對安全終端Linux聯結器故障進行故障排除

簡介

本文描述Linux聯結器在檢測/解決影響正常工作的條件時引發/清除的故障。

安全端點Linux聯結器故障

故障5:掃描服務使用者不可用

條件

聯結器無法建立cisco-amp-scan-svc使用者以運行檔案掃描過程。作為解決方法，聯結器已回退以使用root使用者執行檔案掃描。這偏離了預期的設計，必須加以糾正。

解析

1. 如果已刪除或修改了cisco-amp-scan-svc使用者或組的配置，請重新安裝聯結器以重新建立具有必要配置的使用者和組。有關詳情，請參閱/var/log/cisco/ampdaemon.log。
2. 如果通過/etc/login.defs中的設定限制使用者/組的建立，則在Linux聯結器安裝程式運行時，必須臨時更改此檔案，以允許建立cisco-amp-scan-svc使用者和組。為此，請將/etc/login.defs中的USERGROUPS_ENAB從no更改為yes。
3. 如果另一個程式修改了聯結器的一個目錄許可權(例如/opt/cisco或子目錄)，請將目錄許可權重新設定為預設值(即0755)。 確保將來的程式不會修改/opt/cisco目錄或其任何子目錄，然後重新啟動聯結器服務。

故障6:掃描服務頻繁重新啟動

條件

聯結器檔案掃描進程遇到重複的故障，聯結器已重新啟動以嘗試清除該故障。聯結器將繼續盡力掃描。

解析

系統上的一個或多個檔案可能導致掃描演算法在掃描時崩潰。如果在聯結器重新啟動後10分鐘內未自動清除此故障，則需要進一步調查。在解決問題之前，聯結器執行掃描的能力將降低。

如需詳細資訊，請參閱/var/log/cisco/ampdaemon.log和/var/log/cisco/ampscansvc.log。

故障7:無法啟動掃描服務

條件

聯結器檔案掃描進程無法啟動，聯結器已重新啟動以嘗試清除故障。出現此故障時，檔案掃描被禁用。

解析

如果在載入新安裝的病毒定義檔案（.cvd檔案）時遇到錯誤，則可觸發此故障。 在啟用新的.cvd檔案以防止此故障之前，聯結器會執行許多完整性和穩定性檢查。重新啟動時，聯結器將刪除所有無效的.cvd檔案，以便聯結器可以恢復。

1. 如果在聯結器重新啟動後未清除此故障，則需要進一步的使用者干預。如果每次進行.cvd更新時都重複此故障，則聯結器的.cvd檔案完整性檢查無法正確檢測到無效的.cvd檔案。
2. 如果電腦的可用記憶體不足，則掃描程式服務可能無法啟動。請參閱《安全端點使用手冊》中的「Linux系統要求」安全端點使用手冊。

有關詳細資訊，請訪問/var/log/cisco/ampdaemon.log和/var/log/cisco/ampscansvc.log。

故障8:Realtime Filesystem Monitor無法啟動

條件

當聯結器策略啟用了「監視檔案複製和移動」時，聯結器無法載入檔案系統活動監視所需的底層核心模組。出現此故障時，檔案系統監視不可用。

解析

1. 在系統上禁用UEFI安全引導。
2. 如果禁用安全引導，則聯結器隨附的ampfsm核心模組與系統上安裝的系統核心或其他第三方核心模組之間可能存在不相容性。檢視/var/log/messages以瞭解詳細資訊。
3. 如果聯結器正在不受支援的核心版本上運行，請安裝受支援的核心版本，或為當前運行的系統核心構建自定義ampfsm核心模組。如需詳細資訊，請參閱建立思科安全端點Linux聯結器核心模組。

故障9:Realtime Network Monitor未能啟動

條件

當聯結器策略啟用了「啟用裝置流關聯」時，聯結器無法載入網路活動監視所需的底層核心模組。出現此故障時，網路監控不可用。

解析

1. 在系統上禁用UEFI安全引導。
2. 如果禁用安全引導，則聯結器隨附的ampnetworkflow核心模組與系統上安裝的系統核心或其他第三方核心模組之間可能存在不相容性。檢視/var/log/messages以瞭解詳細資訊。
3. 如果聯結器正在不受支援的核心版本上運行，請安裝受支援的核心版本，或為當前運行的系統核心構建自定義ampnetworkflow核心模組。如需詳細資訊，請參閱建立思科安全端點Linux聯結器核心模組。

故障11:缺少所需的核心級包

條件

聯結器要求下列條件之一有效：

1. 當前核心已啟用CONFIG_DEBUG_INFO_BTF，或
2. 安裝了正確的核心報頭軟體包以便監視檔案系統和網路事件。

如果這兩個條件均不滿足，則會引發此故障，並且聯結器將在降級模式下監視檔案系統和網路事件。

解析

1. 升級核心並重新啟動聯結器。這是首選解決方案。
2. 如果故障仍然存在，請安裝缺少的核心標頭包：
   1. 對於基於RPM的分發，請安裝核心級程式包。
   2. 對於Oracle Linux UEK發行版，請安裝核心級發行版包。
   3. 對於基於Debian的分發，請安裝linux-headers程式包。
   4. 對於SUSE發行版，請安裝kernel-default-devely程式包。

有關詳細資訊，請參閱安全終端Linux聯結器故障11故障排除。

故障十六：不相容的核心

條件

聯結器與當前運行的聯結器不相容，並且聯結器策略已啟用「監視檔案複製和移動」或「啟用裝置流關聯」。

解析

將核心降級到支援的版本，或將聯結器升級到支援此核心的較新版本。

請參閱Linux系統要求以瞭解更多有關受支援核心版本的詳細資訊。

故障18:聯結器事件監視超載

條件

由於系統事件數量過多，聯結器承受了沈重的負載。系統保護是有限的，並且聯結器將監控較小的一組系統關鍵事件，直到整體系統活動減少。

解析

此故障可能是惡意系統活動或系統中非常活躍的應用程式的指示。

1. 如果活動應用程式是良性的且受使用者信任，則可以將其新增到進程排除集中，以減少聯結器上的監視負載。此操作可能足以清除故障。
2. 如果沒有良性進程導致負載過重，則需要執行一些調查來確定活動增加是否由惡意進程引起。
3. 如果聯結器在短時間內承受過載，則此故障可能會自行消除。
4. 如果經常出現此故障，則不會存在會導致負載過重的良性進程，並且不會發現惡意進程，則需要重新調配系統來處理負載過重的進程。

有關詳細資訊，請參閱安全終端Mac/Linux聯結器故障18故障排除。

故障19:SELinux策略缺失或禁用

條件

系統上的Secure Enterprise Linux(SELinux)策略阻止聯結器監視系統活動。

如果已啟用SELinux且處於強制模式，則聯結器在SELinux策略中需要此規則：

allow unconfined_service_t self:bpf { map_create map_read map_write prog_load prog_run };

在基於Enterprise Linux的系統上，此規則在預設的SELinux策略中不存在。在安裝或升級期間，聯結器會嘗試通過安裝名為cisco-secure-bpf的SELinux策略模組來新增此規則。如果cisco-secure-bpf無法安裝和載入，或者被禁用，則引發故障。

解析

要解決故障，請確保policycoreutils-python系統軟體包已安裝。然後或者：

1. 重新安裝或升級聯結器以觸發cisco-secure-bpf安裝，或
2. 手動將規則新增到現有SELinux策略並重新啟動聯結器。

有關修改SELinux策略以解決此故障的更多詳細說明，請參閱SELinux策略故障。