오류 트러블슈팅 "검사 불가 범주 = 메시지 오류, 검사 불가 사유 = 아카이브 오류 " ESA

다운로드 옵션

  • PDF     (420.2 KB)
    다양한 디바이스에서 Adobe Reader로 보기
업데이트:2019년 8월 5일
문서 ID:214937

편견 없는 언어

본 제품에 대한 문서 세트는 편견 없는 언어를 사용하기 위해 노력합니다. 본 설명서 세트의 목적상, 편견 없는 언어는 나이, 장애, 성별, 인종 정체성, 민족 정체성, 성적 지향성, 사회 경제적 지위 및 교차성에 기초한 차별을 의미하지 않는 언어로 정의됩니다. 제품 소프트웨어의 사용자 인터페이스에서 하드코딩된 언어, RFP 설명서에 기초한 언어 또는 참조된 서드파티 제품에서 사용하는 언어로 인해 설명서에 예외가 있을 수 있습니다. 시스코에서 어떤 방식으로 포용적인 언어를 사용하고 있는지 자세히 알아보세요.

이 번역에 관하여

Cisco는 전 세계 사용자에게 다양한 언어로 지원 콘텐츠를 제공하기 위해 기계 번역 기술과 수작업 번역을 병행하여 이 문서를 번역했습니다. 아무리 품질이 높은 기계 번역이라도 전문 번역가의 번역 결과물만큼 정확하지는 않습니다. Cisco Systems, Inc.는 이 같은 번역에 대해 어떠한 책임도 지지 않으며 항상 원본 영문 문서(링크 제공됨)를 참조할 것을 권장합니다.

소개

이 문서에서는 "검사 불가 범주 = 메시지 오류, 검사 불가 사유 = 아카이브 오류: Cisco ESA에서 "보관되지 않은 파일의 총 크기 제한"을 초과했습니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

  • Cisco ESA(Email Security Appliance)
  • Cisco AMP(Advanced Malware Protection)

사용되는 구성 요소

이 문서는 특정 소프트웨어 및 하드웨어 버전으로 한정되지 않습니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 변경 사항을 프로덕션 네트워크에 적용하기 전에 해당 변경 사항의 잠재적 영향을 검토하십시오.

배경 정보

첨부 파일이 있는 메시지가 메일 처리 파이프라인의 AMP(Advanced Malware Protection)에 도달하면(즉, 첨부 파일 검사가 발생하는 ESA 단계) ESA는 첨부 파일의 구문 분석을 시도합니다. ESA는 또한 메시지 헤더가 RFC(Request for Comments) 2045(RFC 2045)를 준수하는지 여부를 확인합니다. 메시지가 완전히 호환되지 않으면 ESA는 여전히 첨부 파일을 구문 분석하기 위해 최선의 노력을 기울입니다.

다음으로, ESA는 첨부 파일이 아카이브 파일인지 확인합니다. 이 경우 ESA는 압축을 풀려고 시도합니다. ESA는 압축되지 않은 크기를 추정하고 아카이브가 유효한지 확인하기 위해 여러 요소를 평가합니다. ESA는 또한 고도로 압축된 파일과 같은 의심스러운 아카이브를 탐지합니다.

클라우드 평판 조회에서 사용 가능한 파일 평판 판정이 없고 파일이 분석 기준을 충족하는 경우 ESA는 파일을 격리하고 AMP 샌드박스, 즉 클라우드 기반 파일 분석 환경에 업로드합니다.

그런 다음 ESA는 이미지에 표시된 대로 AMP 서버에 대한 연결을 열고 파일을 업로드한 다음 판정 업데이트를 기다립니다.

AMP Analysis

ESA는 다음 시나리오를 기반으로 판정을 제공합니다.

  • 추출된 파일 중 하나가 악의적인 경우 파일 평판 서비스는 압축 파일 또는 아카이브 파일에 대해 'Malicious' 판정을 반환합니다.
  • 압축 또는 아카이브 파일이 악의적이고 추출된 모든 파일이 안전한 경우 파일 평판 서비스는 압축 또는 아카이브 파일에 대해 'Malicious' 판정을 반환합니다.
  • 추출된 파일의 판정을 알 수 없는 경우, 추출된 파일은 선택적으로 파일 분석을 위해 전송됩니다(구성된 경우 파일 유형이 파일 분석을 위해 지원됨).
  • 추출된 파일 또는 첨부 파일의 판정이 위험도가 낮은 경우 파일 분석을 위해 파일이 전송되지 않습니다.
  • 압축을 푸는 동안 압축 또는 아카이브 파일의 추출이 실패하면 파일 평판 서비스는 해당 압축 또는 아카이브 파일에 대해 검사 불가 판정을 반환합니다. 이 시나리오에서 추출된 파일 중 하나가 악의적인 경우 파일 평판 서비스는 압축 또는 아카이브 파일에 대해 'Malicious' 판정을 반환합니다. 악성 판정은 검사 불가 판정보다 우선합니다.

CSV, XML, TXT와 같이 고도로 압축된 파일은 ESA로 하드코딩되는 최대 파일 크기를 초과할 수 있습니다. Lempel-Ziv와 같은 압축 알고리즘은 전체 문서 내에서 문자의 수와 위치를 계산하는 디지털 맵을 생성합니다. 이 프로세스는 매우 작은 아카이브 파일 크기를 생성할 수 있습니다.

반면 PDF, JPG, PNG 등의 그래픽이나 형식이 포함된 파일은 동일한 방식으로 압축되지 않습니다. 따라서 일반적으로 원래 파일 크기에 가깝게 유지됩니다.

문제

ESA는 "Archive Error: 보관되지 않은 파일의 총 크기 제한을 초과했습니다."

환경

  • Cisco ESA
  • 첨부 파일 검사를 위해 AMP 활성화

원인

첨부 파일은 아카이브되지 않은 파일의 전체 크기에 대해 ESA 하드코딩된 제한을 초과하여 확장되는 압축 아카이브입니다. 압축성이 높은 파일 유형(예: CSV, XML, TXT)은 압축을 풀면 크게 확장되는 작은 아카이브를 생성할 수 있으며, 이는 '검사 불가' 판정을 트리거할 수 있습니다.

솔루션

원하는 처리를 기준으로 다음 옵션 중 하나를 사용합니다. 사용자 알림 또는 억제 및 검토. 표시된 확인 단계는 사용할 옵션을 결정하는 데 도움이 됩니다.

조건을 확인하려면 메일 로그 항목의 언급된 유형을 찾습니다.

메일 로그 항목의 예:

Info:   The attachment could not be scanned. File Name = 'ACTS Chopped ISO 88591 encod_NoSchema.XML.zip', MID = 226, SHA256 = 7efa6154b7519872055cff10a69067dcad88562f708b284a390a9abcf5e99b8f, Unscannable Category = Message Error, Unscannable Reason = Archive Error: Exceeded the total size limit of the unarchived files

시작하기 전에: 옵션 확인 및 선택

  1. ESA에서 Monitor(모니터링) > Mail Logs(메일 로그)로 이동합니다.
  2. 검사할 수 없는 사유 = 아카이브 오류를 표시하는 메시지 ID(MID)를 찾습니다. 보관되지 않은 파일의 총 크기 제한을 초과했습니다.
  3. 첨부 파일이 압축 아카이브(예: .zip 파일)이고 압축을 풀면 상당히 확장되는지 확인합니다.
  4. 메시지를 전달해야 하고 수신자가 제목 줄에 경고만 있으면 옵션 1을 선택합니다.
  5. PVO(Policy Virus and Outbreak) 격리에서 검토하기 위해 메시지를 포함해야 하는 경우 옵션 2를 선택합니다.
  6. 변경 사항을 적용한 후 대표 아카이브와 함께 테스트 메시지를 보냅니다. Monitor > Mail Logs(모니터> 메일 로그) 및 PVO(Policy Virus and Outbreak) 격리에서 예상 동작을 확인합니다.

옵션 1. 검사할 수 없는 첨부 파일에 제목 태그 추가

  1. AMP 검사가 활성화된 위치에 따라 ESA에서 Mail Policies(메일 정책) > Incoming Mail Policies(수신 메일 정책) 또는 Outgoing Mail Policies(발신 메일 정책)로 이동합니다.
  2. 영향을 받는 메시지를 처리하는 정책을 클릭합니다.
  3. 정책에 대한 AMP 설정에서 검사 불가 첨부 파일에 대한 작업을 찾습니다.
  4. Modify Message Subject(메시지 제목 수정)를 Prepend로 설정합니다.
  5. 제목 텍스트 필드에 접두사 [AMP Unscannable] 또는 다른 승인된 경고 태그를 입력합니다.
  6. Submit(제출)을 클릭하고 변경 사항을 커밋합니다.
  7. 대표 아카이브와 함께 테스트 메시지를 보내고 ESA에서 앞에 제목 태그가 추가된 메시지를 전달하는지 확인합니다.
note-icon

참고: 메시지 전달을 계속해야 하지만 수신자에게 AMP가 첨부 파일을 분석하지 않았다는 명확한 경고가 필요한 경우 이 옵션을 사용합니다.

AMP Suggestion

옵션 2. 검사 불가능한 메시지를 정책 바이러스 및 Outbreak 격리로 격리

  1. AMP 검사가 활성화된 위치에 따라 ESA에서 Mail Policies(메일 정책) > Incoming Mail Policies(수신 메일 정책) 또는 Outgoing Mail Policies(발신 메일 정책)로 이동합니다.
  2. 영향을 받는 메시지를 처리하는 정책을 클릭합니다.
  3. 정책에 대한 AMP 설정에서 검사 불가 첨부 파일에 대한 작업을 찾습니다.
  4. 검사할 수 없는 메시지 작업을 Quarantine(격리)으로 설정합니다.
  5. PVO(Policy Virus and Outbreak) 격리를 격리 대상으로 선택합니다.
  6. Submit(제출)을 클릭하고 변경 사항을 커밋합니다.
  7. 대표 아카이브와 함께 테스트 메시지를 보내고 ESA에서 분석가 검토를 위해 메시지를 PVO(Policy Virus and Outbreak) 격리에 배치하는지 확인합니다.
note-icon

참고: 메시지가 수신자에게 전달되는 대신 추가 분석을 위해 포함되어야 하는 경우 이 옵션을 사용합니다.

관련 정보

개정 이력

개정 게시 날짜 의견
1.0
29-Oct-2019
최초 릴리스
TAC Authored

Cisco 엔지니어가 작성

  • 아론 베가
    Cisco TAC 엔지니어
  • 앨런 마코라
    Cisco TAC 엔지니어

이 문서가 도움이 되셨습니까?

Feedback피드백

지원 문의

이 문서가 적용되는 제품