排除FireSIGHT管理中心上的AMP的连接和注册问题

简介

部署中的FireSIGHT管理中心可以连接到思科云。配置FireSIGHT管理中心以连接到云后，您可以接收扫描、恶意软件检测和隔离的记录。记录作为恶意软件事件存储在FireSIGHT管理中心数据库中。默认情况下，云会为组织内的所有组发送恶意软件事件，但您可以在配置连接时按组进行限制。本文档讨论有关FireSIGHT管理中心的高级恶意软件防护(AMP)功能的各种问题和故障排除步骤。

防火墙中的端口或服务器被阻止

如果FireSIGHT管理中心无法连接到FireAMP云控制台，或者未收到恶意软件事件，则必须检查所需端口是否被防火墙阻止。FireSIGHT管理中心使用端口443从FireAMP控制台接收基于终端的恶意软件事件。FirePOWER设32137在思科云中执行恶意软件查找需要端口ID。

要了解有关所需端口号和服务器地址的详细信息，请阅读以下文档：

• FireSIGHT系统运行所需的通信端口
• AMP操作所需的服务器

正在使用的MAC地址

症状

当您尝试将FireSIGHT管理中心注册到私有云并执行初始连接时，您可能会收到一条消息，指示MAC地址已在使用中。

原因

如果由于硬件故障而更换FireSIGHT管理中心，且未正确从云中注销更换设备，则可能会遇到此问题。

解决方案

在更换设备之前，您必须从FireAMP云注销FireSIGHT管理中心。您还应从FireAMP云中删除FireSIGHT管理中心。这可以防止将MAC地址视为正在使用。

提示：请阅读本文档，了解有关如何从FireAMP云注销设备以及从FireSIGHT管理中心删除云的详细流程。

显示常规/未知错误

症状

将重新映像或更换的FireSIGHT管理中心连接到FireAMP控制台时，系统会显示错误消息。它显示General/unknown错误。

当出现General/unknown error消息时，FireSIGHT管理中心上的FireAMP连接的状态变为严重状态。Web界面显示红色图标。

原因

当FireSIGHT管理中心的MAC地址（已重新映像或已替换）仍注册到FireAMP控制台时，会发生此问题。

解决方案

在重新映像或更换设备之前，您必须从FireAMP云注销FireSIGHT管理中心。您还应从FireAMP云中删除FireSIGHT管理中心。这可以防止将MAC地址视为正在使用。

提示：请阅读本文档，了解有关如何从FireAMP云注销设备以及从FireSIGHT管理中心删除云的详细流程。

无法选择云

症状

创建从FireSIGHT管理中心到FireAMP云控制台的连接时，找不到适用于美国云或欧盟云的下拉选项。

原因

当FireSIGHT管理中心无法解析主机名api.amp.sourcefire.com时，会发生此问题。

要验证问题，请在FireSIGHT管理中心的CLI上执行nslookup。检查FireSIGHT管理中心上的DNS设置是否配置正确：

admin@Sourcefire3D:~$ sudo nslookup api.amp.sourcefire.com

当DNS无法解析FireSIGHT管理中心上的主机名时，将显示以下输出：

admin@Sourcefire3D:~$ sudo nslookup api.amp.sourcefire.com

Server:         192.168.45.2
Address:        192.168.45.2#53
 
** server can't find api.amp.sourcefire.com

如果已在FireSIGHT管理中心上正确解析DNS，则输出如下：

admin@Sourcefire3D:~$ sudo nslookup api.amp.sourcefire.com
Server:         192.168.45.1
Address:        192.168.45.1#53
 
Non-authoritative answer:
api.amp.sourcefire.com
Name:   xxxx.xxxx.xxxx
Address: xx.xx.xx.xx

解决方案

• 如果FireSIGHT管理中心无法解析主机名，您需要验证管理中心上的DNS设置是否正确。
• 如果FireSIGHT管理中心能够解析主机名，但无法通过防火墙访问api.amp.sourcefire.com，请检查防火墙规则和设置。

在连接创建过程中，如果FireSIGHT管理中心无法解析主机名，以下错误消息将记录在httpsd_error_log中：

Error attempting curl for FireAMP: System

例如，以下日志输出显示防御中心无法完成api.amp.sourcefire.com的curl命令：

admin@Sourcefire3D:~$ tail -f /var/log/httpd/httpsd_error_log

[Thu Jul 18 12:38:13.433765 2013] [cgi:error] [pid 10920] [client 192.168.45.50:59220] AH01215: getCloudData start... at /usr/local/sf/lib/perl/5.10.1/SF/Permission.pm line 1778., referer: https://192.168.45.45/ddd/
[Thu Jul 18 12:38:14.338174 2013] [cgi:error] [pid 10920] [client 192.168.45.50:59220] AH01215: /usr/local/bin/curl -s --connect-timeout 10 -m 20 -L --max-redirs 5 --max-filesize 104857600 --sslv3 --capath /etc/sf/keys/fireamp/thawte_roots/ -H Accept: application/vnd.sourcefire.fireamp.dc+json; version=1 https://api.amp.sourcefire.com/clouds at /usr/local/sf/lib/perl/5.10.1/SF/System.pm line 7491., referer: https://192.168.45.45/ddd/
[Thu Jul 18 12:38:24.352374 2013] [cgi:error] [pid 10920] [client 192.168.45.50:59220] AH01215: Error attempting curl for FireAMP: System (/usr/local/bin/curl -s --connect-timeout 10 -m 20 -L --max-redirs 5 --max-filesize 104857600 --sslv3 --capath /etc/sf/keys/fireamp/thawte_roots/ -H Accept: application/vnd.sourcefire.fireamp.dc+json; version=1 https://api.amp.sourcefire.com/clouds) Failed at /usr/local/sf/lib/perl/5.10.1/SF/System.pm line 7499., referer: https://192.168.45.45/ddd/
[Thu Jul 18 12:38:24.352432 2013] [cgi:error] [pid 10920] [client 192.168.45.50:59220] AH01215: No cloud data returned at /usr/local/sf/lib/perl/5.10.1/SF/FireAMP.pm line 145., referer: https://192.168.45.45/ddd/
[Thu Jul 18 12:38:24.352478 2013] [cgi:error] [pid 10920] [client 192.168.45.50:59220] AH01215: getCloudData completed... at /usr/local/sf/lib/perl/5.10.1/SF/Permission.pm line 1780., referer: https://192.168.45.45/ddd/

在连接创建过程中，如果以下消息记录在httpsd_error_log中且没有错误，则表明FireSIGHT管理中心能够解析主机名：

getCloudData completed

例如，以下输出显示管理中心完成api.amp.sourcefire.com的curl命令：

admin@Sourcefire3D:~$ tail -f /var/log/httpd/httpsd_error_log

[Thu Jul 18 12:42:54.949461 2013] [cgi:error] [pid 12007] [client 192.168.45.50:59253] AH01215: getCloudData start... at /usr/local/sf/lib/perl/5.10.1/SF/Permission.pm line 1778., referer: https://192.168.45.45/ddd/
[Thu Jul 18 12:42:55.856432 2013] [cgi:error] [pid 12007] [client 192.168.45.50:59253] AH01215: /usr/local/bin/curl -s --connect-timeout 10 -m 20 -L --max-redirs 5 --max-filesize 104857600 --sslv3 --capath /etc/sf/keys/fireamp/thawte_roots/ -H Accept: application/vnd.sourcefire.fireamp.dc+json; version=1 https://api.amp.sourcefire.com/clouds at /usr/local/sf/lib/perl/5.10.1/SF/System.pm line 7491., referer: https://192.168.45.45/ddd/
[Thu Jul 18 12:42:55.931106 2013] [cgi:error] [pid 12007] [client 192.168.45.50:59253] AH01215: getCloudData completed... at /usr/local/sf/lib/perl/5.10.1/SF/Permission.pm line 1780., referer: https://192.168.45.45/ddd/