3000エラーを伴うTETRA定義の更新エラーのトラブルシューティング

はじめに

このドキュメントでは、エラー3000エラーを伴うTETRA定義の障害をトラブルシューティングする手順について説明します。

前提条件

要　件

次の項目に関する知識があることが推奨されます。

• Cisco Secure Endpoint

使用するコンポーネント

このドキュメントの情報は、次のハードウェアに基づくものです。

• Cisco Secure Endpointコネクタ（任意のバージョン）
• Wireshark（任意のバージョン）

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

問題

1. エンドポイントで、TETRA定義の更新が「Unable to install updates.Please try again later」というエラーメッセージで失敗します。
   
   
2. Cisco Secure Endpoint Consoleで、前述の障害エラーが表示されます。

   “ネットワークのタイムアウトのため、更新に失敗しました。ネットワーク、ファイアウォール、またはプロキシの設定を確認して、エンドポイントとアップデートサーバの間の接続を確認します。問題が解決しない場合は、シスコサポートに連絡してください。」
   

   
3. debug sfc.exe.logで、「definitions updated failed with error 3000」エラーが表示されます。これは、文書化されているUnknown_Errorを意味します。

   (978223515, +0 ms) Aug 04 07:30:23 [11944]: TETRAUpdateInterface::update updateDir: C:\Program Files\Cisco\AMP\tetra, 20, -3000, -3000, 0, 0, 0
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: ERROR: TETRAUpdateInterface::update Update failed with error -3000
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: PipeSend: sending message to user interface: 26, id: 0
   (978223515, +0 ms) Aug 04 07:30:23 [860]: PipeWrite: waiting on pipe event handle
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: TETRAUpdaterInit defInit: 0, bUpdate: 0
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: TETRAUpdaterInit bUpdate: 0, bReload: 0
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: FASharedPtr<class TETRAUpdateInterface>::ReleaseInstance count: 1
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: PerformTETRAUpdate: bUpdated = FALSE, state: 20, status: -3000
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: PerformTETRAUpdate: sig count: 0, version: 0
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: Config::IsUploadEventEnabled: returns 1, 1
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: AVStat::CopyInternal : engine - 2, defs - 0, first failure - never, last err code - 4294964296, last upd success - never
   (978223515, +0 ms) Aug 04 07:30:23 [11944]: AVStat::CopyInternal : engine - 2, defs - 0, first failure - Thu Aug 4 06:35:16 2022, last err code - 4294964296, last upd success - never

ソリューション

1. コンソールでAMPポリシー>クライアントユーザインターフェイスのAllow user to update TETRA definitionsオプションを有効にしてください。このパラメータを使用すると、トラブルシューティング中に必要に応じてTETRAアップデートをトリガーできます。
   
2. また、エンドポイントまたはAMPポリシーでコネクタとトレイレベルのデバッグログを有効にします。
   
   
3. エンドポイントでUpdate TETRAをクリックしている間に、TETRA定義に対するTETRA更新の成功と失敗の両方のエンドポイントでパケットキャプチャを取得してください。
   
   
4.  TETRAアップデートが成功したエンドポイントでは、パケットキャプチャフィルタを使用して、http.host == "tetra-defs.amp.cisco.com:443"を含むパケットを抽出してから、各パケットの"tcp.stream"に従って"関連トラフィックを分析します。
5. Server Helloパケットでは、Server accepts “TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384”暗号がServer Helloパケットで確認できます。
   
6. Cisco Secure Endpoint TETRAサーバは、言及された暗号のみを受け入れます。
   

   TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
   TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
   TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
   TLS_AES_128_GCM_SHA256

7. TETRAアップデートが失敗したエンドポイントでは、パケットキャプチャで、Client Helloパケットの後にSSLハンドシェイクの致命的なエラーが発生します。
8. Client Helloパケットでは、エンドポイントから提示された暗号を確認できます。
9. また、Get-TlsCipherSuite | ft name PowerShellコマンドを使用して、エンドポイントで有効になっている暗号を相互検証できます。
   
10. ステップ6で説明した暗号がここに記載されていない場合、それがSSLハンドシェイクが失敗する理由です。
11. これを修正するには、グループポリシーのSSL暗号スイートの順序を確認してください。

    Run -> gpedit.msc -> Local Computer Policy -> Computer Configuration -> Administrative Templates -> Network -> SSL Configuration Settings -> SSL Cipher Suite Order -> Edit policy setting

    
12. Cipher Suite OrderをNot ConfiguredまたはDisabledにする必要があります。Enabledに設定されている場合は、ステップ6で説明した暗号をリストに追加します。
    
13. これらの変更を適用し、エンドポイントを再起動して、アプリケーションで変更を利用できるようにします。
14. 再起動が完了したら、Update TETRAを再試行してください。
15. TETRA定義の問題が続く場合は、ログを分析して再度キャプチャしてください。

関連情報

• シスコのテクニカルサポートとダウンロード