Solucionar problemas de erro "Categoria não verificável = Erro de mensagem, Motivo não verificável = Erro de arquivo" no ESA

Introdução

Este documento descreve como solucionar o erro "Categoria não verificável = Erro de mensagem, Motivo não verificável = Erro de arquivo: Excedido o limite de tamanho total dos arquivos não arquivados" em um Cisco ESA.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Dispositivo de segurança de e-mail (ESA) da Cisco
• Proteção avançada contra malware (AMP) da Cisco

Componentes Utilizados

Este documento não se restringe a versões de software e hardware específicas.

As informações apresentadas neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos usados neste documento começaram com uma configuração limpa (padrão). Analise o impacto potencial de qualquer alteração antes de aplicá-la em uma rede de produção.

Informações de Apoio

Quando uma mensagem com um anexo alcança a AMP (Advanced Malware Protection, Proteção avançada contra malware) no pipeline de processamento de e-mail, ou seja, o estágio ESA onde ocorre a varredura do anexo, o ESA tenta analisar o anexo. O ESA também verifica os cabeçalhos das mensagens quanto à conformidade com a Request for Comments (RFC) 2045 (RFC 2045). Se a mensagem não for totalmente compatível, o ESA ainda tentará analisar o anexo da melhor forma possível.

Em seguida, o ESA verifica se o anexo é um arquivo. Se estiver, o ESA tentará desempacotá-lo. O ESA avalia vários fatores para estimar o tamanho descompactado e garantir que o arquivo seja válido. O ESA também detecta arquivos suspeitos, como arquivos altamente compactados.

Se nenhum veredito de reputação de arquivo estiver disponível na pesquisa de reputação de nuvem e o arquivo atender aos critérios para análise, o ESA coloca o arquivo em quarentena e o carrega na caixa de proteção do AMP, ou seja, no ambiente de análise de arquivos baseado em nuvem.

Em seguida, o ESA abre uma conexão com os servidores AMP, carrega o arquivo e espera por atualizações de veredito, como mostrado na imagem:

O ESA fornece um veredicto com base nestes cenários:

• Se um dos arquivos extraídos for mal-intencionado, o serviço de reputação de arquivos retornará um veredito de 'Mal-intencionado' para o arquivo compactado ou de arquivamento.
• Se o arquivo compactado ou de arquivamento for mal-intencionado e todos os arquivos extraídos estiverem limpos, o serviço de reputação de arquivo retornará um veredito de 'Mal-intencionado' para o arquivo compactado ou de arquivamento.
• Se o veredito de qualquer um dos arquivos extraídos for desconhecido, os arquivos extraídos serão enviados opcionalmente (se configurados e o tipo de arquivo for suportado para análise de arquivo) para análise de arquivo.
• Se o veredito de qualquer um dos arquivos ou anexos extraídos for de baixo risco, o arquivo não será enviado para análise.
• Se a extração falhar para um arquivo compactado ou de arquivamento durante a descompactação, o serviço de reputação de arquivo retornará um veredito de não verificável para esse arquivo compactado ou de arquivamento. Se um dos arquivos extraídos for mal-intencionado nesse cenário, o serviço de reputação de arquivo retornará um veredito de 'Mal-intencionado' para o arquivo compactado ou de arquivamento. O veredito mal-intencionado tem precedência sobre o veredito não verificável.

Arquivos altamente compactados, como CSV, XML e TXT, podem exceder o tamanho máximo de arquivo que é codificado no ESA. Algoritmos de compactação, como Lempel-Ziv, geram um mapa digital que conta o número e a posição dos caracteres no documento completo. Esse processo pode produzir arquivos de tamanho muito pequeno.

Por outro lado, os arquivos que contêm gráficos ou formatos como PDF, JPG e PNG não são compactados da mesma forma. Como resultado, eles normalmente permanecem próximos ao tamanho do arquivo original.

Problema

O ESA registra um veredito não verificável da AMP para um anexo compactado com o motivo "Erro de arquivamento: Excedido o limite de tamanho total dos arquivos não arquivados."

Ambiente

• Cisco ESA
• AMP habilitado para varredura de anexos

Causa

O anexo é um arquivo compactado que se expande além do limite codificado do ESA para o tamanho total de arquivos não arquivados. Os tipos de arquivos altamente compactáveis (por exemplo, CSV, XML e TXT) podem produzir pequenos arquivos que se expandem significativamente quando descompactados, o que pode acionar um veredito de "não digitalizável".

Solução

Use uma destas opções com base na manipulação desejada: notificação do usuário ou contenção e revisão. As etapas de verificação mostradas ajudam a determinar qual opção usar.

Para confirmar a condição, localize o tipo mencionado de entrada de log de e-mail.

Exemplo de entrada de log de e-mail:

Info:   The attachment could not be scanned. File Name = 'ACTS Chopped ISO 88591 encod_NoSchema.XML.zip', MID = 226, SHA256 = 7efa6154b7519872055cff10a69067dcad88562f708b284a390a9abcf5e99b8f, Unscannable Category = Message Error, Unscannable Reason = Archive Error: Exceeded the total size limit of the unarchived files

Antes de Começar: Verificar e Escolher uma Opção

1. No ESA, navegue até Monitor > Mail Logs.
2. Localize a ID da mensagem (MID) que mostra Razão da Não Verificação = Erro de Arquivo Morto: O limite de tamanho total dos arquivos não arquivados foi excedido.
3. Confirme se o anexo é um arquivo compactado, por exemplo, um arquivo .zip, e se ele se expande significativamente quando descompactado.
4. Escolha a Opção 1 se a mensagem tiver de ser entregue e o destinatário precisar apenas de um aviso na linha de assunto.
5. Escolha a Opção 2 se a mensagem precisar ser contida para revisão na quarentena de vírus e epidemia de política (PVO).
6. Depois de aplicar a alteração, envie uma mensagem de teste com um arquivo representativo. Verifique o comportamento esperado em Monitor > Mail Logs e, se usado, na quarentena Policy Virus and Outbreak (PVO).

Opção 1. Preceder uma tag de assunto para anexos não verificáveis

1. No ESA, navegue até Políticas de e-mail > Políticas de recebimento de e-mail ou Políticas de envio de e-mail, dependendo de onde a varredura do AMP está ativada.
2. Clique na política que trata a mensagem afetada.
3. Nas configurações da AMP para a política, localize a ação para anexos não verificáveis.
4. Defina Modify Message Subject como Prepend.
5. No campo de texto do assunto, insira o prefixo [AMP Unscannable] ou outra tag de aviso aprovada.
6. Clique em Enviar e confirme a alteração.
7. Envie uma mensagem de teste com um arquivo representativo e verifique se o ESA fornece a mensagem com a tag subject pré-anexada.

Opção 2. Colocar em quarentena mensagens não verificáveis na quarentena de vírus e epidemia de política

1. No ESA, navegue até Políticas de e-mail > Políticas de recebimento de e-mail ou Políticas de envio de e-mail, dependendo de onde a varredura do AMP está ativada.
2. Clique na política que trata a mensagem afetada.
3. Nas configurações da AMP para a política, localize a ação para anexos não verificáveis.
4. Defina a ação de mensagem não verificável como Quarentena.
5. Escolha a quarentena de política de vírus e epidemia (PVO) como destino da quarentena.
6. Clique em Enviar e confirme a alteração.
7. Envie uma mensagem de teste com um arquivo representativo e verifique se o ESA coloca a mensagem na quarentena Policy Virus and Outbreak (PVO) para análise do analista.

Informações Relacionadas

• Guia de práticas recomendadas para proteção avançada contra malware no ESA
• Verificação dos carregamentos de análise de arquivo no ESA
• Solucionar o erro "O serviço de reputação de arquivo não está acessível" no Cisco ESA
• Suporte técnico e downloads da Cisco

Histórico de revisões

Revisão	Data de publicação	Comentários
1.0	29-Oct-2019	Versão inicial