Solución de problemas de eventos de análisis de archivos falsos positivos en Cisco Secure Endpoint

Introducción

Este documento describe cómo recopilar un análisis de archivos falsos positivos en protección frente a malware avanzado (AMP) para terminales.

Colaborado por Jesús Javier Martínez, Ingeniero del TAC de Cisco.

Prerequisites

Requirements

Cisco recomienda tener conocimientos de estos temas:

• Panel de la consola AMP
• Una cuenta con privilegios de administrador

Componentes Utilizados

La información de este documento se basa en Cisco AMP para terminales versión 6.X.X y posterior.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Antecedentes

AMP para terminales puede generar alertas excesivas en un determinado archivo/proceso/algoritmo hash seguro (SHA) 256. Si sospecha que hay detecciones de falsos positivos en la red, puede ponerse en contacto con el centro de asistencia técnica Cisco Technical Assistance Center (TAC), el equipo de diagnóstico procede a realizar un análisis de archivos más profundo. Cuando se ponga en contacto con el TAC de Cisco, debe proporcionar esta información:

hash de archivo · SHA 256
Ejemplo de copia de archivo ·
Captura de evento de alerta de · desde la consola de AMP
Captura de detalles del evento de · desde la consola de AMP
· Información sobre el archivo (de dónde procede y por qué debe estar en el entorno)
· Explicar por qué cree que el archivo/proceso puede ser un falso positivo

Solución de problemas de análisis de archivos falsos positivos en AMP para terminales

Esta sección proporciona información que puede utilizar para obtener todos los detalles necesarios para abrir un ticket de falso positivo con el TAC de Cisco.

Archivo SHA 256 Hash

Paso 1. Para obtener el hash SHA 256, navegue hasta Consola AMP > Panel > Eventos.

Paso 2. Seleccione el Evento de alerta, haga clic en el SHA256 y seleccione Copiar como se muestra en la imagen.

Copia de ejemplo de archivo

Paso 1. Puede obtener el ejemplo de archivo desde la consola de AMP, navegar hasta la consola de AMP > Panel > Eventos.

Paso 2. Seleccione el Evento de Alerta, haga clic en el SHA256 y navegue hasta Archivo Buscar > Archivo Buscar como se muestra en la imagen.

Paso 3. Seleccione el dispositivo en el que se detectó el archivo y haga clic en Buscar como se muestra en la imagen (el dispositivo debe estar encendido ) como se muestra en la imagen. 

Paso 4. Recibirá los mensajes como se muestra en la imagen.

Después de unos minutos, recibirá una notificación por correo electrónico cuando el archivo esté disponible para descargar, como se muestra en la imagen.

Paso 5. Navegue hasta Consola de AMP > Análisis > Repositorio de archivos y seleccione el archivo y haga clic en Descargar como se muestra en la imagen.

Paso 6. Aparece el cuadro Notificación, haga clic en Descargar, como se muestra en la imagen, y el archivo se descarga en un archivo ZIP.

Captura de eventos de alerta desde la consola de AMP

Paso 1. Vaya a Consola de AMP > Panel > Eventos.

Paso 2. Seleccione el evento Alert y tome la captura como se muestra en la imagen.

Captura de detalles del evento desde la consola de AMP

Paso 1. Vaya a Consola de AMP > Panel > Eventos.

Paso 2. Seleccione el evento Alert y haga clic en la opción Device Trajectory como se muestra en la imagen.

Se redirige a los detalles de trayectoria del dispositivo como se muestra en la imagen.

Paso 3. Realice una captura del cuadro Detalles del evento como se muestra en la imagen.

Paso 4. Si es necesario, desplácese hacia abajo y tome algunas capturas para obtener toda la información de detalles de eventos como se muestra en la imagen.

Información sobre el archivo

• Información sobre de dónde vino el archivo.
• Si el archivo proviene de un sitio web, comparta la URL web. 
• Comparta una pequeña descripción del archivo y explique su función.

Explicación

• ¿Por qué cree que el proceso de archivo puede ser un falso positivo? 
• Comparta los motivos en los que confía en el archivo.

Proporcionar información

• Una vez que recopile todos los detalles, cargue toda la información solicitada en https://cway.cisco.com/csc/.
• Asegúrese de hacer referencia al número de solicitud de servicio.

Conclusión

Cisco siempre se esfuerza por mejorar y ampliar la inteligencia de amenazas para la tecnología de AMP para terminales; sin embargo, si su solución de AMP para terminales activa una alerta por error, puede tomar algunas medidas para evitar cualquier impacto adicional en su entorno. Este documento proporciona una guía para obtener todos los detalles requeridos para abrir un caso con Cisco TAC con respecto a un problema de falsos positivos. En base al análisis de archivos del equipo de diagnóstico, la disposición del archivo puede cambiar para detener los eventos de alerta activados en la consola de AMP o Cisco TAC puede proporcionar la solución adecuada para permitir ejecutar el archivo/proceso sin problemas en su entorno.