安全恶意软件分析设备与FMC集成的故障排除

下载选项

PDF (5.1 MB)
在各种设备上使用 Adobe Reader 查看
ePub (5.1 MB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
Mobi (Kindle) (3.1 MB)
在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看

已更新: 2021 年 4 月 26 日

文档 ID:217064

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档详细介绍安全恶意软件分析与Firepower管理中心(FMC)的集成。

先决条件

要求

Cisco 建议您了解以下主题：

Firepower管理FMC
安全恶意软件设备基本配置
创建授权证书(CA)
Linux/Unix

使用的组件

本文档中的信息基于以下软件和硬件版本：

FMC版本6.6.1
Threat Grid 2.12.2
CentOS 8

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

问题

在此用例场景中，您可以看到2个问题和两个错误代码。

场景 1

集成失败，错误如下：

Sandbox registration failed: Peer certificate cannot be authenticated with given CA certificates (code = 60)

遇到此问题时，此问题与未作为完整链上传到FMC的证书有关。由于使用了CA签名的证书，因此需要使用合并为一个单一PEM文件的整个证书链。换句话说，您从Root CA > Intermediate Cert（如果适用）> Clean Int开始。请参考官方指南中介绍要求和程序的文章。

如果存在CA的多级签名链，则所有必需的中间证书和根证书必须包含在上传到FMC的单个文件中。

— 所有证书必须采用PEM编码。

— 文件的新行必须是UNIX而不是DOS。

— 如果Threat Grid设备提供自签名证书，请上传您从该设备下载的证书。

— 如果Threat Grid设备提供CA签名证书，请上传包含证书签名链的文件。

警告：如果重新生成了安全恶意软件设备自签名证书，请确保仅在安全恶意软件设备在SSL握手期间发送更新证书之后才重新配置设备。

场景 2

无效的证书格式错误

Invalid Certificate format (must be PEM encoded) (code=0)

证书格式错误，如图所示。

alt-tag-for-image

此错误是由于在使用OpenSSL的Windows计算机上创建的组合PEM证书的格式错误。强烈建议使用Linux计算机创建此证书。

集成

步骤1.配置TGA，如图所示。

alt-tag-for-image

Clean Admin接口的内部CA签名证书

步骤1.生成用于管理接口和干净接口的私钥。

openssl ecparam -name secp521r1 -genkey -out private-ec-key.pem

步骤2.生成CSR。

清洁接口

步骤1.导航到CSR创建并使用生成的私钥。

openssl req -new -key private-ec-key.pem -out MYCSR.csr

注意：必须为CSR输入CN名称，并且必须与“Network”下定义的Clean接口的主机名匹配。DNS服务器上必须存在解析Clean接口主机名的DNS条目。‌

alt-tag-for-image

管理界面

步骤1.导航到CSR创建并使用生成的私钥。

openssl req -new -key private-ec-key.pem -out MYCSR.csr

注意：必须为CSR输入CN名称，并且必须与“Network”下定义的“admin interface”的“hostname”匹配。DNS服务器上必须存在一个DNS条目，用于解析干净接口主机名。‌

alt-tag-for-image

步骤2.由CA签署CSR。下载带有CER扩展的DER格式的证书。

步骤3.将CER转换为PEM

openssl x509 -inform DER -outform PEM -in xxxx.cer -out yyyy.pem

将接口CSR和CER清理为PEM

alt-tag-for-image

管理接口CSR和CER到PEM

alt-tag-for-image

FMC证书的正确格式

如果您已获得证书，并且证书采用CER/CRT格式，在使用文本编辑器时是可读的，则只需将扩展名更改为PEM即可。

如果证书不可读，您需要将DER格式转换为PEM可读格式。

openssl x509 -inform DER -outform PEM -in xxxx.cer -out yyyy.pem

PEM

PEM可读格式示例，如图所示。

alt-tag-for-image

DER

DER可读格式示例，如图所示

alt-tag-for-image

在Windows和Linux中创建的证书之间的差异

您可以同时比较两个证书并排使用Notepad++中的Compare插件，这时第#68行中出现了编码差异。在左侧，您可以看到在Windows中创建的证书，在右侧，您可以看到在Linux计算机上生成的证书。左侧的证书有回车符，因此该证书PEM对FMC无效。但是，除了记事本页面中的一行以外，您不能在文本编辑器中区分++同。

alt-tag-for-image