Contents

Introdução

Pré-requisitos

Componentes Utilizados

Motivo das falhas:

O serviço ETF está desativado ou não há uma chave de recurso válida para o serviço

Falha ao Estabelecer uma Nova Conexão: [Erno110] Tempo Limite da Conexão Esgotado

Motivo da falha: "400"

Erro HTTP: falha de autenticação do código de status 401

Erro de imposto: Erro HTTP: Código de Status 404 Recurso Solicitado Não Disponível

Motivo da falha: "405"

Erro HTTP: Código de Status 503 Serviço Indisponível

NOT_FOUND: Não foi possível localizar a coleção solicitada

[SSL: CERTIFICATE_VERIFY_FAILED] Falha na verificação do certificado (_ssl.c:590)

Erro de análise de XML: nenhum elemento encontrado (linha 0)

Falha ao estabelecer uma nova conexão: [Erno111] Conexão recusada

Informações Relacionadas

Introdução

Este documento descreve vários motivos para falha durante a implementação do External Threat Feed, análise de erros e ações para resolução.

Pré-requisitos

Não há requisitos específicos, portanto a Cisco recomenda que você tenha conhecimento destes tópicos:

- Cisco Secure Email Gateway (ESA)

- Feeds de ameaças externas (ETF)

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- Cisco Secure Email Gateway (ESA) executando o software 12.x ou versão posterior

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Motivo das falhas:

O serviço ETF está desativado ou não há uma chave de recurso válida para o serviço

(Machine esa03.taclab.krk) (SERVICE)> tail threatfeeds

Press Ctrl-C to stop.

Wed Sep 8 16:15:26 2021 Info: THREAT_FEEDS: A delta poll is scheduled for the source: Test_Poll_Path

Machine: ‘esa03.taclab.krk'. A failure was encountered for the source 'Test_Poll_Path'.

Reason for failure: The ETF service is either disabled or there is no valid feature key for the service.

Solução

Assegure que:

1. Chave de recurso ETF instalada corretamente.

2. EULA aceito e chave de recurso habilitada globalmente.

3. Licenças aplicadas no nível da máquina.

Observação: se houver um nível de cluster, ele precisará copiar a configuração no nível da máquina.

Falha ao Estabelecer uma Nova Conexão: [Erro 110] Tempo Limite da Conexão Esgotado

(Machine esa03.taclab.krk) (SERVICE)> tail threatfeeds

Press Ctrl-C to stop.

Reason for failure: Taxii Error: HTTPSConnectionPool(host= otx.alienvault.comport, port=443): Max retries exceeded with url:  /taxii/poll/ (Caused by NewConnectionError('<requests.packages....

Failed to establish a new connection: [Errno 110] Connection timed out',))

Observação: o tempo limite da conexão normalmente indica um problema relacionado à rede, o que impede que o ESA obtenha uma resposta. As verificações de firewall/proxy são recomendadas e a captura de pacotes é recomendada para uma análise mais profunda.

Solução

1. Confirme se o Firewall e o Proxy não bloqueiam o tráfego.

O proxy pode ser verificado em GUI > Serviços de segurança > Atualizações de serviço.

2. Confirme a conectividade com a Captura de pacotes. Navegue até GUI > Ajuda e suporte > Captura de pacotes.

Dica: quando há indicações de problemas relacionados à rede, é prudente executar capturas de pacotes para confirmar se a conexão foi estabelecida corretamente.

Motivo da falha: "400"

(Machine esa03.taclab.krk) (SERVICE)> grep "Sep 6 13:38" threatfeeds

Mon Sep 6 13:38:16 2021 Debug: THREAT_FEEDS: Failed to fetch observables from the source: Test_Poll_Path. Reason for failure: '400'

Mon Sep 6 13:38:55 2021 Info: THREAT_FEEDS: The source 'Test_Poll_Path' is currently in a polling state and therefore a poll for this source cannot be initiated at this time.

Observação: o erro 400 (solicitação incorreta) do RFC7231 indica que o servidor não pode ou não processa a solicitação devido a algo que é considerado um erro do cliente. Na maioria das vezes, ele aparece devido a sintaxe de solicitação malformada ou enquadramento de mensagem de solicitação inválido.

Solução

O erro "400" indica que esse caminho de polling existe, mas aponta para um serviço diferente que o servidor TAXII oferece.

1. Confirme se a Configuração do Caminho de Sondagem está configurada com a solicitação de Sondagem e não com a solicitação de Descoberta.

2. Confirme se o HTTPS está habilitado em GUI > Políticas de e-mail > Gerenciador de feeds de ameaças externas > Usar HTTPS.

Cuidado: normalmente esse problema ocorre quando o Caminho de Sondagem está configurado incorretamente com a solicitação de descoberta, como: /api/v1/taxii/taxii-discovery-service/

O caminho de sondagem pode ser configurado para usar a solicitação de sondagem para os feeds, por exemplo: /api/v1/taxii/poll

Observação: Diferença entre solicitação de pesquisa e descoberta:

- A URL de pesquisa é de onde você consome os feeds.

- A URL do Discovery Service é usada para localizar quais serviços o serviço Taxii oferece.

Erro HTTP: falha de autenticação do código de status 401

(Machine esa03.taclab.krk) (SERVICE)> grep "Sep 8 16:35" threatfeeds

Wed Sep 8 16:35:39 2021 Debug: THREAT_FEEDS: Updating the timestamp: 2021-09-08 16:31:36.071684 for the last attempted poll for the source: ETF_Source_Name

Wed Sep 8 16:35:39 2021 Info: THREAT_FEEDS: Job failed with exception : Source: ETF_Source_Name. Reason for failure: Taxii Error: HTTP Error: status code 401 authentication failureurce not available

Solução

Este código de erro indica que ele não tem credenciais de autenticação válidas para o recurso de destino.

Confirme se as Credenciais estão configuradas corretamente.

Há também uma opção de não configurar credenciais para usuários.

Erro de imposto: Erro HTTP: Código de Status 404 Recurso Solicitado Não Disponível

(Machine esa03.taclab.krk) (SERVICE)> grep "Aug 27 08:51" threatfeeds

Fri Aug 27 08:51:16 2021 Warning: THREAT_FEEDS: Unable to fetch the observables from the source: Test after 3 failed attempts. Reason for failure: Taxii Error: HTTP Error: status code 404 requested resource not available

Fri Aug 27 08:51:16 2021 Info: THREAT_FEEDS: Job failed with exception : Source: Test. Reason for failure: Taxii Error: HTTP Error: status code 404 requested resource not available

Observação: o código de status 404 (Não Encontrado) indica que o servidor de origem não encontrou uma representação atual para o recurso de destino ou não está disposto a divulgar que existe uma. Isso revela que pode haver um URL inválido e, na maioria dos casos, que o ocorreu devido ao caminho do recurso não foi encontrado.

Solução

Confirme o caminho de pesquisa/nome da coleção na origem em ESA GUI> Políticas de e-mail > Gerenciador de feeds de ameaças externas > Escolha o nome de origem apropriado.

Motivo da falha: "405"

(Machine esa03.taclab.krk) (SERVICE)> grep "Sep 13 00:2" threatfeeds

Mon Sep 13 00:20:21 2021 Debug: THREAT_FEEDS: Failed to fetch observables from the source: Anomali. Reason for failure: '405’

Observação: de acordo com RFC7231, o erro 405 (método não permitido) indica que o método recebido na linha de solicitação é conhecido pelo servidor de origem, mas não é suportado pelo recurso de destino.

Solução

Este é um erro de sintaxe devido à barra de trilha "/" ausente no final do caminho de pesquisa.

Adicionar barra de trilha no final do caminho /taxii/poll/.

Erro HTTP: Código de Status 503 Serviço Indisponível

(Machine esa03.taclab.krk) (SERVICE)> grep "Nov 10 13:45" threatfeeds

Sun Nov 10 13:45:21 2020 Info: THREAT_FEEDS: Job failed with exception : Source: ETF_Source_Name. Reason for failure: Taxii Error: HTTP Error: status code 503 service unavailable

Sun Nov 10 13:45:22 2020 Info: THREAT_FEEDS: A delta poll is scheduled for the source: ETF_Source_Name

Observação: de acordo com RFC7231, o erro 503 "Serviço indisponível" é um código de status de resposta HTTP e indica que um servidor não pode tratar temporariamente a solicitação.

Solução

O código de erro indica um problema com o servidor TAXII de destino, que precisa ser investigado mais a fundo.

Isso pode acontecer quando o servidor está sobrecarregado. Entre em contato com o Fornecedor para obter mais informações.

NOT_FOUND: Não foi possível localizar a coleção solicitada

(Machine esa03.taclab.krk) (SERVICE)> grep "Sep 7 12:53" threatfeeds

Tue Sep 7 12:53:16 2021 Warning: THREAT_FEEDS: Unable to fetch the observables from the source: Test_Poll_Path after 3 failed attempts. Reason for failure: Taxii Error: NOT_FOUND: The requested collection could not be found

Tue Sep 7 12:53:16 2021 Debug: THREAT_FEEDS: Updating the timestamp: 2021-09-07 12:49:12.648625 for the last attempted poll for the source: Test_Poll_Path

Solução

Este erro indica que o nome da coleção tem a ortografia correta, no entanto, há um problema no servidor TAXII em Coleção, que rejeita a solicitação.

A possível causa pode ser um temporizador de expiração no Nome da Coleção.

Entre em contato com o fornecedor para verificar esse tipo de inconsistência.

[SSL: CERTIFICATE_VERIFY_FAILED] Falha na verificação do certificado (_ssl.c:590)

(Machine esa03.taclab.krk) (SERVICE)> grep "Sep 8 16:35" threatfeeds

Wed Sep 8 16:35:26 2021 Info: THREAT_FEEDS: A delta poll is scheduled for the source: ETF_Source_Name

Wed Sep 8 16:35:33 2019 Warning: THREAT_FEEDS: Unable to fetch the observables from the source: ETF_Source_Name after 3 failed attempts. Reason for failure: Taxii Error: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed (_ssl.c:590)

Solução

Este erro indica falha no certificado.

Para resolver o problema, importe o Certificado na lista de Autoridades de Certificação (CA).

Navegue até GUI > Rede > Certificados > Editar configurações > Lista personalizada >

Selecione o modo Enable e faça o upload do certificado.

Erro de análise de XML: nenhum elemento encontrado (linha 0)

(Machine esa03.taclab.krk) (SERVICE)> grep "Aug 21 02:39" threatfeeds

Fri Aug 21 02:39:37 2021 Warning: THREAT_FEEDS: Unable to fetch the observables from the source: ETF_Source_Name after 3 failed attempts. Reason for failure: Taxii Error: XML Parising Error: no element found (line 0)

Fri Aug 21 02:39:37 2021 Info: THREAT_FEEDS: Job failed with exception : Source: ETF_Source_Name. Reason for failure: Taxii Error: XML Parising Error: no element found (line 0)

Solução

Reduza o valor do intervalo de tempo do segmento de pesquisa da configuração do ESA para 3 a 4 dias.

Observação: isso é uma inconsistência com servidores Anomali para alguns feeds específicos, em que nenhum sinalizador de fim de dados é enviado para interromper os feeds.

Nesse caso, o ESA configurado com uma fonte ETF da Anomali não pode pesquisar dados por um período de tempo superior a 5 dias.

Uma solução alternativa válida seria reduzir o valor Time Span do segmento de pesquisa da configuração do ESA.

Falha ao estabelecer uma nova conexão: [Erro 111] Conexão recusada

(Machine esa03.taclab.krk) (SERVICE)> tail threatfeeds

Press Ctrl-C to stop.

Reason for failure: Taxii Error: HTTPSConnectionPool(host=otx.alienvault.comport=443): Max retries exceeded with url: /taxii/poll/ (Caused by NewConnectionError('<requests.packages..

Failed to establish a new connection: [Errno 111] Connection refused',))

Observação: "Connection rejected" indica que o cliente não pode se conectar à porta no servidor em execução. Normalmente, isso ocorre quando o servidor escuta na porta errada ou quando a porta não está disponível.

Solução

1. Use o comando telnet ou netstat via CLI para verificar se a porta apropriada está escutando.

2. Verifique se o Firewall não bloqueia a porta.

3. Verifique se não há erro de configuração de porta ou porta obsoleta no serviço em execução.

Informações Relacionadas

- Guias do usuário final do Cisco Email Security Appliance

- O que são STIX e TAXII

- RFC2741 - Códigos de erro

- Feeds de ameaças externas do workshop do TAC