Problemen met AMP oplossen in Secure Web Appliance

Inleiding

In dit document wordt het gedeelte ampverdict beschreven in het logniveau INFO en DEBUG van de Advanced Malware Protection-engine van het Secure Web Appliance.

---

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• AMP is ingeschakeld
• SSH-toegang tot SWA
• SWA geïnstalleerd en in licentie gegeven
• Bestandsreputatie en bestandsanalyse ingeschakeld

---

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

---

Achtergrondinformatie

SWA biedt integratie met AMP voor eindpunten en een lokale AMP-engine. AMP biedt malware bescherming tegen zero-day malware door middel van de File Reputation en File Analysis functies. De SWA bevat een pre-classificatiemotor die verantwoordelijk is voor interne bestandsscans voordat openbare cloudcontroles worden uitgevoerd. De logs die in het volgende gedeelte worden beschreven, zijn gerelateerd aan de AMP-engine op SWA, niet aan de AMP-cloud of het Threat Grid.

---

Problemen oplossen met SWA AMP-logboeken

Toegang tot de AMP-logs. Log in via CLI en tail of grep de amp logs:

1. Log in op de CLI via de SSH-client.

2. Voer de grep-opdracht uit en druk vervolgens op Enter.

3. Voer het nummer in voor amp_logs zoals vermeld.

4. Beantwoord de vragen. Als u live verkeer uitvoert, kiest u de optie om de logs achter te laten.
5. Druk op de toets Enter.

6. De logboeken worden weergegeven.

De SWA AMP logs zijn beschikbaar op verschillende niveaus van detail. U kunt het niveau INFO of DEBUG selecteren. De resultaten hebben kleine verschillen, die in de volgende sectie worden uitgelegd

Opmerking: de AMP-licentie moet op SWA zijn geïnstalleerd om de AMP-logs te selecteren.

AMP INFO-niveaulogboeken:

Wed Apr 27 12:21:26 2022 Info: Txn 18210 Binary scan on instance[0] Id[1345]: AMP allocated memory = 0, AMP used memory = 0, Scans in flight = 1, Active faster connections = 1, Active slower connections = 0
Wed Apr 27 12:21:35 2022 Info: Binary scan on instance[0] id[1345]: filename[npp.8.4.Installer.x64.exe] filemime[application/x-dosexec] file_extension[exe] length[4493047b] ampverdict[(1, 1, 'amp', '', 0, 0, True)] scanverdict[0] malwareverdict[0] spyname[] SHA256[ecdcf497418a1988ebf20c647acadc9eca7bc8569fd980713582acd0de011ba1] From[Cloud] uploadreason[Enqueued in the local queue for submission to upload] verdict_str[FILE UNKNOWN] is_slow[0] scans_in_flight[0] Active faster connections[0] Active slower connections[0]
Wed Apr 27 12:22:28 2022 Info: File uploaded for analysis. Server: https://panacea.threatgrid.com, SHA256: ecdcf497418a1988ebf20c647acadc9eca7bc8569fd980713582acd0de011ba1, Filename: npp.8.4.Installer.x64.exeTimestamp: 1651044116 sampleid[]

---

AMP INFO level logs (ampverdict):

ampverdict[(1, 1, 'amp', '', 0, 0, True)]
(analysis_Action, scan_verdict, ‘verdict_source', ‘spyname’, malware_verdict, file_reputation, upload_action)]

---

AMP DEBUG-niveaulogboeken:

Fri Apr 29 01:38:40 2022 Debug: Binary scan: proxid[3951] filename[favicon.ico] len[41566b] readtime[109.721680ms] scantime[2.205322ms] ampverdict[(1, 1, 'amp', '', 0, 0, False)] scanverdict[0] malwareverdict[0] SHA256[e7a2345c75a03e63202b12301c29bb8b6bae7cef9e191ed58797ec028def7c4f] From[Cloud] FileName[favicon.ico] FileMime[application/octet-stream]

---

AMP DEBUG level logs (ampverdict):

ampverdict[(1, 1, 'amp', '', 0, 0, False)]
ampverdict[(analysis_action, scan_verdict,disposition, ‘spyname: policy name if amp registered with console’, file_reputation, upload_action, ‘sha256', ‘threat_name’)]

---

Opties Gedetailleerd veld versus waarde:

Veld	Waarde
Analysis_action	"0": Geeft aan dat de Advanced Malware Protection geen aanvraag heeft ingediend voor het uploaden van het bestand voor analyse. "1": Geeft aan dat de Advanced Malware Protection wel om het uploaden van het bestand voor analyse heeft gevraagd.
Scan_verdict	"0": Het bestand is niet kwaadaardig. "1": Het bestand is niet gescand vanwege het bestandstype. "2": Bestandsscan is verlopen. "3": Scanfout. Groter dan 3: het bestand is kwaadaardig.
Verdict_source	amp: Bestandsanalyse.
gezindheid	"1": Onbekend. "2": Schoon. "3": Kwaadwillig (amp). "4": Niet scanbaar (niet scanbaar).
spionnenaam	Leeg: Als het AMP-uitbraakbeleid niet wordt gebruikt. Simple_Custom_Detection: Als een AMP-uitbraakbeleid wordt gebruikt.
Upload_action	True: bestand is ingesteld op sandbox. Vals: bestand wordt niet naar de sandbox verzonden.
SHA256	SHA256 van het dossier.
Threat_name	Bedreigingsnaam op basis van AMP-dreigingstypen.

---

Gerelateerde inhoud

• AMP voor eindpunten en dreigingsraster integreren met SWA
• Filtering van bestandsreputatie en bestandsanalyse
• Technische ondersteuning en documentatie – Cisco Systems

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
2.0	22-Oct-2026	Bijgewerkte inleiding, spelling, grammatica, spatiëring, ingevoegde horizontale lijnen naar afzonderlijke secties voor leesbaarheid, vaste URL's om te openen in een nieuwe pagina.
1.0	18-May-2022	Eerste vrijgave