Fehlerbehebung: Einblicke in XDR-Geräte und orbitale Integration

Einleitung

In diesem Dokument werden die Schritte zur Konfiguration der Integration und zur Fehlerbehebung bei Device Insights- und Orbital-Integration beschrieben.

Voraussetzungen

Anforderungen

Es gibt keine spezifischen Anforderungen für dieses Dokument.

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Weitere Informationen zur Konfiguration finden Sie unter hier Details zum Integrationsmodul.

Hintergrundinformationen

XDR Device Insights bietet eine einheitliche Ansicht der Geräte in Ihrem Unternehmen und konsolidiert Bestände aus integrierten Datenquellen, z. B. Orbital.

Fehlerbehebung

In diesem Abschnitt finden Sie die Informationen, die Sie zur Fehlerbehebung bei Ihrer Konfiguration verwenden können.

Konnektivität

• REST API-Anmeldeinformationen von Quellen können verwendet werden, um grundlegende Konnektivität mit Tools wie Postman zu testen.
• Sobald die Ergebnisse der Abfragen von den Orbital-Agenten ausgehen, werden die Daten im Remote-Datenspeicher veröffentlicht.
• Überprüfen Sie, ob ein Remote-Datenspeicher für Device Insights erstellt wurde. Dies kann anhand der Kontoeinstellungen überprüft werden.

• Überprüfen Sie vom Remote Data Store details-Administrator, ob Device Insights-Tenant-ID und URL von Device Insights angezeigt werden. Status muss Authenticated sein.

• Navigieren Sie zur Registerkarte Ergebnisse, um den von Device Insights erstellten Auftrag in einer Jobliste anzuzeigen.

• Navigieren Sie im XDR-Portal zu Administration, wählen Sie die API-Clients aus, und stellen Sie sicher, dass Orbital ausgewählt ist:

• Fehler "Keine Antwort vom Endpunkt, möglicherweise offline" - Dieser Fehler bedeutet, dass der Endpunkt deaktiviert ist oder keine Verbindung zur Orbital-Cloud hat. Weitere Informationen finden Sie im Dokument "Required Server Addresses for Proper Cisco Secure Endpoint & Malware Analytics Operations" (Erforderliche Serveradressen für ordnungsgemäße Vorgänge für sichere Endpunkte und Malware-Analysen), um sicherzustellen, dass IPs, Ports und URLs zulässig sind.

Anzahl der Nichtübereinstimmungen

• Wenn die Geräteanzahl nicht übereinstimmt, wird dies erwartet, da Orbital seinen Bestand an Endpunkten, die > 90 Tage seit Version 1.14 liegen, nicht verwaltet. Dies umfasst alle Endpunkte, auf denen ein Orbital-Connector installiert ist, und nicht nur die aktiven Endpunkte in seinem Bestand. Wenn die Device Insights-Funktion aktiviert ist, wird ein sich täglich wiederholender Auftrag erstellt, den alle Endpunkte ausführen müssen. Nachdem der Auftrag auf dem Endpunkt ausgeführt wurde und die resultierenden Geräteinformationen an Orbital zurückgesendet wurden, wird XDR über das Vorhandensein dieses Geräts von Orbital informiert. Wenn innerhalb von 90 Tagen kein Auftragsergebnis für dieses Gerät eingeht, wird der Orbitalendpunkt in den Geräteeinblicken aus dem Bestand gelöscht.
• Die orbitale Neuinstallation führt zu einer neuen GUID, die ein Duplikat in der Konsole verursachen kann.

Lizenz

• Überprüfen Sie, ob die Secure Endpoint Console über die richtige Lizenz für den Zugriff auf Orbital verfügt.

Mac- und Linux-Geräte werden nicht angezeigt 

• MacOS- und Linux-Geräte aus Orbital-Quellen werden in XDR Device Insights noch nicht unterstützt.

Sollte das Problem weiterhin mit der Integration von XDR-Geräteinformationen und Orbitalsystemen bestehen, lesen Sie diesen Artikel, um HAR-Protokolle vom Browser zu erfassen, und wenden Sie sich an den TAC-Support, um eine tiefere Analyse durchzuführen.

Zugehörige Informationen 

• XDR-Referenzhandbuch
• Orbitale Fehlerbehebung
• Technischer Support und Dokumentation für Cisco Systeme