内容

概要

前提条件

トラブルシューティング チェックリスト

追加データ

1.フル・セッション・トラフィック

2.トラブルシューティングファイル

3.パケットキャプチャ(PCAP)

概要

FireSIGHTシステムは、監視対象のネットワークセグメント上で新しいホストを検出すると、イベントを生成します。オペレーティングシステムやサービスが誤って検出されたり、信頼性が低下したりする可能性があります。イベントがUnknownとマークされている場合は、トラフィックが分析されても、オペレーティングシステムが既知のフィンガープリントのいずれとも一致しないことを意味します。このドキュメントでは、Unknownイベントを最小限に抑えるためのチェックリストと推奨事項について説明します。

前提条件

このドキュメントの情報は、次のハードウェアとソフトウェアのバージョンに基づいています。

- FireSIGHTシステム、FirePOWERアプライアンス、およびNGIPS仮想アプライアンス

- ソフトウェア バージョン 5.2 以降

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

トラブルシューティング チェックリスト

FireSIGHTシステムが保留中または不明な状態のイベントを生成している場合は、次の手順に従ってこの問題のトラブルシューティングを開始できます。

注:UnidentifiedホストはUnknownホストとは異なります。未識別ホストとは、オペレーティングシステムを識別するのに十分な情報がシステムによって収集されていないホストのことです。

トラブルシューティングチェックリスト

推奨事項

1. FireSIGHT Management CenterにインストールされているVDBのバージョンは何ですか。

最新のVDBバージョンには、より多くのフィンガープリント情報があります。FireSIGHT Management Centerには常に最新バージョンをインストールすることをお勧めします。

2. FireSIGHTライセンスのホスト制限は何ですか。FireSIGHTによって検出されたホストの数はいくつですか。

ホストの制限を超えると、FireSIGHTシステムは新しいデータが着信したときに最も古いデータをプルーニングします。ホストの制限に達したときに新しいホストをドロップするようにシステムポリシーを設定できます。

3.ホストがFireSIGHT管理対象デバイスから何ホップ離れていますか。

ホストと管理対象デバイスの間のホップカウントが高いほど、ホストはデバイスから遠ざかるため、トラフィックが変更された可能性が高くなり、正確な識別ができなくなります。

4.ホストと管理対象デバイスの間にインラインデバイスはありますか。

ファイアウォール、NATデバイス、ロードバランサ、プロキシサーバなどのインラインデバイスが存在すると、元のTCPまたはIPヘッダー情報が変更される可能性があります。これらの情報は、ホストからの情報の収集の誤認識や未識別の原因になる場合もあります。

5.管理対象デバイスは、任意の非同期ルーティングネットワークのトラフィックを監視していますか。

FireSIGHTシステムが非同期ルーティングトラフィックを監視している場合、セッション全体を確認できない場合があります。

6.サービスに使用される非標準ポートはありますか。非標準ポートに対応するように設定されたカスタムデコーダはありますか。

不適切に設定されたカスタムデコーダは、デフォルトのデコーダと競合する可能性があります。

追加データ

上記のすべての推奨事項に従っても、未知、保留中、または未識別のホストが見つかった場合は、次のデータを分析する必要があります。&コロン；

1.フル・セッション・トラフィック

ホストからの完全なセッショントラフィックが誤って識別されたか、不明または保留中としてマークされている。

2.トラブルシューティングファイル

FireSIGHT Management Centerおよび管理対象デバイスからのファイルのトラブルシューティング管理対象デバイスの場所を示すネットワークマップまたはトポロジが役立ちます。

3.パケットキャプチャ(PCAP)

管理対象デバイスで受信されるパケットは、ホストで発信されたパケットとは異なる場合があります。これは、ホストと管理対象デバイスの間にインラインデバイスを変更するヘッダーが存在する場合に発生します。したがって、ホストと管理対象デバイスの両端からPCAPをキャプチャすることをお勧めします。これにより、2つのPCAPのヘッダーを比較できます。パケット間の不一致は、サービスまたはホストの誤識別を引き起こす可能性があります。