Risoluzione dei problemi relativi ad AMP in Secure Web Appliance

Introduzione

Questo documento descrive la sezione Ampverdict nel livello di log INFO e DEBUG del motore Advanced Malware Protection di Secure Web Appliance.

---

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• AMP è abilitato
• Accesso SSH all'SWA
• SWA installato e concesso in licenza
• Reputazione dei file e analisi dei file abilitate

---

Componenti usati

Il documento può essere consultato per tutte le versioni software o hardware.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

---

Premesse

SWA offre integrazione con AMP for endpoints e un motore AMP locale. AMP fornisce la protezione dal malware zero-day attraverso le funzionalità di reputazione dei file e analisi dei file. L'SWA include un motore di preclassificazione che è responsabile internamente della scansione dei file prima dei controlli cloud pubblici. I registri descritti nella sezione successiva sono relativi al motore AMP su SWA, non al cloud AMP o alla Threat Grid.

---

Risoluzione dei problemi dei log AMP SWA

Accedere ai registri AMP. Effettuare il login dalla CLI e completare o eliminare i log amp:

1. Accedere alla CLI tramite il client SSH.

2. Eseguire il comando grep, quindi premere Invio.

3. Inserire il numero per amp_logs come elencato.

4. Rispondere ai prompt. Se si sta eseguendo traffico in tempo reale, scegliere l'opzione per eseguire la coda dei registri.
5. Premere Invio.

6. Vengono visualizzati i registri.

I registri SWA AMP sono disponibili a diversi livelli di dettaglio. È possibile selezionare il livello INFO (Informazioni) o DEBUG (Debug). I risultati presentano lievi differenze, illustrate nella sezione successiva

Nota: La licenza AMP deve essere installata su SWA per selezionare i registri AMP.

Registri livello AMP INFO:

Wed Apr 27 12:21:26 2022 Info: Txn 18210 Binary scan on instance[0] Id[1345]: AMP allocated memory = 0, AMP used memory = 0, Scans in flight = 1, Active faster connections = 1, Active slower connections = 0
Wed Apr 27 12:21:35 2022 Info: Binary scan on instance[0] id[1345]: filename[npp.8.4.Installer.x64.exe] filemime[application/x-dosexec] file_extension[exe] length[4493047b] ampverdict[(1, 1, 'amp', '', 0, 0, True)] scanverdict[0] malwareverdict[0] spyname[] SHA256[ecdcf497418a1988ebf20c647acadc9eca7bc8569fd980713582acd0de011ba1] From[Cloud] uploadreason[Enqueued in the local queue for submission to upload] verdict_str[FILE UNKNOWN] is_slow[0] scans_in_flight[0] Active faster connections[0] Active slower connections[0]
Wed Apr 27 12:22:28 2022 Info: File uploaded for analysis. Server: https://panacea.threatgrid.com, SHA256: ecdcf497418a1988ebf20c647acadc9eca7bc8569fd980713582acd0de011ba1, Filename: npp.8.4.Installer.x64.exeTimestamp: 1651044116 sampleid[]

---

Registri livello AMP INFO (ampverdict):

ampverdict[(1, 1, 'amp', '', 0, 0, True)]
(analysis_Action, scan_verdict, ‘verdict_source', ‘spyname’, malware_verdict, file_reputation, upload_action)]

---

Registri livello DEBUG AMP:

Fri Apr 29 01:38:40 2022 Debug: Binary scan: proxid[3951] filename[favicon.ico] len[41566b] readtime[109.721680ms] scantime[2.205322ms] ampverdict[(1, 1, 'amp', '', 0, 0, False)] scanverdict[0] malwareverdict[0] SHA256[e7a2345c75a03e63202b12301c29bb8b6bae7cef9e191ed58797ec028def7c4f] From[Cloud] FileName[favicon.ico] FileMime[application/octet-stream]

---

Registri livello DEBUG AMP (ampverdict):

ampverdict[(1, 1, 'amp', '', 0, 0, False)]
ampverdict[(analysis_action, scan_verdict,disposition, ‘spyname: policy name if amp registered with console’, file_reputation, upload_action, ‘sha256', ‘threat_name’)]

---

Opzioni Campo dettagliato e Valore:

Campo	Valore
Azione_analisi	"0" Indica che Advanced Malware Protection non ha richiesto il caricamento del file per l'analisi. "1" Indica che Advanced Malware Protection ha richiesto il caricamento del file per l'analisi.
Analizza_verdetto	"0": Il file non è dannoso. "1": Impossibile analizzare il file a causa del tipo di file. "2": Timeout dell'analisi dei file. "3": Errore di scansione. Maggiore di 3: File dannoso.
origine_verdetto	amp: Analisi dei file.
Disposizione	"1": Sconosciuto. "2": Pulito. "3": Dannoso (amp). "4": Non analizzabile (non analizzabile).
Spyname	Vuoto: Se non si utilizza la politica in materia di focolai di AMP. Rilevamento_Personalizzato_Semplice: Se si utilizza una politica in materia di focolai di AMP.
Azione_caricamento	Vero: è impostato sulla sandbox. Falso: non viene inviato alla sandbox.
Sha256	SHA256.
Nome_minaccia	Nome della minaccia basato sui tipi di minaccia AMP.

---

Contenuto correlato

• Integrazione di AMP for Endpoints and Threat Grid con SWA
• Filtraggio della reputazione e analisi dei file
• Documentazione e supporto tecnico – Cisco Systems

Cronologia delle revisioni

Revisione	Data di pubblicazione	Commenti
2.0	22-Oct-2026	Introduzione aggiornata, ortografia, grammatica, spaziatura, righe orizzontali inserite per separare le sezioni ai fini della leggibilità, URL fissi da aprire in una nuova pagina.
1.0	18-May-2022	Versione iniziale