Fehlerbehebung - Alarm "SLIC Channel Down System"

Einleitung

In diesem Dokument wird die Fehlerbehebung bei Systemwarnungen für Secure Network Analytics (SNA) "SLIC Channel Down" beschrieben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über grundlegende SNA-Kenntnisse verfügen.

SLIC steht für "StealthWatch Labs Intelligence Center"

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Vorgehensweise

Der Alarm "SLIC Channel Down" wird ausgelöst, wenn der SNA Manager keine Feed-Updates von den Threat Intelligence Servern (ehemals SLIC) abrufen kann.

Um besser zu verstehen, was die Unterbrechung der Feed-Updates verursacht hat, gehen Sie wie folgt vor:

1. Navigieren Sie zu Central Management (Zentrales Management), indem Sie sich bei Manager anmelden. (Geben Sie in das Adressfeld Ihres Browsers https:// und die IP-Adresse der Appliance ein. Drücken Sie die Eingabetaste.)
2. Wählen Sie im Hauptmenü Configure > Global > Central Management aus.
3. Klicken Sie auf das Ellipsis-Symbol für die Appliance.
4. Wählen Sie Appliance-Statistik anzeigen aus.
5. Wählen Sie im Hauptmenü Support > Dateien durchsuchen aus.
6. Wählen Sie auf der Seite Dateien durchsuchen die Option smc > Protokolle > aus, und klicken Sie dann auf smc-core.log. 
7. Ein neues Unterfenster mit dem Inhalt smc-core.log wird geöffnet. Überprüfen Sie diese Datei, indem Sie nach denSlicFeedGetter Protokollen suchen.

Häufige Fehlerprotokolle

Die häufigsten Fehlerprotokolle, diesmc-core.log im Zusammenhang mit dem Alarm "SLIC Channel Down" angezeigt werden, sind:

Zeitüberschreitung bei Verbindung

2026-01-01 22:45:39,604 ERROR [SlicFeedGetter] Getting Threat Feed update failed with exception.
org.apache.http.conn.HttpHostConnectException: Connect to lancope.flexnetoperations.com:443 [lancope.flexnetoperations.com/xx.xx.xx.x] failed: Connection timed out (Connection timed out) 

Es wurde kein gültiger Zertifizierungspfad zum angeforderten Ziel gefunden.

2026-01-01 00:27:51,239 ERROR [SlicFeedGetter] Getting Threat Feed update failed with exception.
javax.net.ssl.SSLHandshakeException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

Handshake fehlgeschlagen

2026-01-01 20:00:50,227 ERROR [SlicFeedGetter] Getting Threat Feed update failed with exception.
javax.net.ssl.SSLHandshakeException: Handshake failed

Sanierungsschritte

Die Aktualisierungen des Threat Intelligence Feed können aufgrund unterschiedlicher Bedingungen unterbrochen werden.

Führen Sie die nächsten Validierungsschritte durch, um sicherzustellen, dass Ihr SNA Manager die Anforderungen erfüllt.

Schritt 1: Smart Licensing-Status überprüfen

Navigieren Sie zu Central Management > Smart Licensing , und stellen Sie sicher, dass der Status der Threat Feed-Lizenz Authorizedlautet.

Schritt 2: Überprüfen der DNS-Auflösung (Domain Name System)

Stellen Sie sicher, dass der SNA Manager die IP-Adresse für lancope.flexnetoperations.com and esdhttp.flexnetoperations.com

Schritt 3: Verbindung zu den Threat Intelligence Feed-Servern überprüfen

Stellen Sie sicher, dass der SNA Manager über Internetzugriff verfügt und dass die Verbindung zu den als Nächstes aufgeführten Threat Intelligence Servern zulässig ist:

Anmerkung: Wenn der SNA Manager keinen direkten Internetzugriff hat, stellen Sie sicher, dass die Proxy-Konfiguration für den Internetzugriff eingerichtet ist.

Schritt 4: SSL-Überprüfung/-Entschlüsselung deaktivieren

Der zweite und dritte im Abschnitt beschriebene Fehler kann auftreten, wenn der Common Error Logs SNA Manager nicht das richtige Identitätszertifikat oder die richtige Vertrauenskette erhält, die von den Threat Intelligence Feed-Servern verwendet wird.

Um dies zu verhindern, stellen Sie sicher, dass im gesamten Netzwerk (durch geeignete Firewalls oder Proxy-Server) keine SSL-Überprüfung/Entschlüsselung für Verbindungen zwischen dem SNA Manager und den im Abschnitt aufgeführten Threat Intelligence-Servern durchgeführt Verify Connectivity to the Threat Intelligence Feed Servers wird.

Wenn Sie sich nicht sicher sind, ob die SSL-Überprüfung/Entschlüsselung in Ihrem Netzwerk durchgeführt wird, können Sie eine Paketerfassung zwischen der IP-Adresse des SNA Managers und der IP-Adresse des Threat Intelligence Servers durchführen und die Erfassung analysieren, um das empfangene Zertifikat zu überprüfen. Gehen Sie hierzu wie folgt vor:

Um einen Paketerfassungsbenutzer zu erstellen, muss die Appliance-Konsole (SystemConfig) als Sysadmin-Benutzer konfiguriert werden.

1. Melden Sie sich als sysadmin bei der Appliance an.
2. Wählen Sie Erweitert > Paketerfassung aus. Wenn keine Paketerfassung vorhanden ist, gelangen Sie direkt zum Konfigurationsmenü für die Paketerfassung. Wenn bereits Paketerfassungen vorhanden sind, wählen Sie Erstellen aus, um eine neue Paketerfassung zu erstellen.
3. Geben Sie eine TCP- oder UDP-Portnummer in das Feld Port Filter (Portfilter) ein. Der Port kann entweder eine Quell- oder eine Zieladresse sein. Sie können dieses Feld leer lassen, um den Filter auf "Any" (Beliebig) zu setzen. SLIC verwendet eine TCP/443-Verbindung, geben Sie also 443 in dieses Feld ein. 
4. Geben Sie im Feld Duration (900 Seconds Max) (Dauer (max. 900 Sekunden)) die Anzahl der Sekunden an, die die Paketerfassung ausgeführt werden soll.
   
   

   Anmerkung: Achten Sie darauf, einen angemessenen Zeitraum einzugeben, da eine extrem große Erfassungsdatei potenziell den gesamten freien Speicherplatz auf der Festplatte der Appliance beanspruchen kann. Dieses Feld wird zusammen mit der Einstellung Pakete verwendet. Die Erfassung wird ausgeführt, bis entweder die Dauer oder die Anzahl der Pakete erreicht ist.

5. Geben Sie im Feld Packets (100.000 max) (Pakete (max. 100.000)) die Anzahl der zu erfassenden Pakete an, bevor Sie die Erfassung beenden. Dieses Feld wird zusammen mit der Einstellung für die Dauer verwendet. Die Erfassung wird ausgeführt, bis entweder die Dauer oder die Anzahl der Pakete erreicht ist.
6. Klicken Sie auf OK, um die Paketerfassung zu starten.
   

   Tipp: Um eine Paketerfassung abrupt zu stoppen, können Sie in der Regel Strg+C drücken.

Laden Sie die Paketerfassungsdateien herunter, und zeigen Sie sie lokal an, um sie anzuzeigen. Dateien werden in /lancope/var/tcpdump gespeichert.

Sie können sich direkt bei der Appliance anmelden oder über das Inventar der zentralen Verwaltungsschnittstelle auf die Appliance-Statistik zugreifen. Gehen Sie zu Support > Dateien durchsuchen, um die Paketerfassung herunterzuladen.

Verwandte Fehler

Es gibt einen bekannten Fehler, der sich auf die Verbindung zu SLIC-Servern auswirken kann:

• Die SMC SLIC-Kommunikation kann aufgrund einer Zeitüberschreitung fehlschlagen, wenn der Zielport 80 blockiert wird. Siehe Cisco Bug-ID CSCwe08331

Zugehörige Informationen

• Weitere Unterstützung erhalten Sie vom Technical Assistance Center (TAC). Ein gültiger Support-Vertrag ist erforderlich: Cisco Worldwide Support Contacts
• Besuchen Sie auch die Cisco Security Analytics Community hier.
• Technischer Support und Dokumentation für Cisco Systeme