ESAでのエラー"；スキャン不能カテゴリ=メッセージエラー、スキャン不能の理由=アーカイブエラー"；のトラブルシューティング

概要

このドキュメントでは、Cisco ESAでエラー「Unscannable Category = Message Error, Unscannable Reason = Archive Error: Exceeded the total size limit of the unarchived files」をトラブルシューティングする方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• Cisco E メール セキュリティ アプライアンス（ESA）
• シスコの高度なマルウェア防御(AMP)

使用するコンポーネント

本書の内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。変更を実稼働ネットワークに適用する前に、変更による潜在的な影響を確認します。

背景説明

添付ファイルを含むメッセージがメール処理パイプライン内の高度なマルウェア防御(AMP)（添付ファイルのスキャンが発生するESAステージ）に到達すると、ESAは添付ファイルの解析を試みます。ESAは、メッセージヘッダーがRequest for Comments(RFC)2045(RFC 2045)に準拠しているかどうかも確認します。 メッセージが完全に準拠していない場合、ESAは引き続きベストエフォート型で添付ファイルの解析を試みます。

次に、ESAは添付ファイルがアーカイブファイルであるかどうかを確認します。その場合、ESAはアンパックを試行します。ESAは、複数の要因を評価して非圧縮サイズを推定し、アーカイブが有効であることを確認します。ESAは、高度に圧縮されたファイルなどの疑わしいアーカイブも検出します。

クラウドレピュテーションのルックアップでファイルレピュテーション判定が使用できず、ファイルが分析基準を満たしている場合、ESAはファイルを検疫し、AMPサンドボックス（クラウドベースのファイル分析環境）にアップロードします。

次に、図に示すように、ESAはAMPサーバへの接続を開き、ファイルをアップロードし、判定の更新を待ちます。

ESAは、次のシナリオに基づいて判定を行います。

• 抽出されたファイルの1つが悪意のあるファイルである場合、ファイルレピュテーションサービスは圧縮ファイルまたはアーカイブファイルに対して「悪意のある」判定を返します。
• 圧縮ファイルまたはアーカイブファイルに悪意があり、抽出されたすべてのファイルがクリーンである場合、ファイルレピュテーションサービスは圧縮ファイルまたはアーカイブファイルに対して「悪意がある」と判定します。
• 展開されたファイルの判定が不明な場合、展開されたファイルはオプションで（構成され、ファイル分析でファイルタイプがサポートされている場合）ファイル分析のために送信されます。
• 抽出されたファイルまたは添付ファイルのいずれかが低リスクの場合、そのファイルはファイル分析に送信されません。
• 圧縮解除中に圧縮ファイルまたはアーカイブファイルの抽出に失敗すると、ファイルレピュテーションサービスは、その圧縮ファイルまたはアーカイブファイルをスキャンできないと判定します。このシナリオで抽出されたファイルの1つが悪意のあるファイルである場合、ファイルレピュテーションサービスは圧縮ファイルまたはアーカイブファイルに対して「Malicious」という判定を返します。悪意のある判定は、スキャン不能な判定よりも優先されます。

CSV、XML、TXTなどの高度に圧縮されたファイルは、ESAにハードコードされている最大ファイルサイズを超える可能性があります。Lempel-Zivなどの圧縮アルゴリズムは、ドキュメント全体の中の文字数と位置をカウントするデジタルマップを生成します。このプロセスでは、非常に小さいサイズのアーカイブ・ファイルを作成できます。

一方、グラフィックやPDF、JPG、PNGなどの形式を含むファイルは、同じように圧縮されません。その結果、通常は元のファイルサイズに近いサイズのままになります。

問題

ESAは、「アーカイブエラー：アーカイブされていないファイルの合計サイズ制限を超えました」という理由で、圧縮された添付ファイルに対するAMPスキャン不能の判定をログに記録します。

環境

• Cisco ESA
• 添付ファイルのスキャンに対してAMPが有効

原因

添付ファイルは、アーカイブされていないファイルの合計サイズに対するESAハードコード制限を超えて拡張される圧縮アーカイブです。圧縮率の高いファイルタイプ（CSV、XML、TXTなど）では、小さなアーカイブを作成できます。展開するとアーカイブが大幅に拡張され、「スキャン不能」判定がトリガーされる可能性があります。

解決方法

目的の処理に基づいて、ユーザ通知または封じ込めおよびレビューのいずれかのオプションを使用します。次に示す検証手順は、使用するオプションを決定するのに役立ちます。

条件を確認するには、前述のメールログエントリのタイプを見つけます。

メールログエントリの例：

Info:   The attachment could not be scanned. File Name = 'ACTS Chopped ISO 88591 encod_NoSchema.XML.zip', MID = 226, SHA256 = 7efa6154b7519872055cff10a69067dcad88562f708b284a390a9abcf5e99b8f, Unscannable Category = Message Error, Unscannable Reason = Archive Error: Exceeded the total size limit of the unarchived files

始める前に：確認してオプションを選択する

1. ESAで、Monitor > Mail Logsの順に移動します。
2. Unscannable Reason = Archive Error: Exceeded the total size limit of the unarchived filesと表示されているメッセージID(MID)を探します。
3. 添付ファイルが.zipファイルなどの圧縮アーカイブであり、解凍するとファイルが大きく展開されることを確認します。
4. メッセージを配信する必要があり、受信者が件名だけで警告が必要な場合は、オプション1を選択します。
5. ポリシーのウイルスおよびアウトブレイク(PVO)隔離で確認するためにメッセージを含める必要がある場合は、オプション2を選択します。
6. 変更を適用した後、代表アーカイブを含むテストメッセージを送信します。Monitor > Mail Logsで予測される動作を確認し、使用している場合は、Policy Virus and Outbreak(PVO)隔離で予測される動作を確認します。

オプション 1スキャンできない添付ファイルの件名タグの先頭への追加

1. ESAで、AMPスキャンが有効になっている場所に応じて、Mail Policies > Incoming Mail PoliciesまたはOutgoing Mail Policiesに移動します。
2. 影響を受けるメッセージを処理するポリシーをクリックします。
3. ポリシーのAMP設定で、スキャン不能添付ファイルに対するアクションを見つけます。
4. Modify Message SubjectをPrependに設定します。
5. 件名のテキストフィールドに、プレフィックス「[AMP Unscannable]」または別の承認済み警告タグを入力します。
6. Submitをクリックして、変更を確定します。
7. 代表アーカイブを含むテストメッセージを送信し、ESAが先頭に付加されたsubjectタグを含むメッセージを配信することを確認します。

オプション 2ポリシーのウイルスおよびアウトブレイク隔離のスキャン不能メッセージの隔離

1. ESAで、AMPスキャンが有効になっている場所に応じて、Mail Policies > Incoming Mail PoliciesまたはOutgoing Mail Policiesに移動します。
2. 影響を受けるメッセージを処理するポリシーをクリックします。
3. ポリシーのAMP設定で、スキャン不能添付ファイルに対するアクションを見つけます。
4. スキャン不能メッセージアクションをQuarantineに設定します。
5. 隔離の宛先として、Policy Virus and Outbreak(PVO)隔離を選択します。
6. Submitをクリックして、変更を確定します。
7. 代表的なアーカイブを含むテストメッセージを送信し、ESAがアナリストレビュー用にメッセージをポリシーのウイルスおよびアウトブレイク(PVO)隔離に配置することを確認します。

関連情報

• ESAでの高度なマルウェア防御のベストプラクティスガイド
• ESAでのファイル分析アップロードの確認
• Cisco ESAの「The File Reputation Service Is Not Reachable」エラーのトラブルシューティング
• シスコのテクニカルサポートとダウンロード

更新履歴

改定	発行日	コメント
1.0	29-Oct-2019	初版