Introdução
Este documento descreve como solucionar problemas do Cisco XDR Analytics para Cisco eXtended Detection and Response (XDR) / Network Visibility Module (NVM)
Pré-requisitos
Portal Ative XDR Analytics com integração XDR
Requisitos
Conta de análise XDR em execução com integração XDR única
Componentes Utilizados
- Análise de XDR
- XDR
- Sensor NVM
- Secure Client (Versão 5.0+)
As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.
Fluxos NVM do XDR Analytics
A análise XDR agora consome a telemetria NVM
A telemetria é gerada pelo componente NVM no Cisco Secure Client.
O NVM oferece visibilidade de rede aprimorada, incluindo comportamentos de usuário, comunicações de rede e processos, reduzindo assim o tempo de investigação de incidentes e preenchendo lacunas na visibilidade do endpoint
https://docs.xdr.security.cisco.com/Content/Help-Resources/nvm-resources.htm
Fluxos de dados NVM - Análise XDR

Status do sensor NVM
aviso: O Portal de Análise XDR deve ter no máximo um único Locatário/Organização XDR associado a ele.
ID da Org. NVM
Status de provisionamento do NVM Data Lake
Depuração
- Depurando códigos de resposta:
Código de Resposta
|
Ação exigida
|
DataLake provisionado com êxito
|
Validar fluxos NVM via Visualizador de Eventos
|
Não é possível provisionar lago de dados, nenhuma organização XDR detectada
|
Use a integração de um clique XDR para conectar análises XDR e XDR
|
Não é possível provisionar datalake, várias organizações XDR detectadas
|
Entre em contato com o TAC para obter assistência
|
- Se qualquer uma dessas etapas falhar, execute o Secure Client Diagnostics And Reporting Tool (DART) na interface do Secure Client para diagnosticar o problema (sempre solicite que o DART seja executado como administrador)
Coletar pacote DART para cliente seguro
Observações e alertas
Alertas de NVM
- Faça login no portal de análise XDR
- Configurações > AlertasTelemetria > Cisco NVM
-
Telemetria > Cisco NVM


Configurações de alerta NVM

Observações do NVM
- Atividade suspeita de endpoint
- Portal de análise XDR
- Monitor > Observações
- Observação selecionada
- Filtrar atividades suspeitas de endpoint


Avisos de detecção de NVM
- O NVM captura apenas processos e dados de fluxo que têm uma conexão de rede associada
- Por padrão, o NVM é configurado para relatar dados de fluxo apenas no final do fluxo
Conclusão
Essas etapas ajudam você a navegar pela Análise XDR para ativar Observações e Alertas usando informações de NVM e solução de problemas do fluxo de trabalho.