恢復已刪除的預設主機組

簡介

本文檔介紹如何通過恢復Cisco Secure Network Analytics中的正確主機組ID來恢復已刪除的預設主機組。 

環境

• 適用於使用預設主機組和主機分類器應用程式的Cisco安全網路分析部署。

問題

當刪除預設主機組，並使用相同名稱建立新主機組以「替換」已刪除的原始主機組時，新主機組使用自定義ID而不是預設ID。

需要特定預設主機組才能正常工作的功能（如主機分類器應用程式）無法檢測「替換」主機組。

預設主機組使用兩位數ID，例如28或30，使用者建立的主機組被視為自定義主機組，並使用五位數ID，例如50081。

如果刪除了預設主機組，然後將其重新建立為自定義主機組，則重新建立的組會收到五位數ID。

某些功能可能會因此失敗，為了更正此問題，主機組ID必須與預設值匹配。

解析

方法1:從現有備份匯入（如果存在備份，則建議匯入）

如果在刪除之前備份了host_groups.xml檔案，則可以通過通過Secure Network Analytics Manager介面匯入備份檔案來還原已刪除的預設主機組。

1. 登入到Secure Network Analytics Manager網路介面。
2. 導航到Configure > System > Host Group Management。
3. 選擇「匯入」選項，然後選擇「全部匯入」。
4. 從本地系統上載備份host_groups.xml檔案。
5. 確認匯入以通過API查詢還原所有主機組。
6. 如有必要，請重新安裝主機分類器應用程式以確保正確檢測。

方法2:匯出和匯入特定預設主機組或子樹

如果要僅恢復特定預設主機組或子樹而不覆蓋其他自定義主機組，請完成以下詳細步驟：

1. 建立臨時域

   • 登入安全網路分析(SNA)管理員UI。
   • 導航至Configure > System > Domains。
   • 點選Add Domain（新增域），輸入臨時域名，然後選擇Default（預設）。
   • 儲存新的臨時域。

2. 匯出特定預設主機組或子樹

   • 切換到剛建立的臨時域。
   • 導航到Configure > Detection > Host Group Management。
   • 找到要匯出的特定預設主機組或子樹。
   • 使用「匯出」選項僅將所選主機組或子樹匯出到本地儲存的XML檔案。

3. 刪除臨時域

   • 導航至Configure > System > Domains。
   • 選擇臨時域並將其刪除以避免混淆。

4. 將匯出的主機組或子樹匯入正確的樹/子樹

   • 切換到刪除預設主機組的受影響域。
   • 導航到Configure > Detection > Host Group Management。
   • 使用「匯入」功能匯入以前匯出的XML檔案。
   • 匯入時，請確保選擇與刪除原始預設主機組的位置相對應的正確的樹或子樹位置。這可防止覆蓋其他主機組。

5. 確認匯入的主機組使用預設的兩位ID

   • 使用API查詢收集所需的資訊。在此處可找到文檔 — Configuration Management API。
   • 在響應中查詢匯入的主機組，並驗證其id欄位是否與兩位數的預設ID匹配。
   • 有關API的使用情況，請參閱安全網路分析API文檔以瞭解身份驗證和請求詳細資訊。

6. 驗證主機分類器應用檢測

   • 如果它沒有檢測到更新的主機組，請重新安裝主機分類器應用程式。

方法3:聯絡Cisco TAC

如果以上任一方法都無法解決問題，或者您有任何疑問，請聯絡Cisco TAC以獲得進一步幫助。

原因

手動重新建立已刪除的預設主機組會導致系統分配五位數的自定義ID。Host Classifier應用程式需要原始的兩位ID;當匹配失敗時，應用程式無法檢測或分類主機組。

參考資料:

疑難排解指南

API Cisco DevNet
建立TAC案例 

修訂記錄

修訂	發佈日期	意見
1.0	30-Aug-2022	初始版本