Cisco Secure Endpoint - Errore di aggiornamento delle definizioni Tetra con errore 3000

Introduzione

In questo documento viene descritto come risolvere i problemi relativi alle definizioni Tetra con l'errore 3000.

Descrizione del problema

1. Nell'endpoint, l'aggiornamento delle definizioni Tetra ha esito negativo con 'Impossibile installare gli aggiornamenti.Riprovare più tardi'. errore.
   
   
2. Nella console AMP è stato rilevato un errore:

   Non riuscito

   Aggiornamento non riuscito a causa di un timeout di rete. Controllare le impostazioni della rete, del firewall o del proxy per verificare la connettività tra gli endpoint e il server di aggiornamento. Se il problema persiste, contattare il supporto Cisco.
   

   
3. Nel file debug sfc.exe.log, le definizioni aggiornate non sono riuscite e viene rilevato l'errore 3000, che sta per 'Unknown_Error' come documentato.

   (978223515, +0 ms) Aug 04 07:30:23 [11944]: TetraUpdateInterface::update updateDir: C:\Program Files\Cisco\AMP\tetra, 20, -3000, -3000, 0, 0, 0
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: ERROR: TetraUpdateInterface::update Update failed with error -3000
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: PipeSend: sending message to user interface: 26, id: 0
   (978223515, +0 ms) Aug 04 07:30:23 [860]: PipeWrite: waiting on pipe event handle
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: TetraUpdaterInit defInit: 0, bUpdate: 0
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: TetraUpdaterInit bUpdate: 0, bReload: 0
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: FASharedPtr<class TetraUpdateInterface>::ReleaseInstance count: 1
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: PerformTetraUpdate: bUpdated = FALSE, state: 20, status: -3000
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: PerformTetraUpdate: sig count: 0, version: 0
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: Config::IsUploadEventEnabled: returns 1, 1
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: AVStat::CopyInternal : engine - 2, defs - 0, first failure - never, last err code - 4294964296, last upd success - never
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: AVStat::CopyInternal : engine - 2, defs - 0, first failure - Thu Aug 4 06:35:16 2022, last err code - 4294964296, last upd success - never

Soluzione

1. Abilitare l'opzione 'Consenti all'utente di aggiornare le definizioni Tetra' in Criteri AMP -> Interfaccia utente client sulla console. Con questo parametro possiamo attivare l'aggiornamento Tetra come richiesto durante la risoluzione dei problemi.
   
2. Abilitare inoltre il connettore di debug e il registro a livello di cassetto sull'endpoint o tramite criteri AMP.
   
   
3. Acquisire le acquisizioni di pacchetti sull'endpoint con e senza errori di aggiornamento Tetra per le definizioni Tetra mentre si fa clic su 'Aggiorna Tetra' sull'endpoint.
   
   
4.  OnTetra aggiorna l'endpoint riuscito, in packet-capture filtra i pacchetti con http.host == "tetra-defs.amp.cisco.com:443" e quindi segue il flusso tcp.stream di ogni pacchetto per analizzare il traffico correlato.
5. Nel pacchetto 'Server Hello', è possibile vedere il server accetta la cifratura 'TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384' nel pacchetto Server Hello.
   
6. Il server AMP Tetra accetta solo i seguenti tipi di crittografia:
   

   TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
   TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
   TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
   TLS_AES_128_GCM_SHA256

7. Nell'endpoint con errore di aggiornamento Tetra, nell'acquisizione dei pacchetti viene rilevato un errore irreversibile nell'handshake SSL dopo il pacchetto Client Hello.
8. Nel pacchetto Client Hello, è possibile visualizzare le cifrature offerte dall'endpoint.
9. È inoltre possibile eseguire la verifica incrociata dei crittografia abilitati sull'endpoint con 'Get-TlsCipherSuite Comando PowerShell | ft name'.
   
10. Nel caso in cui le cifrature menzionate nel Passaggio 6. non siano elencate qui, è la causa dell'errore dell'handshake SSL.
11. Per risolvere il problema, verificare l'ordine della suite di crittografia SSL in Criteri di gruppo:

    Run -> gpedit.msc -> Local Computer Policy -> Computer Configuration -> Administrative Templates -> Network -> SSL Configuration Settings -> SSL Cipher Suite Order -> Edit policy setting

    
12. L'ordine della suite di cifratura deve essere 'Non configurato' o 'Disattivato' e, se impostato su 'Attivato', aggiungere le cifrature menzionate al punto 6. nell'elenco.
    
13. Applicare le modifiche e riavviare l'endpoint per rendere le modifiche disponibili per le applicazioni.
14. Riprovare ad aggiornare Tetra al termine del riavvio.
15. Se il problema relativo alle definizioni di Tetra persiste, analizzare nuovamente i log e le clip.