AMP para la consola de los puntos finales y el filtro visto más reciente

Introducción

Este documento describe la explicación del bug “considerado” más reciente del filtro referido a CSCvh31177 en la protección avanzada de Malware (AMP) para los puntos finales.

Contribuido por Caly Hess, ingeniero de Cisco.

Prerrequisitos 

Requisitos

Cisco recomienda que tenga conocimiento sobre estos temas:

• Acceso a Cisco AMP para el panel de los puntos finales

Componentes Utilizados

La información en este documento se basa en el software del thede:

• Cisco AMP para los puntos finales para los puntos finales consuela la versión 5.4.20190917

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Problema

El filtro para el “último visto” de la página de los ordenadores en la consola, conectores de las visualizaciones que fueron vistos en el último 24 horas que aparecen en la lista.

Causa

La extracción actual de los datos “considerados” más recientes es un trabajo singular cada 24 horas. Aunque los datos que se reflejan en la página de los ordenadores y la salida para la exportación al CSV para el “último considerado” son en tiempo real, el filtro sí mismo se fuga los datos por lote de ese trabajo singular. Esto fue implementada para aumentar la velocidad de los resultados, pues el análisis en tiempo real de los grupos fecha/hora para los entornos para empresas grandes podría llevar a los descansos y al bloqueo de la base de datos.

Explicación de los ordenadores “recientemente vistos” en un filtro del día 7+

La máquina era offline por los días 7+ hasta después de que el trabajo “considerado” más reciente se ejecutara. 

Ejemplo del mundo real

• HostA.randomdomain.net tenía un accidente desafortunado con una taza de café llena y la placa madre no hizo un 10mo lleno de la recuperación en agosto
• HostA.randomdomain.net ahora se está sentando en el depósito de la reparación hasta el 20 de septiembre
• El 21 de septiembre, las devoluciones de HostA.randomdomain.net a la red 4 horas después de que el trabajo “considerado” más reciente se ejecutó pero 2 horas antes de que el interventor hacen una exportación al CSV de los ordenadores no considerados para el último 30 días
• HostA.randomdomain.net todavía se enumera del trabajo visto “último” como siendo durante 30 días no vistos. A pesar de él ahora está completamente - funcional y café libres, el interventor ahora lo coge en su exportación “inactiva”

Solución a corto plazo

El trabajo sí mismo no tarda las 24 horas completas para ejecutarse, sino que puede tomar por lo menos 12. Para aumentar la exactitud del filtro, el cambio de hora automático para el trabajo después de que el anterior complete está en fase de desarrollo, que se espera que corte dondequiera a partir de 7-12 horas de tiempo de la ventana del lote. 

Solución a largo plazo

Un retrabajo total del mecanismo visto “último” que es más cercano al tiempo real en que se tiran los datos. Esta solución requiere la implementación totalmente de una nueva estructura de la base de datos que esté actualmente en el desarrollo con la versión propuesta en el año calendario próximo.