Solucionar el error "Categoría no analizable = Error de mensaje, Motivo no analizable = Error de archivo " en ESA

Introducción

Este documento describe cómo resolver el error "Categoría no escaneable = Error de mensaje, Motivo no escaneable = Error de archivo: Se superó el límite de tamaño total de los archivos no archivados" en un ESA de Cisco.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Dispositivo de seguridad Cisco Email Security Appliance (ESA)
• Protección frente a malware avanzado (AMP) de Cisco

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

La información de este documento se originó a partir de dispositivos dentro de un ambiente de laboratorio específico. Todos los dispositivos utilizados en este documento se iniciaron con una configuración desactivada (predeterminada). Revise el impacto potencial de cualquier cambio antes de aplicarlo en una red de producción.

Antecedentes

Cuando un mensaje con datos adjuntos alcanza la protección frente a malware avanzado (AMP) en la canalización de procesamiento de correo, es decir, la etapa de ESA en la que se realiza el análisis de datos adjuntos, ESA intenta analizar los datos adjuntos. El ESA también comprueba si los encabezados de los mensajes cumplen con la solicitud de comentarios (RFC) 2045 (RFC 2045). Si el mensaje no es totalmente compatible, el ESA sigue haciendo todo lo posible por analizar los datos adjuntos.

A continuación, el ESA comprueba si los datos adjuntos son un archivo de almacenamiento. Si es así, ESA intenta desempaquetarlo. ESA evalúa múltiples factores para estimar el tamaño sin comprimir y asegurarse de que el archivo es válido. ESA también detecta archivos sospechosos, como archivos muy comprimidos.

Si no hay ningún veredicto de reputación de archivos disponible en la búsqueda de reputación en la nube y el archivo cumple los criterios para el análisis, ESA pone en cuarentena el archivo y lo carga en el sandbox de AMP, es decir, el entorno de análisis de archivos basado en la nube.

A continuación, el ESA abre una conexión con los servidores de AMP, carga el archivo y espera las actualizaciones del veredicto, como se muestra en la imagen:

ESA proporciona un veredicto basado en estos escenarios:

• Si uno de los archivos extraídos es malicioso, el servicio de reputación de archivos devuelve un veredicto de 'Malintencionado' para el archivo comprimido o el archivo de almacenamiento.
• Si el archivo comprimido o archivado es malicioso y todos los archivos extraídos están limpios, el servicio de reputación de archivos devuelve un veredicto de 'Malintencionado' para el archivo comprimido o el archivo archivado.
• Si el veredicto de alguno de los archivos extraídos es desconocido, los archivos extraídos se envían opcionalmente (si están configurados y el tipo de archivo es compatible con el análisis de archivos) para el análisis de archivos.
• Si el veredicto de alguno de los archivos o archivos adjuntos extraídos es de bajo riesgo, el archivo no se envía para su análisis.
• Si se produce un error en la extracción de un archivo comprimido o archivado durante la descompresión, el servicio de reputación de archivos devuelve un veredicto de no escaneable para ese archivo comprimido o archivado. Si uno de los archivos extraídos es malintencionado en este escenario, el servicio de reputación de archivos devuelve un veredicto de 'Malintencionado' para el archivo comprimido o archivado. El veredicto malicioso tiene prioridad sobre el veredicto no escaneable.

Los archivos muy comprimidos, como CSV, XML y TXT, pueden superar el tamaño máximo de archivo codificado en ESA. Los algoritmos de compresión como Lempel-Ziv, generan un mapa digital que cuenta el número y la posición de caracteres dentro del documento completo. Este proceso puede producir tamaños de archivo muy pequeños.

Por el contrario, los archivos que contienen gráficos o formatos como PDF, JPG y PNG no se comprimen del mismo modo. Como resultado, suelen permanecer cerca del tamaño original del archivo.

Problema

El ESA registra un veredicto de AMP no escaneable para un archivo adjunto comprimido con el motivo "Error de archivo: Se superó el límite de tamaño total de los archivos no archivados."

Entorno

• ESA de Cisco
• AMP habilitado para el análisis de adjuntos

Causa

El adjunto es un archivo comprimido que se expande más allá del límite codificado por ESA para el tamaño total de los archivos no archivados. Los tipos de archivo altamente compresibles (por ejemplo, CSV, XML y TXT) pueden producir pequeños archivos que se expanden significativamente cuando se desempaquetan, lo que puede desencadenar un veredicto de "no escaneable".

Solución

Utilice una de estas opciones en función de la gestión que desee: notificación de usuario o contención y revisión. Los pasos de verificación mostrados ayudan a determinar qué opción se debe utilizar.

Para confirmar la condición, localice el tipo de entrada de registro de correo mencionado.

Ejemplo de entrada de registro de correo:

Info:   The attachment could not be scanned. File Name = 'ACTS Chopped ISO 88591 encod_NoSchema.XML.zip', MID = 226, SHA256 = 7efa6154b7519872055cff10a69067dcad88562f708b284a390a9abcf5e99b8f, Unscannable Category = Message Error, Unscannable Reason = Archive Error: Exceeded the total size limit of the unarchived files

Antes de comenzar: Verificar y elegir una opción

1. En ESA, navegue hasta Monitor > Mail Logs.
2. Localice el ID de mensaje (MID) que muestra Unscannable Reason = Archive Error: Se superó el límite de tamaño total de los archivos no archivados.
3. Confirme que el archivo adjunto es un archivo comprimido, por ejemplo, un archivo .zip, y que se expande significativamente cuando se desempaqueta.
4. Elija la Opción 1 si el mensaje debe entregarse y el destinatario solo necesita una advertencia en la línea del asunto.
5. Elija la Opción 2 si el mensaje debe estar contenido para su revisión en la cuarentena de Virus y brotes de políticas (PVO).
6. Después de aplicar el cambio, envíe un mensaje de prueba con un archivo representativo. Verifique el comportamiento esperado en Monitor > Mail Logs y, si se utiliza, en la cuarentena de Policy Virus and Outbreak (PVO).

Opción 1. Anteponer una etiqueta de asunto a los adjuntos no escaneables

1. En ESA, navegue hasta Políticas de correo > Políticas de correo entrante o Políticas de correo saliente, según dónde esté habilitado el escaneo de AMP.
2. Haga clic en la directiva que gestiona el mensaje afectado.
3. En la configuración de AMP para la política, busque la acción para los adjuntos no escaneables.
4. Establezca Modificar Asunto del Mensaje en Prepend.
5. En el campo de texto Asunto, introduzca el prefijo [AMP no escaneable] u otra etiqueta de advertencia aprobada.
6. Haga clic en Submit y confirme el cambio.
7. Envíe un mensaje de prueba con un archivo representativo y verifique que el ESA entregue el mensaje con la etiqueta de asunto agregada.

Opción 2. Poner en cuarentena los mensajes no escaneables en la cuarentena Virus de políticas y Outbreak Quarantine

1. En ESA, navegue hasta Políticas de correo > Políticas de correo entrante o Políticas de correo saliente, según dónde esté habilitado el escaneo de AMP.
2. Haga clic en la directiva que gestiona el mensaje afectado.
3. En la configuración de AMP para la política, busque la acción para los adjuntos no escaneables.
4. Establezca la acción de mensaje no escaneable en Cuarentena.
5. Elija la cuarentena de brotes y virus de políticas (PVO) como destino de la cuarentena.
6. Haga clic en Submit y confirme el cambio.
7. Envíe un mensaje de prueba con un archivo representativo y verifique que ESA coloca el mensaje en la cuarentena de Virus y brotes de políticas (PVO) para que lo revise el analista.

Información Relacionada

• Guía de prácticas recomendadas para la protección frente a malware avanzado en ESA
• Verificación de cargas de análisis de archivos en ESA
• Solución del error "El servicio de reputación de archivos no está disponible" en Cisco ESA
• Soporte técnico y descargas de Cisco

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
1.0	29-Oct-2019	Versión inicial