삭제된 기본 호스트 그룹 복구

소개

이 문서에서는 Cisco Secure Network Analytics에서 올바른 호스트 그룹 ID를 복원하여 삭제된 기본 호스트 그룹을 복구하는 방법에 대해 설명합니다. 

환경

• 기본 호스트 그룹 및 Host Classifier 애플리케이션을 사용하는 Cisco Secure Network Analytics 구축에 적용할 수 있습니다.

문제

기본 호스트 그룹이 삭제되고 삭제된 원본을 '대체'하기 위해 동일한 이름을 사용하여 새 호스트 그룹이 생성되면 새 호스트 그룹은 기본 ID 대신 사용자 지정 ID를 사용합니다.

Host Classifier 애플리케이션과 같이 특정 기본 호스트 그룹이 작동해야 하는 기능은 '대체' 호스트 그룹을 탐지하지 못합니다.

기본 호스트 그룹은 2자리 ID(예: 28 또는 30)를 사용하며, 사용자가 생성한 호스트 그룹은 사용자 지정으로 간주되며 5자리 ID(예: 50081)를 사용합니다.

기본 호스트 그룹이 삭제된 다음 사용자 지정 호스트 그룹으로 재생성되는 경우 재생성된 그룹은 5자리 ID를 받습니다.

이로 인해 일부 기능이 실패할 수 있으며, 이 문제를 해결하려면 host-group ID가 기본값과 일치해야 합니다.

해결

방법 1: 기존 백업에서 가져오기(백업이 있는 경우 권장)

삭제하기 전에 host_groups.xml 파일을 백업한 경우 Secure Network Analytics Manager 인터페이스를 통해 백업 파일을 가져와서 삭제된 기본 호스트 그룹을 복원할 수 있습니다.

1. Secure Network Analytics Manager 웹 인터페이스에 로그인합니다.
2. Configure(구성) > System(시스템) > Host Group Management(호스트 그룹 관리)로 이동합니다.
3. Import(가져오기) 옵션을 선택하고 Import All(모두 가져오기)을 선택합니다.
4. 로컬 시스템에서 백업 host_groups.xml 파일을 업로드합니다.
5. API 쿼리를 통해 모든 호스트 그룹을 복원하려면 가져오기를 확인합니다.
6. 필요한 경우 적절한 탐지를 위해 Host Classifier 애플리케이션을 다시 설치합니다.

방법 2: 특정 기본 호스트 그룹 또는 하위 트리 내보내기 및 가져오기

다른 사용자 지정 호스트 그룹을 덮어쓰지 않고 특정 기본 호스트 그룹 또는 하위 트리만 복원하려면 다음 세부 단계를 완료합니다.

1. 임시 도메인 생성

   • SNA(Secure Network Analytics) Manager UI에 로그인합니다.
   • Configure(구성) > System(시스템) > Domains(도메인)로 이동합니다.
   • Add Domain(도메인 추가)을 클릭하고 임시 도메인 이름을 입력한 다음 Default(기본값)를 선택합니다.
   • 새 임시 도메인을 저장합니다.

2. 특정 기본 호스트 그룹 또는 하위 트리 내보내기

   • 방금 생성한 임시 도메인으로 전환합니다.
   • Configure(구성) > Detection(탐지) > Host Group Management(호스트 그룹 관리)로 이동합니다.
   • 내보낼 특정 기본 호스트 그룹 또는 하위 트리를 찾습니다.
   • 선택한 호스트 그룹 또는 하위 트리만 로컬에 저장된 XML 파일로 내보내려면 Export(내보내기) 옵션을 사용합니다.

3. 임시 도메인 삭제

   • Configure(구성) > System(시스템) > Domains(도메인)로 이동합니다.
   • 혼란을 방지하기 위해 임시 도메인을 선택하고 삭제합니다.

4. 내보낸 호스트 그룹 또는 하위 트리를 올바른 트리/하위 트리로 가져오기

   • 기본 호스트 그룹이 삭제된 영향을 받는 도메인으로 전환합니다.
   • Configure(구성) > Detection(탐지) > Host Group Management(호스트 그룹 관리)로 이동합니다.
   • 가져오기 기능을 사용하여 이전에 내보낸 XML 파일을 가져옵니다.
   • 가져올 때 원래 기본 호스트 그룹이 삭제된 위치에 해당하는 올바른 트리 또는 하위 트리 위치를 선택해야 합니다. 이렇게 하면 다른 호스트 그룹을 덮어쓸 수 없습니다.

5. 가져온 호스트 그룹이 기본 2자리 ID를 사용하는지 확인합니다.

   • API 쿼리를 사용하여 필요한 정보를 수집합니다. 설명서는 구성 관리 API에서 확인할 수 있습니다.
   • 응답에서 가져온 호스트 그룹을 찾고 해당 id 필드가 두 자리 기본 ID와 일치하는지 확인합니다.
   • API 사용에 대한 자세한 내용은 Secure Network Analytics API 설명서를 참조하십시오.

6. 호스트 분류자 애플리케이션 탐지 확인

   • 업데이트된 호스트 그룹을 탐지하지 못하면 Host Classifier 애플리케이션을 다시 설치합니다.

방법 3: Cisco TAC에 문의

이러한 방법으로 문제가 해결되지 않거나 질문이 있는 경우 Cisco TAC에 문의하여 추가 지원을 요청하십시오.

원인

삭제된 기본 호스트 그룹을 수동으로 다시 생성하면 시스템에서 5자리 사용자 지정 ID를 할당합니다. Host Classifier 애플리케이션에는 원래 2자리 ID가 필요합니다. 일치하지 않으면 애플리케이션이 호스트 그룹을 탐지하거나 분류할 수 없습니다.

참조:

컨피그레이션 가이드

API Cisco DevNet
TAC 케이스 열기 

개정 이력

개정	게시 날짜	의견
1.0	30-Aug-2022	최초 릴리스