Problemen oplossen met de fout " Niet-scanbare categorie = Berichtfout, Niet-scanbare reden = Archieffout" in ESA

Inleiding

In dit document wordt beschreven hoe u de fout "Unscannable Category = Message Error, Unscannable Reason = Archive Error: Overschrijding van de totale grootte limiet van de niet-gearchiveerde bestanden" in een Cisco ESA kunt oplossen.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Cisco Email Security Appliance (ESA)
• Cisco Advanced Malware Protection (AMP)

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden gebruikt, zijn gestart met een gewist (standaard) configuratie. Beoordeel de potentiële impact van elke verandering voordat u deze toepast in een productienetwerk.

Achtergrondinformatie

Wanneer een bericht met een bijlage Advanced Malware Protection (AMP) bereikt in de mailverwerkingspijplijn, dat wil zeggen het ESA-stadium waar het scannen van bijlagen plaatsvindt, probeert ESA de bijlage te ontleden. ESA controleert ook de berichtkoppen op naleving van Request for Comments (RFC) 2045 (RFC 2045). Als het bericht niet volledig compatibel is, doet ESA nog steeds een poging om de bijlage te ontleden.

Vervolgens controleert ESA of de bijlage een archiefbestand is. Als dat zo is, probeert ESA het uit te pakken. ESA evalueert meerdere factoren om de ongecomprimeerde grootte te schatten en ervoor te zorgen dat het archief geldig is. ESA detecteert ook verdachte archieven, zoals sterk gecomprimeerde bestanden.

Als er geen uitspraak over de reputatie van een bestand beschikbaar is via het opzoeken van de reputatie van de cloud en het bestand voldoet aan de criteria voor analyse, plaatst ESA het bestand in quarantaine en uploadt het naar de AMP-sandbox, dat wil zeggen de cloud-gebaseerde bestandanalyseomgeving.

ESA opent vervolgens een verbinding met de AMP-servers, uploadt het bestand en wacht op verdict-updates, zoals weergegeven in de afbeelding:

ESA geeft een oordeel op basis van deze scenario’s:

• Als een van de geëxtraheerde bestanden kwaadaardig is, retourneert de bestandsreputatieservice een oordeel van 'Kwaadaardig' voor het gecomprimeerde of het archiefbestand.
• Als het gecomprimeerde of archiefbestand kwaadaardig is en alle geëxtraheerde bestanden schoon zijn, retourneert de bestandsreputatieservice een oordeel van 'kwaadaardig' voor het gecomprimeerde of het archiefbestand.
• Als het oordeel van een van de geëxtraheerde bestanden onbekend is, worden de geëxtraheerde bestanden optioneel (indien geconfigureerd en het bestandstype wordt ondersteund voor bestandsanalyse) verzonden voor bestandsanalyse.
• Als het oordeel over een van de geëxtraheerde bestanden of bijlagen laag risico is, wordt het bestand niet verzonden voor bestandsanalyse.
• Als de extractie mislukt voor een gecomprimeerd of archiefbestand tijdens de decompressie, geeft de bestandsreputatieservice een oordeel van niet-scanbaar voor dat gecomprimeerde of archiefbestand. Als een van de geëxtraheerde bestanden in dit scenario kwaadaardig is, retourneert de bestandsreputatieservice een oordeel van 'Kwaadaardig' voor het gecomprimeerde of archiefbestand. Het kwaadaardige vonnis heeft voorrang op het niet-scanbare vonnis.

Sterk gecomprimeerde bestanden zoals CSV, XML en TXT kunnen de maximale bestandsgrootte overschrijden die is gecodeerd in ESA. Compressie-algoritmen zoals Lempel-Ziv, genereren een digitale kaart die het aantal en de positie van tekens in het volledige document telt. Dit proces kan zeer kleine archiefbestandsgrootten produceren.

Bestanden die afbeeldingen of indelingen zoals PDF, JPG en PNG bevatten, worden daarentegen niet op dezelfde manier gecomprimeerd. Hierdoor blijven ze meestal dicht bij hun oorspronkelijke bestandsgrootte.

uitgifte

ESA logt een AMP unscannable vonnis voor een gecomprimeerde bijlage met de reden "Archive Error: Overschrijding van de totale grootte limiet van de niet-gearchiveerde bestanden."

milieu

• Cisco ESA
• AMP ingeschakeld voor het scannen van bijlagen

Oorzaak

De bijlage is een gecomprimeerd archief dat verder reikt dan de hardcoded limiet van ESA voor de totale grootte van niet-gearchiveerde bestanden. Zeer comprimeerbare bestandstypen (bijvoorbeeld CSV, XML en TXT) kunnen kleine archieven produceren die aanzienlijk worden uitgebreid wanneer ze worden uitgepakt, wat een 'Unscannable'-vonnis kan veroorzaken.

Oplossing

Gebruik een van deze opties op basis van de gewenste verwerking: gebruikersmelding of insluiting en beoordeling. De getoonde verificatiestappen helpen bepalen welke optie moet worden gebruikt.

Om de voorwaarde te bevestigen, zoekt u het genoemde type postlogboekvermelding.

Voorbeeld van een e-maillogbericht:

Info:   The attachment could not be scanned. File Name = 'ACTS Chopped ISO 88591 encod_NoSchema.XML.zip', MID = 226, SHA256 = 7efa6154b7519872055cff10a69067dcad88562f708b284a390a9abcf5e99b8f, Unscannable Category = Message Error, Unscannable Reason = Archive Error: Exceeded the total size limit of the unarchived files

Voordat u begint: verifieer en kies een optie

1. Navigeer in ESA naar Monitor > Mail Logs.
2. Zoek het bericht-ID (MID) dat Unscannable Reason = Archive Error toont: De limiet voor de totale grootte van de niet-gearchiveerde bestanden is overschreden.
3. Bevestig dat de bijlage een gecomprimeerd archief is, bijvoorbeeld een .zip-bestand, en dat deze aanzienlijk wordt uitgebreid wanneer deze wordt uitgepakt.
4. Kies optie 1 als het bericht moet worden afgeleverd en de ontvanger alleen een waarschuwing in de onderwerpregel nodig heeft.
5. Kies optie 2 als het bericht moet worden opgenomen voor beoordeling in de PVO-quarantaine.
6. Nadat u de wijziging hebt toegepast, stuurt u een testbericht met een representatief archief. Verifieer het verwachte gedrag in Monitor > Mail Logs en, indien gebruikt, in de quarantaine voor beleidsvirussen en -uitbraken (PVO).

Optie 1. Een onderwerptag voorbereiden voor niet-scanbare bijlagen

1. Navigeer in ESA naar Mail Policies > Incoming Mail Policies of Outgoing Mail Policies, afhankelijk van waar AMP-scannen is ingeschakeld.
2. Klik op het beleid waarmee het betreffende bericht wordt afgehandeld.
3. Zoek in de AMP-instellingen voor het beleid de actie voor Niet-scanbare bijlagen.
4. Stel Berichtonderwerp wijzigen in op Vooraf.
5. Voer in het veld Onderwerptekst het voorvoegsel [AMP Unscannable] of een andere goedgekeurde waarschuwingstag in.
6. Klik op Verzenden en wijzig de wijziging.
7. Stuur een testbericht met een representatief archief en controleer of ESA het bericht met de vooraf ingestelde onderwerptag aflevert.

Optie 2. Quarantaine niet-scanbare berichten in het beleid Virus en uitbraak Quarantaine

1. Navigeer in ESA naar Mail Policies > Incoming Mail Policies of Outgoing Mail Policies, afhankelijk van waar AMP-scannen is ingeschakeld.
2. Klik op het beleid waarmee het betreffende bericht wordt afgehandeld.
3. Zoek in de AMP-instellingen voor het beleid de actie voor Niet-scanbare bijlagen.
4. Stel de actie voor het niet-scanbare bericht in op Quarantaine.
5. Kies de PVO-quarantaine (Policy Virus and Outbreak) als quarantainebestemming.
6. Klik op Verzenden en wijzig de wijziging.
7. Stuur een testbericht met een representatief archief en controleer of ESA het bericht in de PVO-quarantaine plaatst voor analyse.

Gerelateerde informatie

• Best Practice Guide for Advanced Malware Protection on ESA
• Bestandsanalyse-uploads op ESA verifiëren
• Problemen oplossen "De bestandsreputatieservice is niet bereikbaar" Fout op Cisco ESA
• Cisco Technical Support en downloads

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
1.0	29-Oct-2019	Eerste vrijgave