Problemen oplossen SLIC Channel Down-systeemalarm

Inleiding

In dit document wordt beschreven hoe u problemen kunt oplossen met de systeemalarmen van Secure Network Analytics (SNA) "SLIC Channel Down".

Voorwaarden

Vereisten

Cisco raadt u aan over basis SNA-kennis te beschikken.

SLIC staat voor Stealthwatch Labs Intelligence Center

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Procedure

Het "SLIC Channel Down"-alarm wordt geactiveerd wanneer de SNA-manager geen feedupdates kan ontvangen van de Threat Intelligence-servers, voorheen SLIC.

Om beter te begrijpen waardoor de updates van de feed zijn onderbroken, gaat u als volgt te werk:

1. Navigeer naar Centraal beheer door u aan te melden bij de Manager (Typ in het adresveld van uw browser https:// en het IP-adres van het toestel. Druk op ENTER.)
2. Selecteer Configureren > Algemeen > Centraal beheer in het hoofdmenu.
3. Klik op het pictogram Ellipsis voor het toestel.
4. Selecteer Toestelstatistieken weergeven.
5. Selecteer in het hoofdmenu Ondersteuning > Bestanden doorbladeren
6. Selecteer op de pagina Bestanden bladeren smc > logs > en klik vervolgens op smc-core.log. 
7. Er wordt een nieuw tabblad geopend met de inhoud smc-core.log. Bekijk dit bestand door te zoeken naarSlicFeedGetter logs.

Veelvoorkomende foutenlogboeken

De meest voorkomende foutenlogboeken in de lijstsmc-core.log met betrekking tot het SLIC Channel Down-alarm zijn:

Time-out voor verbinding

2026-01-01 22:45:39,604 ERROR [SlicFeedGetter] Getting Threat Feed update failed with exception.
org.apache.http.conn.HttpHostConnectException: Connect to lancope.flexnetoperations.com:443 [lancope.flexnetoperations.com/xx.xx.xx.x] failed: Connection timed out (Connection timed out) 

Kan geen geldig certificeringspad voor het aangevraagde doel vinden

2026-01-01 00:27:51,239 ERROR [SlicFeedGetter] Getting Threat Feed update failed with exception.
javax.net.ssl.SSLHandshakeException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

Handschudden mislukt

2026-01-01 20:00:50,227 ERROR [SlicFeedGetter] Getting Threat Feed update failed with exception.
javax.net.ssl.SSLHandshakeException: Handshake failed

saneringsstappen

De updates van de Threat Intelligence Feed kunnen worden onderbroken vanwege verschillende omstandigheden.

Voer de volgende validatiestappen uit om ervoor te zorgen dat uw SNA Manager aan de vereisten voldoet.

Stap 1. Status voor slimme licenties valideren

Navigeer naar Central Management > Smart Licensing en zorg ervoor dat de status van de Threat Feed-licentie Authorizedis.

Stap 2. DNS-resolutie (Domain Name System) controleren

Zorg ervoor dat de SNA-beheerder het IP-adres kan oplossen voor lancope.flexnetoperations.com and esdhttp.flexnetoperations.com

Stap 3. Verbinding met de Threat Intelligence Feed-servers verifiëren

Zorg ervoor dat de SNA-manager toegang heeft tot internet en dat connectiviteit met de volgende Threat Intelligence-servers is toegestaan:

Opmerking: als de SNA-beheerder geen directe internettoegang mag hebben, moet u ervoor zorgen dat de proxyconfiguratie voor internettoegang is geïnstalleerd.

Stap 4. Secure Socket Layer (SSL)-inspectie/decodering uitschakelen

De tweede en derde fout die in het Common Error Logs gedeelte worden beschreven, kan optreden wanneer de SNA-manager niet het juiste identiteitscertificaat of de juiste vertrouwensketen ontvangt die wordt gebruikt door de Threat Intelligence Feed-servers.

Om dit te voorkomen, moet u ervoor zorgen dat er geen SSL-inspectie / -decodering wordt uitgevoerd in uw netwerk (door geschikte firewalls of proxyservers) voor verbindingen tussen de SNA-beheer en de Threat Intelligence-servers die in het Verify Connectivity to the Threat Intelligence Feed Servers gedeelte worden vermeld.

Als u niet zeker weet of SSL-inspectie/decodering in uw netwerk wordt uitgevoerd, kunt u een pakketopname verzamelen tussen het IP-adres van SNA Manager en het IP-adres van de Threat Intelligence Servers en de vastlegging analyseren om het ontvangen certificaat te verifiëren. Voer hiervoor als volgt uit:

Om een packet capture-gebruiker te maken, gebruikt u de toestelconsole (SystemConfig) als sysadmin-gebruiker.

1. Log in op het toestel als sysadmin.
2. Selecteer Geavanceerd > Pakketvastlegging. Als er geen bestaande pakketopnamen zijn, wordt u rechtstreeks naar het configuratiemenu voor pakketopnamen geleid. Als u bestaande pakketopnames hebt, selecteert u Maken om een nieuwe pakketopname te maken.
3. Voer een TCP- of UDP-poortnummer in het veld Poortfilter in. De poort kan zowel de bron als de bestemming zijn. U kunt dit veld leeg laten om het filter in te stellen op "Willekeurig". SLIC gebruikt een tcp/443-verbinding, dus voer 443 in dit veld in. 
4. Geef in het veld Duur (maximaal 900 seconden) het aantal seconden op dat u wilt vastleggen.
   
   

   Opmerking: Zorg ervoor dat u een redelijke hoeveelheid tijd invoert, omdat een extreem groot opnamebestand mogelijk alle vrije ruimte op de harde schijf van het toestel kan verbruiken. Dit veld werkt in combinatie met de instelling Packets. De opname wordt uitgevoerd totdat de duur of het aantal pakketten is bereikt.

5. Geef in het veld Pakketten (maximaal 100.000) het aantal pakketten op dat moet worden vastgelegd voordat de opname wordt beëindigd. Dit veld werkt in combinatie met de instelling Duur. De opname wordt uitgevoerd totdat de duur of het aantal pakketten is bereikt.
6. Klik op OK om de pakketopname te starten.
   

   Tip: Als u een pakketopname abrupt wilt stoppen, kunt u meestal op Ctrl+C drukken.

Om pakketregistratiebestanden te bekijken, downloadt u ze en bekijkt u ze lokaal. Bestanden worden opgeslagen in /lancope/var/tcpdump.

U kunt zich rechtstreeks aanmelden bij het toestel of er toegang toe krijgen via de inventarisatie van Centraal Beheer > Toestelstatistieken bekijken. Ga naar Ondersteuning > Bladeren door bestanden om de pakketopname te downloaden.

Gerelateerde gebreken

Er is één bekend defect dat van invloed kan zijn op de verbinding met SLIC-servers:

• SMC SLIC-communicatie kan een time-out hebben en mislukken als bestemmingspoort 80 is geblokkeerd. Zie Cisco bug ID CSCwe08331

Gerelateerde informatie

• Neem voor meer hulp contact op met het Technical Assistance Centre (TAC). Een geldig supportcontract is vereist: Cisco Worldwide Support Contacts.
• U kunt hier ook de Cisco Security Analytics-community bezoeken.
• Technische ondersteuning en documentatie – Cisco Systems