Identificar e Solucionar Problemas do Alarme de Sistema de Canal SLIC Desativado

Introdução

Este documento descreve como solucionar problemas de alarmes do sistema "Canal SLIC Desativado" do Secure Network Analytics (SNA).

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento básico de SNA.

SLIC significa "Stealthwatch Labs Intelligence Center"

Componentes Utilizados

Este documento não se restringe a versões de software e hardware específicas.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Procedimento

O alarme "Canal SLIC desativado" é acionado quando o Gerenciador SNA não consegue obter atualizações de feed dos Threat Intelligence Servers, anteriormente SLIC.

Para entender melhor o que causou a interrupção das atualizações do feed, faça o seguinte:

1. Navegue até Central Management (Gerenciamento central) fazendo login no Manager (No campo de endereço do seu navegador, digite https:// e o endereço IP do equipamento. Pressione Enter.)
2. No menu principal, selecione Configurar > Global > Central Management.
3. Clique no ícone de reticências do equipamento.
4. Selecione Exibir estatísticas do aplicativo.
5. No menu principal, selecione Suporte > Procurar arquivos
6. Na página Procurar arquivos, selecione smc > logs > e clique em smc-core.log. 
7. Uma nova guia é aberta com o conteúdo de smc-core.log. Revise esse arquivo procurando pelosSlicFeedGetter logs.

Logs de erro comuns

Os logs de erro mais comuns vistos nossmc-core.log relacionados ao alarme de Canal SLIC Desativado são:

Tempo limite da conexão esgotado

2026-01-01 22:45:39,604 ERROR [SlicFeedGetter] Getting Threat Feed update failed with exception.
org.apache.http.conn.HttpHostConnectException: Connect to lancope.flexnetoperations.com:443 [lancope.flexnetoperations.com/xx.xx.xx.x] failed: Connection timed out (Connection timed out) 

Não é possível localizar um caminho de certificação válido para o destino solicitado

2026-01-01 00:27:51,239 ERROR [SlicFeedGetter] Getting Threat Feed update failed with exception.
javax.net.ssl.SSLHandshakeException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

Falha no handshake

2026-01-01 20:00:50,227 ERROR [SlicFeedGetter] Getting Threat Feed update failed with exception.
javax.net.ssl.SSLHandshakeException: Handshake failed

Etapas de correção

As atualizações do feed de inteligência de ameaças podem ser interrompidas devido a condições diferentes.

Execute as próximas etapas de validação para garantir que seu SNA Manager atenda aos requisitos.

Etapa 1. Validar o Status do Smart Licensing

Navegue para Central Management > Smart Licensing e verifique se o status da licença do Threat Feed é Authorized.

Etapa 2. Verificar a resolução do DNS (Domain Name System)

Certifique-se de que o Gerenciador SNA possa resolver com êxito o endereço IP para lancope.flexnetoperations.com and esdhttp.flexnetoperations.com

Etapa 3. Verificar a conectividade com os servidores de feed Threat Intelligence

Verifique se o Gerenciador SNA tem acesso à Internet e se a conectividade com os servidores de inteligência de ameaças listados a seguir tem permissão:

Note: Se o Gerenciador SNA não tiver permissão para ter acesso direto à Internet, certifique-se de que a configuração do Proxy para acesso à Internet esteja em vigor.

Etapa 4. Desabilitar a Inspeção/Descriptografia de Secure Socket Layer (SSL)

Common Error Logs O segundo e o terceiro erros descritos na seção podem ocorrer quando o SNA Manager não recebe o certificado de identidade correto ou a cadeia de confiança correta usada pelos servidores de feed de inteligência de ameaças.

Para evitar isso, certifique-se de que nenhuma Inspeção/Descriptografia SSL seja executada em sua rede (por Firewalls ou servidores proxy compatíveis) para conexões entre o SNA Manager e os servidores de Inteligência de ameaças listados na seção Verify Connectivity to the Threat Intelligence Feed Servers .

Se você não tiver certeza se a Inspeção/Descriptografia SSL é executada em sua rede, você pode coletar uma captura de pacote entre o endereço IP do SNA Manager e o endereço IP do Threat Intelligence Servers e analisar a captura para verificar o certificado recebido. Para isso, faça o seguinte:

Para criar um usuário de captura de pacotes, use o console do equipamento (SystemConfig) como um usuário sysadmin.

1. Faça login no equipamento como sysadmin.
2. Selecione Advanced > Packet Capture. Se não houver capturas de pacotes existentes, você avançará diretamente para o menu de configuração de captura de pacotes. Se você tiver capturas de pacotes existentes, selecione Criar para criar uma nova captura de pacotes.
3. Insira um número de porta TCP ou UDP no campo Port Filter. A porta pode ser origem ou destino. Você pode deixar esse campo em branco para definir o filtro como "Qualquer". O SLIC usa uma conexão tcp/443; portanto, insira 443 nesse campo. 
4. No campo Duration (900 Seconds Max), especifique o número de segundos para executar a captura do pacote.
   
   

   Note: Tome cuidado para inserir uma quantidade razoável de tempo, pois um arquivo de captura extremamente grande pode consumir todo o espaço livre no disco rígido do equipamento. Esse campo funciona em conjunto com a configuração Pacotes. A captura é executada até que a Duração ou o número de Pacotes seja atingido.

5. No campo Packets (100.000 max), especifique o número de pacotes a capturar antes de terminar a captura. Esse campo funciona em conjunto com a configuração Duração. A captura é executada até que a Duração ou o número de Pacotes seja atingido.
6. Clique em OK para iniciar a captura do pacote.
   

   Tip: Para interromper a captura de um pacote abruptamente, normalmente é possível pressionar Ctrl+C.

Para visualizar arquivos de captura de pacotes, baixe-os e visualize-os localmente. Os arquivos são armazenados em /lancope/var/tcpdump.

Você pode fazer login diretamente no equipamento ou acessá-lo por meio do inventário do Central Manager > Exibir estatísticas do equipamento. Vá para Suporte > Procurar arquivos para baixar a captura de pacote.

Defeitos relacionados

Há um defeito conhecido que pode afetar a conexão com os servidores SLIC:

• A comunicação SMC SLIC pode expirar e falhar se a porta de destino 80 estiver bloqueada. Consulte o bug da Cisco ID CSCwe08331

Informações Relacionadas

• Para obter assistência adicional, entre em contato com o Technical Assistance Center (TAC). É necessário um contrato de suporte válido: Cisco Worldwide Support Contacts.
• Você também pode visitar a Comunidade de Análise de Segurança da Cisco aqui.
• Suporte Técnico e Documentação - Cisco Systems