Fehlerbehebung bei AMP in einer sicheren Web-Appliance

Einleitung

Dieses Dokument beschreibt den Abschnitt "ampverdict" in den Protokollstufen INFO und DEBUG der Advanced Malware Protection-Engine der Secure Web Appliance.

---

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• AMP ist aktiviert
• SSH-Zugang zu SWA
• Installierte und lizenzierte SWA
• Dateireputation und Dateianalyse aktiviert

---

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

---

Hintergrundinformationen

SWA bietet Integration mit AMP für Endgeräte und eine lokale AMP-Engine. AMP bietet Malware-Schutz vor Zero-Day-Malware über die Funktionen Dateireputation und Dateianalyse. Der SWA umfasst eine Vorklassifizierungs-Engine, die intern für Datei-Scans vor Prüfungen der Public Cloud zuständig ist. Die Protokolle, die im nächsten Abschnitt beschrieben werden, beziehen sich auf die AMP-Engine in SWA und nicht auf die AMP-Cloud oder Threat Grid.

---

Fehlerbehebung: SWA AMP-Protokolle

Zugriff auf die AMP-Protokolle Melden Sie sich über CLI und Tail an, oder erstellen Sie die AMP-Protokolle:

1. Melden Sie sich über den SSH-Client bei der CLI an.

2. Führen Sie den Befehl grep aus, und drücken Sie die Eingabetaste.

3. Geben Sie die Nummer für amp_logs wie aufgeführt ein.

4. Beantworten Sie die Aufforderungen. Wenn Sie Live-Datenverkehr ausführen, wählen Sie die Option zum Tail-Senden der Protokolle aus.
5. Drücken Sie die Eingabetaste.

6. Die Protokolle werden angezeigt.

Die SWA AMP-Protokolle sind in verschiedenen Detaillierungsstufen verfügbar. Sie können die Ebene INFO oder DEBUG auswählen. Die Ergebnisse weisen leichte Unterschiede auf, die im nächsten Abschnitt erläutert werden.

Anmerkung: Die AMP-Lizenz muss auf SWA installiert werden, um die AMP-Protokolle auszuwählen.

AMP-INFO-Protokolle:

Wed Apr 27 12:21:26 2022 Info: Txn 18210 Binary scan on instance[0] Id[1345]: AMP allocated memory = 0, AMP used memory = 0, Scans in flight = 1, Active faster connections = 1, Active slower connections = 0
Wed Apr 27 12:21:35 2022 Info: Binary scan on instance[0] id[1345]: filename[npp.8.4.Installer.x64.exe] filemime[application/x-dosexec] file_extension[exe] length[4493047b] ampverdict[(1, 1, 'amp', '', 0, 0, True)] scanverdict[0] malwareverdict[0] spyname[] SHA256[ecdcf497418a1988ebf20c647acadc9eca7bc8569fd980713582acd0de011ba1] From[Cloud] uploadreason[Enqueued in the local queue for submission to upload] verdict_str[FILE UNKNOWN] is_slow[0] scans_in_flight[0] Active faster connections[0] Active slower connections[0]
Wed Apr 27 12:22:28 2022 Info: File uploaded for analysis. Server: https://panacea.threatgrid.com, SHA256: ecdcf497418a1988ebf20c647acadc9eca7bc8569fd980713582acd0de011ba1, Filename: npp.8.4.Installer.x64.exeTimestamp: 1651044116 sampleid[]

---

AMP-INFO-Protokolle (ampverdict):

ampverdict[(1, 1, 'amp', '', 0, 0, True)]
(analysis_Action, scan_verdict, ‘verdict_source', ‘spyname’, malware_verdict, file_reputation, upload_action)]

---

AMP DEBUG-Protokolle:

Fri Apr 29 01:38:40 2022 Debug: Binary scan: proxid[3951] filename[favicon.ico] len[41566b] readtime[109.721680ms] scantime[2.205322ms] ampverdict[(1, 1, 'amp', '', 0, 0, False)] scanverdict[0] malwareverdict[0] SHA256[e7a2345c75a03e63202b12301c29bb8b6bae7cef9e191ed58797ec028def7c4f] From[Cloud] FileName[favicon.ico] FileMime[application/octet-stream]

---

AMP-DEBUG-Protokolle (ampverdict):

ampverdict[(1, 1, 'amp', '', 0, 0, False)]
ampverdict[(analysis_action, scan_verdict,disposition, ‘spyname: policy name if amp registered with console’, file_reputation, upload_action, ‘sha256', ‘threat_name’)]

---

Optionen für "Feld im Detail" und "Wert":

Feld	Wert
Analyse_Aktion	"0": Zeigt an, dass Advanced Malware Protection keinen Upload der Datei zur Analyse angefordert hat. "1": Zeigt an, dass Advanced Malware Protection den Upload der Datei zur Analyse angefordert hat.
Scan_Verdict	"0": Die Datei ist nicht schädlich. "1": Die Datei wurde aufgrund ihres Dateityps nicht gescannt. "2": Timeout beim Scannen der Datei. "3": Scanfehler. Größer als 3: Datei ist schädlich.
Verdict_Quelle	AMP: Dateianalyse.
Disposition	"1": Unbekannt. "2": Sauber. "3": Schädlich (AMP). "4": Nicht scanbar (nicht scanbar)
Spyname	Leer: Wenn die AMP-Outbreak-Richtlinie nicht verwendet wird. Simple_Custom_Detection: Wenn eine AMP-Outbreak-Richtlinie verwendet wird.
Upload_Aktion	Richtig: auf "sandbox" gesetzt. Falsch: wird nicht an die Sandbox gesendet.
SHA256	SHA256 der Datei.
Bedrohungsname	Bedrohungsname basierend auf AMP-Bedrohungstypen

---

Verwandte Inhalte

• Integration von AMP für Endgeräte und Threat Grid mit SWA
• Dateireputations-Filterung und Dateianalyse
• Technischer Support und Dokumentation für Cisco Systeme

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
2.0	22-Oct-2026	Aktualisierte Einführung, Rechtschreibung, Grammatik, Abstände, eingefügte horizontale Linien zu separaten Abschnitten für die Lesbarkeit, feste URLs in neue Seite zu öffnen.
1.0	18-May-2022	Erstveröffentlichung