Behebung von Verbindungs- und Registrierungsproblemen mit AMP in FireSIGHT Management Center

Einleitung

Ein FireSIGHT Management Center in Ihrer Bereitstellung kann eine Verbindung zur Cisco Cloud herstellen. Nachdem Sie ein FireSIGHT Management Center für die Verbindung mit der Cloud konfiguriert haben, können Sie Datensätze mit Scans, Malware-Erkennungen und Quarantänen empfangen. Die Datensätze werden in der Datenbank des FireSIGHT Management Center als Malware-Ereignisse gespeichert. Standardmäßig sendet die Cloud Malware-Ereignisse für alle Gruppen in Ihrer Organisation. Sie können diese jedoch nach Gruppe einschränken, wenn Sie die Verbindung konfigurieren. In diesem Dokument werden verschiedene Probleme und Schritte zur Fehlerbehebung bei der AMP-Funktion (Advanced Malware Protection) eines FireSIGHT Management Center beschrieben.

Port oder Server in Firewall blockiert

Wenn ein FireSIGHT Management Center keine Verbindung zur FireAMP Cloud-Konsole herstellen kann oder keine Malware-Ereignisse empfängt, müssen Sie prüfen, ob die erforderlichen Ports durch die Firewall blockiert sind. Ein FireSIGHT Management Center verwendet Port 443, um endpunktbasierte Malware-Ereignisse von der FireAMP-Konsole zu empfangen. Der Port 32137 ist für FirePOWER-Appliances erforderlich, um Malware-Suchen in der Cisco Cloud durchzuführen.

Weitere Informationen zu den erforderlichen Portnummern und Serveradressen finden Sie in den folgenden Dokumenten:

• Erforderliche Kommunikations-Ports für FireSIGHT-Systembetrieb
• Erforderliche Server für AMP-Betrieb

Verwendete MAC-Adresse

Symptom

Wenn Sie versuchen, ein FireSIGHT Management Center bei einer Private Cloud zu registrieren und die erste Verbindung herstellen, erhalten Sie möglicherweise eine Meldung, dass die MAC-Adresse bereits verwendet wird.

Grund

Wenn ein FireSIGHT Management Center aufgrund eines Hardwarefehlers ausgetauscht wird und die Registrierung der Ersatzeinheit in der Cloud nicht ordnungsgemäß aufgehoben wird, tritt dieses Problem möglicherweise auf.

Lösung

Bevor Sie eine Appliance ersetzen, müssen Sie die Registrierung des FireSIGHT Management Center in der FireAMP-Cloud aufheben. Sie sollten außerdem Ihr FireSIGHT Management Center aus der FireAMP-Cloud entfernen. Dadurch wird verhindert, dass eine MAC-Adresse als verwendet wahrgenommen wird.

Tipp: In diesem Dokument erfahren Sie, wie Sie die Registrierung einer Appliance in der FireAMP-Cloud aufheben und eine Cloud aus dem FireSIGHT Management Center löschen.

Allgemeiner/Unbekannter Fehler wird angezeigt

Symptom

Wenn ein neues Image oder ein Ersatz-FireSIGHT Management Center an eine FireAMP-Konsole angeschlossen wird, wird eine Fehlermeldung angezeigt. Es wird ein allgemeiner/unbekannter Fehler angezeigt.

Wenn die Fehlermeldung Allgemein/Unbekannt angezeigt wird, wird der Status der FireAMP-Verbindung im FireSIGHT Management Center kritisch. Auf der Weboberfläche wird ein rotes Symbol angezeigt.

Grund

Dieses Problem tritt auf, wenn eine MAC-Adresse eines FireSIGHT Management Center, für die gerade ein Image erstellt oder ein Ersatz erstellt wurde, weiterhin auf einer FireAMP-Konsole registriert wird.

Lösung

Bevor Sie ein neues Image erstellen oder eine Appliance ersetzen, müssen Sie die Registrierung des FireSIGHT Management Center in der FireAMP-Cloud aufheben. Sie sollten außerdem Ihr FireSIGHT Management Center aus der FireAMP-Cloud entfernen. Dadurch wird verhindert, dass eine MAC-Adresse als verwendet wahrgenommen wird.

Tipp: In diesem Dokument erfahren Sie, wie Sie die Registrierung einer Appliance in der FireAMP-Cloud aufheben und eine Cloud aus dem FireSIGHT Management Center löschen.

Auswahl einer Cloud nicht möglich

Symptom

Beim Herstellen einer Verbindung von einem FireSIGHT Management Center zur FireAMP-Cloud-Konsole wurden keine Dropdown-Optionen für die US-Cloud oder die EU-Cloud gefunden.

Grund

Dieses Problem tritt auf, wenn ein FireSIGHT Management Center den Hostnamen api.amp.sourcefire.com nicht auflösen kann.

Um das Problem zu überprüfen, führen Sie nslookup über die CLI von FireSIGHT Management Center aus. Überprüfen Sie, ob die DNS-Einstellungen im FireSIGHT Management Center ordnungsgemäß konfiguriert sind:

admin@Sourcefire3D:~$ sudo nslookup api.amp.sourcefire.com

Die folgende Ausgabe wird angezeigt, wenn DNS den Hostnamen im FireSIGHT Management Center nicht auflösen kann:

admin@Sourcefire3D:~$ sudo nslookup api.amp.sourcefire.com

Server:         192.168.45.2
Address:        192.168.45.2#53
 
** server can't find api.amp.sourcefire.com

Die folgende Ausgabe wird angezeigt, wenn DNS im FireSIGHT Management Center ordnungsgemäß aufgelöst wurde:

admin@Sourcefire3D:~$ sudo nslookup api.amp.sourcefire.com
Server:         192.168.45.1
Address:        192.168.45.1#53
 
Non-authoritative answer:
api.amp.sourcefire.com
Name:   xxxx.xxxx.xxxx
Address: xx.xx.xx.xx

Lösung

• Wenn ein FireSIGHT Management Center den Hostnamen nicht auflösen kann, müssen Sie überprüfen, ob die DNS-Einstellungen im Management Center korrekt sind.
• Wenn ein FireSIGHT Management Center den Hostnamen auflösen kann, aber nicht über eine Firewall auf api.amp.sourcefire.com zugreifen kann, überprüfen Sie die Firewall-Regeln und -Einstellungen.

Wenn ein FireSIGHT Management Center den Hostnamen während der Verbindungserstellung nicht auflösen kann, wird die folgende Fehlermeldung im httpsd_error_log protokolliert:

Error attempting curl for FireAMP: System

Die folgende Protokollausgabe zeigt beispielsweise, dass das Defense Center den curl-Befehl an api.amp.sourcefire.com nicht abschließt:

admin@Sourcefire3D:~$ tail -f /var/log/httpd/httpsd_error_log

[Thu Jul 18 12:38:13.433765 2013] [cgi:error] [pid 10920] [client 192.168.45.50:59220] AH01215: getCloudData start... at /usr/local/sf/lib/perl/5.10.1/SF/Permission.pm line 1778., referer: https://192.168.45.45/ddd/
[Thu Jul 18 12:38:14.338174 2013] [cgi:error] [pid 10920] [client 192.168.45.50:59220] AH01215: /usr/local/bin/curl -s --connect-timeout 10 -m 20 -L --max-redirs 5 --max-filesize 104857600 --sslv3 --capath /etc/sf/keys/fireamp/thawte_roots/ -H Accept: application/vnd.sourcefire.fireamp.dc+json; version=1 https://api.amp.sourcefire.com/clouds at /usr/local/sf/lib/perl/5.10.1/SF/System.pm line 7491., referer: https://192.168.45.45/ddd/
[Thu Jul 18 12:38:24.352374 2013] [cgi:error] [pid 10920] [client 192.168.45.50:59220] AH01215: Error attempting curl for FireAMP: System (/usr/local/bin/curl -s --connect-timeout 10 -m 20 -L --max-redirs 5 --max-filesize 104857600 --sslv3 --capath /etc/sf/keys/fireamp/thawte_roots/ -H Accept: application/vnd.sourcefire.fireamp.dc+json; version=1 https://api.amp.sourcefire.com/clouds) Failed at /usr/local/sf/lib/perl/5.10.1/SF/System.pm line 7499., referer: https://192.168.45.45/ddd/
[Thu Jul 18 12:38:24.352432 2013] [cgi:error] [pid 10920] [client 192.168.45.50:59220] AH01215: No cloud data returned at /usr/local/sf/lib/perl/5.10.1/SF/FireAMP.pm line 145., referer: https://192.168.45.45/ddd/
[Thu Jul 18 12:38:24.352478 2013] [cgi:error] [pid 10920] [client 192.168.45.50:59220] AH01215: getCloudData completed... at /usr/local/sf/lib/perl/5.10.1/SF/Permission.pm line 1780., referer: https://192.168.45.45/ddd/

Wenn die folgende Meldung beim Verbindungsaufbau ohne Fehler im httpsd_error_log protokolliert wird, weist dies darauf hin, dass das FireSIGHT Management Center den Hostnamen auflösen kann:

getCloudData completed

Die folgende Ausgabe zeigt beispielsweise, dass ein Management Center einen Curl-Befehl an api.amp.sourcefire.com abschließt:

admin@Sourcefire3D:~$ tail -f /var/log/httpd/httpsd_error_log

[Thu Jul 18 12:42:54.949461 2013] [cgi:error] [pid 12007] [client 192.168.45.50:59253] AH01215: getCloudData start... at /usr/local/sf/lib/perl/5.10.1/SF/Permission.pm line 1778., referer: https://192.168.45.45/ddd/
[Thu Jul 18 12:42:55.856432 2013] [cgi:error] [pid 12007] [client 192.168.45.50:59253] AH01215: /usr/local/bin/curl -s --connect-timeout 10 -m 20 -L --max-redirs 5 --max-filesize 104857600 --sslv3 --capath /etc/sf/keys/fireamp/thawte_roots/ -H Accept: application/vnd.sourcefire.fireamp.dc+json; version=1 https://api.amp.sourcefire.com/clouds at /usr/local/sf/lib/perl/5.10.1/SF/System.pm line 7491., referer: https://192.168.45.45/ddd/
[Thu Jul 18 12:42:55.931106 2013] [cgi:error] [pid 12007] [client 192.168.45.50:59253] AH01215: getCloudData completed... at /usr/local/sf/lib/perl/5.10.1/SF/Permission.pm line 1780., referer: https://192.168.45.45/ddd/