Problemi noti di Cisco XDR

Introduzione

Questo articolo documenta i problemi tecnici attualmente noti per Cisco XDR.

I problemi tecnici possono essere riconosciuti da Cisco, in fase di revisione, in attesa di risoluzione o ritenuti idonei a funzionare come previsto.

Problemi noti:

Incidenti

Al momento non sono presenti problemi noti per questa funzionalità XDR.

Indagini

Al momento non sono presenti problemi noti per questa funzionalità XDR.

Control Center

Al momento non sono presenti problemi noti per questa funzionalità XDR.

Integrazioni di Cisco

1. Cisco XDR - Integrazione completa di Cisco Secure Firewall

Dettagli: per garantire un'integrazione perfetta tra Cisco Defense Orchestrator (CDO), Security Services Exchange (SSX) e Security Analytics and Logging (SAL), è necessario il mapping manuale. Questo processo comporta la connessione a Cisco TAC per eseguire le configurazioni e le mappature necessarie.

Soluzione. Contattare TAC per ottenere assistenza nel collegamento dei relativi account e garantire la corretta integrazione dei sistemi.

Risoluzione prevista: Da definire

Integrazioni di terze parti

1.- I clienti Microsoft con licenze di tipo G non possono utilizzare le integrazioni di XDR Microsoft.

Stato: Progettato

Dettagli: i diritti di tipo G di Microsoft dispongono dell'accesso in ambienti controllati solo per enti governativi.

Passaggi successivi: Cisco sta collaborando con Microsoft per comprendere i requisiti per l'integrazione con l'ambiente Microsoft GCC in cui vengono forniti i diritti di tipo G di Microsoft. Se possibile, Cisco XDR prevede di integrarsi con le licenze Microsoft di tipo G per Microsoft Defender for Endpoint, O365 e EntraID.

Risoluzione prevista: risolta, integrazione disponibile qui.

Attivo

Al momento non sono presenti problemi noti per questa funzionalità XDR.

XDR Automate

Al momento non sono presenti problemi noti per questa funzionalità XDR.

Appliance/Sensori

Al momento non sono presenti problemi noti per questa funzionalità XDR.

Secure Client

Per consultare i problemi relativi a Secure Client, seguire l'articolo.

XDR Forensics

1.- Esecuzione di azioni legali XDR quando la risorsa in Incidente XDR non è stata risolta ma è stato installato il modulo Forensics

Stato:In fase di verifica

Dettagli:XDR Forensics dipende dagli asset da risolvere nell'ambito di un incidente XDR prima che le azioni legali possano essere eseguite su un asset dalla scheda Evidenza di un incidente. Se Cisco XDR non è in grado di risolvere un asset in un incidente XDR, ciò impedirà l'acquisizione di prove XDR Forensics dall'incidente.

Soluzione:eseguire il pivot dalla console Cisco XDR alla XDR Forensics per eseguire l'azione legale.Nel menu di navigazione a sinistra di Cisco XDR, fare clic su Indagine > Informazioni legali

In XDR Forensics, fare clic su Asset nel menu di navigazione a sinistra, selezionare la risorsa appropriata e acquisire prove e/o l'azione desiderata.Selezionare il caso appropriato dal menu a discesa in modo che venga associato automaticamente all'incidente XDR.

Fasi successive: Da definire

Risoluzione: da definire

Codice di rilevamento:CSCwr69610

2.- Le operazioni di XDR Forensics possono essere bloccate da un'azione di risposta di Cisco Secure Endpoint o di un'altra soluzione di sicurezza dell'endpoint.

Stato:In fase di verifica

Dettagli:XDR Forensics può essere bloccato da Cisco Secure Endpoint, EDR o dall'applicazione dell'isolamento di altri strumenti di sicurezza degli endpoint.Verificare che le esclusioni appropriate e gli elenchi di autorizzazioni per XDR Forensics siano configurati per lo strumento di sicurezza degli endpoint.

Soluzione temporanea:

(esempio basato sulla funzione di isolamento di Cisco Secure Endpoint, ma generalmente applicabile ad altri software di sicurezza degli endpoint)

Ottieni gli indirizzi IP

· Eseguire un nslookup/scavare dell'URL del tenant XDR Forensics (ottenibile eseguendo il pivot in XDR Forensics e copiando l'URL dal browser (rimuovere l'https e tutto, dalla prima barra alla fine)

· Annotare tutti gli indirizzi IP

Aggiungi elenco indirizzi IP consentiti per isolamento

· Nel prodotto per la sicurezza degli endpoint, ad esempio Cisco Secure Endpoint, selezionare Controllo epidemie > Elenchi indirizzi IP bloccati e consentiti

· Selezionare la scheda per gli elenchi Isolamento IP consentito. Se ne avete già uno, potete aggiornarlo, altrimenti usate il pulsante "Crea elenco IP" per aggiungerne uno nuovo

· Assegnare un nome e una descrizione, quindi aggiungere gli indirizzi IP dall'alto

· Salvare l'elenco

Aggiungi elenco Consenti a criterio

· Passare a Gestione > Criteri di Cisco Secure Endpoint

· Scegliere il criterio da aggiornare e fare clic per modificarlo

· Selezionare Advanced Settings > Endpoint Isolation

· Se necessario, selezionare la casella di controllo Consenti isolamento endpoint

· Negli elenchi Isolamento indirizzi IP consentiti, scegliere gli elenchi da includere

•Fare clic su Salva.

Fasi successive: Da definire

Risoluzione: da definire

Codice di rilevamento:CSCwr69614

XDR-Analytics

1. - È possibile associare più indirizzi IP e/o nomi host a un singolo nome di dispositivo in XDR-A

Stato: Non Risolto/Posticipato

Dettagli: Vari indirizzi IP attivi possono essere associati a un singolo dispositivo all'interno del portale SNA/XDR-A. tra cui dispositivi NVM e non NVM. Alcuni dispositivi dispongono anche di più nomi host. In base all'implementazione corrente, la registrazione dei dispositivi potrebbe determinare la presenza di più indirizzi IP (località) in un dispositivo. Alcuni di questi indirizzi IP potrebbero provenire dalla rete domestica dell'utente e potrebbero entrare in conflitto con gli indirizzi IP della rete dell'organizzazione.

Soluzione. Al momento non è disponibile alcuna soluzione per questo problema, che è ancora presente nell'architettura corrente. Ci sono buone speranze che questo problema possa essere affrontato meglio in futuro, una volta implementata una nuova architettura che permetterà di normalizzare e riunire le attività di rete da entrambe le fonti ONA e NVM a OCSF.

Passaggi successivi: N/D

Risoluzione: Futuro/Da definire

Codice rilevamento: CSCwo67299

Problemi risolti

1.- Cisco XDR - Il collegamento all'integrazione di Cisco Secure Endpoint non funziona sul portale Cisco XDR

Stato: Problema identificato e risoluzione in sospeso

Dettagli: Nelle schede Admin > Integrations il collegamento "Enable" dell'endpoint sicuro è interrotto. Dopo aver premuto il pulsante di abilitazione, viene eseguito il reindirizzamento alla pagina Threat Response e viene eseguito un ciclo alla pagina di selezione di XDR org anziché alla console di endpoint protetti.

Soluzione temporanea: L'integrazione può essere eseguita dal Cisco Secure Endpoint Portal

Passaggi successivi: Cisco sta lavorando per implementare la correzione per questo problema

Risoluzione prevista: il problema è stato risolto.

2.- Interruzione imprevista dell'esecuzione delle regole di automazione degli incidenti XDR

Stato: problema identificato e risoluzione in sospeso

Dettagli: le regole di automazione degli incidenti alimentate dai workflow e attivano interruzioni impreviste dell'esecuzione. Questo non è indicato nell'interfaccia utente XDR, tranne quando si esaminano le metriche per l'esecuzione dei flussi di lavoro nel tempo. Quando si esegue questa operazione, i clienti vedranno l'esecuzione di flussi di lavoro ridotti o nulli, a seconda di quanto tempo il problema è stato in corso.

Passaggi successivi: Cisco ha identificato questo problema come appartenente al back-end XDR e sta lavorando per risolverlo. Cisco prevede anche di implementare ulteriori funzionalità di monitoraggio e monitoraggio dello stato per evitare che il problema si verifichi in futuro.

Soluzione: disabilitare e riabilitare la regola per avviare un riavvio dell'attivazione e dell'elaborazione della regola del flusso di lavoro.

Risoluzione Prevista: Risolta.

3. - Cisco XDR-Analytics - Errore di installazione dell'ONA in ambienti virtuali con un errore che indica "verifica checksum non riuscita"
        Stato: problema identificato e risoluzione in sospeso

Dettagli: Quando si installa un sensore ONA in un ambiente virtuale, l'ISO non completa il processo di installazione e genera errori.

Soluzione temporanea: Installare Ubuntu Server 24.04 in modo indipendente con Ubuntu ISO e seguire i passaggi di installazione avanzati per eseguire ONA come servizio. Utilizzare la compatibilità 7.0 U2

Passaggi successivi: N/D

Risoluzione: Il problema è stato risolto nell'ultima versione del sensore ONA

4. La tessera MTTR sul Control Center mostra numeri imprecisi per gli incidenti che sono stati risolti utilizzando uno dei nuovi stati, ad esempio "Chiuso: False Positive", "Closed: Minaccia confermata" o altro.

Stato: Problema identificato e risoluzione in sospeso

Dettagli: I nuovi stati incidenti sono stati introdotti il 15 gennaio e la tessera non prende in considerazione questi stati. I nuovi stati di risoluzione vengono interpretati come semilavorati, quindi anche se l'incidente è stato chiuso utilizzando uno dei nuovi stati, viene considerato come semilavorati.

Soluzione: nessuna

Fasi successive: nessuna

Risoluzione prevista: risolta

Se è necessario contattare il supporto Cisco, seguire le istruzioni fornite in questo collegamento.