疑難排解"；無法掃描的類別=消息錯誤，無法掃描的原因=歸檔錯誤"在ESA中

簡介

本文描述如何解決錯誤「無法掃描類別=消息錯誤，無法掃描原因=存檔錯誤：已超出思科ESA中未存檔檔案「 」的總大小限制。

必要條件

需求

思科建議您瞭解以下主題：

• 思科電子郵件安全裝置(ESA)
• 思科進階惡意軟體防護

採用元件

本文件所述內容不限於特定軟體和硬體版本。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。在將任何更改應用於生產網路之前，請審查更改的潛在影響。

背景資訊

當帶有附件的郵件到達郵件處理管道（即進行附件掃描的ESA階段）中的高級惡意軟體防護(AMP)時，ESA會嘗試分析附件。ESA還檢查郵件標頭是否符合要求建議(RFC)2045(RFC 2045)。 如果郵件不完全符合，ESA仍會盡力嘗試解析附件。

接下來，ESA檢查附件是否為歸檔檔案。如果是，ESA會嘗試將其解包。ESA評估多個因素以估計未壓縮的大小並確保歸檔檔案有效。ESA還會檢測可疑檔案，例如高度壓縮的檔案。

如果雲信譽查詢中沒有可用的檔案信譽判定結果，並且檔案符合分析標準，則ESA會隔離該檔案並將其上傳到AMP沙盒（即基於雲的檔案分析環境）。

然後，ESA開啟與AMP伺服器的連線，上傳檔案，並等待判定更新，如下圖所示：

ESA根據以下情形提供判定：

• 如果提取的檔案之一為惡意檔案，則檔案信譽服務會針對壓縮檔案或歸檔檔案返回「惡意」判定結果。
• 如果壓縮或存檔檔案是惡意的，並且提取的所有檔案都是乾淨的，則檔案信譽服務會針對壓縮或存檔檔案返回「惡意」判定結果。
• 如果任何提取檔案的判定結果未知，則選擇傳送提取的檔案進行檔案分析（如果已配置且支援檔案型別進行檔案分析）。
• 如果任何提取的檔案或附件的判定風險較低，則不會傳送該檔案進行檔案分析。
• 如果解壓縮期間對壓縮檔案或存檔檔案的解壓縮失敗，則檔案信譽服務會針對該壓縮檔案或存檔檔案返回不可掃描的判定結果。在此案例中，如果提取的某個檔案是惡意檔案，則檔案信譽服務會針對壓縮或存檔檔案返回判定結果「惡意」。惡意裁決優先於不可掃描的裁決。

高度壓縮的檔案（如CSV、XML和TXT）可能會超過硬編碼到ESA的最大檔案大小。壓縮演算法(如Lempel-Ziv)生成數位地圖，計算整個文檔中的字元數量和位置。此過程可以生成非常小的歸檔檔案大小。

相反，包含圖形或格式（如PDF、JPG和PNG）的檔案不會以相同方式壓縮。因此，它們通常保持接近其原始檔案大小。

問題

ESA記錄壓縮附件的AMP不可掃描判定結果，原因為「存檔錯誤：已超出未存檔檔案的大小總限制。"

環境

• Cisco ESA
• AMP支援附件掃描

原因

附件是一個壓縮的存檔，其擴展超出了ESA對未存檔檔案總大小硬編碼的限制。高度可壓縮的檔案型別（例如CSV、XML和TXT）可以生成在解壓縮時顯著擴展的小型存檔，這可能觸發「無法掃描」的判定。

解決方案

根據所需的處理使用以下選項之一：使用者通知，或包含和審查。顯示的驗證步驟有助於確定要使用的選項。

要確認條件，請找到上述型別的郵件日誌條目。

郵件日誌條目示例：

Info:   The attachment could not be scanned. File Name = 'ACTS Chopped ISO 88591 encod_NoSchema.XML.zip', MID = 226, SHA256 = 7efa6154b7519872055cff10a69067dcad88562f708b284a390a9abcf5e99b8f, Unscannable Category = Message Error, Unscannable Reason = Archive Error: Exceeded the total size limit of the unarchived files

開始之前：驗證並選擇選項

1. 在ESA中，導航到Monitor > Mail Logs。
2. 找到顯示Unscannable Reason = Archive Error的消息ID(MID):已超出未存檔檔案的大小總限制。
3. 確認附件是壓縮的存檔檔案(例如.zip檔案)，並且它在解壓縮時顯著展開。
4. 如果必須傳送郵件，並且收件人只需要主題行中有警告，請選擇選項1。
5. 如果必須在策略病毒和爆發(PVO)隔離區中檢視郵件，請選擇選項2。
6. 應用更改後，傳送帶有代表性存檔的測試消息。在Monitor > Mail Logs中驗證預期行為，並在Policy Virus and Outbreak(PVO)隔離區中驗證（如果使用）預期行為。

選項1.為無法掃描的附件預置主題標籤

1. 在ESA中，根據啟用AMP掃描的位置，導航到郵件策略> 傳入郵件策略或傳出郵件策略。
2. 按一下處理受影響消息的策略。
3. 在策略的AMP設定中，找到Unscannable attachments的操作。
4. 將Modify Message Subject設定為Prepend。
5. 在「主題」文本欄位中，輸入字首[AMP Unscannable]或其他批准的警告標籤。
6. 按一下Submit並提交更改。
7. 傳送帶有代表性檔案的測試郵件，並驗證ESA是否傳送帶有預先設定的主題標籤的郵件。

選項2.隔離策略病毒和爆發隔離區中無法掃描的郵件

1. 在ESA中，根據啟用AMP掃描的位置，導航到郵件策略> 傳入郵件策略或傳出郵件策略。
2. 按一下處理受影響消息的策略。
3. 在策略的AMP設定中，找到Unscannable attachments的操作。
4. 將不可掃描郵件操作設定為Quarantine。
5. 選擇Policy Virus and Outbreak(PVO)隔離區作為隔離目標。
6. 按一下Submit並提交更改。
7. 傳送帶有代表性存檔的測試郵件，並驗證ESA是否將該郵件放在策略病毒和爆發(PVO)隔離區中，以供分析人員檢視。

相關資訊

• ESA高級惡意軟體防護最佳實踐指南
• 檢驗ESA上的檔案分析上傳
• 對Cisco ESA上的「The File Reputation Service Is Not Reachable」（檔案信譽服務無法訪問）錯誤進行故障排除
• 思科技術支援與下載

修訂記錄

修訂	發佈日期	意見
1.0	29-Oct-2019	初始版本