Inhalt

Einleitung

Fehlertabelle des sicheren Endpunkt-Linux-Connectors

Einleitung

Der Cisco Secure Endpoint Linux-Connector kann Sie über ein Fault Raised-Ereignis informieren, wenn er eine Bedingung erkennt, die das ordnungsgemäße Funktionieren des Connectors beeinträchtigt. Ebenso teilt ein Fault Cleared-Ereignis mit, dass die Bedingung nicht mehr vorhanden ist.

Fehlertabelle des sicheren Endpunkt-Linux-Connectors

In der folgenden Tabelle werden Fehler und entsprechende Diagnoseschritte beschrieben.

Fehler-ID

Beschreibung

Problembehebung/Problembehebung

5

Service-Benutzer prüfen nicht verfügbar

Beim Anschluss konnte kein Benutzer erstellt werden, um den Dateiprüfvorgang auszuführen. Der Connector umgeht dies, indem er den Root-Benutzer zum Durchführen eines Dateiprüfens verwendet. Dies unterscheidet sich vom beabsichtigten Design und ist nicht zu erwarten.

Wenn cisco-amp-scan-svc Benutzer oder Gruppe wurde gelöscht, oder die Konfiguration des Benutzers und der Gruppe wurde geändert. Durch die Neuinstallation des Connectors werden Benutzer und Gruppe mit der erforderlichen Konfiguration neu erstellt. Weitere Informationen finden Sie unter /var/log/cisco/ampdaemon.log.

Wenn der Kunde die Erstellung von Benutzergruppen über die Einstellungen in /etc/login.defs einschränkt, muss diese Datei während der Ausführung des Installationsprogramms vorübergehend geändert werden, um das Erstellen des Benutzers und der Gruppe zu ermöglichen. Dies kann durch das Ändern von usergroups_enab von no in yes erfolgen.

Dieser Fehler kann in Linux Connectors 1.15.1 und höher ausgelöst werden, wenn ein anderes Programm eine der Verzeichnisberechtigungen des Connectors modifiziert hat (z.B. /opt/cisco oder ein untergeordnetes Verzeichnis). Um dies zu verhindern, sollte die geänderte Verzeichnisberechtigung auf den Standardwert zurückgesetzt werden (d. h. 0755), stellen Sie sicher, dass keine zukünftigen Programme das Verzeichnis /opt/cisco (oder ein untergeordnetes Verzeichnis) ändern, und starten Sie den Connector-Dienst neu.

6

Häufig Neustarten des Scan-Services

Beim Dateiprüfprozess des Connectors sind wiederholte Fehler aufgetreten, und der Connector wurde neu gestartet, um den Fehler zu beheben. Möglicherweise verursacht eine oder mehrere Dateien im System einen Absturz des Scan-Algorithmus beim Scannen. Der Connector wird weiterhin bestmöglich gescannt.

Wenn dieser Fehler nicht automatisch innerhalb von 10 Minuten nach dem Start des Steckverbinders behoben wird, ist dies ein Hinweis darauf, dass weitere Benutzereingriffe erforderlich sind und die Fähigkeit des Steckverbinders, Prüfungen durchzuführen, beeinträchtigt wird.

Weitere Informationen finden Sie unter /var/log/cisco/ampdaemon.log und /var/log/cisco/ampscansvc.log.

7

Scan-Service konnte nicht gestartet werden

Der Dateiprüfprozess des Connectors konnte nicht gestartet werden, und der Connector wurde neu gestartet, um den Fehler zu beheben. Die Dateiprüfungsfunktion ist deaktiviert, während dieser Fehler ausgelöst wird.

Dieser Fehler kann ausgelöst werden, wenn beim Laden einer neu installierten Virendefinitionsdatei (.cvd-Dateien) ein Fehler auftritt. Der Connector führt vor der Aktivierung neuer CSD-Dateien eine Reihe von Integritätsprüfungen und Stabilitätsprüfungen durch, um diesen Fehler zu verhindern. Beim Neustart werden alle ungültigen CSVD-Dateien vom Anschluss entfernt, sodass der Anschluss wieder aufgenommen werden kann.

Wenn dieser Fehler beim Neustart des Connectors nicht behoben wird, ist dies ein Hinweis darauf, dass weitere Benutzereingriffe erforderlich sind. Wenn sich dieser Fehler mit jedem CVD-Update wiederholt, ist dies ein Hinweis darauf, dass eine ungültige CSVD-Datei nicht richtig von den cvd-Dateiintegritätsprüfungen des Connectors erkannt wird.

Dieser Fehler kann in Linux-Anschlüssen ausgelöst werden, wenn der Computer mit wenig verfügbarem Speicher ausgeführt wird und der Scannerdienst nicht starten kann. Informationen zu den Mindestsystemanforderungen für Linux finden Sie im Benutzerhandbuch für sichere Endgeräte (ehemals AMP für Endgeräte).

Weitere Informationen finden Sie unter /var/log/cisco/ampdaemon.log und /var/log/cisco/ampscansvc.log.

8

Realtime-Dateisystemmonitor konnte nicht gestartet werden

Das Kernel-Modul, das eine Überwachung der Dateisystemaktivität in Echtzeit bereitstellt, wurde nicht geladen, und die Connector-Richtlinie hat "Monitor File Copies and Moves" aktiviert. Diese Überwachungsfunktionen sind im Anschluss nicht verfügbar, während der Fehler ausgelöst wird. Dieser Fehler wird ausgelöst, wenn der Secure Endpoint Connector das zugrunde liegende Kernelmodul, das für die Überwachung der Dateisystemaktivität erforderlich ist, nicht laden kann.

UEFI Secure Boot muss im System deaktiviert sein.

Wenn Secure Boot deaktiviert ist, kann dieser Fehler durch eine Inkompatibilität zwischen dem ampavflt- oder ampfsm-Kernelmodul mit dem Secure Endpoint-Anschluss und dem System-Kernel oder anderen auf dem System installierten Kernelmodulen von Fremdherstellern verursacht werden. Lesen Sie Details zu var/log/messages, oder deaktivieren Sie die Dateiüberwachung in den Richtlinieneinstellungen des Connectors, um diesen Fehler zu beheben.

Der Fehler kann auch bei der Ausführung einer Kernel-Version verursacht werden, die vom Connector nicht unterstützt wird. In diesem Fall wird es möglicherweise gelöscht, indem ein benutzerdefiniertes ampfsm-Kernelmodul für den aktuellen Kernel des laufenden Systems erstellt wird. (Gilt für Linux Connector Versionen 1.16.0 und höher.) Weitere Informationen zum Erstellen benutzerdefinierter Kernelmodule finden Sie unter: Erstellen von Cisco Secure Endpoint Linux Connector Kernel-Modulen

9

Realtime Network Monitor konnte nicht gestartet werden

Das Kernel-Modul, das eine Überwachung der Netzwerkaktivität in Echtzeit bereitstellt, wurde nicht geladen, und die Connector-Richtlinie hat "Enable Device Flow Correlation" aktiviert. Diese Überwachungsfunktion ist im Anschluss nicht verfügbar, während dieser Fehler ausgelöst wird. Dieser Fehler wird ausgelöst, wenn der Secure Endpoint Connector das zugrunde liegende Kernelmodul, das für die Überwachung der Dateisystemaktivität erforderlich ist, nicht laden kann.

UEFI Secure Boot muss im System deaktiviert sein.

Wenn Secure Boot deaktiviert ist, kann dieser Fehler durch eine Inkompatibilität zwischen dem ampavflt- oder ampfsm-Kernelmodul mit dem Secure Endpoint-Anschluss und dem System-Kernel oder anderen auf dem System installierten Kernelmodulen von Fremdherstellern verursacht werden. Lesen Sie Details zu var/log/messages, oder deaktivieren Sie die Dateiüberwachung in den Richtlinieneinstellungen des Connectors, um diesen Fehler zu beheben.

Der Fehler kann auch bei der Ausführung einer Kernel-Version verursacht werden, die vom Connector nicht unterstützt wird. In diesem Fall wird es möglicherweise gelöscht, indem ein benutzerdefiniertes ampfsm-Kernelmodul für den aktuellen Kernel des laufenden Systems erstellt wird. (Gilt für Linux Connector Versionen 1.16.0 und höher.) Weitere Informationen zum Erstellen benutzerdefinierter Kernelmodule finden Sie unter: Erstellen von Cisco Secure Endpoint Linux Connector Kernel-Modulen

11

Erforderliches Kernel-Devel-Paket fehlt

Bei Red Hat-basierten Distributionen fehlt das Kernel-Devel-Paket, das für die Überwachung von Dateisystemen und Netzwerkaktivitäten in Echtzeit erforderlich ist, und die Connector-Richtlinie hat entweder "Monitor File Copies and Moves" oder "Enable Device Flow Correlation" aktiviert. Dieser Fehler wird ausgelöst, wenn der Secure Endpoint Connector das zugrunde liegende eBPF-Modul, das für die Überwachung der Dateisystemaktivität erforderlich ist, nicht kompilieren und laden kann.

Installieren Sie das Kernel-Devel-Paket für den derzeit laufenden Kernel und starten Sie den Connector neu, oder deaktivieren Sie diese Features in der Richtlinie, um diesen Fehler zu beheben. (Gilt nur für Linux Connector Versionen 1.13.0 und höher.)

Für Oracle Linux UEK 6 und höher ist das kernel-uek-devel-Paket für diese Funktionen erforderlich. Installieren Sie das kernel-uek-devel-Paket für den derzeit laufenden Kernel und starten Sie den Connector neu, oder deaktivieren Sie diese Features in der Richtlinie, um diesen Fehler zu beheben. (Gilt nur für Linux Connector Versionen 1.18.0 und höher.)

Für Debian-basierte Distributionen ist das Linux-Header-Paket für diese Funktionen erforderlich. Installieren Sie das Linux-Headers-Paket für den aktuell laufenden Kernel und starten Sie den Connector neu, oder deaktivieren Sie diese Features in der Richtlinie, um diesen Fehler zu beheben. (Gilt für Linux Connector Versionen 1.15.0 und höher.)

Weitere Informationen finden Sie unter: Linux Kernel-Devel-Fehler

16

Inkompatibler Kernel

Der aktuell ausgeführte Kernel ist nicht mit dem aktuell ausgeführten Connector kompatibel, und die Connector-Richtlinie hat entweder "Monitor File Copies and Moves" (Kopien und Verschiebungen von Überwachungsdateien) oder "Enable Device Flow Correlation" (Gerätefluss-Korrelation aktivieren) aktiviert.

Führen Sie ein Downgrade des Kernels auf eine unterstützte Version durch, oder aktualisieren Sie den Connector auf eine neuere Version, die diesen Kernel unterstützt.

Ausführliche Informationen zu unterstützten Kernel-Versionen finden Sie unter: Kompatibilität des Cisco Secure Endpoint Linux Connector OS