Fehlerbehebung bei AMP in einer sicheren Web-Appliance

Einleitung

Dieses Dokument beschreibt den Abschnitt "ampverdict" in den Protokollstufen INFO und DEBUG der Advanced Malware Protection-Engine der Secure Web Appliance.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• AMP ist aktiviert
• SSH-Zugang zu SWA
• Installierte und lizenzierte SWA
• Dateireputation und Dateianalyse aktiviert

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

SWA bietet Integration mit AMP für Endgeräte und eine lokale AMP-Engine. AMP bietet Malware-Schutz vor Zero-Day-Malware mithilfe der Funktionen Dateireputation und Dateianalyse. Der SWA umfasst eine Vorklassifizierungs-Engine, die für interne Dateiscans vor Prüfungen der Public Cloud zuständig ist. Die Protokolle, die im nächsten Abschnitt beschrieben werden, beziehen sich auf die AMP-Engine in SWA und nicht auf die AMP-Cloud oder Threat Grid.

Fehlerbehebung: SWA AMP-Protokolle

Zugriff auf die AMP-Protokolle Melden Sie sich über CLI und Tail an, oder erstellen Sie die AMP-Protokolle:

1. Melden Sie sich über den SSH-Client bei der CLI an.

2. Führen Sie den Befehl grep aus, und drücken Sie die Eingabetaste.

3. Geben Sie die Nummer für amp_logs wie aufgeführt ein.

4. Beantworten Sie die Aufforderungen. Wenn Sie Live-Datenverkehr ausführen, wählen Sie die Option zum Tail-Senden der Protokolle aus.
5. Drücken Sie die Eingabetaste.

6. Die Protokolle werden angezeigt.

Die SWA AMP-Protokolle sind in verschiedenen Detaillierungsstufen verfügbar. Sie können die Ebene INFO oder DEBUG auswählen. Die Ergebnisse weisen leichte Unterschiede auf, die im nächsten Abschnitt erläutert werden.

Anmerkung: Die AMP-Lizenz muss auf SWA installiert werden, um die AMP-Protokolle auszuwählen.

AMP-INFO-Protokolle:

Wed Apr 27 12:21:26 2022 Info: Txn 18210 Binary scan on instance[0] Id[1345]: AMP allocated memory = 0, AMP used memory = 0, Scans in flight = 1, Active faster connections = 1, Active slower connections = 0
Wed Apr 27 12:21:35 2022 Info: Binary scan on instance[0] id[1345]: filename[npp.8.4.Installer.x64.exe] filemime[application/x-dosexec] file_extension[exe] length[4493047b] ampverdict[(1, 1, 'amp', '', 0, 0, True)] scanverdict[0] malwareverdict[0] spyname[] SHA256[ecdcf497418a1988ebf20c647acadc9eca7bc8569fd980713582acd0de011ba1] From[Cloud] uploadreason[Enqueued in the local queue for submission to upload] verdict_str[FILE UNKNOWN] is_slow[0] scans_in_flight[0] Active faster connections[0] Active slower connections[0]
Wed Apr 27 12:22:28 2022 Info: File uploaded for analysis. Server: https://panacea.threatgrid.com, SHA256: ecdcf497418a1988ebf20c647acadc9eca7bc8569fd980713582acd0de011ba1, Filename: npp.8.4.Installer.x64.exeTimestamp: 1651044116 sampleid[]

AMP-INFO-Protokolle (ampverdict):

ampverdict[(1, 1, 'amp', '', 0, 0, True)]
(analysis_Action, scan_verdict, ‘verdict_source', ‘spyname’, malware_verdict, file_reputation, upload_action)]

AMP DEBUG-Protokolle:

Fri Apr 29 01:38:40 2022 Debug: Binary scan: proxid[3951] filename[favicon.ico] len[41566b] readtime[109.721680ms] scantime[2.205322ms] ampverdict[(1, 1, 'amp', '', 0, 0, False)] scanverdict[0] malwareverdict[0] SHA256[e7a2345c75a03e63202b12301c29bb8b6bae7cef9e191ed58797ec028def7c4f] From[Cloud] FileName[favicon.ico] FileMime[application/octet-stream]

AMP-DEBUG-Protokolle (ampverdict):

ampverdict[(1, 1, 'amp', '', 0, 0, False)]
ampverdict[(analysis_action, scan_verdict,disposition, ‘spyname: policy name if amp registered with console’, file_reputation, upload_action, ‘sha256', ‘threat_name’)]

Optionen für detailliertes Feld vs. Wert

Verwandte Inhalte

• Integration von AMP für Endgeräte und Threat Grid mit SWA
• Dateireputations-Filterung und Dateianalyse
• Technischer Support und Dokumentationssysteme