对安全网络设备中的AMP进行故障排除
简介
本文档介绍安全Web设备的高级恶意软件防护引擎的信息和调试日志级别中的ampverdict部分。
先决条件
要求
Cisco 建议您了解以下主题：
- AMP已启用
- 对SWA的SSH访问
- SWA安装和许可
- 已启用文件信誉和文件分析
使用的组件
本文档不限于特定的软件和硬件版本。
本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。
背景信息
SWA提供与面向终端的AMP和本地AMP引擎的集成。AMP通过文件信誉和文件分析功能提供针对零日恶意软件的恶意软件防护。SWA包括一个预分类引擎，该引擎负责在公共云检查之前进行内部文件扫描。下一部分中描述的日志与SWA上的AMP引擎相关，而不是AMP云或Threat Grid。
排除SWA AMP日志故障
访问AMP日志。通过CLI登录并跟踪或更新amp日志：
1.通过SSH客户端登录CLI。
2.运行grep命令，然后按Enter。
3.输入列出的amp_logs的编号。
4.回答提示。如果您运行实时流量，请选择跟踪日志选项。
5.按Enter键。
6.显示日志。
SWA AMP日志提供不同级别的详细信息。可以选择INFO或DEBUG级别。结果略有差异，将在下一节进行说明
AMP信息级别日志：
Wed Apr 27 12:21:26 2022 Info: Txn 18210 Binary scan on instance[0] Id[1345]: AMP allocated memory = 0, AMP used memory = 0, Scans in flight = 1, Active faster connections = 1, Active slower connections = 0
Wed Apr 27 12:21:35 2022 Info: Binary scan on instance[0] id[1345]: filename[npp.8.4.Installer.x64.exe] filemime[application/x-dosexec] file_extension[exe] length[4493047b] ampverdict[(1, 1, 'amp', '', 0, 0, True)] scanverdict[0] malwareverdict[0] spyname[] SHA256[ecdcf497418a1988ebf20c647acadc9eca7bc8569fd980713582acd0de011ba1] From[Cloud] uploadreason[Enqueued in the local queue for submission to upload] verdict_str[FILE UNKNOWN] is_slow[0] scans_in_flight[0] Active faster connections[0] Active slower connections[0]
Wed Apr 27 12:22:28 2022 Info: File uploaded for analysis. Server: https://panacea.threatgrid.com, SHA256: ecdcf497418a1988ebf20c647acadc9eca7bc8569fd980713582acd0de011ba1, Filename: npp.8.4.Installer.x64.exeTimestamp: 1651044116 sampleid[]
AMP信息级别日志(ampverdict):
ampverdict[(1, 1, 'amp', '', 0, 0, True)]
(analysis_Action, scan_verdict, ‘verdict_source', ‘spyname’, malware_verdict, file_reputation, upload_action)]
AMP调试级别日志：
Fri Apr 29 01:38:40 2022 Debug: Binary scan: proxid[3951] filename[favicon.ico] len[41566b] readtime[109.721680ms] scantime[2.205322ms] ampverdict[(1, 1, 'amp', '', 0, 0, False)] scanverdict[0] malwareverdict[0] SHA256[e7a2345c75a03e63202b12301c29bb8b6bae7cef9e191ed58797ec028def7c4f] From[Cloud] FileName[favicon.ico] FileMime[application/octet-stream]
AMP调试级别日志(ampverdict):
ampverdict[(1, 1, 'amp', '', 0, 0, False)]
ampverdict[(analysis_action, scan_verdict,disposition, ‘spyname: policy name if amp registered with console’, file_reputation, upload_action, ‘sha256', ‘threat_name’)]
详细字段与值选项：
| 字段 |
价值 |
| Analysis_action |
"0":表示高级恶意软件保护未请求上传文件进行分析。 "1":表示高级恶意软件防护已请求上传文件进行分析。 |
| Scan_verdict |
"0":该文件不是恶意。 |
| Verdict_source |
amp:文件分析. |
| 处置 |
"1":未知。 |
| Spyname |
空:如果未使用AMP爆发策略。 |
| Upload_action |
正确:文件设置为沙盒。 |
| Sha256 |
SHA256。 |
| Threat_name |
基于AMP威胁类型的威胁名称。 |
相关内容
修订历史记录
| 版本 | 发布日期 | 备注 |
|---|---|---|
2.0 |
22-Oct-2026
|
更新了简介、拼写、语法、间距、插入的水平线以分隔各部分的可读性，以及要在新页面中打开的固定URL。 |
1.0 |
18-May-2022
|
初始版本 |
反馈