Solución de problemas de AMP en el dispositivo web seguro
Introducción
Este documento describe la sección ampverdict en el nivel de registro INFO y DEBUG del motor de protección frente a malware avanzado de Secure Web Appliance.
Prerequisites
Requirements
Cisco recomienda que tenga conocimiento sobre estos temas:
- AMP está activado
- Acceso SSH a SWA
- SWA instalado y con licencia
- Reputación y análisis de archivos habilitados
Componentes Utilizados
Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.
La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.
Antecedentes
SWA ofrece integración con AMP para terminales y un motor AMP local. AMP proporciona protección frente a malware de día cero mediante las funciones Reputación de archivos y Análisis de archivos. El SWA incluye un motor de preclasificación que se encarga de analizar los archivos internamente antes de las comprobaciones de la nube pública. Los registros descritos en la siguiente sección están relacionados con el motor de AMP en SWA, no con la nube de AMP o Threat Grid.
Resolución de problemas de registros AMP SWA
Acceda a los registros de AMP. Inicie sesión a través de CLI y siga o expanda los registros de amp:
1. Inicie sesión en la CLI a través del cliente SSH.
2. Ejecute el comando grep, luego presione Enter.
3. Introduzca el número de amp_logs como se indica.
4. Responda a las indicaciones. Si está ejecutando tráfico activo, elija la opción para finalizar los registros.
5. Pulse la tecla Intro.
6. Se muestran los registros.
Los registros de AMP de SWA están disponibles con diferentes niveles de detalle. Puede seleccionar el nivel INFO o DEBUG. Los resultados presentan ligeras diferencias, que se explican en la siguiente sección
Registros de nivel INFO de AMP:
Wed Apr 27 12:21:26 2022 Info: Txn 18210 Binary scan on instance[0] Id[1345]: AMP allocated memory = 0, AMP used memory = 0, Scans in flight = 1, Active faster connections = 1, Active slower connections = 0
Wed Apr 27 12:21:35 2022 Info: Binary scan on instance[0] id[1345]: filename[npp.8.4.Installer.x64.exe] filemime[application/x-dosexec] file_extension[exe] length[4493047b] ampverdict[(1, 1, 'amp', '', 0, 0, True)] scanverdict[0] malwareverdict[0] spyname[] SHA256[ecdcf497418a1988ebf20c647acadc9eca7bc8569fd980713582acd0de011ba1] From[Cloud] uploadreason[Enqueued in the local queue for submission to upload] verdict_str[FILE UNKNOWN] is_slow[0] scans_in_flight[0] Active faster connections[0] Active slower connections[0]
Wed Apr 27 12:22:28 2022 Info: File uploaded for analysis. Server: https://panacea.threatgrid.com, SHA256: ecdcf497418a1988ebf20c647acadc9eca7bc8569fd980713582acd0de011ba1, Filename: npp.8.4.Installer.x64.exeTimestamp: 1651044116 sampleid[]
Registros de nivel INFO de AMP (veredicto de AMP):
ampverdict[(1, 1, 'amp', '', 0, 0, True)]
(analysis_Action, scan_verdict, ‘verdict_source', ‘spyname’, malware_verdict, file_reputation, upload_action)]
Registros de nivel DEBUG de AMP:
Fri Apr 29 01:38:40 2022 Debug: Binary scan: proxid[3951] filename[favicon.ico] len[41566b] readtime[109.721680ms] scantime[2.205322ms] ampverdict[(1, 1, 'amp', '', 0, 0, False)] scanverdict[0] malwareverdict[0] SHA256[e7a2345c75a03e63202b12301c29bb8b6bae7cef9e191ed58797ec028def7c4f] From[Cloud] FileName[favicon.ico] FileMime[application/octet-stream]
Registros de nivel DEBUG de AMP (veredicto de AMP):
ampverdict[(1, 1, 'amp', '', 0, 0, False)]
ampverdict[(analysis_action, scan_verdict,disposition, ‘spyname: policy name if amp registered with console’, file_reputation, upload_action, ‘sha256', ‘threat_name’)]
Opciones de campo detallado frente a valor
| Campo |
Valor |
| Acción_análisis |
"0": Indica que la protección frente a malware avanzado no solicitó la carga del archivo para su análisis. "1": Indica que la protección frente a malware avanzado no solicitó la carga del archivo para su análisis. |
| Scan_verdict | "0": El archivo no es malicioso. "1": El archivo no se analizó debido a su tipo de archivo. "2": El escaneo de archivos ha agotado el tiempo. "3": Error de análisis. Más de 3: El archivo es malicioso. |
| Verdict_source | amp: Análisis de archivos. |
| Disposición | "1": Desconocido. "2": Limpio. "3": Malicioso (amp). "4": No escaneable (no escaneable). |
| Spyname | Vacío: Si no se utiliza la política de brotes de AMP. Detección_personalizada_simple: Si se utiliza una política de brotes de AMP. |
| Upload_action | Verdadero: está establecido en sandbox. Falso: el archivo no se ha enviado al sandbox. |
| Sha256 | SHA256 del archivo. |
| Threat_name | Nombre de la amenaza basado en los tipos de amenazas de AMP. |
Contenido relacionado
- Integre AMP para terminales y Threat Grid con SWA
- Filtrado de Reputación de Archivos y Análisis de Archivos
- Sistemas de asistencia técnica y documentación
Historial de revisiones
| Revisión | Fecha de publicación | Comentarios |
|---|---|---|
2.0 |
22-Oct-2026
|
Actualización Introducción, ortografía, gramática, espaciado, líneas horizontales insertadas para separar secciones para legibilidad, URL fijas para abrir en una nueva página. |
1.0 |
18-May-2022
|
Versión inicial |
ComentariosContacte a Cisco
- Abrir un caso de soporte
- (Requiere un Cisco Service Contract)