Problemas conhecidos do Cisco XDR

Introdução

Este artigo documenta problemas técnicos conhecidos atualmente para o Cisco XDR.

Problemas técnicos podem ser reconhecidos pela Cisco, estão sob revisão, pendentes de resolução ou podem ser considerados como funcionando conforme esperado.

Problemas conhecidos:

Incidentes

Não há problemas conhecidos para esta funcionalidade XDR no momento.

Exames complementares de diagnóstico

Não há problemas conhecidos para esta funcionalidade XDR no momento.

Centro de controle

Não há problemas conhecidos para esta funcionalidade XDR no momento.

Integrações da Cisco

1. Cisco XDR - Integração total do Cisco Secure Firewall

Detalhes: Para garantir a integração perfeita entre o Cisco Defense Orchestrator (CDO), o Security Services Exchange (SSX) e o Security Analytics and Logging (SAL), é necessário o mapeamento manual. Esse processo envolve entrar em contato com o Cisco TAC para executar as configurações e os mapeamentos necessários.

Solução alternativa: entre em contato com o TAC para ajudar a vincular as contas relevantes e garantir a integração adequada dos sistemas.

Resolução esperada: TBD

Integrações com terceiros

1.- Os clientes da Microsoft com licenças do tipo G não podem utilizar as integrações XDR da Microsoft.

Status: Trabalhando como projetado

Detalhes: os direitos do tipo G da Microsoft têm acesso fornecido em ambientes controlados somente para entidades governamentais.

Próximas etapas: a Cisco está trabalhando com a Microsoft para entender os requisitos para integrar com o ambiente Microsoft GCC no qual os direitos do tipo G da Microsoft são fornecidos. Se viável, o Cisco XDR pretende se integrar com licenças do tipo G da Microsoft para Microsoft Defender for Endpoint, O365 e EntraID.

Resolução esperada: Resolvido, integração disponível aqui.

Ativos

Não há problemas conhecidos para esta funcionalidade XDR no momento.

XDR automatizado

Não há problemas conhecidos para esta funcionalidade XDR no momento.

Dispositivos/Sensores

Não há problemas conhecidos para esta funcionalidade XDR no momento.

Cliente seguro

Para consultar os problemas do Secure Client, siga o artigo.

Computação Forense XDR

1.- Executando ações de computação forense XDR quando o ativo no Incidente XDR não foi resolvido, mas o módulo Forensics está instalado

Status:Sob investigação

Detalhes:A computação forense XDR depende dos ativos a serem resolvidos em um incidente XDR antes que as ações forenses possam ser executadas em um ativo a partir de uma guia Evidência do incidente. Se o Cisco XDR não puder resolver um ativo em um incidente XDR, isso impedirá que a computação forense XDR de aquisição de evidência esteja disponível a partir do Incidente.

Solução alternativa:Gire do console Cisco XDR para a computação forense XDR para executar a ação forense.No menu de navegação à esquerda do Cisco XDR, clique em Investigar > Forensics

Em XDR Forensics, clique em Ativos no menu de navegação à esquerda, selecione o ativo apropriado e adquira evidências e/ou a ação desejada.Selecione o caso apropriado no menu suspenso para que ele seja automaticamente associado ao incidente XDR.

Próximas etapas: a definir

Resolução: a definir

CDET de rastreamento:CSCwr69610

2.- As operações de computação forense XDR podem ser bloqueadas pelo Cisco Secure Endpoint ou por outra ação de resposta de isolamento de endpoint da solução de segurança de endpoint.

Status:Sob investigação

Detalhes:A computação forense XDR pode ser bloqueada pela aplicação de isolamento do Cisco Secure Endpoint, EDR ou outra ferramenta de segurança de endpoint.Certifique-se de que as exclusões apropriadas e as listas de permissões para XDR Forensics estejam configuradas para a ferramenta de segurança de ponto final.

Solução:

(Exemplo baseado no recurso de isolamento do Cisco Secure Endpoint, mas se aplica geralmente a outros softwares de segurança de endpoint)

Obter os endereços IP

· Executar um nslookup/dig da url do locatário do XDR Forensics (pode ser obtido deslocando-se para o XDR Forensics e copiando a URL do navegador (remova o https e tudo, da primeira barra até o final)

· Anote todos os endereços IP

Adicionar uma Lista de Permissões de IP de Isolamento

· No produto de segurança de endpoint, por exemplo, Cisco Secure Endpoint, navegue até Controle de ataques > Bloqueio de IP e Listas de permissões

· Selecione a guia para Isolation IP Allow lists (Listas de IP de isolamento permitidas). Se já tiver uma, você pode atualizá-la; caso contrário, use o botão "Criar lista de IPs" para adicionar uma nova

· Dê um nome e uma descrição e adicione os IPs acima

· Salvar a lista

Adicionar Lista de Permissões à Política

· Navegue até Gerenciamento do Cisco Secure Endpoint > Políticas

· Escolha a política que deseja atualizar e clique para editar

· Navegue até Advanced Settings > Endpoint Isolation (Configurações avançadas > Isolamento de endpoint)

· (Se necessário) Marque a caixa de seleção Permitir isolamento de endpoint

· Em Isolation IP Allow Lists (Listas de IP de Isolamento Permitidos), escolha a(s) lista(s) que deseja incluir

•Clique em Salvar

Próximas etapas: a definir

Resolução: a definir

CDET de rastreamento:CSCwr69614

XDR-Analytics

1. - Vários endereços IP e/ou vários nomes de host podem ser associados a um único nome de dispositivo no XDR-A

Status: Não Resolvido/Adiado

Detalhes: Vários endereços IP ativos podem ser associados a um único dispositivo dentro do portal SNA/XDR-A. Isso pode incluir dispositivos NVM e não NVM. Alguns dispositivos também têm vários nomes de host. Com base na implementação atual, o registro de dispositivos pode fazer com que um dispositivo tenha mais de um endereço IP (local). Alguns desses endereços IP podem ser da rede doméstica do usuário e podem colidir com os endereços IP na rede da organização.

Solução alternativa: não há solução alternativa para esse problema no momento e o problema ainda existe na arquitetura atual. Há esperanças de que este problema possa ser melhor tratado no futuro, uma vez que a nova arquitetura é implementada, o que permitirá que as atividades de rede de ambas as fontes ONA e NVM sejam normalizadas para OCSF e reunidas.

Próximas etapas: N/A

Resolução: Futuro / a ser definido

CDET de rastreamento: CSCwo67299

Problemas Resolvidos

1.- Cisco XDR - O link de integração do Cisco Secure Endpoint não está funcionando no Cisco XDR Portal

Status: Problema identificado e resolução pendente

Detalhes: Nas guias Admin > Integrações, o link "Habilitar" do ponto de extremidade seguro está quebrado. Quando pressionamos o botão enable, ele é redirecionado para a página Threat Response (Resposta a ameaças) e faz o loop para a página do seletor XDR org em vez de ir para o Secure Endpoint Console.

Solução: A integração pode ser realizada no Cisco Secure Endpoint Portal

Próximas etapas: A Cisco está trabalhando para implementar a correção para esse problema

Resolução esperada: esse problema foi resolvido.

2.- As regras de automação de incidentes do XDR param inesperadamente de funcionar

Status: Problema identificado e resolução pendente

Detalhes: Regras de automação de incidentes ativadas por fluxos de trabalho e acionadores param inesperadamente de funcionar. Isso não é indicado na interface de usuário do XDR, exceto ao revisar as métricas de Workflows Run Over Time (Fluxos de trabalho executados ao longo do tempo). Ao fazer isso, os clientes verão fluxos de trabalho reduzidos ou zero serem executados, dependendo de quanto tempo o problema está ocorrendo.

Próximas etapas: a Cisco identificou isso como um problema dentro do backend XDR e está trabalhando para resolvê-lo. A Cisco também planeja implementar recursos adicionais de monitoramento e rastreamento de estado para evitar que esse problema ocorra no futuro.

Solução alternativa: desative e reative a regra para iniciar uma reinicialização do disparo e processamento da regra de fluxo de trabalho.

Resolução Esperada: Resolvida.

3. - Cisco XDR-Analytics - falha na instalação do ONA em ambientes virtuais com um erro indicando "falha na verificação da soma de verificação"
        Status: Problema identificado e resolução pendente

Detalhes: Ao implantar um sensor ONA em um ambiente virtual, o ISO falha ao concluir o processo de instalação e elimina erros.

Solução: Instale o Ubuntu Server 24.04 independentemente com o ISO do Ubuntu e siga as etapas de instalação avançada para executar o ONA como serviço. Use a compatibilidade 7.0 U2

Próximas etapas: N/A

Resolução: Esse problema foi resolvido na compilação mais recente do sensor ONA

O bloco 4.-MTTR no Centro de controle mostra números imprecisos de incidentes que foram resolvidos usando um dos novos estados, como "Fechado: Falso Positivo", "Fechado: Confirmed Threat" (Ameaça confirmada) ou outra.

Status: Problema identificado e resolução pendente

Detalhes: Novos estados incidentes foram introduzidos em 15 de janeiro e o bloco não leva esses estados em consideração. Os novos estados de resolução são interpretados como trabalhos em andamento, portanto, mesmo que o incidente tenha sido encerrado usando um dos novos estados, ele é contabilizado como trabalho em andamento.

Solução alternativa: nenhuma

Próximas etapas: Nenhum

Resolução Esperada: Resolvida

Se precisar entrar em contato com o Suporte da Cisco, siga as instruções fornecidas neste link.