SLIC 채널 중단 시스템 경보 문제 해결

소개

이 문서에서는 SNA(Secure Network Analytics) "SLIC Channel Down" 시스템 경보의 문제를 해결하는 방법에 대해 설명합니다.

사전 요구 사항

요구 사항

Cisco에서는 기본 SNA 지식이 있는 것을 권장합니다.

SLIC는 "Stealthwatch Labs Intelligence Center"의 약자입니다.

사용되는 구성 요소

이 문서는 특정 소프트웨어 및 하드웨어 버전으로 한정되지 않습니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

절차

"SLIC Channel Down" 경보는 SNA Manager가 이전에 SLIC였던 Threat Intelligence Server에서 피드 업데이트를 가져올 수 없을 때 트리거됩니다.

피드 업데이트가 중단된 원인을 더 잘 이해하려면 다음과 같이 진행합니다.

1. Manager에 로그인하여 Central Management로 이동합니다(브라우저 주소 필드에 https:// 및 어플라이언스 IP 주소 입력). Enter를 누릅니다.)
2. 주 메뉴에서 Configure(구성) > Global(전역) > Central Management(중앙 관리)를 선택합니다.
3. 어플라이언스의 Ellipsis 아이콘을 클릭합니다.
4. View Appliance Statistics를 선택합니다.
5. 주 메뉴에서 Support > Browse Files를 선택합니다
6. Browse Files(파일 찾아보기) 페이지에서 smc > logs(로그) > 를 선택한 다음 smc-core.log를 클릭합니다. 
7. smc-core.log 내용이 포함된 새 탭이 열립니다. 로그를 검색하여 이 파일을SlicFeedGetter 검토합니다.

일반 오류 로그

SLIC 채널 중단 알람과 관련된smc-core.log 의 가장 일반적인 오류 로그는 다음과 같습니다.

연결 시간 초과

2026-01-01 22:45:39,604 ERROR [SlicFeedGetter] Getting Threat Feed update failed with exception.
org.apache.http.conn.HttpHostConnectException: Connect to lancope.flexnetoperations.com:443 [lancope.flexnetoperations.com/xx.xx.xx.x] failed: Connection timed out (Connection timed out) 

요청된 대상에 대한 유효한 인증 경로를 찾을 수 없습니다.

2026-01-01 00:27:51,239 ERROR [SlicFeedGetter] Getting Threat Feed update failed with exception.
javax.net.ssl.SSLHandshakeException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

핸드셰이크 실패

2026-01-01 20:00:50,227 ERROR [SlicFeedGetter] Getting Threat Feed update failed with exception.
javax.net.ssl.SSLHandshakeException: Handshake failed

리미디에이션 단계

다른 조건으로 인해 위협 인텔리전스 피드 업데이트가 중단될 수 있습니다.

다음 검증 단계를 수행하여 SNA Manager가 요구 사항을 충족하는지 확인합니다.

1단계. Smart Licensing 상태 확인

로 Central Management > Smart Licensing 이동하여 Threat Feed License의 상태가 Authorized인지 확인합니다.

2단계. DNS(도메인 이름 시스템) 확인

SNA Manager가 다음에 대한 IP 주소를 성공적으로 확인할 수 있는지 확인합니다. lancope.flexnetoperations.com and esdhttp.flexnetoperations.com

3단계. 위협 인텔리전스 피드 서버에 대한 연결 확인

SNA Manager에 인터넷 액세스가 있고 다음에 나열된 위협 인텔리전스 서버에 대한 연결이 허용되는지 확인합니다.

참고: SNA Manager가 직접 인터넷 액세스를 허용하지 않는 경우 인터넷 액세스를 위한 프록시 컨피그레이션이 있는지 확인하십시오.

4단계. SSL(Secure Socket Layer) 검사/암호 해독 비활성화

이 섹션에서 설명하는 두 번째 및 세 번째 오류는 SNA 관리자가 위협 인텔리전스 피드 서버에서 사용하는 올바른 ID 인증서 또는 올바른 신뢰 체인을 수신하지 못할 때 Common Error Logs 발생할 수 있습니다.

이를 방지하려면 이 섹션에 나열된 SNA Manager와 위협 인텔리전스 서버 간의 연결에 대해 네트워크 전체에서(사용 가능한 방화벽 또는 프록시 서버에 의해) SSL 검사/암호 해독이 수행되지 않도록 Verify Connectivity to the Threat Intelligence Feed Servers 합니다.

네트워크에서 SSL 검사/암호 해독이 수행되는지 확신할 수 없는 경우 SNA Manager IP 주소와 Threat Intelligence Servers IP 주소 간에 패킷 캡처를 수집하고 캡처를 분석하여 수신한 인증서를 확인할 수 있습니다. 이를 위해 다음과 같이 수행합니다.

패킷 캡처 사용자를 어플라이언스 콘솔(SystemConfig)에 sysadmin 사용자로 생성합니다.

1. 어플라이언스에 sysadmin으로 로그인합니다.
2. Advanced(고급) > Packet Capture(패킷 캡처)를 선택합니다. 기존 패킷 캡처가 없는 경우 패킷 캡처 컨피그레이션 메뉴로 바로 이동합니다. 기존 패킷 캡처가 있는 경우 Create(생성)를 선택하여 새 패킷 캡처를 생성합니다.
3. Port Filter 필드에 TCP 또는 UDP 포트 번호를 입력합니다. 포트는 소스 또는 대상일 수 있습니다. 필터를 "Any"로 설정하려면 이 필드를 비워 둘 수 있습니다. SLIC는 tcp/443 연결을 사용하므로 이 필드에 443을 입력합니다. 
4. Duration(900초 Max) 필드에 패킷 캡처를 수행할 시간(초)을 지정합니다.
   
   

   참고: 매우 큰 캡처 파일은 어플라이언스의 하드 디스크에서 사용 가능한 모든 공간을 잠재적으로 사용할 수 있으므로 적절한 시간을 입력해야 합니다. 이 필드는 Packets 설정과 함께 작동합니다. 캡처는 Duration(기간) 또는 Number of Packets(패킷 수)에 도달할 때까지 실행됩니다.

5. Packets (100,000 max) 필드에서 캡처를 종료하기 전에 캡처할 패킷 수를 지정합니다. 이 필드는 기간 설정과 함께 작동합니다. 캡처는 Duration(기간) 또는 Number of Packets(패킷 수)에 도달할 때까지 실행됩니다.
6. OK(확인)를 클릭하여 패킷 캡처를 시작합니다.
   

   팁: 패킷 캡처를 갑자기 중지하려면 일반적으로 Ctrl+C를 누를 수 있습니다.

패킷 캡처 파일을 보려면 해당 파일을 다운로드하고 로컬에서 확인합니다. 파일은 /lancope/var/tcpdump에 저장됩니다.

어플라이언스에 직접 로그인하거나 Central Manager 인벤토리 > View Appliance Statistics를 통해 액세스할 수 있습니다. Support(지원) > Browse Files(파일 찾아보기)로 이동하여 패킷 캡처를 다운로드합니다.

관련 결함

SLIC 서버와의 연결에 영향을 줄 수 있는 한 가지 알려진 결함이 있습니다.

• 대상 포트 80이 차단된 경우 SMC SLIC 통신이 시간 초과되어 실패할 수 있습니다. Cisco 버그 ID CSCwe를 참조하십시오08331

관련 정보

• 추가 지원이 필요한 경우 TAC(Technical Assistance Center)에 문의하십시오. 유효한 지원 계약이 필요합니다. Cisco Worldwide Support 연락처
• 여기서 Cisco Security Analytics Community를 방문할 수도 있습니다.
• 기술 지원 및 문서 − Cisco Systems