقق من الصحة

أستخدم المخرجات من الخطوات من 1 إلى 4 لتأكيد أن تعيين فئة عنوان URL متناسق بين قاعدة بيانات FMC ومحرك snort على الجهاز.

في هذا المثال:

• تنص قاعدة بيانات FMC على www.cisco.com كأجهزة كمبيوتر وإنترنت.
• ترجع واجهة سطر الأوامر الخاصة بالجهاز معرف الفئة 2003، والذي يترجم إلى أجهزة الكمبيوتر والإنترنت.

يوافق كلا المصدرين، مما يؤكد أن نهج تصفية URL الذي يتم تطبيقه متناسق ل URL هذا.

زر نزاع

إذا كنت تعتقد أنه قد تم تصنيف URL إلى فئة غير صحيحة، يمكنك إرسال نزاع إلى Talos.

انتقل إلى تحليل > متقدم > URL في FMC:

اكتب في محدد موقع المعلومات (URL)، وانقر فوق بحث، ثم قم بالمرور فوق إدخال URL وحدد النزاع.

يؤدي ذلك إلى فتح صفحة نزاع Talos حتى يمكن مراجعة التصنيف وتصحيحه من قبل المصدر المناسب.

استكشاف الأخطاء وإصلاحها

إذا لم يطابق التصنيف التوقعات، راجع هذه المناطق:

• تأكد من تمكين ترخيص تصفية URL وتخصيصه للجهاز.
• تحقق من صحة خدمات السحابة والاتصال ب Talos.
• فحص إعدادات تحديث ذاكرة التخزين المؤقت وذاكرة التخزين المؤقت للجهاز للتأكد من عدم إعادة إستخدام الإدخالات القديمة.
• تحقق مما إذا كانت عملية Beakerd قيد التشغيل على وحدة التحكم في إدارة اللوحة الأساسية (FMC) للأجهزة التي تديرها FMC.

بالنسبة للأجهزة التي تديرها FMC، قم بتشغيل هذا الأمر في وضع خبير FMC لتأكيد أن العملية نشطة:

pmtool status | grep beakerd

ملاحظة: إذا قمت بتشغيل هذا الأمر في جدار حماية آمن تتم إدارته بواسطة FMC، يمكن رؤية العملية في حالة الانتظار. إذا تم إدارة جدار الحماية الآمن محليا، فسيتم ملاحظة العملية في حالة تشغيل.