Beheben Sie den Fehler "Nicht scanbare Kategorie = Nachrichtenfehler, Nicht scanbarer Grund = Archivfehler" in ESA

Einleitung

In diesem Dokument wird beschrieben, wie Sie den Fehler "Nicht scanbare Kategorie = Nachrichtenfehler, Nicht scanbarer Grund = Archivfehler: Die maximale Gesamtgröße der nicht archivierten Dateien in einer Cisco ESA überschritten.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Cisco E-Mail Security Appliance (ESA)
• Cisco Advanced Malware Protection (AMP)

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle in diesem Dokument verwendeten Geräte begannen mit einer gelöschten (Standard-)Konfiguration. Überprüfen Sie die potenziellen Auswirkungen jeder Änderung, bevor Sie sie in einem Produktionsnetzwerk anwenden.

Hintergrundinformationen

Wenn eine Nachricht mit einem Anhang Advanced Malware Protection (AMP) in der E-Mail-Verarbeitungspipeline erreicht, d. h. in der ESA-Phase, in der der Anhang gescannt wird, versucht die ESA, den Anhang zu analysieren. Die ESA überprüft außerdem die Nachrichtenheader auf Konformität mit Request for Comments (RFC) 2045 (RFC 2045). Wenn die Nachricht nicht vollständig konform ist, unternimmt die ESA weiterhin alle Anstrengungen, um die Anlage zu analysieren.

Als Nächstes prüft die ESA, ob es sich bei der Anlage um eine Archivdatei handelt. Ist dies der Fall, versucht die ESA, es zu entpacken. ESA bewertet mehrere Faktoren, um die unkomprimierte Größe zu schätzen und sicherzustellen, dass das Archiv gültig ist. ESA erkennt auch verdächtige Archive, wie hochkomprimierte Dateien.

Wenn bei der Suche nach der Cloud-Reputation kein Dateireputations-Verdict verfügbar ist und die Datei die Kriterien für die Analyse erfüllt, stellt die ESA die Datei unter Quarantäne und lädt sie in die AMP-Sandbox hoch, d. h. in die Cloud-basierte Dateianalyseumgebung.

Die ESA stellt dann eine Verbindung zu den AMP-Servern her, lädt die Datei hoch und wartet auf Verdict-Updates, wie im Bild gezeigt:

ESA liefert ein Urteil auf der Grundlage folgender Szenarien:

• Wenn eine der extrahierten Dateien schädlich ist, gibt der Dateireputations-Service ein Urteil von "bösartig" für die komprimierte Datei oder die Archivdatei zurück.
• Wenn die komprimierte oder archivierte Datei schädlich ist und alle extrahierten Dateien sauber sind, gibt der Dateireputations-Service ein Urteil von 'Schädlich' für die komprimierte oder archivierte Datei zurück.
• Wenn das Urteil einer der extrahierten Dateien unbekannt ist, werden die extrahierten Dateien optional (sofern konfiguriert und der Dateityp für die Dateianalyse unterstützt wird) zur Dateianalyse gesendet.
• Wenn das Risiko gering ist, dass eine der extrahierten Dateien oder Anhänge erkannt wird, wird die Datei nicht zur Dateianalyse gesendet.
• Wenn die Extraktion einer komprimierten oder archivierten Datei während der Dekomprimierung fehlschlägt, gibt der Dateireputations-Service ein Urteil zurück, dass die Datei für diese komprimierte oder archivierte Datei nicht gescannt werden kann. Wenn eine der extrahierten Dateien in diesem Szenario schädlich ist, gibt der Dateireputations-Service das Urteil "bösartig" für die komprimierte oder archivierte Datei zurück. Das böswillige Urteil hat Vorrang vor dem nicht scannbaren.

Hoch komprimierte Dateien wie CSV, XML und TXT können die maximale Dateigröße überschreiten, die in der ESA fest codiert ist. Komprimierungsalgorithmen wie Lempel-Ziv erstellen eine digitale Karte, die die Anzahl und Position der Zeichen im gesamten Dokument zählt. Dieser Prozess kann sehr kleine Archivdateigrößen erzeugen.

Dateien mit Grafiken oder Formaten wie PDF, JPG und PNG werden dagegen nicht auf die gleiche Weise komprimiert. Daher bleiben sie in der Regel in der Nähe ihrer ursprünglichen Dateigröße.

Problem

Die ESA protokolliert ein nicht scannbares AMP-Verdict für einen komprimierten Anhang mit dem Grund "Archive Error: Die maximale Gesamtgröße der nicht archivierten Dateien wurde überschritten."

Umwelt

• Cisco ESA
• AMP für das Scannen von Anhängen aktiviert

Ursache

Bei dem Anhang handelt es sich um ein komprimiertes Archiv, das über die feste ESA-Grenze für die Gesamtgröße nicht archivierter Dateien hinausgeht. Hochkomprimierbare Dateitypen (z. B. CSV, XML und TXT) können kleine Archive erzeugen, die sich beim Entpacken erheblich ausdehnen, was ein "nicht scannbares" Urteil auslösen kann.

Lösung

Verwenden Sie je nach gewünschter Handhabung eine der folgenden Optionen: Benutzerbenachrichtigung oder Eindämmung und Überprüfung. Anhand der angezeigten Verifizierungsschritte lässt sich feststellen, welche Option verwendet werden soll.

Um den Zustand zu bestätigen, suchen Sie nach der genannten Art von Mail-Log-Eintrag.

Beispiel für einen Eintrag im Mailprotokoll:

Info:   The attachment could not be scanned. File Name = 'ACTS Chopped ISO 88591 encod_NoSchema.XML.zip', MID = 226, SHA256 = 7efa6154b7519872055cff10a69067dcad88562f708b284a390a9abcf5e99b8f, Unscannable Category = Message Error, Unscannable Reason = Archive Error: Exceeded the total size limit of the unarchived files

Bevor Sie beginnen: Option prüfen und auswählen

1. Navigieren Sie in ESA zu Überwachen > Mail-Protokolle.
2. Suchen Sie die Nachrichten-ID (MID), die "Nicht scanbarer Grund = Archivfehler" anzeigt: Die maximale Gesamtgröße der nicht archivierten Dateien wurde überschritten.
3. Vergewissern Sie sich, dass es sich bei dem Anhang um ein komprimiertes Archiv handelt, z. B. eine .zip-Datei, und dass er beim Entpacken erheblich erweitert wird.
4. Wählen Sie Option 1, wenn die Nachricht zugestellt werden muss und der Empfänger nur eine Warnung in der Betreffzeile benötigt.
5. Wählen Sie Option 2 aus, wenn die Nachricht zur Überprüfung in der Quarantäne des Policy Virus and Outbreak (PVO) enthalten sein muss.
6. Senden Sie nach der Übernahme der Änderung eine Testnachricht mit einem repräsentativen Archiv. Überprüfen Sie das erwartete Verhalten unter Überwachung > Mail-Protokolle und, falls verwendet, in der Quarantäne für Richtlinien-Viren und -Outbreaks (PVO).

Option 1: Ein Betreff-Tag für nicht scanbare Anhänge voranstellen

1. Navigieren Sie in der ESA zu Mail-Policys > Mail-Policys für \"Eingehend\" oder \"Mail-Policys für \"Ausgehend\", je nachdem, wo der AMP-Scanvorgang aktiviert ist.
2. Klicken Sie auf die Richtlinie, die die betroffene Nachricht behandelt.
3. Suchen Sie in den AMP-Einstellungen für die Richtlinie nach der Aktion für nicht scannbare Anhänge.
4. Setzen Sie Betreff der Nachricht auf Voranstellen.
5. Geben Sie im Betreff-Textfeld das Präfix [AMP nicht scanbar] oder ein anderes genehmigtes Warnkennzeichen ein.
6. Klicken Sie auf Senden, und bestätigen Sie die Änderung.
7. Senden Sie eine Testnachricht mit einem repräsentativen Archiv, und vergewissern Sie sich, dass die ESA die Nachricht mit dem vorangestellten Betreff-Tag zustellt.

Option 2. Nicht scanbare Nachrichten in die Quarantäne der Richtlinien für Virus und Outbreak verschieben

1. Navigieren Sie in der ESA zu Mail-Policys > Mail-Policys für \"Eingehend\" oder \"Mail-Policys für \"Ausgehend\", je nachdem, wo der AMP-Scanvorgang aktiviert ist.
2. Klicken Sie auf die Richtlinie, die die betroffene Nachricht behandelt.
3. Suchen Sie in den AMP-Einstellungen für die Richtlinie nach der Aktion für nicht scannbare Anhänge.
4. Legen Sie die Aktion für nicht scannbare Nachrichten auf Quarantäne fest.
5. Wählen Sie die Quarantäne für Policy Virus and Outbreak (PVO) als Quarantäneziel aus.
6. Klicken Sie auf Senden, und bestätigen Sie die Änderung.
7. Senden Sie eine Testnachricht mit einem repräsentativen Archiv, und stellen Sie sicher, dass die ESA die Nachricht in die Quarantäne für Policy Virus and Outbreak (PVO) verschiebt, damit sie von den Analysten überprüft werden kann.

Zugehörige Informationen

• Best Practice-Leitfaden für Advanced Malware Protection auf der ESA
• Uploads der Dateianalyse auf die ESA überprüfen
• Fehlerbehebung: "Der Dateireputations-Service ist nicht erreichbar" auf Cisco ESA
• Technischer Support und Downloads von Cisco

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
1.0	29-Oct-2019	Erstveröffentlichung