Bekende problemen met Cisco XDR

Inleiding

In dit artikel worden momenteel bekende technische problemen voor Cisco XDR beschreven.

Technische problemen kunnen worden erkend door Cisco, worden beoordeeld, in afwachting van een oplossing of worden geacht te werken zoals verwacht.

Bekende problemen:

Incidenten

Er zijn momenteel geen problemen met deze XDR-functionaliteit bekend.

Onderzoeken

Er zijn momenteel geen problemen met deze XDR-functionaliteit bekend.

controlecentrum

Er zijn momenteel geen problemen met deze XDR-functionaliteit bekend.

Cisco-integraties

1. Cisco XDR - Volledige integratie van Cisco Secure Firewall

Details: Voor een naadloze integratie tussen Cisco Defense Orchestrator (CDO), Security Services Exchange (SSX) en Security Analytics and Logging (SAL) is handmatige toewijzing vereist. Dit proces omvat het contact opnemen met Cisco TAC om de nodige configuraties en toewijzingen uit te voeren.

Oplossing: neem contact op met TAC om te helpen bij het koppelen van de relevante rekeningen en het waarborgen van een goede integratie van de systemen.

Verwachte resolutie: Nog te bepalen

Integraties van derden

1.- Microsoft-klanten met G-type licenties kunnen de XDR Microsoft-integraties niet gebruiken.

Status: Werken zoals ontworpen

Bijzonderheden: Microsoft G-type rechten worden alleen voor overheidsinstanties verleend in gecontroleerde omgevingen.

Volgende stappen: Cisco werkt samen met Microsoft om inzicht te krijgen in de vereisten om te integreren met de Microsoft GCC-omgeving waarin Microsoft G-type rechten worden aangeboden. Indien haalbaar, Cisco XDR is van plan te integreren met Microsoft G-type licenties voor Microsoft Defender voor Endpoint, O365 en EntraID.

Verwachte oplossing: opgelost, integratie hier beschikbaar.

activa

Er zijn momenteel geen problemen met deze XDR-functionaliteit bekend.

XDR automatiseren

Er zijn momenteel geen problemen met deze XDR-functionaliteit bekend.

Apparaten/sensoren

Er zijn momenteel geen problemen met deze XDR-functionaliteit bekend.

Beveiligde client

Om de problemen voor Secure Client te raadplegen, volgt u het artikel.

XDR Forensics

1.- Het uitvoeren van XDR Forensics-acties wanneer een asset in XDR Incident niet is opgelost, maar de Forensics-module wel is geïnstalleerd

Status: Onderzocht

Details: XDR Forensics is afhankelijk van activa die moeten worden opgelost binnen een XDR-incident voordat forensische acties kunnen worden uitgevoerd op een actief van een tabblad Bewijsmateriaal van een incident.  Als Cisco XDR niet in staat is om een actief in een XDR-incident op te lossen, voorkomt dit dat XDR Forensics bewijsverkrijging beschikbaar is vanaf het incident.

Oplossing: draai van Cisco XDR-console naar XDR Forensics om de forensische actie uit te voeren.Klik in het linkernavigatiemenu van Cisco XDR op Onderzoeken > Forensisch onderzoek

Klik in XDR Forensics op Assets in het linkernavigatiemenu, selecteer de juiste asset en verkrijg bewijs en/of gewenste actie.Selecteer de juiste case in het vervolgkeuzemenu, zodat deze automatisch wordt gekoppeld aan het XDR-incident.

Volgende stappen: Nog te bepalen

Resolutie: Nog te bepalen

Tracking CDET: CSCwr69610

2.- XDR Forensics-bewerkingen kunnen worden geblokkeerd door Cisco Secure Endpoint of de endpoint-isolatieresponsactie van een andere endpoint-beveiligingsoplossing.

Status: Onderzocht

Details: XDR Forensics kan worden geblokkeerd door Cisco Secure Endpoint, EDR of de isolatiehandhaving van een andere endpoint-beveiligingstool.Zorg ervoor dat de juiste uitsluitingen en machtigingslijsten voor XDR Forensics zijn geconfigureerd voor het beveiligingshulpmiddel voor het eindpunt.

Tijdelijke oplossing:

(Voorbeeld gebaseerd op de isolatiefunctie van Cisco Secure Endpoint, maar is in het algemeen van toepassing op andere beveiligingssoftware voor eindpunten)

Krijg de IP-adressen

· Voer een naslookup / dig van uw XDR Forensics tenant url (kan worden verkregen door te draaien in XDR Forensics en het kopiëren van de URL van de browser (verwijder de https, en alles van de eerste schuine streep tot het einde)

· Noteer alle IP-adressen

Een lijst met IP-machtigingen voor isolatie toevoegen

· Navigeer in het eindpuntbeveiligingsproduct, bijvoorbeeld Cisco Secure Endpoint, naar Uitbraakbeheer > IP-blokkering en machtigingslijsten

· Selecteer het tabblad voor de lijsten Isolatie-IP toestaan. Als u er al een hebt, kunt u deze bijwerken, anders gebruikt u de knop "IP-lijst maken" om een nieuwe toe te voegen

· Geef het een naam en beschrijving en voeg vervolgens de IP's van bovenaf toe

· Sla de lijst op

Lijst toestaan toevoegen aan beleid

· Navigeer naar Beheer van Cisco Secure Endpoint > Beleid

· Kies het beleid dat u wilt bijwerken en klik om te bewerken

· Navigeer naar Geavanceerde instellingen > Endpoint Isolation

· (Indien nodig) Schakel het selectievakje Endpoint Isolation toestaan in

· Kies in de lijst met toegestane IP-adressen voor isolatie de lijst(en) die u wilt opnemen

•Klik op Opslaan

Volgende stappen: Nog te bepalen

Resolutie: Nog te bepalen

Tracking CDET: CSCwr69614

XDR-Analytics

1. - Verschillende IP-adressen en/of meerdere hostnamen kunnen worden gekoppeld aan één apparaatnaam in XDR-A

Status: niet opgelost / uitgesteld

Details: Verschillende actieve IP-adressen kunnen worden gekoppeld aan één apparaat in het SNA/XDR-A-portaal. Dit kan zowel NVM- als niet-NVM-apparaten omvatten. Sommige apparaten hebben ook meerdere hostnamen.  Op basis van de huidige implementatie kan de registratie van apparaten ertoe leiden dat een apparaat meer dan één IP-adres (locatie) heeft. Sommige van deze IP-adressen kunnen afkomstig zijn van het thuisnetwerk van de gebruiker en kunnen botsen met IP-adressen in het netwerk van de organisatie.

Oplossing: Er is momenteel geen oplossing voor dit probleem en het probleem bestaat nog steeds in de huidige architectuur. Er wordt gehoopt dat dit probleem in de toekomst beter kan worden aangepakt, zodra nieuwe architectuur is geïmplementeerd die het mogelijk maakt netwerkactiviteiten van zowel ONA als NVM te normaliseren naar OCSF en samen te brengen.

Volgende stappen: nvt

Resolutie: Toekomst / Nog te bepalen

Tracking CDET: CSCwo67299

Problemen opgelost

1.- Cisco XDR - Cisco Secure Endpoint integration link werkt niet op Cisco XDR Portal

Status: probleem geïdentificeerd en oplossing in behandeling

Details: In de tabbladen Beheer > Integraties is de koppeling "Inschakelen" van het beveiligde eindpunt verbroken. Zodra we op de knop inschakelen hebben gedrukt, wordt deze omgeleid naar de pagina Threat Response en wordt deze doorgestuurd naar de XDR-organisatiekeuzepagina in plaats van naar de Secure Endpoint Console te gaan.

Oplossing: integratie kan worden uitgevoerd via het Cisco Secure Endpoint Portal

Volgende stappen: Cisco werkt aan de oplossing voor dit probleem

Verwachte oplossing: dit probleem is opgelost.

2.- XDR Automate Incident Automation Rules worden onverwacht niet meer uitgevoerd

Status: probleem geïdentificeerd en oplossing in behandeling

Details: Regels voor incidentautomatisering die worden aangedreven door workflows en triggers onverwacht stoppen met draaien. Dit wordt niet aangegeven in de XDR-gebruikersinterface, behalve bij het bekijken van de statistieken voor werkstromen die na verloop van tijd worden uitgevoerd. Daarbij zien klanten gereduceerde of nul workflows, afhankelijk van hoe lang het probleem al bezig is.

Volgende stappen: Cisco heeft dit probleem geïdentificeerd als een probleem binnen de XDR-backend en werkt eraan om het op te lossen. Cisco is ook van plan om extra functies voor bewaking en statusbewaking te implementeren om te voorkomen dat dit probleem zich in de toekomst voordoet.

Oplossing: Schakel de regel uit en schakel deze opnieuw in om de werkstroomregel opnieuw te starten en de verwerking te activeren.

Verwachte oplossing: opgelost.

3. - Cisco XDR-Analytics - Ona-installatiefout in virtuele omgevingen met een fout die aangeeft dat de verificatie van de controlesom is mislukt.
        Status: probleem geïdentificeerd en oplossing in behandeling

Details: Bij het implementeren van een ONA-sensor in een virtuele omgeving slaagt de ISO er niet in het installatieproces te voltooien en fouten uit te schakelen.

Oplossing: Installeer Ubuntu Server 10 .04 onafhankelijk met de Ubuntu ISO en volg de geavanceerde installatiestappen om ONA als een service uit te voeren. Compatibiliteit met 7.0 U2 gebruiken

Volgende stappen: nvt

Oplossing: dit probleem is opgelost in de nieuwste versie van de ONA-sensor

4.-MTTR-tegel op het controlecentrum toont onnauwkeurige cijfers voor incidenten die zijn opgelost met behulp van een van de nieuwe staten, zoals "Gesloten: vals positief", "Gesloten: Bevestigde dreiging" of andere.

Status: probleem geïdentificeerd en oplossing in behandeling

Details: Nieuwe incidentstaten zijn geïntroduceerd op 15 januari en de tegel houdt geen rekening met die staten. De nieuwe resolutie wordt geïnterpreteerd als werk in uitvoering, dus zelfs als dat incident is afgesloten met behulp van een van de nieuwe staten, wordt het verantwoord als werk in uitvoering.

Workaround: geen

Volgende stappen: geen

Verwachte oplossing: opgelost

Als u contact wilt opnemen met Cisco Support, volgt u de instructies in deze link.