Table des matières

Introduction

Conditions préalables

Exigences

Composants utilisés

Informations générales

Dépannage des journaux WSA AMP

Informations connexes

Introduction

Ce document décrit la section ampverdict dans le niveau de journal INFO et DEBUG du moteur Advanced Malware Protection (AMP) de l'appliance de sécurité Web (WSA).

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

- WSA installé

- Réputation des fichiers et analyse des fichiers activés

- Protection avancée contre les malwares

- Appareil Web sécurisé Cisco

- Client SSH

Composants utilisés

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Informations générales

WSA offre une intégration avec AMP for Endpoints et un moteur AMP local. AMP offre une protection contre les programmes malveillants de type « zero-day » grâce aux fonctions de réputation et d'analyse des fichiers. Le WSA inclut un moteur de préclassification qui est responsable des analyses de fichiers en interne avant les vérifications du cloud public. Les journaux décrits dans la section suivante concernent le moteur AMP sur WSA et non le cloud AMP ou Threat Grid.

Dépannage des journaux WSA AMP

Accédez aux journaux AMP. Connectez-vous via l'interface de ligne de commande et queue ou grep les journaux amp :

1. Connectez-vous à l'interface CLI via le client SSH.

2. Tapez la commande grep et appuyez sur la touche Entrée.

3. Entrez le numéro de amp_logs tel qu'il est commandé.

4. Répondez aux options suivantes (si vous exécutez du trafic en direct, choisissez l'option pour suivre les journaux).

5. Appuyez sur la touche Entrée.

6. Les journaux s'affichent.

Les journaux WSA AMP existent dans différents niveaux d'information, vous pouvez sélectionner le niveau INFO ou DEBUG les résultats qui ont de légères différences expliquées dans la section suivante.

Remarque : la licence AMP doit être installée sur WSA pour sélectionner les journaux AMP.

Journaux de niveau INFO AMP :

Wed Apr 27 12:21:26 2022 Info: Txn 18210 Binary scan on instance[0] Id[1345]: AMP allocated memory = 0, AMP used memory = 0, Scans in flight = 1, Active faster connections = 1, Active slower connections = 0

Wed Apr 27 12:21:35 2022 Info: Binary scan on instance[0] id[1345]: filename[npp.8.4.Installer.x64.exe] filemime[application/x-dosexec] file_extension[exe] length[4493047b] ampverdict[(1, 1, 'amp', '', 0, 0, True)] scanverdict[0] malwareverdict[0] spyname[] SHA256[ecdcf497418a1988ebf20c647acadc9eca7bc8569fd980713582acd0de011ba1] From[Cloud] uploadreason[Enqueued in the local queue for submission to upload] verdict_str[FILE UNKNOWN] is_slow[0] scans_in_flight[0] Active faster connections[0] Active slower connections[0]

Wed Apr 27 12:22:28 2022 Info: File uploaded for analysis. Server: https://panacea.threatgrid.com, SHA256: ecdcf497418a1988ebf20c647acadc9eca7bc8569fd980713582acd0de011ba1, Filename: npp.8.4.Installer.x64.exeTimestamp: 1651044116 sampleid[]

Journaux de niveau INFO AMP (ampverdict) :

ampverdict[(1, 1, 'amp', '', 0, 0, True)]

(analysis_Action, scan_verdict, ‘verdict_source', ‘spyname’, malware_verdict, file_reputation, upload_action)]

Journaux de niveau AMP DEBUG :

Fri Apr 29 01:38:40 2022 Debug: Binary scan: proxid[3951] filename[favicon.ico] len[41566b] readtime[109.721680ms] scantime[2.205322ms] ampverdict[(1, 1, 'amp', '', 0, 0, False)] scanverdict[0] malwareverdict[0] SHA256[e7a2345c75a03e63202b12301c29bb8b6bae7cef9e191ed58797ec028def7c4f] From[Cloud] FileName[favicon.ico] FileMime[application/octet-stream]

Journaux de niveau DEBUG AMP (ampverdict) :

ampverdict[(1, 1, 'amp', '', 0, 0, False)]

ampverdict[(analysis_action, scan_verdict,disposition, ‘spyname: policy name if amp registered with console’, file_reputation, upload_action, ‘sha256', ‘threat_name’)]

Options Champ détaillé et Valeur :

Champ

Valeur

Action_Analyse

"0" indique qu'Advanced Malware Protection n'a pas demandé le téléchargement du fichier pour analyse

« 1 » indique qu'Advanced Malware Protection a demandé le téléchargement du fichier pour analyse

Verdict_numérisation

0 : Le fichier n'est pas malveillant

1 : Le fichier n'a pas été analysé en raison de son type de fichier

2 : Expiration de l'analyse des fichiers

3 : Erreur d'analyse

Supérieur à 3 : fichier malveillant

Verdict_source

amp : analyse de fichiers

Disposition

1 : Inconnu

2 : Nettoyer

3 : Malveillant (amp)

4 : Non analysable (non analysable)

Nom D'Espion

Vide : si la stratégie d'attaque AMP n'est pas utilisée

Simple_Custom_Detection : si une stratégie d'attaque AMP est utilisée

Action_téléchargement

True : le fichier est défini sur sandbox

False : le fichier n'est pas envoyé au sandbox

Sha256

SHA256

Nom_menace

Nom de la menace basé sur les types de menace AMP

Informations connexes

- Intégration d'AMP for Endpoints et de Threat Grid avec WSA

- Filtrage par réputation de fichiers et analyse de fichiers

- Assistance et documentation techniques - Cisco Systems