Risolvere i problemi relativi all'errore "Unscannable Category = Message Error, Unscannable Reason = Archive Error" nel SEC

Introduzione

In questo documento viene descritto come risolvere l'errore "Unscannable Category = Message Error, Unscannable Reason = Archive Error: ha superato la dimensione totale dei file non archiviati" in un'ESA Cisco.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Cisco Email Security Appliance (ESA)
• Cisco Advanced Malware Protection

Componenti usati

Il documento può essere consultato per tutte le versioni software o hardware.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Esaminare l'impatto potenziale di qualsiasi modifica prima di applicarla in una rete di produzione.

Premesse

Quando un messaggio con un allegato raggiunge Advanced Malware Protection (AMP) nella pipeline di elaborazione della posta, ovvero la fase ESA in cui si verifica la scansione degli allegati, ESA tenta di analizzare l'allegato. L'ESA verifica inoltre la conformità delle intestazioni dei messaggi alla RFC 2045 (RFC 2045). Se il messaggio non è pienamente conforme, l'ESA fa comunque il miglior tentativo per analizzare l'allegato.

Successivamente, ESA verifica se l'allegato è un file di archivio. In caso affermativo, l'ESA tenta di disimballarlo. ESA valuta più fattori per stimare le dimensioni non compresse e garantire la validità dell'archivio. ESA rileva anche gli archivi sospetti, come i file altamente compressi.

Se non è disponibile alcun verdetto sulla reputazione del file dalla ricerca della reputazione cloud e il file soddisfa i criteri per l'analisi, ESA mette in quarantena il file e lo carica nella sandbox AMP, ovvero nell'ambiente di analisi dei file basato su cloud.

ESA apre una connessione ai server AMP, carica il file e attende gli aggiornamenti del verdetto, come mostrato nell'immagine:

L'ESA emette un verdetto sulla base di questi scenari:

• Se uno dei file estratti è dannoso, il servizio di reputazione dei file restituisce il verdetto 'Dannoso' per il file compresso o di archivio.
• Se il file compresso o di archivio è dannoso e tutti i file estratti sono puliti, il servizio di reputazione dei file restituisce il verdetto 'Dannoso' per il file compresso o di archivio.
• Se il verdetto di uno dei file estratti è sconosciuto, i file estratti vengono facoltativamente inviati per l'analisi dei file (se configurati e il tipo di file è supportato per l'analisi dei file).
• Se il verdetto di uno qualsiasi dei file o degli allegati estratti è a basso rischio, il file non viene inviato per l'analisi del file.
• Se l'estrazione di un file compresso o di archivio non riesce durante la decompressione, il servizio di reputazione dei file restituisce un verdetto di non scansionabile per quel file compresso o di archivio. Se uno dei file estratti è dannoso in questo scenario, il servizio di reputazione dei file restituisce il verdetto 'Dannoso' per il file compresso o di archivio. Il verdetto dannoso ha la precedenza sul verdetto non leggibile.

I file ad elevata compressione, ad esempio CSV, XML e TXT, possono superare le dimensioni massime dei file codificati in ESA. Gli algoritmi di compressione come Lempel-Ziv, generano una mappa digitale che conta il numero e la posizione dei caratteri nel documento completo. Questo processo può generare file di dimensioni molto ridotte.

Al contrario, i file che contengono elementi grafici o formati quali PDF, JPG e PNG non vengono compressi allo stesso modo. Di conseguenza, in genere rimangono vicine alle dimensioni originali del file.

Problema

ESA registra un verdetto non scansionabile di AMP per un allegato compresso con il motivo "Errore di archiviazione: Superate le dimensioni totali dei file non archiviati."

Ambiente

• Cisco ESA
• AMP abilitato per la scansione degli allegati

Causa

L'allegato è un archivio compresso che si espande oltre il limite hardcoded ESA per le dimensioni totali dei file non archiviati. I tipi di file altamente compressibili (ad esempio, CSV, XML e TXT) possono produrre piccoli archivi che si espandono in modo significativo quando vengono decompressi, il che può generare un verdetto "Non scansionabile".

Soluzione

Utilizzare una delle seguenti opzioni in base alla gestione desiderata: la notifica all'utente o il contenimento e la revisione. Le operazioni di verifica illustrate consentono di determinare l'opzione da utilizzare.

Per confermare la condizione, individuare il tipo di voce del log di posta indicato.

Esempio di voce del log di posta:

Info:   The attachment could not be scanned. File Name = 'ACTS Chopped ISO 88591 encod_NoSchema.XML.zip', MID = 226, SHA256 = 7efa6154b7519872055cff10a69067dcad88562f708b284a390a9abcf5e99b8f, Unscannable Category = Message Error, Unscannable Reason = Archive Error: Exceeded the total size limit of the unarchived files

Prima di iniziare: Verifica e scelta opzione

1. In ESA, selezionare Monitor > Mail Logs (Monitor > Log di posta).
2. Individuare l'ID messaggio (MID) che indica Motivo non analizzabile = Errore di archiviazione: Superate le dimensioni totali dei file non archiviati.
3. Confermare che l'allegato sia un archivio compresso, ad esempio un file .zip, e che si espanda in modo significativo quando viene decompresso.
4. Scegliere l'opzione 1 se il messaggio deve essere recapitato e il destinatario deve solo visualizzare un avviso nella riga dell'oggetto.
5. Scegliere l'opzione 2 se il messaggio deve essere contenuto per la revisione nella quarantena del virus e dell'epidemia (PVO).
6. Dopo aver applicato la modifica, inviare un messaggio di prova con un archivio rappresentativo. Verificare il comportamento previsto in Monitor > Mail Logs e, se utilizzato, nella quarantena Policy Virus and Outbreak (PVO).

Opzione 1. Anteporre un tag Subject per gli allegati non scansionabili

1. In ESA, selezionare Mail Policies > Incoming Mail Policies (Policy di posta in arrivo) o Outgoing Mail Policies (Policy di posta in uscita), a seconda di dove è abilitata la scansione AMP.
2. Fare clic sul criterio che gestisce il messaggio interessato.
3. Nelle impostazioni dell'AMP per il criterio, individuare l'azione per gli allegati non analizzabili.
4. Impostare Modifica oggetto messaggio su Anteponi.
5. Nel campo di testo Oggetto, immettere il prefisso [AMP Unscannable] o un altro tag di avviso approvato.
6. Fare clic su Invia e confermare la modifica.
7. Inviare un messaggio di prova con un archivio rappresentativo e verificare che l'ESA invii il messaggio con il tag oggetto anteposto.

Opzione 2. Mettere in quarantena i messaggi non scansionabili nella quarantena di virus ed epidemie

1. In ESA, selezionare Mail Policies > Incoming Mail Policies (Policy di posta in arrivo) o Outgoing Mail Policies (Policy di posta in uscita), a seconda di dove è abilitata la scansione AMP.
2. Fare clic sul criterio che gestisce il messaggio interessato.
3. Nelle impostazioni dell'AMP per il criterio, individuare l'azione per gli allegati non analizzabili.
4. Imposta l'azione del messaggio non analizzabile su Quarantena.
5. Scegliere la quarantena del virus e dell'epidemia (PVO) come destinazione della quarantena.
6. Fare clic su Invia e confermare la modifica.
7. Inviare un messaggio di prova con un archivio rappresentativo e verificare che l'ESA lo metta in quarantena (PVO) per la revisione da parte degli analisti.

Informazioni correlate

• Guida alle best practice per Advanced Malware Protection su ESA
• Verifica del caricamento dell'analisi dei file su ESA
• Risoluzione del problema "File Reputation Service Is Not Reachable" (Il servizio di reputazione dei file non è raggiungibile) su Cisco ESA
• Supporto tecnico Cisco e download

Cronologia delle revisioni

Revisione	Data di pubblicazione	Commenti
1.0	29-Oct-2019	Versione iniziale