セキュアWebアプライアンスのAMPのトラブルシューティング

概要

このドキュメントでは、Secure Web ApplianceのAdvanced Malware Protection(AMP)エンジンのINFOおよびDEBUGログレベルにある「ampverdict」セクションについて説明します。

---

前提条件

要件

次の項目に関する知識があることが推奨されます。

• AMPが有効
• SWAへのSSHアクセス
• SWAのインストールとライセンス
• ファイルレピュテーションとファイル分析の有効化

---

使用するコンポーネント

本書の内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

---

背景説明

SWAは、エンドポイント用AMPおよびローカルAMPエンジンとの統合を提供します。AMP は、ファイルレピュテーション機能とファイル分析機能を通じて、ゼロデイマルウェアに対するマルウェア防御を提供します。 SWAには、パブリッククラウドチェックの前に内部でファイルスキャンを実行する事前分類エンジンが含まれています。次のセクションで説明するログは、AMPクラウドまたはThreat Gridではなく、SWA上のAMPエンジンに関連しています。

---

SWA AMPログのトラブルシューティング

AMPログにアクセスします。CLIを使用してログインし、ampログをtailまたはgrepします。

1. SSHクライアントを介してCLIにログインします。

2.grepコマンドを実行し、Enterキーを押します。

3. 表示されたamp_logsの番号を入力します。

4. プロンプトに応答します。ライブトラフィックを実行している場合は、ログをtailするオプションを選択します。
5. Enterキーを押します。

6. ログが表示されます。

SWA AMPログはさまざまな詳細レベルで利用できます。INFOレベルまたはDEBUGレベルを選択できます。結果にはわずかな違いがありますが、次のセクションで説明します

注:AMPログを選択するには、AMPライセンスをSWAにインストールする必要があります。

AMP情報レベルログ：

Wed Apr 27 12:21:26 2022 Info: Txn 18210 Binary scan on instance[0] Id[1345]: AMP allocated memory = 0, AMP used memory = 0, Scans in flight = 1, Active faster connections = 1, Active slower connections = 0
Wed Apr 27 12:21:35 2022 Info: Binary scan on instance[0] id[1345]: filename[npp.8.4.Installer.x64.exe] filemime[application/x-dosexec] file_extension[exe] length[4493047b] ampverdict[(1, 1, 'amp', '', 0, 0, True)] scanverdict[0] malwareverdict[0] spyname[] SHA256[ecdcf497418a1988ebf20c647acadc9eca7bc8569fd980713582acd0de011ba1] From[Cloud] uploadreason[Enqueued in the local queue for submission to upload] verdict_str[FILE UNKNOWN] is_slow[0] scans_in_flight[0] Active faster connections[0] Active slower connections[0]
Wed Apr 27 12:22:28 2022 Info: File uploaded for analysis. Server: https://panacea.threatgrid.com, SHA256: ecdcf497418a1988ebf20c647acadc9eca7bc8569fd980713582acd0de011ba1, Filename: npp.8.4.Installer.x64.exeTimestamp: 1651044116 sampleid[]

---

AMP情報レベルログ(ampverdict):

ampverdict[(1, 1, 'amp', '', 0, 0, True)]
(analysis_Action, scan_verdict, ‘verdict_source', ‘spyname’, malware_verdict, file_reputation, upload_action)]

---

AMPデバッグレベルのログ：

Fri Apr 29 01:38:40 2022 Debug: Binary scan: proxid[3951] filename[favicon.ico] len[41566b] readtime[109.721680ms] scantime[2.205322ms] ampverdict[(1, 1, 'amp', '', 0, 0, False)] scanverdict[0] malwareverdict[0] SHA256[e7a2345c75a03e63202b12301c29bb8b6bae7cef9e191ed58797ec028def7c4f] From[Cloud] FileName[favicon.ico] FileMime[application/octet-stream]

---

AMPデバッグレベルログ(ampverdict):

ampverdict[(1, 1, 'amp', '', 0, 0, False)]
ampverdict[(analysis_action, scan_verdict,disposition, ‘spyname: policy name if amp registered with console’, file_reputation, upload_action, ‘sha256', ‘threat_name’)]

---

フィールドと値の詳細オプション：

フィールド	値
分析_アクション	「0」：高度なマルウェア防御(AMP)が分析用ファイルのアップロードを要求しなかったことを示します。0 「1」：高度なマルウェア防御(AMP)が分析用ファイルのアップロードを要求したことを示します。
スキャン判定(_V)	"0"：ファイルに悪意はありません。 "1"：ファイルの種類が原因で、ファイルはスキャンされませんでした。 "2"：ファイルスキャンがタイムアウトしました。 “3”：スキャンエラー。 3より大きい：ファイルに悪意があります。
判定ソース	amp：ファイル分析。
評価	“1”：不明 「2」：クリーン 「3インチ：悪意のある(amp)。 “4”：スキャン不能（スキャン不能）。
Spyname（別名）	Empty:AMPアウトブレイクポリシーが使用されていない場合。 Simple_Custom_Detection:AMPアウトブレイクポリシーが使用されているかどうか
アップロード_アクション	True：ファイルがサンドボックスに設定されています。 False：ファイルはサンドボックスに送信されません。
Sha256	ファイルのSHA256。
Threat_name（脅威名）	AMP脅威タイプに基づく脅威名。

---

関連コンテンツ

• AMP for EndpointsとThreat GridをSWAと統合
• ファイルレピュテーションフィルタリングおよびファイル分析
• テクニカル サポートとドキュメント – Cisco Systems

更新履歴

改定	発行日	コメント
2.0	22-Oct-2026	概要、スペル、文法、スペース、読みやすさを考慮したセクションの区切りに挿入された水平線、新しいページで開く固定URLを更新。
1.0	18-May-2022	初版